Des pirates auraient réglé à 110 °C des congélateurs de plasma de l'Établissement français du sang

Pendant la nuit du 1er au 2 novembre, un technicien d'astreinte constate que la température de plusieurs congélateurs remonte anormalement. Ces appareils conservent, autour de −30 °C, des produits de l'Établissement français du sang (EFS). Leur consigne venait d'être modifiée à distance : elle aurait été portée à 110 °C, selon Le Canard enchaîné, qui a révélé l'affaire le 3 novembre.

La cible n'est pas l'EFS lui-même mais Coolworld, l'un de ses prestataires de froid. Les installations concernées se trouvent notamment en Bourgogne-Franche-Comté. Le ministère de la Santé affirme que les anomalies ont été détectées à temps et n'ont eu aucune conséquence opérationnelle. À ce stade, aucune destruction de plasma, aucune transfusion compromise et aucune conséquence pour des patients n'ont été rapportées. Aucun vol de données de donneurs n'est signalé non plus.

Qu'y avait-il dans ces congélateurs ?

L'EFS a d'abord parlé d'échantillons de donneurs, conservés pour la surveillance sanitaire. Il a ensuite précisé que du plasma congelé destiné à être transfusé à des patients était également concerné. Ce n'est pas un détail : le plasma frais congelé doit rester à −25 °C ou moins, et une rupture prolongée de la chaîne du froid pourrait le rendre inutilisable.

Le chiffre de 110 °C doit être lu pour ce qu'il est : une consigne programmée, pas une température mesurée. Rien n'indique que les poches de plasma aient approché cette valeur. L'EFS fait état de trois sites touchés, dont celui de Besançon selon ICI. La durée de l'incident n'a pas été communiquée et les températures réellement atteintes restent floues : un responsable de l'EFS a évoqué auprès d'ICI des températures « montées à 110 voire 150 degrés », tout en assurant que les échantillons n'avaient pas été altérés. Sur les réseaux sociaux, certains messages affirment que le sang a failli bouillir : rien ne le confirme.

Les mêmes pirates que dans les supermarchés ?

La question se pose d'elle-même. Le 12 octobre, des centaines de supermarchés français avaient vu leurs installations frigorifiques déréglées à distance (notre article). L'ANSSI avait ensuite expliqué que des mots de passe faibles avaient suffi, et l'alerte du CERT-FR citait notamment les automates Danfoss AK-SM et AK-SC ainsi que les systèmes XWEB de Copeland et Dixell. Le 2 novembre, de nouvelles cyberattaques présumées étaient signalées dans neuf pays, notamment en Belgique, au Luxembourg, aux Pays-Bas, en Suède, en Irlande et en Estonie.

Pour l'instant, aucun élément public ne relie l'attaque contre Coolworld à cette vague. Coolworld indique seulement que l'incident a touché un logiciel de surveillance à distance de systèmes de réfrigération et qu'il a affecté un composant fourni par un prestataire tiers. On ignore comment les pirates y ont accédé et qui ils sont. Le risque n'était pourtant pas inconnu : le 21 octobre, devant le Sénat, le directeur général de l'ANSSI, Vincent Strubel, avait évoqué les installations frigorifiques du secteur de la santé. Il avait indiqué que l'agence avait mené « un travail rapide et intense avec l'ensemble des acteurs de la santé ».

Établissements de santé : ce qu'il faut vérifier dès maintenant

Ici, c'est un technicien d'astreinte, qui a constaté la remontée des températures en pleine nuit, qui a fait la différence. Un congélateur piloté à distance reste un équipement informatique. Les recommandations de l'ANSSI après l'attaque des supermarchés, complétées ici de quelques réflexes, valent aussi pour les laboratoires, les pharmacies et les hôpitaux :

• recenser les automates de froid et les interfaces de supervision joignables depuis Internet, y compris celles gérées par un prestataire ;
• retirer ces interfaces d'Internet et faire passer la maintenance à distance par un accès sécurisé, avec authentification forte ;
• remplacer les mots de passe par défaut ou partagés entre plusieurs sites ;
• vérifier que les alarmes de température préviennent réellement une personne d'astreinte, la nuit et le week-end ;
• demander par écrit au frigoriste comment il protège ses propres accès à vos équipements.

Reste une question que l'enquête devra trancher : combien d'autres prestataires de froid, dans la santé ou ailleurs, exposent leurs équipements de la même manière ? Dans un communiqué, l'EFS assure qu'« aucun impact sanitaire n'a été identifié et aucune perte de produits sanguins n'est à déclarer ». Coolworld affirme de son côté que « seul un nombre limité d'unités Coolworld a été affecté ».