Cyberattaque contre des supermarchés : des hackers liés à la Russie pourraient être impliqués

Dans la nuit de dimanche à lundi, le secteur belge de la grande distribution a été victime d’une cyberattaque qui a touché les systèmes de réfrigération de dizaines de magasins. Dans plusieurs enseignes, notamment Delhaize, Carrefour et Spar, la température des installations frigorifiques et des congélateurs a augmenté. Certains supermarchés ont dû retirer des produits alimentaires des rayons et les jeter.

Des problèmes ont également été signalés en Suède, en Estonie, au Luxembourg et en Irlande. À la mi-octobre, plus de 150 enseignes de supermarchés françaises avaient déjà été touchées.

Xavier Bellekens, un spécialiste belge de la cybersécurité qui vit au Royaume-Uni depuis 17 ans, suit les événements de près. Son entreprise, Lupovis, surveille dans le monde entier des milliers de "honeypots", des systèmes informatiques et des appareils simulés destinés à attirer les cybercriminels.

"On peut comparer cela à une fausse maison dans une rue, explique-t-il dans l’émission De Ochtend de VRT NWS sur Radio 1. Personne n’y habite, mais on espère qu’un cambrioleur tentera un jour d’y entrer. En observant sa manière de procéder, on peut recueillir des informations sur ses méthodes et ses intentions."

Lupovis avait notamment reproduit un système de contrôle de Danfoss. Cette entreprise technologique danoise fournit des logiciels permettant de gérer à distance des installations frigorifiques. Danfoss avait déjà été visée par des cybercriminels lors de la première attaque, à la mi-octobre.

Entre le 20 et le 30 octobre, Lupovis a enregistré 256 tentatives d’intrusion visant les systèmes Danfoss simulés. Elles provenaient de 91 sources différentes. Le 26 octobre, l’activité a connu un pic très net.

"Nous observons en permanence des tentatives d’attaque visant toutes sortes de technologies. C’est ce que nous appelons le bruit de fond, explique Xavier Bellekens. Mais lorsqu’on constate soudain un pic d’activité visant un type de technologie bien précis, et ce dans plusieurs pays simultanément, cela indique que quelqu’un s’intéresse particulièrement à ce système."

Pour Xavier Bellekens, le fait que cette activité accrue ait été observée dans la semaine précédant les cyberattaques contre les supermarchés européens n’est pas une coïncidence. Il soupçonne les hackers d’avoir d’abord procédé à une phase de repérage, avant de passer à l’attaque au début du mois de novembre. "Les 1er et 2 novembre, nous avons ensuite observé le passage à l’acte."

Les données recueillies par Lupovis amènent Xavier Bellekens à penser que les attaques ont été menées par un groupe lié à l’État russe. Son entreprise ne peut pas identifier les auteurs avec certitude, mais plusieurs éléments vont dans ce sens.

L’infrastructure numérique utilisée pour mener les attaques retient notamment son attention. Les hackers ont entre autres eu recours à ce que l’on appelle du "bulletproof hosting" : des services d’hébergement internet qui permettent délibérément aux cybercriminels de mener des activités illégales. Les plaintes pour abus sont souvent ignorées, ce qui rend les serveurs particulièrement difficiles à mettre hors ligne.

"Les fournisseurs et certaines adresses IP que nous avons identifiés étaient également déjà présents dans des infrastructures que nous avions précédemment associées à des groupes de hackers liés à l’État russe, explique Xavier Bellekens. Lorsque nous comparons ces données avec celles d’attaques antérieures, nous constatons un chevauchement évident."

Selon lui, l’ampleur de l’attaque et les méthodes techniques utilisées laissent également penser qu’il ne s’agit pas du fait d’un simple hacker isolé. Les attaques ont touché plusieurs chaînes de supermarchés dans différents pays. En outre, leurs auteurs devaient bien connaître le fonctionnement des systèmes de réfrigération industriels pour pouvoir provoquer de tels dégâts.

"Pour endommager des systèmes frigorifiques de cette manière, il faut comprendre leur fonctionnement. Il faut savoir comment se déroulent les cycles de refroidissement et de dégivrage, et quels paramètres peuvent être modifiés. Dans ce cas-ci, les cycles de dégivrage ont été relancés en permanence, ce qui a fait grimper la température à l’intérieur des installations. Ce n’est pas à la portée de tout le monde. Il faut étudier la documentation technique et savoir comment provoquer des dégâts. Un adolescent ne peut pas faire ça depuis sa chambre."

Selon Xavier Bellekens, la vulnérabilité des systèmes industriels est un problème qui ne date pas d’hier. 

Beaucoup de ces systèmes fonctionnent pendant plusieurs dizaines d’années, sans toujours bénéficier de mises à jour ou de mesures de sécurité suffisantes. Certains équipements ont une durée de vie de 20 ans, alors que leur micrologiciel (firmware), le logiciel de base qui détermine leur fonctionnement, peut rester inchangé pendant toute cette période. Par ailleurs, certains systèmes sont directement accessibles depuis internet, alors que cela pourrait être évité.

Pour Xavier Bellekens, les entreprises auraient dû redoubler de vigilance après les premières attaques survenues en France. "Lorsqu’un système est attaqué dans une région, il existe un risque que ces activités finissent par s’étendre à la vôtre. Les entreprises auraient dû prendre cette menace au sérieux."

Les consommateurs doivent-ils eux aussi s’inquiéter pour leurs appareils connectés, comme une porte de garage ou un système d’éclairage intelligent ? Selon Xavier Bellekens, le risque reste limité pour les particuliers à l’heure actuelle.

"Il existe un risque, mais pour le moment, nous observons surtout une activité importante visant des organisations qui jouent un rôle essentiel dans les infrastructures au sens large."