Frigos attaqués : l’angle mort des équipements connectés

Dans la nuit du 11 au 12 octobre, les consignes de température des meubles réfrigérés et des congélateurs de plusieurs centaines de magasins ont été modifiées à distance. Intermarché, Coopérative U, E.Leclerc et Monoprix sont concernés, avec des dizaines de milliers d’euros de denrées jetées par magasin et des constats d’huissier. Le CERT-FR a publié une alerte le 12 octobre, mise à jour le lendemain pour y ajouter d’autres marques de contrôleurs. Le directeur général de l’ANSSI parle d’attaques en sabotage et a demandé la déconnexion d’Internet des contrôleurs concernés. Le parquet de Paris a ouvert une enquête, confiée à l’Office anti-cybercriminalité.

Un équipement technique, pas un équipement informatique

La cause que retient le CERT-FR est l’exposition d’une interface de gestion sur Internet, qu’il qualifie de contraire aux bonnes pratiques. Le fabricant, de son côté, indique que les modèles visés étaient soit obsolètes, soit restés sur une ancienne version de logiciel, alors qu’un correctif supprimant un contournement d’authentification était disponible depuis mars 2025.

Ce qui rend ce cas instructif, c’est que ces boîtiers n’appartiennent à personne. Ils sont installés et réglés par le frigoriste, qui a besoin d’y accéder à distance pour intervenir sans se déplacer. Ils ne figurent pas dans l’inventaire informatique, personne ne surveille leurs mises à jour, et leur mot de passe est souvent celui d’origine. Le même schéma existe dans la plupart des PME : une climatisation ou une pompe à chaleur avec télémaintenance, une centrale d’alarme, des caméras, un portail, un onduleur, une machine de production, une chambre froide. Et la conséquence n’est pas un vol de données mais un arrêt d’activité : de la marchandise perdue, une production à l’arrêt.

Trois questions à poser à vos prestataires

Premièrement, quels équipements de votre site sont joignables depuis Internet ? La réponse est rarement celle qu’on imagine. Deuxièmement, comment votre prestataire s’y connecte-t-il : par un accès VPN nominatif, ou par une adresse publique et un mot de passe partagé entre tous ses techniciens ? Troisièmement, qui met à jour ces équipements, et que fait-on quand le modèle n’est plus suivi par le fabricant ? Sur ce dernier point, le CERT-FR est explicite : sur un matériel en fin de vie, une remise à zéro ne suffit pas, il sera compromis de nouveau.

Les recommandations du CERT-FR sont applicables sans grands travaux : retirer l’exposition sur Internet, ne rétablir l’accès que par un VPN ou un réseau protégé, mettre à jour le logiciel embarqué et changer les mots de passe par défaut. Le filtrage des adresses du prestataire sur le pare-feu n’est admis que comme mesure d’urgence à court terme. Un point pratique à ne pas oublier : vérifiez vos conditions d’assurance avant de couper la liaison de données avec votre frigoriste. Chez WizCo-IT, ce travail prend la forme d’un inventaire de ce qui est réellement joignable depuis l’extérieur, d’un cloisonnement de ces équipements sur un réseau séparé du reste du parc, et d’accès prestataires par VPN nominatif plutôt que par exposition directe. C’est peu spectaculaire, et c’est exactement ce qui manquait ici.