Cyberattaques dans la grande distribution : l’angle mort de la télémaintenance

INCYBER News : Les attaques contre les installations frigorifiques de supermarchés ont particulièrement marqué les esprits. Que sait-on aujourd’hui des mécanismes de compromission ?

Ingrid Söllner : Ces incidents ont rendu les enjeux de cybersécurité très concrets pour une grande partie de la population. Mais il faut aussi mesurer les difficultés opérationnelles considérables qu’ils ont provoquées dans les magasins. Les installations frigorifiques ont beaucoup évolué ces dernières années. À l’origine, elles n’étaient pas connectées. Puis sont apparus des systèmes de supervision, avec des panneaux de contrôle installés dans les bureaux des magasins et, parfois, des alertes envoyées directement sur le téléphone du directeur.

Aujourd’hui, les prestataires frigorifiques proposent des dispositifs de télémaintenance qui leur permettent de surveiller les équipements et d’intervenir à distance. C’est évidemment très pratique, mais les conditions de connexion ne sont pas toujours les mêmes. Dans certains cas, les accès sont connus des équipes informatiques et passent par des connexions sécurisées. Dans d’autres, un prestataire peut installer une simple box Internet pour communiquer avec les équipements, sans que la direction informatique de l’enseigne ait nécessairement connaissance de cette connexion.
C’est là que se situe une partie du problème : ces accès peuvent échapper à la supervision habituelle des équipes de cybersécurité.

INCYBER News : Dans le cas des attaques d’octobre, les installations frigorifiques ont-elles été directement ciblées ?

Ingrid Söllner : Oui, les installations frigorifiques ont bien été visées. Des vulnérabilités affectant les logiciels utilisés avaient été rendues publiques au cours de l’été. Encore fallait-il que les exploitants et leurs prestataires aient connaissance de ces failles et procèdent aux mises à jour nécessaires.

Il faut aussi tenir compte du profil des intervenants. Les frigoristes sont avant tout des spécialistes des installations frigorifiques, pas nécessairement des informaticiens. À cela s’ajoute la question des mots de passe. Certains systèmes utilisaient des mots de passe extrêmement simples, notamment des variantes fondées sur la date du jour. D’après les éléments disponibles, les attaquants auraient pu accéder aux interfaces de supervision et modifier les paramètres de température. Les investigations n’étant pas terminées, il faut rester prudent sur le déroulement exact de la compromission.

INCYBER News : Vous avez dirigé des supermarchés pendant votre carrière chez Carrefour. Quelles sont les conséquences concrètes d’une telle attaque pour les équipes sur le terrain ?

Ingrid Söllner : Elles sont considérables. Lorsqu’une installation frigorifique ne fonctionne plus correctement, la première urgence consiste à préserver la chaîne du froid. Si les températures ne peuvent pas être rétablies suffisamment rapidement, il faut retirer les marchandises concernées. Dans certains magasins, les alertes ont permis aux équipes d’intervenir et de reprendre la main sur les installations. Cela a parfois limité les pertes à certaines catégories de produits, notamment les surgelés.
Une fois les marchandises perdues, les difficultés ne font que commencer. Il faut vider les meubles, rétablir des températures correctes, puis réapprovisionner les rayons.

Or, le fonctionnement d’un supermarché repose sur une organisation logistique très précise. Les livraisons sont planifiées selon les jours et les catégories de produits. On ne peut pas reconstituer l’intégralité d’un rayon frais ou surgelé du jour au lendemain. Les stocks informatiques peuvent également devenir inexacts. Dans l’urgence, les équipes n’ont pas nécessairement le temps d’enregistrer individuellement tous les produits jetés. Les systèmes de réapprovisionnement automatique se retrouvent alors perturbés.

Il faut aussi mobiliser les fournisseurs, les entrepôts et les salariés, qui doivent absorber une charge de travail exceptionnelle. Pour avoir connu ce type de difficultés à une échelle bien moindre, je mesure ce que cela représente pour les équipes.

INCYBER News : Dix jours après les incidents, les magasins les plus touchés pouvaient-ils avoir retrouvé une activité normale ?

Ingrid Söllner : Je pense que les établissements les plus durement touchés n’avaient probablement pas encore retrouvé un fonctionnement normal. Il faut plusieurs jours pour remettre les rayons en état, réorganiser les commandes et reconstituer les stocks. Les entrepôts doivent eux aussi absorber des volumes inhabituels de marchandises, parfois pour plusieurs magasins simultanément
Au regard de mon expérience, les conséquences opérationnelles peuvent se prolonger bien au-delà du rétablissement technique des équipements. Il ne faut pas oublier non plus que les magasins concernés sont, pour beaucoup, des entreprises indépendantes, avec des contraintes économiques et humaines déjà importantes.

INCYBER News : Vous soulignez justement la situation particulière des magasins indépendants et franchisés. Leur organisation peut-elle compliquer la gestion du risque cyber ?

Ingrid Söllner : Il faut être prudent et ne pas tirer de conclusions hâtives. Je n’ai pas enquêté sur la répartition exacte des magasins touchés. Néanmoins, les informations dont nous disposons semblent indiquer que de nombreux indépendants et franchisés ont été concernés. Une différence importante tient à leur autonomie dans le choix des prestataires et des contrats de maintenance.

Dans un magasin indépendant, le responsable peut décider du prestataire auquel il fait appel, du niveau de service qu’il souscrit et des investissements qu’il réalise. Or, ces arbitrages s’effectuent dans un contexte économique parfois difficile. Remplacer une installation frigorifique représente un investissement important. On remplace généralement un compresseur lorsqu’il tombe en panne, pas nécessairement parce qu’une vulnérabilité informatique a été découverte.

J’ai moi-même dirigé un ancien magasin franchisé dont les installations frigorifiques étaient très dégradées et dont le contrat d’entretien était minimal. Je connais donc les contraintes auxquelles peuvent être confrontés les exploitants.

Cela ne signifie pas qu’il faut leur faire porter la responsabilité des incidents. Il faut plutôt s’interroger sur leur niveau d’information concernant les risques associés à la télémaintenance et sur les moyens dont ils disposent pour les maîtriser.

INCYBER News : Ces équipements peuvent donc échapper à la vigilance des RSSI des enseignes ?

Ingrid Söllner : C’est effectivement l’une des difficultés. Un directeur de magasin raisonne d’abord en termes de fonctionnement de son établissement. Il veut que ses installations frigorifiques fonctionnent et que ses marchandises soient conservées dans de bonnes conditions.

Si son prestataire lui propose une solution de maintenance à distance, il peut naturellement y voir un moyen de simplifier l’exploitation. Cependant, cette connexion peut avoir été installée sans échange avec les équipes informatiques ou de cybersécurité de l’enseigne.

J’ai notamment eu connaissance, par l’intermédiaire d’un collègue, du cas d’un magasin touché qui aurait découvert à cette occasion l’existence d’une connexion Internet dédiée à son installation frigorifique. C’est révélateur du problème : comment un RSSI peut-il sécuriser un équipement dont il ignore l’existence ou les modalités de connexion ?

On retrouve ici les difficultés classiques de la cybersécurité industrielle, ou OT. Ces équipements répondent à des contraintes métiers spécifiques, avec des cycles de renouvellement différents de ceux de l’informatique traditionnelle. La continuité de fonctionnement reste une priorité.

INCYBER News : Au-delà des installations frigorifiques, d’autres équipements de la grande distribution pourraient-ils présenter des risques similaires ?

Ingrid Söllner : Le sujet dépasse largement les installations frigorifiques et même la grande distribution. De nombreux équipements sont désormais supervisés ou maintenus à distance. On peut penser aux systèmes de vidéosurveillance, à la climatisation des bâtiments ou encore à certains dispositifs automatisés.
Le point commun, c’est la possibilité d’accéder à distance à des équipements qui ne sont pas toujours considérés comme faisant partie du système d’information traditionnel.

Après les incidents sur les installations frigorifiques, nous en avons discuté au sein de notre communauté. Nous nous sommes demandé si ce n’était pas seulement un premier signal d’alerte concernant une catégorie beaucoup plus large d’équipements.
Tous les dispositifs télémaintenus méritent d’être examinés, notamment pour vérifier qu’ils ne sont pas exposés sur Internet de manière insuffisamment sécurisée.

INCYBER News : Quelles leçons les enseignes devraient-elles tirer pour mieux anticiper ces incidents ?

Ingrid Söllner : Je pense que ces événements vont conduire les enseignes à revoir leurs contrats de maintenance et à recenser plus précisément les équipements télémaintenus. Dans chaque point de vente, il faudrait pouvoir identifier les différentes catégories d’installations concernées, les prestataires responsables, les modalités de connexion et les engagements contractuels en matière de mises à jour et de cybersécurité. C’est particulièrement important lorsque les décisions d’équipement sont prises localement.

 Il faudra également revoir les exigences de sécurité imposées aux prestataires. Il ne s’agit pas seulement de protéger des systèmes informatiques, mais aussi de garantir la continuité de l’activité et, dans le cas des installations frigorifiques, de préserver la sécurité alimentaire.

Pour un supermarché, perdre ses produits frais représente une atteinte majeure à son activité. Les conséquences peuvent être très importantes, même lorsque l’incident informatique lui-même est relativement circonscrit.

INCYBER News : Vous dirigez Bright Cyde, une entreprise de cybersécurité née au sein de l’écosystème familial Mulliez. En quoi le partage d’expérience entre entreprises peut-il contribuer à prévenir ces incidents ?

Ingrid Söllner : Bright Cyde est née à l’initiative de responsables informatiques et cybersécurité de l’écosystème, qui souhaitaient développer l’entraide entre les entreprises. Nous avons aujourd’hui un rôle d’animation de cette communauté, mais aussi d’orchestration de services de cybersécurité.

Notre approche repose notamment sur le « faire ensemble ». Lorsqu’une entreprise rencontre une difficulté, il est très probable qu’une autre soit confrontée à un problème comparable. Nous cherchons donc à capitaliser sur les expériences de chacun. Cela peut passer par des retours d’expérience après un incident, des échanges entre professionnels ou le partage de documents et de bonnes pratiques.

Certaines entreprises nous transmettent, par exemple, des procédures internes qu’elles ont élaborées. Nous pouvons les anonymiser et les partager avec les autres membres de la communauté. En cybersécurité, on constate que les entreprises acceptent assez facilement de coopérer, y compris lorsqu’elles sont concurrentes.

Cette entraide dépasse d’ailleurs notre propre écosystème. Il nous arrive aussi de rencontrer des professionnels d’autres enseignes de distribution.

INCYBER News : Cette coopération suppose néanmoins de pouvoir partager des informations sensibles. Comment préserver la confiance entre les participants ?

Ingrid Söllner : C’est essentiel. Nous travaillons au sein de cercles de confiance, avec des canaux d’échange adaptés. Lorsqu’une entreprise rencontre un incident, les autres n’ont pas nécessairement besoin de connaître son identité, ni celle de la personne qui aurait commis une erreur. En revanche, ils ont besoin de comprendre ce qui s’est passé, pourquoi cela pourrait également leur arriver et comment éviter de reproduire la même situation.
Notre rôle consiste parfois à anonymiser les informations, à retirer les éléments qui permettraient d’identifier une entreprise et à conserver ce qui est réellement utile. L’objectif est de produire une information actionnable, pas de désigner des responsables. C’est aussi dans cet esprit que nous organisons des rencontres entre professionnels de la grande distribution, notamment à l’occasion du Forum INCYBER. Certaines discussions se tiennent volontairement sans captation ni replay, dans un cadre réservé aux professionnels concernés.
La confiance est indispensable pour que les entreprises puissent parler librement de leurs difficultés. Et c’est précisément ce partage qui permet à l’ensemble de la communauté de progresser.