À la suite de la cyberattaque des 11 et 12 octobre 2026, qui a provoqué le dégivrage forcé des installations frigorifiques de plusieurs centaines de supermarchés, Adrian Cheek, chercheur principal en cybercriminalité chez Flare, a analysé la sécurité des infrastructures industrielles connectées. Cette investigation révèle une double exposition : des milliers de contrôleurs frigorifiques sont accessibles depuis Internet et des centaines d’accès de maintenance industrielle ont été retrouvés parmi les données volées par des malware de type infostealer. Ces données ne contiennent pas seulement des identifiants. Elles peuvent aussi fournir des informations précises sur les équipements auxquels ils donnent accès, facilitant potentiellement le travail des cybercriminels. Tribune Flare.
Des contrôleurs frigorifiques exposés … et bien d’autres portes ouvertes
La première enquête de Flare a identifié au moins 2 667 adresses IP publiques exposant des contrôleurs de réfrigération dans le monde, dont 1 293 en France. Mais ces équipements sont rarement les seuls services accessibles. Parmi les 547 adresses examinées plus en détail, 65 % hébergent également d’autres services, notamment des outils d’administration à distance, des VPN ou des systèmes de vidéosurveillance.
L’ancienneté des logiciels ajoute à ces préoccupations. Sur les équipements dont la version a pu être datée, 76,8 % utilisent un logiciel antérieur à un correctif d’authentification publié en 2025. Cela ne signifie pas qu’ils sont tous vulnérables, mais souligne les difficultés de mise à jour et de sécurisation des environnements industriels.
Derrière les accès de maintenance, une mine d’informations pour les attaquants
La seconde investigation révèle un risque moins visible. En analysant 15 101 entrées d’identifiants issues de données collectées par des infostealers, Flare a retrouvé 601 adresses de session distinctes associées à des équipements industriels.
Sur la principale plateforme d’accès distant étudiée, 73 % des adresses de tunnel identifiées figuraient dans des enregistrements volés contenant également les identifiants de connexion correspondants. Plus inquiétant, 96 % des noms d’utilisateur associés étaient ceux de comptes administrateurs.
Ces données ne se limitent pas aux mots de passe. Certains infostealers récupèrent également les URL des sessions de maintenance, qui peuvent révéler le nom du client, l’identité de la machine, le protocole utilisé, le port de connexion ou encore l’adresse réseau interne. Autant d’informations qui peuvent permettre à un attaquant de repérer des équipements industriels et de mieux préparer une intrusion.
Si la validité des identifiants retrouvés n’a pas été vérifiée, leur présence dans des données dérobées n’en constitue pas moins un risque à prendre en compte.
Un seul poste infecté, des dizaines d’installations potentiellement exposées
L’enquête met également en évidence le rôle sensible des prestataires de maintenance. Ces derniers interviennent souvent sur plusieurs sites industriels et conservent, depuis un même poste de travail, les accès nécessaires à leurs interventions.
Flare a ainsi identifié trois machines infectées totalisant 167 adresses de tunnel distinctes. La compromission d’un seul poste peut donc révéler les informations d’accès à de nombreuses installations, parfois exploitées par des entreprises différentes.
Les chercheurs ont également retrouvé 24 événements de collecte associant des accès distants industriels à des identifiants d’un fournisseur de systèmes de contrôle frigorifique. Dans un cas, les données comprenaient dix adresses de tunnel et des comptes sur trois plateformes distinctes de gestion frigorifique de supermarchés.
Aucun lien direct n’a été établi avec la cyberattaque d’octobre. Ces découvertes montrent néanmoins comment les accès utilisés pour la maintenance peuvent devenir des points d’exposition sensibles, indépendamment de la sécurité des équipements eux-mêmes.
Un risque plus large
La grande distribution n’est pas seule concernée. Les données étudiées par Flare font également apparaître des équipements associés à des réseaux d’eau et d’assainissement, des installations énergétiques, des sites industriels et des entreprises agroalimentaires.
La sécurité des infrastructures industrielles ne se joue donc plus uniquement au niveau des équipements. Elle dépend aussi de celle des postes de travail et des accès utilisés pour les administrer à distance, y compris lorsqu’ils appartiennent à des prestataires externes.
Les deux investigations de Flare mettent en évidence la nécessité d’élargir la surveillance au-delà des équipements directement exposés sur Internet. Les identifiants, les sessions de maintenance et les comptes administrateurs constituent eux aussi des éléments critiques de la surface d’attaque.
Flare recommande notamment d’inventorier les accès de maintenance, de limiter les privilèges administrateurs et de rechercher les identifiants compromis dans les données issues d’infostealers. Cette surveillance doit également couvrir les URL et les jetons de session, susceptibles de révéler des informations sensibles même en l’absence de mots de passe directement exploitables.