Piratage des frigos en grande distribution :

L’attaque contre les systèmes frigorifiques des supermarchés français est particulièrement parlante, car elle a eu des conséquences immédiates dans le monde réel.

Selon les informations publiées par plusieurs médias, les attaquants ont manipulé à distance des systèmes de régulation frigorifique, avec des températures pouvant atteindre des niveaux incompatibles avec la conservation des produits. Des magasins ont dû jeter des denrées fraîches et surgelées afin d’éviter tout risque lié à la rupture de la chaîne du froid.

Ce point est essentiel : une cyberattaque ne se traduit pas toujours par un écran noir ou une fuite de données.

Elle peut aussi provoquer :

• une perte de marchandises ;

• une interruption d’activité ;

• une désorganisation des équipes ;

• un risque sanitaire ;

• des coûts de remise en service ;

• une atteinte à l’image de l’enseigne ;

• une enquête judiciaire et technique.

Dans ce cas, le sujet touche directement à la sécurité alimentaire et à la continuité d’activité.

Un équipement connecté n’est donc jamais seulement un équipement technique. Il peut devenir un maillon critique de l’entreprise.

NIS2 est une directive européenne destinée à renforcer le niveau de cybersécurité des organisations considérées comme importantes ou essentielles pour l’économie et la société.

Elle concerne notamment des secteurs comme l’énergie, les transports, la santé, certaines industries, les infrastructures numériques, certains services informatiques et d’autres activités critiques. En France, la transposition complète du texte est encore à suivre, mais l’ANSSI encourage déjà les organisations susceptibles d’être concernées à se préparer.

NIS2 ne dit pas qu’un frigo, une tablette ou un écran doit être “conforme NIS2” tout seul.

La directive concerne d’abord les organisations : leur gouvernance, leur gestion des risques, leurs prestataires, leurs procédures, leur capacité à détecter les incidents et leur capacité à réagir.

Mais les équipements utilisés par ces organisations font évidemment partie du sujet.

Car une entreprise ne peut pas bien gérer son risque cyber si elle ne sait pas :

• quels équipements sont connectés ;

• qui les administre ;

• quels accès distants sont ouverts ;

• quelles versions logicielles sont utilisées ;

• quels correctifs sont installés ;

• quels prestataires interviennent ;

• quelles procédures existent en cas d’incident.

Il serait trop simple de conclure : “il ne faut plus connecter les équipements”.

Dans la réalité, les entreprises connectent leurs équipements pour de bonnes raisons.

Un système frigorifique connecté permet de surveiller les températures, d’être alerté en cas de panne, d’intervenir à distance, d’optimiser la consommation d’énergie et de réduire les pertes.

De la même manière, une tablette professionnelle connectée permet de suivre une intervention terrain, mettre à jour une application métier, contrôler un stock, consulter une procédure ou remonter une information en temps réel.

Un écran d’affichage dynamique connecté permet de piloter les contenus à distance, planifier des campagnes, vérifier la diffusion et administrer un réseau multisite.

Le problème n’est donc pas l’équipement connecté.

Le problème apparaît lorsque la connexion n’est pas suffisamment maîtrisée.

Cela peut concerner :

• un firmware ancien ;

• un accès distant mal protégé ;

• un mot de passe partagé ;

• un service exposé inutilement ;

• une absence de mise à jour ;

• un prestataire mal identifié ;

• un manque d’inventaire ;

• une segmentation réseau insuffisante.

L’affaire des systèmes frigorifiques montre que des équipements très concrets, parfois peu visibles dans les réflexions informatiques, peuvent avoir un impact majeur sur l’activité.

Les équipements vendus dans le monde professionnel sont de plus en plus connectés.

Une tablette durcie peut être utilisée dans un entrepôt, un véhicule, un atelier, un hôpital, une collectivité ou un magasin. Un panel industriel peut piloter une machine, afficher des indicateurs de production ou donner accès à une supervision. Un écran professionnel peut diffuser des contenus dans plusieurs points de vente et être piloté depuis une interface centralisée.

Ces équipements peuvent être robustes physiquement, mais ils doivent aussi être pensés comme des éléments du système d’information.

Autrement dit, la question ne doit plus être seulement :

“Est-ce que ce matériel résiste aux chocs, à la poussière ou à l’humidité ?”

Elle doit aussi devenir :

“Est-ce que ce matériel peut être administré, mis à jour et sécurisé pendant toute sa durée d’utilisation ?”

La robustesse physique reste indispensable. Mais elle ne suffit plus.

Un équipement professionnel doit aussi avoir une robustesse numérique.
Les nouveaux critères à regarder avant d’acheter

Pour une entreprise, un intégrateur ou un revendeur, l’actualité récente autour des systèmes frigorifiques offre une bonne occasion de revoir les critères d’achat.

Voici les questions à poser avant de déployer un équipement connecté.

1. L’équipement est-il inventorié ?

Une entreprise doit savoir quels équipements sont installés, où ils se trouvent, quelle version ils utilisent et qui les administre.

Sans inventaire, il est difficile de réagir rapidement.

2. Les mises à jour sont-elles prévues ?

Un équipement connecté doit pouvoir recevoir des correctifs de sécurité lorsque des vulnérabilités sont découvertes.

Cela concerne le système d’exploitation, les firmwares, les applications métier et parfois les composants réseau.

3. Les accès distants sont-ils protégés ?

L’accès distant est utile, mais il doit être contrôlé.

Il faut privilégier :

• des comptes nominatifs ;

• une authentification forte ;

• des droits limités ;

• une journalisation des connexions ;

• une désactivation des accès inutiles ;

• une supervision des interventions.