Les organisations qui dépendent de la réfrigération devraient fermer l'accès internet à leurs contrôleurs, alors que des attaquants visent dans le monde entier les systèmes de refroidissement et de surveillance de la température. La CISA et le FBI ont lancé cette alerte le 5 novembre 2026. Leur avertissement conjoint décrit des attaques susceptibles de détériorer des stocks, d'endommager des équipements et de priver les exploitants des relevés de température nécessaires pour repérer un problème.
Les recommandations concernent les prestataires de santé, les installations chimiques, les entreprises de l'alimentation et de l'agriculture, ainsi que les opérateurs de transport, y compris les services de transport frigorifique. Les agences citent explicitement comme cibles les régulateurs électroniques de température et les contrôleurs de réfrigération commerciale installés dans les supermarchés et les entrepôts frigorifiques. Les appareils non corrigés ou les contrôleurs accessibles par internet peuvent présenter des failles que les attaquants pourraient exploiter.
Les départements américains de la Santé et des Services sociaux (HHS), de l'Agriculture et des Transports ont pris part à la fiche d'information conjointe. Ces systèmes ne se contentent pas d'allumer et d'éteindre le matériel de refroidissement : ils permettent au personnel de vérifier les températures à distance, de conserver un historique continu des relevés, de programmer le dégivrage et de gérer la consommation d'énergie.
Incidents européens signalés séparément
La fiche américaine ne nomme pas ces incidents européens. BleepingComputer a signalé qu'en octobre, des attaquants ont compromis les contrôleurs de réfrigération d'environ 250 à 350 supermarchés français et ont activé à distance les fonctions de dégivrage, ce qui a fait monter la température à l'intérieur des réfrigérateurs et des congélateurs.
Selon BleepingComputer, une deuxième vague survenue en novembre a touché plus de 115 magasins dans six pays européens. Certains systèmes de refroidissement ont été entièrement mis à l'arrêt, tandis que d'autres ont atteint des températures pouvant aller jusqu'à 50 °C (122 °F).
BleepingComputer indique également que l'Établissement français du sang (EFS) a confirmé le 3 novembre qu'un incident impliquant un fournisseur d'équipements de réfrigération avait modifié les réglages de température et de dégivrage dans trois sites stockant des produits sanguins.
Dans son communiqué, Chris Butera, directeur exécutif adjoint par intérim chargé de la cybersécurité à la CISA, a déclaré que l'agence suivait la menace avec des partenaires gouvernementaux, industriels et internationaux. Il a exhorté chaque organisation dépendant de la réfrigération et de la surveillance à se considérer comme une cible potentielle. Brett Leatherman, directeur des opérations de la branche cyber du FBI, a de son côté indiqué que le bureau observait des ciblages dans les secteurs d'infrastructures critiques à l'échelle mondiale, et il a invité les exploitants à appliquer les recommandations et à signaler les activités suspectes.
Comment l'accès aux contrôleurs menace stocks et équipements
Les agences décrivent trois voies possibles pour pénétrer dans les contrôleurs : le contournement de l'authentification, qui échappe aux contrôles de connexion ; l'injection de code arbitraire, qui introduit du code choisi par l'attaquant ; et les configurations non sécurisées.
Une fois que les attaquants peuvent manipuler les réglages à distance, ils pourraient faire en sorte que les unités chauffent ou dégivrent en continu. Les variations de température qui en résultent pourraient détruire des stocks, réduire la durée de vie des équipements ou créer un risque d'incendie. Les consommateurs pourraient aussi subir un préjudice s'ils consomment des produits conservés dans des conditions dangereuses.
Une attaque pourrait perturber la surveillance autant que le refroidissement. La fiche décrit la perte des relevés de température en cours comme une situation de « denial-of-view » : les exploitants n'ont plus de visibilité sur les conditions que leurs équipements sont censés maintenir.
Fermer les failles d'accès à distance et imposer des limites de fonctionnement sûres
Les agences appellent à une action immédiate. Leurs recommandations s'alignent sur les objectifs de performance en cybersécurité transsectoriels (Cross-Sector Cybersecurity Performance Goals) élaborés par la CISA et le National Institute of Standards and Technology. Ces objectifs définissent un ensemble minimal de protections recommandées.
Les propriétaires et exploitants doivent d'abord repérer les systèmes exposés à internet et supprimer cette exposition, en particulier pour les panneaux de contrôle. Désactivez l'accès à distance qui ne répond à aucun besoin réel. Pour les connexions qui doivent subsister, installez un pare-feu ou un équipement de périphérie, c'est-à-dire le matériel qui protège la limite du réseau, et mettez-le à jour dans sa version la plus récente.
Séparez les commandes de réfrigération des réseaux professionnels. Le guide recommande un réseau local virtuel (VLAN) dédié, afin d'isoler les technologies opérationnelles, c'est-à-dire les systèmes qui pilotent les équipements physiques, des systèmes informatiques ordinaires. Tenez à jour des listes d'appareils et d'adresses IP autorisés, afin que seuls les systèmes habilités puissent apporter des modifications.
Remplacez les mots de passe par défaut, exigez des mots de passe plus robustes grâce à des politiques imposées, et mettez en place une authentification multifacteur résistante à l'hameçonnage partout où c'est possible. Celle-ci ajoute une vérification au-delà du mot de passe, au moyen de méthodes conçues pour résister aux faux sites de connexion. Maintenez à jour le micrologiciel des contrôleurs, c'est-à-dire le logiciel intégré à l'appareil. Mettez en place un processus encadré pour identifier, mettre hors service et remplacer les équipements arrivés en fin de vie et qui ne bénéficient plus du support du fabricant.
Pour la détection, activez les journaux d'activité et consultez-les régulièrement afin de repérer les comportements inattendus. Si un équipement ne fournit aucun journal, ou si ses journaux utilisent des formats non standard, collectez le trafic réseau et les communications entre les appareils. Conservez des sauvegardes à jour, à la fois hors ligne et hors site, et testez-les.
Les exploitants devraient également fixer des limites raisonnables aux températures cibles que les appareils situés en aval des contrôleurs peuvent accepter, puis configurer des alertes lorsque les conditions sortent des plages de sécurité.
Les organisations américaines doivent signaler toute activité suspecte ou criminelle au centre d'opérations de la CISA, disponible en permanence, à l'adresse [email protected] ou au 1-844-729-2472, ou au FBI par l'intermédiaire de son Internet Crime Complaint Center ou d'un bureau local. Indiquez, lorsque vous les connaissez, la date, l'heure et le lieu de l'incident, l'activité et les équipements concernés, le nombre de personnes touchées, ainsi que le nom de l'organisation signalante et son contact désigné.
Les organisations de santé qui ont besoin d'aide face à d'éventuelles perturbations des soins liées aux effets sur la chaîne d'approvisionnement en santé et en fournitures médicales peuvent contacter le HHS à [email protected] ou son centre d'opérations 24 heures sur 24 au 202-619-7800.
