Des centaines de systèmes frigorifiques de supermarchés ont récemment été ciblés par une cyberattaque d’ampleur en France, paralysant la chaîne du froid et entraînant des pertes financières massives. Cet incident met en lumière les vulnérabilités de ces équipements dits « cyber-physiques », souvent connectés à Internet sans protection adéquate. Faut-il s’inquiéter de la sécurité de nos infrastructures industrielles et commerciales de tous les jours ?
Tribune – Vladimir Dashchenko, Principal Security Researcher chez Kaspersky, apporte son éclairage :
« Les systèmes frigorifiques modernes sont un bon exemple de systèmes cyber-physiques : ils peuvent être surveillés et pilotés à distance, alors même que leur niveau de sécurité est souvent insuffisant. Certains fabricants ne mettent pas en place des protections pourtant essentielles, comme des politiques de mots de passe robustes, l’authentification à deux facteurs ou d’autres mécanismes de sécurité courants. Ces équipements peuvent également présenter des lacunes dans leurs processus de développement logiciel sécurisé, notamment en matière de SSDLC (Secure Software Development Life Cycle).
Ces systèmes cyber-physiques sont par ailleurs souvent directement exposés à Internet, plutôt que d’en être correctement isolés. Les interfaces de commande des installations frigorifiques, par exemple, peuvent être repérées grâce à des moteurs de recherche spécialisés comme Shodan ou Censys, qui recensent les équipements accessibles depuis Internet. Concrètement, lorsqu’un appareil est accessible publiquement et mal configuré, il peut être identifié aussi bien par les administrateurs que par des cybercriminels. Selon Shodan, plus de 4 500 équipements de ce type seraient accessibles sur Internet, contre environ 4 300 recensés par Censys. Et le problème ne se limite pas aux installations frigorifiques : des systèmes de pilotage d’installations solaires et d’autres équipements industriels sont également exposés en ligne. Cette exposition accroît considérablement les risques d’accès non autorisé, d’exploitation de vulnérabilités connues et de perturbation du fonctionnement des installations.
Des informations décrivant une méthode permettant d’exécuter à distance du code arbitraire sur des interfaces de commande frigorifiques similaires ont déjà été rendues publiques. Par ailleurs, certains fabricants ne prévoient pas de mécanisme permettant d’imposer l’installation des mises à jour de sécurité critiques. Ces faiblesses constituent donc des vecteurs d’attaque plausibles pour ce type d’incident.
Pour limiter ces risques, les fabricants doivent intégrer la cybersécurité dès la conception de leurs équipements : éviter toute exposition directe à Internet, mettre en place des mécanismes d’authentification robustes et assurer le déploiement rapide des mises à jour de sécurité critiques. De leur côté, les entreprises qui achètent ou déploient ces installations doivent également examiner attentivement les pratiques de cybersécurité de leurs fournisseurs, notamment en matière de gestion des correctifs de sécurité et de protection des accès à distance. »