La cyberattaque qui a perturbé les systèmes de réfrigération de centaines de supermarchés français dans la nuit du 11 octobre aurait pu être précédée de plusieurs mois d’alertes. Selon une analyse publiée par IPinfo, plus de 1 300 tableaux de bord de gestion frigorifique étaient accessibles depuis Internet en France, et une grande partie utilisait des logiciels présentant des vulnérabilités connues.
Le problème ne se limitait pas à quelques équipements oubliés : les scans hebdomadaires montrent que de nombreux systèmes sont restés exposés à la même adresse pendant au moins six mois. L’attaque a ensuite provoqué le passage d’installations en mode dégivrage, avec des températures atteignant parfois 50 °C et des incendies signalés par le parquet de Paris.
La France concentrait plus de la moitié des systèmes exposés
Lors de son analyse des 6 et 7 octobre, cinq jours avant l’attaque, IPinfo a identifié 2 528 adresses IP exposant un tableau de bord Danfoss StoreView. Cette interface permet aux magasins et aux techniciens de surveiller et de gérer les contrôleurs des installations frigorifiques.
La France en regroupait 1 331, soit davantage que les 1 197 systèmes recensés dans les 72 autres pays et territoires réunis. La Pologne arrivait en deuxième position avec 179 équipements, devant les États-Unis, qui en comptaient 101.
L’exposition ne signifiait pas nécessairement que chaque système était vulnérable de la même manière. Cependant, IPinfo estimait que 85 % des installations françaises identifiées utilisaient un logiciel comportant des failles connues. Parmi elles figuraient 527 contrôleurs anciens qui ne bénéficiaient plus du support de Danfoss. Seuls 195 équipements disposaient de l’ensemble des correctifs disponibles.
La proportion de systèmes vulnérables était similaire dans les autres pays, où elle atteignait 84 %. La particularité française résidait donc surtout dans le nombre d’équipements accessibles depuis Internet, et non dans un taux de mise à jour nettement inférieur à celui observé ailleurs.
Six mois d’exposition avant l’attaque
Les relevés hebdomadaires d’IPinfo, réalisés depuis la fin mars, ont systématiquement détecté entre 2 464 et 2 622 tableaux de bord Danfoss exposés. Environ la moitié se trouvaient en France.
Parmi les 1 331 interfaces françaises repérées début octobre, 1 019 étaient déjà accessibles à la même adresse IP le 30 mars. Cette continuité suggère que de nombreux équipements sont restés exposés pendant plusieurs mois sans changement apparent de leur situation.
Les progrès en matière de mises à jour sont également restés limités. Entre fin mars et début octobre, la part des contrôleurs français les plus récents disposant de tous les correctifs connus est passée de 14 % à 24 %. Cette amélioration n’a donc pas suffi à éliminer le risque lié à l’exposition des interfaces de gestion.
Le cas des équipements anciens est particulièrement préoccupant : certains contrôleurs ne bénéficient plus de correctifs de sécurité depuis plusieurs années. Danfoss indique que les systèmes les plus fréquemment concernés comprennent notamment les AK-SM 800 et AK-SC 355, dont le support a pris fin respectivement en mai 2021 et en 2016.
Des centaines de supermarchés touchés
Dans la nuit du 11 octobre, les attaquants ont perturbé les installations frigorifiques en forçant des unités à passer en mode dégivrage. Certaines auraient atteint des températures de 50 °C, et le parquet de Paris a signalé des incendies d’équipements.
Environ 700 supermarchés sur les quelque 10 000 que compte la France auraient été affectés. Carrefour, Coopérative U, E.Leclerc, Intermarché et Monoprix ont confirmé avoir été touchés.
Le mécanisme précis de l’intrusion reste toutefois inconnu. Le CERT-FR n’a pas attribué les compromissions à une vulnérabilité particulière. En août, Claroty avait révélé des failles affectant le contrôleur Danfoss AK-SM 800A, dont une connexion cachée reposant sur la date. Danfoss a néanmoins indiqué que la majorité des équipements touchés étaient des modèles plus anciens.
L’alerte de CERT-FR a ensuite été étendue aux systèmes de supervision Copeland et Dixell XWEB. Un porte-parole de Copeland a confirmé à Cybersecurity Dive qu’une vulnérabilité avait été identifiée dans des contrôleurs en fin de vie. À ce stade, aucun groupe n’a revendiqué l’attaque et aucun lien définitif entre les failles publiées et l’incident n’a été établi.
Après l’attaque, les tableaux de bord disparaissent d’Internet
Les conséquences de l’incident ont entraîné une réaction rapide : les magasins ont retiré leurs interfaces de gestion d’Internet plutôt que de procéder uniquement à des mises à jour. Le scan réalisé par IPinfo le 14 octobre n’a retrouvé que 316 des 1 331 tableaux de bord français à la même adresse IP, soit une baisse de 76 %.
Cette chute contraste avec la disparition habituelle de seulement 3 à 7 % des interfaces d’une semaine à l’autre. Le nombre de systèmes entièrement à jour est également passé de 195 à 54, tandis que celui des contrôleurs non pris en charge a chuté de 527 à 64.
Ces chiffres traduisent avant tout une réduction du nombre d’interfaces visibles depuis Internet. Ils ne prouvent pas que les équipements restants sont tous sécurisés, ni que ceux qui ont disparu des scans ont été corrigés : certains ont simplement pu être déconnectés ou déplacés derrière d’autres protections réseau.
L’incident met ainsi en évidence un problème plus large de cybersécurité industrielle : des interfaces de gestion accessibles publiquement, des équipements vieillissants et des correctifs qui ne sont pas toujours appliqués. Pour les systèmes qui contrôlent des installations physiques, les conséquences d’une compromission peuvent dépasser la simple perte de données et affecter directement l’activité des magasins, les équipements et la sécurité des personnes.
