00:00On vous en parle ce matin dans nos journaux, des hackers auraient pris le contrôle des systèmes de froid à
00:07distance de plusieurs centaines de supermarchés
00:11causant des dégâts importants évidemment, gâchant des tonnes et des tonnes de nourriture.
00:15On va approfondir la question avec vous Nicolas Arpagion, bonjour.
00:18Bonjour.
00:19Vous êtes spécialiste des cyberattaques, auteur de la cybersécurité aux presses universitaires de France.
00:24Première question et elle est toute simple, comment peut-on pirater à distance un frigo et même plus de 300
00:31frigos de supermarchés ?
00:33Alors plusieurs explications à ce stade.
00:35La première c'est que ces équipements sont connectés à Internet, c'est-à-dire qu'ils ont un accès
00:39extérieur pour un pirate,
00:41contrairement par exemple à certaines chaînes de magasins bien connues pour leur surgelée qui sont gérées magasin par magasin
00:49et donc c'est chaque responsable qui localement opère le pilotage de ces équipements.
00:54Et la deuxième chose, c'est que des failles techniques ont été documentées depuis l'été 2025
00:59et que l'éditeur d'Annefos, c'est-à-dire le danois qui fournit le service numérique, avait signalé ces
01:05failles.
01:06Manifestement, elles n'ont pas été corrigées.
01:09Exactement, donc le pirate avait la capacité de connaître les équipements fragilisés par la non mise à jour de ces
01:16solutions
01:16et en plus connecté à Internet, donc la faille plus la connectivité, il a ainsi pu opérer à distance.
01:23Ce qui, nous, on est un peu tombé, notre chaise, quand on a découvert ce piratage à grande échelle,
01:28d'habitude on parle de données bancaires volées, mais là, de tonnes de nourriture potentiellement perdues, c'est inédit en
01:35France ?
01:36Alors, sur un équipement industriel, non, qui touche cette activité du grand public,
01:41tout le monde connaît, effectivement, le principe déjà d'avoir un frigo à la maison
01:45et lorsqu'on sait que les pannes électriques font effectivement des dégâts sur les produits congelés,
01:51là, ce qui est particulier, c'est qu'il n'y a pas de gain pour l'auteur,
01:55on n'est pas dans une logique même idéologique, politique.
01:58Mais non, il n'y a que des gâchis.
01:58Voilà, et donc vraisemblablement, et là, sous réserve d'inventaires et d'investigation,
02:02on a plus affaire à une opération, alors soit de test,
02:06quelqu'un qui a essayé une technique précisément pour voir si ça pouvait fonctionner.
02:10Pourquoi ? Parce que plus tard, peut-être, à grande échelle,
02:13dans différents environnements, sur différentes technologies,
02:16de manière à créer un amplificateur de crise.
02:18Ça, on va en parler dans quelques instants.
02:19C'est donc une des options.
02:21Et la deuxième, c'est de dire effectivement,
02:22quelqu'un qui vous souhaite contribuer,
02:24on a eu des opérations de déstabilisation visant à perturber l'ordre public.
02:28Effectivement, dans la période de tension économique,
02:30le fait de se dire, mais qu'est-ce que c'est que ce gâchier ?
02:32Encore une négligence, encore une malveillance.
02:35Et on vient polluer le débat public.
02:37Rien à voir avec la technologie.
02:38On utilise l'outil pour pouvoir agir à distance,
02:41en toute impunité, ou en tout cas, le plus discrètement possible.
02:44On revient sur le profil et sur les motivations possibles du ou des pirates.
02:48Mais juste pour revenir sur ce qui s'est passé,
02:50des frigos qui montent jusqu'à 50 degrés pendant plusieurs heures,
02:53donc techniquement, c'est piloté à distance et même à grande échelle.
02:58On modifie les réglages à distance, c'est ça ?
03:00Exactement, puisqu'en fait, c'est pour faire de la maintenance.
03:03Des entreprises ont décidé de ne pas se charger elles-mêmes de cette activité.
03:06Elles le délèguent donc à un prestataire.
03:08Et ce prestataire doit pouvoir opérer à distance pour faire des réglages.
03:11Et c'est simple ou pas ?
03:12Ça a l'air super facile quand on le rendait comme ça.
03:14Ah bah oui, parce que dès lors qu'on le redit,
03:16les failles ont été documentées.
03:17Donc vous connaissez le mode opératoire.
03:18C'est comme si je connaissais les faiblesses de la serrure
03:21protégeant votre appartement.
03:22Il est évident que je peux en prendre le contrôle plus facilement.
03:24Et là, le pirate a échelonné la montée en température
03:28qui d'habitude, puisque la fonctionnalité existe
03:31pour le dégivrage de l'équipement,
03:33mais d'habitude c'est fait en une heure.
03:35On fait montée en température, en clair,
03:36quand il faut faire du nettoyage, de la maintenance, des réparations.
03:39Là, il l'a échelonné sur plusieurs heures
03:41de manière à ce qu'il n'y ait pas d'alerte
03:43ou en tout cas que quand celle-ci survient,
03:44c'est que les dégâts sont déjà causés.
03:46Deuxième grande question.
03:47On a commencé à l'évoquer.
03:49Est-ce qu'on est face à une nouvelle forme de cyberattaque ?
03:52Alors certainement oui.
03:53Pourquoi ? Parce que c'est la combinaison de l'attaque informatique,
03:56c'est-à-dire la prise de contrôle à distance d'équipement,
03:59avec l'absence de gains, alors soit idéologiques ou financiers,
04:04qui est d'habitude le fait d'organisations criminelles
04:07qui cherchent le rendement, la performance commerciale.
04:09Vous avez évoqué les données.
04:10Je cherche ensuite soit à vous faire chanter,
04:12à extorquer de l'information au titulaire des données,
04:15soit à les commercialiser à des tiers.
04:17Là, ce n'est pas le cas.
04:18On est plutôt vraiment dans la destruction, la dégradation.
04:20C'est ce qu'on connaît d'habitude dans les attaques d'origine étatique
04:24ou d'intérêt étatique, c'est-à-dire qui peuvent être effectuées
04:27par des services gouvernementaux ou par des supplétifs,
04:31des gens qui sont des auxiliaires.
04:32On avait connu ça, par exemple, lorsque vous vous souvenez sans doute
04:35de ces cercueils déposés au pied de la Tour Eiffel.
04:38En fait, c'est une opération de propagande visant pas à tenter
04:41à des intérêts matériels, mais à créer...
04:43À destabiliser.
04:44Exactement.
04:45Et ça, ça peut faire partie dans un climat social tendu, complexe.
04:48On touche à l'alimentation, ce que tout Français peut comprendre.
04:52Mais c'est vrai que, par exemple, lorsqu'en Iran,
04:54des centrales nucléaires avaient été visées par des cyberattaques,
04:57on avait visé à accélérer la vitesse de rotation des centrifugeuses
05:00pour les détruire.
05:01En fait, on avait fait la même chose, c'est-à-dire qu'on était entrés
05:04dans les systèmes de pilotage industriel pour créer un dysfonctionnement.
05:08Chez les uns, c'était l'accélération de la vitesse des centrifugeuses.
05:11Là, ce sont les systèmes qui sont inversés pour passer du très froid au très chaud.
05:15Et sans vouloir affoler, évidemment, les gens qui nous regardent.
05:17Est-ce que demain, des pirates pourraient s'attaquer à des feux de circulation,
05:22à l'équipement d'un hôpital, au chauffage d'un immeuble ?
05:25Bien sûr. Pourquoi ? Parce que ce sont des objets numérisés,
05:28c'est-à-dire qui ont besoin du numérique pour fonctionner,
05:30et qui sont interconnectés.
05:31On l'évoquait, le fait qu'on puisse prendre le contrôle à distance
05:34permet à quelqu'un, déjà, de ne pas s'impliquer physiquement,
05:37mais surtout d'automatiser ou de multiplier les opérations.
05:42Il est certain que si c'est géré, par exemple, magasin par magasin,
05:47physiquement, dans le bâtiment, en quelque sorte,
05:49la capacité à passer à l'échelle, c'est-à-dire à arriver à une volumétrie,
05:53est beaucoup plus complexe. Pourquoi ?
05:54Parce qu'il va falloir déplacer des personnes sur les différents sites.
05:58Et donc, ça n'aura certainement pas les mêmes effets.
06:00Et on en vient à la troisième question,
06:01qui concerne les cibles potentielles de demain.
06:05Personne n'imaginait qu'on puisse attaquer, justement, ces centaines de frigos.
06:08Est-ce qu'il y a d'autres angles morts, d'autres équipements de notre quotidien
06:11qui pourraient devenir potentiellement des cibles ?
06:13En fait, tous ces équipements industriels, qui souvent, d'ailleurs, sont datés,
06:17et d'ailleurs, l'éditeur de Danois le dit lui-même,
06:19il dit, mais attendez, il y a des solutions obsolètes.
06:21La difficulté avec des technologies industrielles,
06:24c'est que souvent, elles sont rustiques, elles sont robustes,
06:27elles font leur travail.
06:27Si, par exemple, un tapis roulant,
06:30bon, ce n'est pas une technologie très élaborée,
06:32et elle fonctionne, c'est-à-dire le tapis roulant
06:34déplace bien les objets que vous placez dessus.
06:36Là, en l'occurrence, ces frigos assurent bien
06:38la constance de la température souhaitée.
06:40Et donc, ce sont des équipements qui ne sont pas forcément
06:42très souvent renouvelés, entretenus.
06:44Et quand vous dites à un industriel ou à une entreprise,
06:46il va falloir payer, comme ce que demandait d'ailleurs l'éditeur d'Enfos,
06:49celui qui a le gestionnaire de ces équipements,
06:51de dire, vous devriez acheter ma nouvelle version,
06:53ma nouvelle génération.
06:54L'industriel est un peu réticent parce qu'il n'y voit pas de gain,
06:57ça continue juste le service exactement comme il était.
07:00Et donc, ça veut dire qu'il y a beaucoup,
07:02dans les environnements techniques aujourd'hui,
07:04de solutions qui sont qualifient obsolètes,
07:06mais qui fonctionnent.
07:08C'est pour ça que la recommandation,
07:10c'est le déploiement d'outils de ce qu'on appelle d'observabilité,
07:14savoir en temps réel qui se connecte à quoi pour faire quoi.
07:17Et ça, on a des solutions pour savoir en temps réel
07:19et en continu quels sont les usages.
07:21Par contre, il faut évidemment les déployer et les superviser.
07:24Merci beaucoup Nicolas Arpajan.
07:26Maintenant, on est prévenus.
07:27Merci de nous avoir éclairés ce matin.
