La récente cyberattaque menée contre les congélateurs et réfrigérateurs de supermarchés révèle la vulnérabilité des entreprises au piratage. Pourtant, selon les experts, il suffit d’appliquer quelques mesures simples pour se protéger. « Mettre à jour ses logiciels, c’est capital. »

L’été dernier, un chercheur de Team82 analysait, dans un article intitulé Freeze the Controller, Defrost the Food (« Geler le contrôleur, dégeler la nourriture »), comment un intrus pouvait prendre la main sur les systèmes de réfrigération de Danfoss, l’un des géants mondiaux du froid. Team82 en avait aussi averti Danfoss, qui avait alors diffusé une mise à jour logicielle. « Cette mise à jour est en ligne depuis un an », relève le hacker éthique Keanu Nys.

Lundi, pourtant, une cyberattaque a frappé des dizaines de supermarchés dans toute l’Europe. Les pirates ont activé le mode dégivrage des réfrigérateurs et des congélateurs. Personne n’a revendiqué l’attaque, mais les dégâts sont considérables. Par précaution, des tonnes de denrées ont fini à la poubelle. Les pertes se chiffrent en dizaines de milliers d’euros par magasin.

Cyberattaque à Anvers : notre société numérique est en péril

Les entreprises concernées auraient-elles pu éviter cette attaque ? Keanu Nys, qui dirige le service de sécurité offensive chez le spécialiste de la cybersécurité Spotit, en est persuadé. « Elle a pu être menée sans intelligence artificielle ni compétences techniques », affirme-t-il. Il suffisait que les réfrigérateurs soient connectés à internet, porte d’entrée probable des pirates. « Cette connexion sert à commander les appareils à distance. On peut s’en passer, et c’est d’ailleurs une mauvaise pratique. Quand bien même on tiendrait à ce qu’ils soient connectés, il serait plus sûr de passer par un VPN (une connexion sécurisée et chiffrée, NDLR). »

Trop connecté à internet

De nos jours, on connecte à peu près tout à internet, grince Alvin Coessens, hacker éthique chez Fox&Fish, société de cyberdéfense. « Des chaussures aux centrales nucléaires en passant par les brosses à dents. Mais est-ce toujours judicieux ? Il faut porter un regard bien plus critique sur ce problème, collectivement. Car, de toute évidence, nous ne réfléchissons pas assez aux conséquences. »

Aujourd’hui encore, des systèmes de réfrigération Danfoss restent connectés en Belgique, constate Keanu Nys. « N’importe qui, avec un outil rudimentaire, peut ratisser internet à la recherche de sites qui laissent un port ouvert. La semaine dernière, il y en avait encore 100 ; aujourd’hui, une dizaine. Même s’ils ont été mis à jour, ces systèmes restent exposés aux attaques à venir. »

« N’importe qui, avec un outil rudimentaire, peut ratisser internet à la recherche de sites qui laissent un port ouvert. »

Que les entreprises touchées soient passées à côté du billet de blog publié cet été, passe encore. Mais qu’elles soient restées les bras croisés même après la cyberattaque survenue en France il y a trois semaines, qui visait déjà des installations frigorifiques, c’est plus difficile à justifier, juge Keanu Nys. « En matière de cybersécurité, il y a encore du pain sur la planche. Quand une entreprise fait appel à nous pour un contrôle, on arrive à s’y introduire presque à tous les coups. Dans l’industrie surtout, les systèmes qui pilotent les machines sont souvent mal protégés. Ça vaut pour la réfrigération, mais aussi, par exemple, pour une ligne de mise en bouteille. »

Violences chez les jeunes: les éducateurs et la police doivent-ils être davantage présents en ligne?

Alvin Coessens fait le même constat. « Mettre à jour ses logiciels, c’est capital. Plus une entreprise tarde à le faire, plus elle s’expose. » Les entreprises le font bien pour les ordinateurs et les serveurs, mais moins souvent pour l’infrastructure industrielle, analyse-t-il. « Hélas, on y trouve souvent des logiciels obsolètes. Ces machines sont conçues pour durer 20 ou 30 ans, pas pour être mises à jour facilement. Pour l’entretien, il faut que le fournisseur se déplace, ce qui a un coût. »

Des gestes simples pour plus de sécurité

Attendre peut toutefois coûter plus cher encore. « Une intervention coûte 2 000 euros, alors que les dégâts de lundi ont pu monter jusqu’à 100 000 euros (par magasin, NDLR) », chiffre Keanu Nys. « C’est une question de priorités. Le budget informatique part souvent dans les ordinateurs portables, alors qu’il est aussi important de protéger l’informatique industrielle. Une nouvelle ligne de production coûte des millions ; un minimum de cybersécurité n’en représente qu’une fraction. »

Selon Alvin Coessens, les cyberattaques ne vont pas cesser, hélas. Tout ce que nous pouvons faire, c’est ériger la sécurité en priorité absolue. » Pour ce faire, quelques mesures simples suffisent déjà, assurent les deux experts. « D’abord, déconnecter d’internet autant de systèmes que possible. On doit pouvoir accéder au site d’une entreprise, pas à son système de réfrigération. Ensuite, installer systématiquement les mises à jour. Enfin, changer sur-le-champ les mots de passe d’usine du genre “admin1234” : c’est désolant qu’on en trouve encore. »

Ces conseils valent d’ailleurs aussi pour qui s’inquiète de sa sonnette, de son lave-linge ou de son thermostat connectés. « Et puis, il ne faut acheter que des marques connues, plutôt que des produits sans marque venus d’une boutique en ligne chinoise, souvent déjà infectés », explique Alvin Coessens. Avant de connecter ces appareils soi-même, mieux vaut se demander si l’on s’y connaît assez. « Cela dit, les fabricants pourraient aussi livrer des produits mieux sécurisés dès la sortie d’usine. On peut difficilement exiger de tous les Flamands qu’ils sachent configurer un routeur. »

Delhaize: l’avenir professionnel de 9 000 travailleurs devient soudain beaucoup plus incertain