Une attaque rendue possible par des failles basiques, selon l'Anssi
Quelques jours après la cyberattaque qui a permis la prise de contrôle à distance de centaines de réfrigérateurs de supermarchés et entraîné la perte d'une importante quantité d'aliments, le directeur général de l'Agence nationale de la sécurité des systèmes d'information (Anssi) a décrit, devant une commission sénatoriale, les causes probables de l'incident : des défauts de sécurisation élémentaire et le non‑respect de recommandations connues.
"Ce sont des défauts de sécurisation élémentaire, à commencer par l'exposition directe sur internet d'équipements frigorifiques et leur administration sans sécurisation particulière, des mots de passe faibles, ce genre de choses", a déclaré Vincent Strubel.
L'Anssi note que des analyses externes avaient évoqué l'exploitation de vulnérabilités rendues publiques au cours des deux années précédentes, mais que son expertise interne privilégie une explication différente : l'attaque ne se serait pas appuyée sur des failles techniques inédites, mais sur des pratiques opérationnelles insuffisantes.
Recommandations connues et limites de l'action publique
L'agence rappelle qu'elle publie et met à jour depuis 2014 un guide de sécurisation des systèmes industriels, dont la première recommandation est de ne pas exposer ces systèmes directement sur Internet. Malgré ces consignes, l'Anssi constate que les préconisations ne sont pas systématiquement suivies par les entreprises concernées.
- Exposition directe des équipements industriels sur Internet
- Administration sans protections spécifiques (accès non restreint, absence de segmentation)
- Mots de passe faibles et pratiques d'identification insuffisantes
Interrogé sur la capacité de l'État à contraindre les acteurs à appliquer ces règles, Vincent Strubel a rappelé que l'Anssi n'a pas, pour l'heure, de pouvoir de contrainte directe sur les distributeurs ou les gestionnaires d'infrastructures frigorifiques, et que la mise en œuvre des recommandations dépend des responsables opérationnels et des exploitants.
Conséquences et implications pour la distribution
Selon l'Anssi, l'attaque, survenue autour du 12 octobre, a conduit des distributeurs à jeter une grande quantité d'aliments après que les assaillants eurent pris le contrôle des installations et augmenté la température. Au‑delà du coût immédiat pour les enseignes et des pertes alimentaires, l'incident pose une question plus large sur la résilience des systèmes industriels connectés dans la distribution et sur la responsabilité des fournisseurs et des exploitants dans la sécurisation des chaînes logistiques.
Vers plus d'exigences ?
La mise en lumière de pratiques élémentaires négligées relancera inévitablement le débat sur la nécessité d'un renforcement des obligations de sécurité pour les systèmes industriels liés à la chaîne alimentaire. Pour l'heure, l'Anssi se limite à rappeler ses recommandations et à souligner la responsabilité des acteurs privés dans leur mise en œuvre.
| Événement | Date |
|---|---|
| Cyberattaque massive touchant des réfrigérateurs de supermarchés | Aux alentours du 12 octobre |
| Audition du directeur de l'Anssi devant le Sénat | 21 octobre |
La communication de l'Anssi met l'accent sur des mesures de base — segmentation des réseaux, retrait de l'exposition directe à Internet, politiques d'authentification robustes — auxquelles elle renvoie depuis des années. La question demeure de savoir si des obligations réglementaires nouvelles ou des contrôles renforcés seront engagés pour éviter la répétition d'incidents ayant des conséquences sanitaires et économiques significatives.
