Cyberattaque : Ascenseurs ou alarmes… Après les frigos de supermarchés, quels équipements peuvent être vulnérables ?

Dans la nuit de dimanche à lundi, des centaines de supermarchés dont des Leclerc, Intermarché, Super U, Carrefour ou encore Monoprix, ont vu leurs installations frigorifiques attaquées à distance. Les auteurs de cette cyberattaque ont réussi à modifier la température des équipements grâce à des failles du logiciel de pilotage du refroidissement. Ils ont ainsi fait monter la température des frigos « jusqu’à 50 °C », ce qui a provoqué la perte de produits frais, représentant « des dizaines de millions d’euros au niveau national ».

Après cette cyberattaque inédite, quels équipements connectés du quotidien pourraient être les prochaines cibles ? 20 Minutes fait le point avec Antoine Hautin, secrétaire général et VP Défense chez Almond, société spécialisée en cybersécurité.

Comprendre comment fonctionne la cybersécurité

Pour comprendre comment on en est arrivé là, il faut comprendre comment fonctionne la cybersécurité. Antoine Hautin distingue deux types de réseaux informatiques. D’un côté, l’informatique « classique », l’IT, avec les ordinateurs et les serveurs, longtemps au cœur des efforts de sécurité. « Les menaces cyber qui ciblent l’IT, ciblent généralement la donnée », explique l’expert.

De l’autre, les systèmes industriels, l’OT. « Ils gèrent des automates, des ascenseurs, des chaînes de production industrielle, de la robotique en usine, des équipements médicaux comme des scanners ou des installations frigorifiques, cite-t-il. On a une dizaine d’années de retard sur la cybersécurité de ces systèmes. » À l’origine, ces équipements n’étaient pas connectés à Internet, donc inaccessibles à distance. Comme ces systèmes étaient isolés, « les fabricants n’ont pas toujours mis la cybersécurité au cœur de leur développement, indique Antoine Hautin. C’était plutôt un enjeu de fiabilité, de maîtrise des coûts et de sûreté physique. »

Sauf que depuis plusieurs années, il y a une convergence IT/OT, c’est-à-dire que, « de plus en plus, tous les systèmes industriels se retrouvent connectés ». Capteurs connectés, pilotage centralisé, collecte de données… Ce sont ces interconnexions qui ouvrent la voie aux cyberattaques. « Ça augmente la surface d’attaque avec des systèmes qui n’ont pas toujours été pensés pour intégrer cette dimension cybersécurité », souligne le spécialiste. Et les mises à jour de sécurité, indispensables pour corriger les failles, sont plus compliquées à déployer sur un frigo industriel ou un ascenseur que sur un smartphone.

Ampoules, caméras, ascenseurs… Qui d’autre est exposé ?

Les infrastructures jugées critiques, comme l’énergie ou le ferroviaire, sont soumises à des règles renforcées et à des audits réguliers, rassure Antoine Hautin. « Mais on n’avait pas mis le même effort sur des systèmes comme les frigos de supermarchés pour lesquels l’enjeu de résilience nationale est peut-être moins évident », reconnaît-il.

Dans la liste des équipements potentiellement vulnérables, on retrouve tout système ou objet connecté. Le spécialiste cite, par exemple, les ascenseurs, les distributeurs de billets ou encore les systèmes de contrôle incendie. « On pourrait imaginer des hackers paralyser des ascenseurs ou déclencher les systèmes d’eau anti-incendie dans une tour de la Défense, c’est tout à fait plausible. Dès qu’un équipement peut être supervisé à distance et qu’il est connecté, il peut être en théorie attaqué », dit-il.

Et le grand public n’est pas à l’abri. Box Internet, caméras connectées, baby phones, aspirateurs, ampoules ou prises connectées… Toute la domotique est concernée. Le pirate peut voler les identifiants pour avoir accès aux objets, soit il repère une faille de sécurité dans l’appareil lui-même. C’est cette technique qu’auraient utilisée les auteurs de la cyberattaque des supermarchés. D’après le spécialiste, aucun objet connecté ne peut être considéré comme totalement à l’abri d’une cyberattaque, d’autant plus que l’intelligence artificielle « accélère la détection des failles de sécurité ». Pour contrer ces défauts, les fabricants et éditeurs de logiciels les corrigent avec des mises à jour… Mais il faut les appliquer.

Pour Antoine Hautin, « le scénario d’un black-out piloté à distance par des attaquants n’est pas surréaliste du tout », affirme-t-il, faisant référence aux suspicions autour de l’événement qui s’était déroulé en Espagne l’an dernier.

Vers plus de cyberrésilience ?

Pour l’expert, cette attaque peut alors servir de « choc », « de prise de conscience » pour que les enseignes exigent des garanties à leurs fournisseurs et que les fabricants intègrent la sécurité dès la conception. « L’Europe a déjà posé un cadre avec le Cyber Resilience Act, qui impose des exigences de cybersécurité à tous les fabricants de produits connectés vendus dans l’UE. Les obligations de signalement des failles exploitées s’appliquent depuis le 11 septembre 2026, le reste à partir du 11 décembre 2027. La directive NIS2, elle, n’est toujours pas transposée en France, avec environ deux ans de retard », déplore Antoine Hautin.

Reste qu’aucune protection n’est absolue. « On n’arrivera pas à déjouer toutes les attaques », avertit-il, plaidant pour passer à une logique de « cyberrésilience » et apprendre à travailler en mode dégradé afin d’assurer la continuité ou la reprise de l’activité.

À l’échelle d’un foyer, les réflexes sont simples. Il faut changer les mots de passe par défaut, activer les mises à jour automatiques, brancher les objets connectés sur le réseau « invité » de sa box et désactiver les fonctions inutiles, comme l’accès à distance ou le micro.