Une cyberattaque paralyse les systèmes de réfrigération de commerces dans sept pays européens

Une cyberattaque visant des systèmes de réfrigération a touché lundi des dizaines de supermarchés et d'autres commerces dans sept pays européens, forçant certains magasins à jeter leur marchandise après le réchauffement de réfrigérateurs et de congélateurs.

Une quarantaine de supermarchés Delhaize en Belgique et au Luxembourg ont été touchés. Des magasins en Suède, en Irlande, aux Pays-Bas, en Estonie et en Finlande ont aussi signalé des problèmes, en plus petit nombre. La température de certains appareils aurait grimpé jusqu'à 50 °C (122 °F). On ignore qui est derrière l'attaque.

Sabcobel, une entreprise belge qui fabrique certains des réfrigérateurs touchés, a indiqué que les évaporateurs des appareils avaient été basculés en mode dégivrage, ce qui les a fait chauffer. L'entreprise croit que la méthode correspond à celle utilisée lors d'un incident le mois dernier, qui avait touché des centaines de supermarchés français.

Stephan Moelans, PDG de Sabcobel, a déclaré à l'agence de presse Belga que l'entreprise avait travaillé toute la nuit et toute la matinée pour déconnecter du réseau les appareils touchés. Il a précisé que depuis l'attaque en France au début d'octobre, l'entreprise tentait de protéger les réfrigérateurs de ses clients contre cette vulnérabilité, mais que les appareils nécessitaient des modifications physiques, et pas seulement des mises à jour logicielles.

« La solution la plus simple consiste à gérer les réfrigérateurs par une connexion Internet sécurisée. La plupart de nos clients sont passés à cette solution après l'attaque en France », a affirmé M. Moelans.

Un magasin Delhaize de Hoeilaart, en Flandre, a indiqué au site d'information Het Laatste Nieuws avoir perdu pour 100 000 € (83 500 £) de produits. Le gérant a précisé que ce chiffre n'incluait pas les pertes supplémentaires liées à la fermeture du magasin.

Carrefour a indiqué que 15 de ses magasins belges avaient été touchés et que des mesures avaient été prises immédiatement pour garder tous les magasins ouverts. Un porte-parole du groupe Colruyt a déclaré à Reuters que les systèmes de réfrigération de cinq magasins Spar exploités sous son système de franchise en Belgique avaient été attaqués. Ikea a indiqué que la réfrigération de son magasin de Mons, en Belgique, avait été touchée, et un porte-parole a dit à Reuters que l'entreprise ne pouvait exclure que d'autres établissements aient été visés.

En Suède, plusieurs magasins ICA et Coop ont été touchés. ICA a indiqué qu'un petit nombre de magasins fonctionnant en dehors de son réseau central avaient été visés et qu'elle les soutenait. Un magasin ICA de Sjöbo a écrit sur les médias sociaux que ses réfrigérateurs et ses congélateurs avaient été piratés durant la nuit et réglés à 50 degrés; le magasin a depuis rouvert. Coop a déclaré à la BBC que sept de ses 800 magasins suédois avaient été touchés et que la situation était maîtrisée.

En Irlande, 13 supermarchés SuperValu ont été touchés, selon le propriétaire de la chaîne, Musgrave Group, qui a dit à The Irish Times que l'impact se limitait à un modèle précis de réfrigérateur. Danfoss a déclaré à la radio publique néerlandaise NOS que les systèmes de refroidissement d'au moins 17 entreprises aux Pays-Bas avaient été attaqués durant la nuit, notamment des boucheries et de petits commerces de quartier. Kesko, propriétaire des magasins K en Finlande, a indiqué que ses experts en sécurité menaient une enquête, selon Helsingin Sanomat. ERR a rapporté qu'un supermarché Selver en Estonie avait été touché.

Les agences nationales de cybersécurité de la Belgique et de la Suède ont indiqué qu'elles suivaient l'incident. Le National Cyber Security Centre du Royaume-Uni a dit travailler avec des partenaires internationaux et l'industrie pour comprendre l'incident. Aucun incident n'a été signalé au Royaume-Uni.

Aux États-Unis, les autorités enquêtent sur des pannes de réfrigération survenues dans plusieurs bases militaires en août et collaborent avec des responsables français pour déterminer si les incidents sont liés.