Piratage des frigos : la faille Danfoss connue depuis 2022

Le piratage des frigos qui a frappé la grande distribution française dans la nuit de dimanche à lundi n'était pas une surprise pour tout le monde. Selon une enquête de L'Œil du 20 Heures diffusée le 14 octobre sur France 2, les vulnérabilités exploitées par les pirates étaient documentées depuis 2022, et des incidents similaires avaient déjà touché des bases militaires américaines quelques semaines plus tôt.

Dans la nuit du 12 octobre, des hackers ont pris le contrôle à distance des systèmes de régulation frigorifique de centaines de magasins Intermarché, Système U, Carrefour, Monoprix et E.Leclerc. Les thermostats ont été déréglés, faisant grimper la température des meubles réfrigérés jusqu'à 50 degrés pendant plusieurs heures. Des tonnes de viande, de lait et de yaourts ont dû être jetées, et des départs de feu ont été signalés dans certains établissements, selon le parquet de Paris.

Une faille connue depuis 2022

L'ingénieur Florent Sicchio, expert en sécurité chez Synacktiv, avait découvert dès 2022, pour le compte d'un client de l'entreprise danoise Danfoss, d'importantes vulnérabilités dans les contrôleurs frigorifiques du fabricant.

« Cette vulnérabilité permettait notamment de prendre le contrôle à distance sur les contrôleurs frigorifiques et de faire un peu ce qu'on voulait dessus, comme modifier la température et changer le mode de fonctionnement », Florent Sicchio, expert en sécurité chez Synacktiv.

Il avait aussi repéré que les mots de passe permettant la prise de contrôle à distance étaient dérivés de la date du jour et pouvaient être devinés par un algorithme. Cette faille avait été remontée à Danfoss, qui assure l'avoir corrigée. Pourtant, cet été, lors d'une conférence sur la cybersécurité à Las Vegas, un ingénieur a reproduit le même type d'attaque sur un réfrigérateur connecté, selon France 2.

Fin août, 14 bases militaires américaines ont signalé des pannes de frigos tout aussi surprenantes, selon une journaliste d'investigation citée par L'Œil du 20 Heures. Le Pentagone a confirmé l'incident sans évoquer de piratage informatique. La moitié de ces bases utilise, comme les supermarchés français, le système de pilotage à distance de Danfoss.

Des pertes qui se chiffrent en millions

Le coût de l'attaque française reste difficile à établir précisément, mais les premières estimations donnent une idée de son ampleur.

Dominique Schelcher, PDG de Coopérative U, a précisé que seuls 80 des quelque 2000 magasins du groupe avaient été touchés, et qu'une majorité d'entre eux avait évité la rupture de la chaîne du froid.

« Une très grande majorité d'entre eux ont pu contrer cette attaque », Dominique Schelcher, PDG de Coopérative U.

Thierry Cotillard, patron des Mousquetaires, a de son côté décrit une situation inédite sur BFMTV.

« Ça ne s'est jamais vu et ça ne s'est jamais vu à cette échelle », Thierry Cotillard, patron du groupe Les Mousquetaires.

Qui est responsable

L'attaque a exploité une vulnérabilité connue dès le mois d'août, selon Libération. Un rapport d'experts publié début août avait déjà pointé la fragilité de ces logiciels. Les modèles concernés, notamment les Danfoss AK-SM800 et AK-SC355, sont pour certains en fin de vie et ne reçoivent plus de correctifs, selon Frandroid. D'autres appareils encore suivis par le fabricant tournaient avec un micrologiciel obsolète, alors qu'un correctif existait.

Le CERT-FR, le centre d'alerte de l'ANSSI, a publié une alerte le 12 octobre puis l'a mise à jour le lendemain, signalant de nombreux contrôleurs Danfoss AK-SM et AK-SC piratés, mais aussi des modèles Copeland xweb et Dixell xweb. L'agence rappelle que l'exposition de ces interfaces de gestion directement sur Internet est « contraire aux bonnes pratiques ». Elle demande désormais aux magasins équipés de couper ces contrôleurs d'Internet et de ne rétablir l'accès à distance que via un VPN sécurisé.

Deux enquêtes ont été ouvertes, l'une par le parquet de Paris, confiée à l'Office anticybercriminalité, l'autre menée par l'ANSSI. Elles doivent établir le lien entre les failles identifiées et les pertes subies par les enseignes, ainsi que déterminer si les frigoristes avaient informé les magasins du risque. Danfoss, contacté par plusieurs médias, n'a pas répondu aux questions sur un éventuel lien entre la faille documentée depuis 2022 et les incidents récents en France comme aux États-Unis.