Les agences américaines alertent sur une campagne de piratage en cours visant des systèmes de réfrigération dans des bases militaires, des supermarchés et une banque du sang

Le gouvernement américain a publié jeudi un avertissement conjoint concernant une campagne de piratage en cours visant des systèmes de réfrigération et de surveillance de la chaîne du froid connectés à internet, après que des attaquants ont compromis des congélateurs et des refroidisseurs dans des supermarchés à travers le monde, des bases militaires américaines, et au moins une banque du sang en France.

La Cybersecurity and Infrastructure Security Agency (CISA) et le FBI, rejoints par les départements de l'Agriculture, de la Santé et des Services sociaux, et des Transports, indiquent que ces attaques touchent des infrastructures critiques dans les secteurs de l'alimentation, de l'agriculture, du transport et de la logistique médicale. Une fiche d'information complémentaire avertit que les attaquants qui prennent le contrôle de ces systèmes peuvent modifier les réglages de température, provoquant des risques d'incendie, la détérioration des stocks et une durée de vie réduite des équipements, ou forcer les unités à des cycles répétés de chauffage et de dégivrage.

Un schéma qui s'étend sur plusieurs continents

Deux vagues d'attaques ont déjà touché au moins une douzaine de pays en Europe et au Royaume-Uni, faisant grimper les températures à l'intérieur des congélateurs et des unités de refroidissement et détériorant des denrées alimentaires à grande échelle. Plusieurs des systèmes touchés étaient des unités de gestion à distance fabriquées par le constructeur danois Danfoss, qui avait déjà cessé de fournir des mises à jour de sécurité pour certains des contrôleurs aujourd'hui exploités.

En France, des pirates ont visé une banque du sang et tenté d'élever la température des unités de stockage réfrigéré contenant du sang donné ; l'attaque a été détectée et stoppée avant qu'aucun stock de sang ne soit compromis. Aux États-Unis, le ministère de la Défense enquête sur une série distincte d'intrusions dans les systèmes de réfrigération de bases militaires, une affaire d'abord révélée par la newsletter Signal and Silence puis confirmée par Reuters.

Les soupçons se tournent vers l'Iran

Washington n'a pas formellement attribué cette campagne à un gouvernement ou à un groupe de pirates informatiques en particulier. Cependant, des chercheurs en sécurité pointent largement vers l'Iran comme source probable, et des responsables américains soupçonneraient la même chose, selon NPR et Nextgov.

« Toute organisation dépendant de systèmes de réfrigération et de surveillance doit supposer qu'elle pourrait être une cible », a déclaré Chris Butera, responsable par intérim de la cybersécurité à la CISA, dans un communiqué accompagnant l'avis.

Ce que les agences demandent aux opérateurs

L'avis conjoint exhorte toute organisation exploitant des équipements de réfrigération ou de surveillance de la chaîne du froid connectés à internet à :

• Déconnecter les interfaces de contrôle à distance d'internet ouvert dans la mesure du possible
• Changer les mots de passe par défaut ou réutilisés sur les contrôleurs et les tableaux de bord de surveillance
• Appliquer sans délai tous les correctifs disponibles du fournisseur
• Retirer ou isoler les équipements qui ne sont plus pris en charge par leur fabricant

Cette campagne met en lumière une faiblesse récurrente de la sécurité des infrastructures critiques : des systèmes de contrôle industriel, conçus à l'origine pour des réseaux locaux isolés, sont de plus en plus connectés à internet pour une surveillance à distance et par commodité, souvent sans le renforcement de sécurité appliqué aux systèmes informatiques classiques. Avec la distribution alimentaire, les chaînes d'approvisionnement en sang et la logistique militaire désormais confirmées comme cibles d'une même campagne, cet incident devrait accentuer la pression sur les régulateurs et les fabricants d'équipements pour qu'ils imposent des normes de sécurité minimales pour les technologies opérationnelles.