Congélateurs à 50 degrés : le prix d'un accès ouvert sur Internet
Attaques contre des commandes de froid en Suisse et dans dix pays de l'UE : interfaces ouvertes, mots de passe d'usine. Ce qu'il faut vérifier.
Début novembre, le propriétaire d'une boucherie de Köniz, près de Berne, a trouvé son congélateur à une température de 50 à 70 degrés. Quelqu'un avait modifié de l'extérieur les réglages de sa commande de réfrigération. Trois magasins Volg ont aussi été touchés. C'est le chapitre suisse d'une vague d'attaques contre les installations frigorifiques de supermarchés, partie de France en octobre et étendue à neuf autres pays européens le 2 novembre. La porte d'entrée n'avait rien de sophistiqué : des interfaces de gestion accessibles à n'importe qui sur Internet, certaines encore protégées par le mot de passe avec lequel elles avaient quitté l'usine.
Ce qui s'est passé
Le 12 octobre 2026, le CERT-FR, l'équipe de réponse aux incidents du gouvernement français opérée par l'ANSSI, a publié une alerte sur « de nombreuses compromissions » de contrôleurs à distance d'installations de réfrigération. Elle cite quatre gammes de produits : Danfoss AK-SC et AK-SM, Copeland xweb et Dixell xweb. L'alerte a été complétée le 13 octobre par d'autres équipements et ses recommandations ont été mises à jour le 16 octobre. Sa dernière mise en garde reste valable : des campagnes d'attaques visant ces équipements sont « probablement toujours en cours ».
Le 21 octobre, le directeur général de l'ANSSI, Vincent Strubel, a décrit les attaques françaises devant la commission des Affaires étrangères et de la Défense du Sénat. Selon le compte rendu de l'audition par Génération NT, les pirates ont exploité des équipements directement exposés sur le web et des mots de passe faibles, et l'ANSSI n'a aucun pouvoir légal pour contraindre les distributeurs à sécuriser leurs systèmes.
Dans la nuit du dimanche au lundi 2 novembre est arrivée la deuxième vague. Euronews a compté neuf pays : la Belgique, l'Estonie, la Finlande, l'Irlande, l'Italie, le Luxembourg, les Pays-Bas, le Portugal et la Suède. Carrefour a signalé environ 15 de ses plus de 700 magasins en Belgique, Musgrave 13 magasins SuperValu en Irlande, Intermarché 7 magasins au Portugal, Coop 6 sur environ 800 en Suède. En Belgique, des groupes frigorifiques ont été basculés en mode dégivrage. Le commissaire européen à l'agriculture, Christophe Hansen, a qualifié ces incidents de « tentative délibérée de perturber notre chaîne d'approvisionnement alimentaire et de saper la confiance des consommateurs en elle ». Personne ne les a revendiqués, et le Centre pour la Cybersécurité Belgique a déclaré qu'on ne saurait peut-être jamais qui en est l'auteur.
Ce que le secteur a dit de la porte d'entrée est clair. Un porte-parole de Danfoss a déclaré à la chaîne néerlandaise NOS que les systèmes touchés aux Pays-Bas ne se trouvaient pas sur un réseau sécurisé et utilisaient encore des mots de passe par défaut. Danfoss a indiqué que la plupart des appareils touchés en France étaient d'anciens modèles qu'il ne met plus à jour, l'AK-SM 800 et l'AK-SC 355. En Belgique, la fédération professionnelle du froid, Sabcobel, a déclaré que les attaquants étaient entrés dans les systèmes de supermarchés individuels, et non dans ceux des entreprises qui les entretiennent.
En Suisse, la boucherie Lüthi's Fleischwaren à Köniz a écrit sur son site qu'une cyberattaque ciblée avait manipulé la commande électronique de ses installations de réfrigération et de congélation. Le propriétaire a dit à la SRF que la viande était « comme cuite » et que les étiquettes de prix avaient fondu. La boucherie a déconnecté les installations du réseau, a fermé et prévoit de rouvrir le 20 novembre si le froid tient. Volg a confirmé des paramètres modifiés dans les meubles frigorifiques de trois magasins et a indiqué avoir pris des mesures, puis les avoir renforcées. La police cantonale bernoise a été informée et a ouvert une enquête, même si aucune plainte formelle n'avait été déposée au 6 novembre. Le 9 novembre, la page des incidents actuels de l'Office fédéral de la cybersécurité (OFCS) ne mentionnait pas encore les attaques contre les installations frigorifiques.
Ce que cela signifie pour une entreprise ou une administration
La leçon ne porte pas sur les frigos. Un contrôleur de froid avec une page web et un mot de passe, c'est la même chose que la commande de chauffage d'un bâtiment, un contrôle d'accès, un onduleur solaire, une caméra réseau ou la page d'administration d'une imprimante. Souvent, un prestataire l'a configuré une fois pour pouvoir y jeter un œil de l'extérieur, puis plus personne n'y a pensé, parce que cela fonctionnait.
La phrase du CERT-FR s'applique à tous : l'exposition d'une interface de gestion sur Internet est « contraire aux bonnes pratiques ». Trois choses ont rendu les attaques faciles, et chacune est courante.
L'interface était accessible à tous. La maintenance à distance est utile. Elle n'exige pas que la page de connexion soit ouverte à tout Internet. Une connexion par VPN, ou un accès que le prestataire n'ouvre que lorsqu'un technicien en a besoin, rend le même service à beaucoup moins de monde.
Le mot de passe était celui de l'usine. Un mot de passe par défaut figure dans un manuel que chacun peut télécharger. Devant une interface ouverte sur Internet, ce n'est pas une serrure. Un compte partagé que tous les techniciens du prestataire utilisent depuis des années ne l'est pas davantage.
L'appareil n'était plus maintenu. Danfoss dit ne plus mettre à jour les modèles les plus touchés en France. Le CERT-FR avertit que laisser exposé sur Internet un équipement sans correctifs de sécurité l'expose à une « très forte probabilité de compromission », et qu'une simple réinitialisation d'usine ne suffit pas : l'équipement restera vulnérable et sera « certainement » de nouveau compromis.
Pour une commune, la liste est plus longue que pour un magasin : le chauffage de l'école, la télésurveillance de l'approvisionnement en eau, la ventilation de la salle de sport. Pour une entreprise, la question est de savoir qui a installé quoi, et qui a encore un accès. Pas besoin de données personnelles pour qu'une telle attaque ferme une entreprise : la boucherie de Köniz s'attend à rester fermée au moins jusqu'au 20 novembre.
Ce que cela change pour Elchi Studios et ses clients
Nous ne construisons, n'installons et n'entretenons aucune commande de réfrigération, de chauffage ou de bâtiment. Nous ne proposons aucun produit pour ces systèmes, et EAuth n'est pas une passerelle pour la page web intégrée d'un contrôleur : EAuth est un fournisseur OpenID Connect, qui connecte des personnes à des applications web conçues pour l'utiliser.
Ce que nous pouvons dire, c'est comment nous traitons nos propres portes, car le principe est le même. Dans EAuth, chaque endroit qui reçoit des identifiants de connexion est compté deux fois, selon l'adresse d'où vient une requête et selon le compte qu'elle désigne : cinq mots de passe erronés par compte depuis une adresse en 15 minutes, vingt par compte depuis n'importe où dans le même temps. Chaque tentative est comptée avant d'être vérifiée, et si le stockage qui compte ne répond pas, la connexion est refusée au lieu de tout laisser passer. Les détails figurent dans notre article sur le passage à eauth.me. Chaque application dont la connexion passe par EAuth propose aussi des passkeys à côté du mot de passe. Une passkey est liée à eauth.me, et sa partie privée ne quitte jamais l'appareil de la personne : il n'existe aucun secret partagé qui pourrait figurer dans un manuel, être deviné ou fuiter de notre base de données. Notre propre console pour développeurs et notre tableau de bord utilisent la même page de connexion.
Pour les clients qui exploitent leurs propres applications web, ces attaques sont une raison de regarder leurs pages d'administration du même œil : la connexion au système de gestion de contenu d'un site, un outil interne, un système de test resté en ligne après un projet. Si l'un d'eux repose encore sur un mot de passe seul, une limitation des tentatives et un second facteur ou une passkey sont le minimum.
Ce qu'il faut vérifier cette semaine
- Recensez ce qui est accessible de l'extérieur. Chaque appareil et chaque page d'administration avec une adresse publique : froid, chauffage, ventilation, contrôle d'accès, caméras, onduleurs, imprimantes, routeurs. Si vous ne le savez pas, demandez la liste à la personne ou à l'entreprise qui exploite votre réseau.
- Demandez à vos prestataires comment ils entrent. Pour chaque accès à distance : quel chemin, quel compte, qui détient le mot de passe, et s'il peut n'être ouvert qu'en cas de besoin.
- Fermez les interfaces ouvertes. Accès par VPN ou par un réseau protégé. Un filtrage sur les adresses IP du prestataire est acceptable comme mesure d'urgence, dit le CERT-FR, mais pas comme solution pérenne.
- Changez chaque mot de passe par défaut. Un compte par personne là où l'appareil le permet, et les réglages de durcissement du fabricant là où ils existent. Pour les contrôleurs Danfoss, le CERT-FR cite le niveau de sécurité Strict.
- Trouvez les appareils sans mises à jour. Un contrôleur que son fabricant ne met plus à jour ne devrait pas du tout être accessible depuis Internet. Planifiez son remplacement.
- Vérifiez la configuration et les alarmes. Le CERT-FR recommande de vérifier toute la configuration, plages de dégivrage comprises. Une alarme devrait atteindre une personne quand un congélateur se réchauffe à deux heures du matin.
- Lisez d'abord vos conditions d'assurance. Le CERT-FR recommande de les vérifier avant de couper la liaison de données avec le frigoriste.
- Si un appareil a été touché, une réinitialisation ne suffit pas. Le déconnecter, le restaurer, le reconfigurer, le mettre à jour, et seulement ensuite le reconnecter, par le chemin fermé.
Sources
- Incident de sécurité ciblant les contrôleurs à distance des installations de réfrigération (CERTFR-2026-ALE-012), CERT-FR, ANSSI, consulté le
- Aktuelle Vorfälle, Bundesamt für Cybersicherheit BACS, consulté le
- Cyberattaque des frigos de supermarchés : l'Anssi pointe des défauts de sécurisation élémentaires, Génération NT, consulté le
- New Wave of Refrigeration Cyberattacks Hits Supermarkets Across Europe, Forcing Stores to Pull Food, The Hacker News, consulté le
- Which countries in Europe have been hit by supermarket fridge cyber incidents?, Euronews, consulté le
- Kühlanlage manipuliert: Berner Metzgerei Opfer von Hackerangriff, auch Volg betroffen, SRF, consulté le
- Cyberkriminelle verderben Fleischvorrat einer Berner Metzgerei, Inside IT, consulté le
- First known cyberattack on a refrigeration system in Switzerland, SWI swissinfo.ch, consulté le
Écrit par Samuel Krauss, Founder. Classé sous security, switzerland, passwords, infrastructure.
Traduit de l’anglais. Lire l’original anglais