Une cyberattaque aurait manipulé les contrôleurs des installations de réfrigération de supermarchés en Europe, plaçant réfrigérateurs et congélateurs en mode dégivrage et portant certaines températures cibles à 50 °C (122 °F). Les denrées se sont détériorées avant que les employés ne découvrent les modifications, et certains équipements seraient restés à des températures élevées pendant environ six heures.
La plupart des perturbations signalées ont eu lieu en France. Plus de 300 supermarchés du pays auraient été touchés, selon une estimation de BFM TV citée par SecurityWeek. Ce chiffre désigne des magasins touchés par l'incident, et non un décompte confirmé de victimes distinctes ou de sites où des pertes alimentaires ont été vérifiées.
La Belgique, l'Allemagne, les Pays-Bas, la Pologne, le Portugal et l'Espagne auraient également été touchés. Les enseignes citées comprennent Auchan, Carrefour, E.Leclerc, Intermarché, détenue par le Groupement Mousquetaire, et Monoprix.
Des attaquants auraient modifié les réglages pendant la nuit
Le chercheur en sécurité Lukasz Olejnik a indiqué que les attaquants avaient pris le contrôle à distance des contrôleurs de réfrigération, lancé le dégivrage et configuré une cible de 50 °C. Le lendemain matin, les employés ouvrant les congélateurs auraient trouvé de l'air chaud au lieu d'un stockage réfrigéré.
Les contrôleurs ont été rattachés au fabricant danois Danfoss. Les informations disponibles ne permettent pas de déterminer quel modèle Danfoss a été compromis, ni de fournir des preuves suffisantes pour relier l'incident à une vulnérabilité précise.
L'impact opérationnel ne se limite pas à une perturbation temporaire des équipements. Les installations de réfrigération conservent les produits périssables : plusieurs heures à des températures anormales peuvent donc contraindre les magasins à jeter des produits. BFM TV estime que les pertes pourraient atteindre plusieurs millions d'euros, mais il s'agit toujours d'une estimation et non d'un total confirmé.
Dominique Schelcher, directeur général de Coopérative U, a confirmé sur X que plusieurs magasins du groupe avaient été touchés. Coopérative U exploite les enseignes Hyper U, Super U, U Express et Utile. M. Schelcher a indiqué que des équipes et des spécialistes de la réfrigération avaient été mobilisés pour rétablir l'activité et qu'une enquête complète serait nécessaire.
Les failles de Danfoss AK-SM 800A restent une piste distincte et non confirmée
L'entreprise de cybersécurité Claroty avait divulgué des vulnérabilités affectant la plateforme de gestion Danfoss AK-SM 800A environ deux mois avant l'attaque. Les faiblesses signalées comprenaient un contournement de l'authentification, une exécution de code arbitraire à distance et la possibilité d'injecter des directives de configuration arbitraires.
Claroty a également recensé des milliers d'interfaces de gestion AK-SM 800A exposées sur Internet. Comme la plateforme gère centralement les équipements de réfrigération, la prise de contrôle de son interface pourrait permettre à un attaquant de modifier des paramètres de fonctionnement, avec des conséquences sur les systèmes ou les sites connectés.
Toutefois, il n'a pas été confirmé que les contrôleurs touchés dans l'attaque contre les supermarchés soient des appareils AK-SM 800A. On ignore également si les attaquants ont exploité l'une des failles divulguées par Claroty. La concomitance des faits et les similitudes techniques ne permettent donc pas d'établir un lien direct.
Pour l'AK-SM 800A en particulier, Claroty recommande aux clients de passer au micrologiciel R4.3.1, qui contient les correctifs pertinents.
Ce que les exploitants d'installations de réfrigération doivent vérifier
Les organisations utilisant le Danfoss AK-SM 800A doivent vérifier le micrologiciel déployé et appliquer R4.3.1 le cas échéant. Elles doivent également repérer les interfaces de gestion accessibles depuis Internet et examiner les configurations de réfrigération à la recherche de modifications inexpliquées, notamment des cycles de dégivrage inattendus ou des températures cibles anormales.
La surveillance doit prendre en compte le processus physique autant que le logiciel de gestion. Dans cet incident, le délai de six heures avant la découverte, selon les informations rapportées, a permis que les réglages modifiés se traduisent par des denrées détériorées et des pertes financières. Des alertes sur les écarts de température persistants et sur les modifications de configuration non autorisées peuvent aider le personnel à réagir avant qu'une compromission d'un contrôleur ne devienne un problème de sécurité alimentaire et de continuité d'activité.
