Quand les cyberattaques font monter la température des réfrigérateurs

Résumé détaillé

Pendant longtemps, la cybersécurité a été associée à la protection des données : informations clients, données financières, propriété intellectuelle… Mais une cyberattaque n’a pas…

Une cyberattaque n'a pas besoin de voler ou de chiffrer des données pour provoquer des dégâts.

Pendant longtemps, la cybersécurité a été associée à la protection des données : informations clients, données financières, propriété intellectuelle… Mais une cyberattaque n’a pas besoin de voler ou de chiffrer des données pour provoquer des dégâts. Il suffit parfois de modifier à distance la configuration d’un matériel électronique. Les récentes attaques contre les systèmes de réfrigération de supermarchés européens en sont une illustration frappante : les cybermenaces ne se limitent plus aux systèmes informatiques. Elles peuvent désormais perturber le fonctionnement d’équipements physiques essentiels à notre quotidien.

Les systèmes de réfrigération figurent rarement parmi les priorités des équipes de cybersécurité. Pourtant, leur maintenance repose souvent sur des accès à distance qui, faute de protections suffisantes, peuvent aussi être exploités par des cybercriminels. Des chercheurs en sécurité ont ainsi identifié de nombreuses interfaces de gestion directement accessibles depuis Internet, parfois équipées de logiciels obsolètes, mal configurés ou de certificats expirés.

Cette situation s'explique notamment par la manière dont ces équipements sont installés et exploités. Un contrôleur de réfrigération est généralement mis en service par un technicien frigoriste, et non par une équipe informatique. Sa fonction première est de maintenir les aliments à la bonne température. Une fois configuré et connecté, il fonctionne en autonomie, sans que les risques liés à son exposition sur Internet n’aient nécessairement été évalués.

Les identifiants d'accès restent parfois ceux définis par défaut ou sont remplacés par des mots de passe faciles à retenir pour faciliter les interventions de maintenance. Et parce que ces équipements ne sont pas toujours considérés comme des actifs informatiques, ils échappent aux inventaires, aux mises à jour de sécurité, aux audits et à la surveillance…

Début de l'article, extrait de Journal du Net Économie. Pour lire la suite, ouvrez l'article chez le média.