Après la cyberattaque qui a touché plusieurs centaines de supermarchés français le 12 octobre dernier, l’ANSSI a livré aujourd'hui ses premières conclusions devant le Sénat. Contrairement aux premières hypothèses, les pirates n’auraient pas exploité de vulnérabilités complexes, mais profité de graves négligences dans la sécurisation des équipements. Des erreurs pourtant dénoncées depuis plus de dix ans par l’agence française.
Des frigos accessibles directement depuis Internet !
Le 12 octobre dernier, plusieurs centaines de supermarchés français ont été victimes d’une cyberattaque pour le moins inhabituelle. En effet, les pirates n'ont pas dérobé de données personnelles ou bancaires, mais ont pris le contrôle des installations frigorifiques des magasins.
En modifiant à distance les paramètres de température, les attaquants ont provoqué une rupture de la chaîne du froid, contraignant plusieurs enseignes à jeter d’importantes quantités de produits alimentaires. L’attaque a notamment concerné au moins 300 magasins Intermarché et Netto, environ 80 Carrefour, une trentaine de Monoprix, ainsi que plusieurs points de vente E.Leclerc et moins d’une centaine de magasins du réseau Coopérative U.
Mais comment des pirates ont-ils pu accéder aussi facilement à ces équipements ? Auditionné ce mercredi devant la commission des affaires étrangères et de la défense du Sénat, Vincent Strubel, directeur général de l’Agence nationale de la sécurité des systèmes d’information (ANSSI), a apporté quelques éléments de réponse particulièrement préoccupants.
Des mots de passe trop faibles et des équipements mal protégés
Alors que plusieurs analyses évoquaient l’exploitation de vulnérabilités découvertes et rendues publiques ces deux dernières années, l’ANSSI privilégie une explication beaucoup plus simple. Les attaquants auraient essentiellement profité de défauts de sécurisation élémentaires. Selon Vincent Strubel, certains équipements frigorifiques étaient directement accessibles depuis Internet, sans dispositif de protection (suffisant). À cela s’ajoutaient des interfaces d’administration insuffisamment sécurisées et des mots de passe trop faibles.
Autrement dit, les pirates n’auraient pas eu besoin de découvrir une faille particulièrement sophistiquée pour prendre le contrôle de ces installations. Le directeur de l’agence a également tenu à écarter, à ce stade, l’hypothèse selon laquelle l’attaque aurait reposé sur les vulnérabilités précédemment identifiées par des chercheurs en cybersécurité.
Des recommandations qui existent depuis 2014
Le problème est connu depuis très longtemps. Depuis 2014, l’ANSSI publie des recommandations destinées à sécuriser les systèmes industriels, notamment les équipements connectés utilisés pour piloter des installations techniques. Parmi les premières règles figure justement l’interdiction de principe d’exposer directement ces systèmes à Internet, sans mesures de protection adaptées. Cela parait pourtant logique, mais cette recommandation a été manifestement ignorée par certains exploitants.
Vincent Strubel a ainsi regretté que les préconisations de son agence ne soient pas systématiquement appliquées, alors même que les risques sont parfaitement identifiés. L’ANSSI se heurte toutefois à une limite considérable : elle ne dispose pas actuellement du pouvoir d’imposer directement ces mesures de sécurité aux supermarchés pour leurs installations frigorifiques. Il appartient donc aux entreprises concernées, ainsi qu’à leurs prestataires techniques, de mettre en œuvre les protections nécessaires.
Qu’en penser ?
Cette cyberattaque rappelle les risques liés à la multiplication des équipements connectés, parfois insuffisamment sécurisés malgré des recommandations connues depuis des années. Et les conséquences pourraient être bien plus graves dans d’autres secteurs, notamment celui de la santé, où les systèmes frigorifiques servent à conserver des médicaments ou des vaccins. Consciente du danger, l’ANSSI a rapidement engagé des vérifications avec les acteurs concernés pour éviter qu’une attaque similaire ne compromette des produits indispensables aux patients. On verra si cet incident suffira à faire évoluer les pratiques.
