« Ce qui ne devait pas arriver est arrivé ! » Sur la page Facebook du supermarché ICA Kvantum de Sjöbo, dans le sud de la Suède, le message est court et sans fioritures : les réfrigérateurs et congélateurs ont été piratés pendant la nuit, la température réglée sur 50 °C. Les portes sont restées closes plusieurs heures, le temps de jeter les produits avariés. Un responsable de magasin a raconté à la chaîne SVT avoir relevé 38 °C dans un frigo en arrivant au travail. La télévision locale a ensuite montré des supermarchés évacuant des dizaines de sacs de nourriture gâchée.
Sjöbo n’a pas été seul. Dans la nuit du 1er au 2 novembre, des pirates ont pris à distance la main sur les systèmes de régulation frigorifique, connectés à Internet, de plusieurs dizaines de magasins : en Suède, en Estonie, en Belgique, au Luxembourg, en Irlande et aux Pays-Bas, ainsi qu’en Italie et au Portugal, selon un bilan de l’AFP publié le 2 novembre. Trois semaines plus tôt, le 12 octobre, la France avait subi un scénario identique, avec des centaines de magasins touchés, suivi d’une seconde attaque, plus limitée, le lendemain. Parmi les fabricants dont les équipements sont concernés figure de nouveau le danois Danfoss.
Carrefour, Ikea, Delhaize : la Belgique en première ligne
« C’est une cyberattaque, il n’y a pas d’autre raison », tranche Mich Vergauwen, porte-parole de Carrefour Belgique, qui a signalé des perturbations dans une quinzaine de ses 700 magasins. À Mons, ce sont les congélateurs d’un Ikea qui se sont emballés vers 3 heures du matin, selon la porte-parole du groupe, Colombine Nicolay. Delhaize, Colruyt et Intermarché ont eux aussi fait état de problèmes. À Boortmeerbeek, au nord-est de Bruxelles, une affichette collée sur un réfrigérateur Delhaize prévenait qu’aucun produit ne serait proposé « en raison de cyberattaques ». Quatre magasins de l’enseigne ont été touchés au Luxembourg. Le parquet fédéral belge a ouvert une enquête, sans employer à ce stade le mot de cyberattaque.
L’impact est resté limité, assurent Carrefour et Intermarché : peu de marchandises jetées, ouvertures maintenues, réassort parfois bouclé avant l’ouverture. Le groupe de réfrigération industrielle Sabcobel dit avoir commencé à sécuriser ses installations après le 12 octobre, mais environ 10 % restaient à réviser, certaines dans des magasins touchés ce 2 novembre. « Si Sabcobel n’avait pas lancé cette opération, l’impact aurait été bien plus important », a estimé son directeur général, Stephan Moelans, auprès de l’AFP.
Ailleurs, le schéma se répète. En Irlande, le groupe Musgrave, propriétaire de SuperValu, a compté 13 magasins touchés. Aux Pays-Bas, au moins 17 entreprises, notamment des boucheries et des commerces de proximité, ont été concernées, selon Danfoss, interrogé par la radiotélévision publique NOS. En Sicile, au moins quatre supermarchés Coop ont été visés à 4 heures du matin, selon Giuseppe Spadaro, directeur général du groupe Radenza, qui évoque une attaque contre le système de télécommande des rayons surgelés. Une réunion sur la cybersécurité était prévue ce 3 novembre au matin, à la présidence du Conseil italien. En Suède, Coop a confirmé sept magasins touchés sur environ 800. Son porte-parole, Carlos Cancino, avait indiqué à l’AFP que les six magasins initialement recensés étaient reliés à un réseau mobile 4G plutôt qu’au système 5G mis à jour, et les jugeait « plus exposés ». Chez ICA, les magasins concernés dépendaient tous du système Danfoss, selon la porte-parole Helena Johansson. Sollicité par l’AFP, le fabricant n’avait pas répondu à l’agence. En Estonie, Jann Mutso, dirigeant de Kitman Coldtech, a décrit à la radiotélévision publique ERR des appareils anciens livrés par Danfoss et une « signature » identique à celle de la France.
Des défauts de sécurité élémentaires, une attaque sans visage
Après l’attaque d’octobre, le directeur de l’Agence nationale de la sécurité des systèmes d’information (Anssi), Vincent Strubel, avait pointé des « défauts de sécurisation élémentaires » : équipements exposés directement sur Internet, administrés sans protection particulière, mots de passe faibles. L’ingénieur en cybersécurité Kévin Tellier, de Synacktiv, décrit des interfaces web où un simple mot de passe permet de choisir la température, alors qu’elles sont censées rester dans un réseau fermé. Franceinfo relevait que certains frigos apparaissaient dans des annuaires en ligne. Danfoss avait indiqué que la plupart des équipements touchés étaient anciens et ne recevaient plus de mises à jour, en renvoyant la responsabilité aux frigoristes. Le CERT-FR recommande notamment de supprimer l’exposition directe de ces équipements sur Internet et de protéger leur accès à distance. L’attaque n’étant pas « extrêmement sophistiquée », selon Tellier, impossible de dire si ses auteurs disposent de gros moyens.
Personne n’a revendiqué ces attaques, dont rien ne permet à ce stade d’affirmer qu’elles ont les mêmes auteurs. Le commissaire européen à l’Agriculture et à l’Alimentation, Christophe Hansen, y voit « une tentative délibérée de perturber » la chaîne d’approvisionnement alimentaire et de « saper la confiance des consommateurs ». En Finlande, des températures anormales ont également été signalées dans quelques commerces du groupe Kesko, mais leur origine restait à établir. Roni Kokkola, du centre de cybersécurité finlandais Traficom, n’a pas exclu une interférence cyber en Finlande et jugeait « attendu » que le phénomène sorte de France. France 24 évoque également les ascenseurs, le chauffage des bâtiments ou les babyphones parmi les équipements susceptibles d’être visés.
