Quentin Meunier
L'essentiel
- Les systèmes de chauffage et de climatisation connectés sont vulnérables aux cyberattaques, qu’il s’agisse d’équipements individuels, de bâtiments entiers pilotés par des systèmes de gestion technique (GTB), ou de réseaux urbains de chaleur.
- Les conséquences concrètes de telles attaques peuvent être graves, comme l’illustre le cas du logiciel malveillant FrostyGoop, qui a privé plus de 600 immeubles de chauffage à Lviv en janvier 2024.
- Selon Antoine Hautin, expert en cybersécurité, « c’est difficile de prédire ou d’évaluer la réalité de cette menace. » Mais elle reste crédible et s’inscrit dans l’essor récent des attaques visant des installations industrielles.
Dans la nuit du 11 au 12 octobre, des pirates liés à l’Iran, selon le quai d’Orsay, se sont attaqués aux systèmes de réfrigération de centaines de supermarchés français, provoquant des hausses de température et la destruction de grandes quantités de denrées. Trois semaines plus tard, le 2 novembre, une attaque similaire a touché des supermarchés de la Suède à la Sicile. Ce mardi, l’Agence européenne de cybersécurité tire la sonnette d’alarme : les appareils électroménagers équipant les logements pourraient être la prochaine cible.
Alors avec l’hiver qui approche, une question s’impose : c’est au tour de nos chaudières (ou de nos climatiseurs) ? Antoine Hautin, secrétaire général et VP Défense d’Almond, société de conseil en cybersécurité, répond sans détour : « Oui, les systèmes de chauffage et de climatisation, à partir du moment où ils sont connectés, sont vulnérables. »
Quels sont les équipements à risque ?
Antoine Hautin distingue trois niveaux. Le premier est le logement individuel : thermostat connecté, chauffe-eau, pompe à chaleur, chaudière ou climatiseur pilotable à distance. Le pirate peut modifier la consigne, arrêter ou démarrer l’appareil, ou provoquer une surconsommation. Mais le plus gros risque est ailleurs. « L’équipement compromis peut servir à tenter de rebondir vers d’autres appareils du réseau local », explique-t-il : c’est « l’attaque par rebond ». Puis, changement d’échelle. Bureaux, hôpitaux, administrations, centres commerciaux, usines… même principe, avec une ampleur et un impact plus large. Ces bâtiments sont de plus en plus pilotés par une GTB (gestion technique de bâtiment), qui centralise chauffage, ventilation et climatisation, parfois l’éclairage. Les exploitants et les prestataires de maintenance y accèdent souvent à distance. Le NIST américain a publié en août des recommandations de cybersécurité pour ces systèmes.
Enfin, les attaques pourraient carrément cibler les réseaux de chaleur ou de froid urbains, avec « un impact [qui] pourrait concerner plusieurs milliers de citoyens », souligne Antoine Hautin.
Que peut-il se passer concrètement ?
Le scénario n’est pas théorique. En janvier 2024, un logiciel malveillant, FrostyGoop, a privé de chauffage plus de 600 immeubles à Lviv, en Ukraine, pendant près de quarante-huit heures. Fin 2025, une cyberattaque a visé une trentaine de sites d’énergie en Pologne, dont des centrales de cogénération, produisant chaleur et électricité. Elle a été attribuée - avec un degré de confiance moyen - à un groupe lié à la Russie. Cela n’a causé aucune coupure, mais du matériel a été détruit.
Pour les entreprises, l’enjeu dépasse le confort. Dans la microélectronique, la fabrication de lasers, les laboratoires pharmaceutiques ou de biotechnologies, « le traitement de l’air peut être critique pour le processus de fabrication, bien au-delà du confort des occupants », alerte Antoine Hautin. Une attaque pourrait entraîner un arrêt préventif de la production, ou bien des objets non conformes. Même logique à l’hôpital, notamment dans les blocs opératoires. Et même pas besoin de viser un hôpital pour en mesurer l’enjeu : « l’été, une tour en verre à La Défense ne peut tout simplement pas fonctionner sans climatisation », rappelle Antoine Hautin, avec les perturbations économiques ou sanitaires qui peuvent en découler.
À quel point une telle attaque est-elle probable ?
Antoine Hautin reste prudent : « Il est difficile de prédire ou d’évaluer la réalité de cette menace. Ce que l’on sait, c’est que le scénario est possible, et crédible. » Il s’inscrit dans l’essor récent des attaques visant des installations industrielles. L’ANSSI cite en particulier les infrastructures d’énergie et d’approvisionnement en eau, des cibles « identifiées naturellement » que des sociétés comme Almond accompagnent chaque année, notamment par des audits.
Selon Antoine Hautin, une attaque informatique « classique » reste aujourd’hui plus probable. L’intrusion via un prestataire, par une interface de maintenance ou de supervision, est aussi possible. C’est, rappelle-t-il, ce qui a récemment touché les frigos du supermarché. La manipulation délibérée d’une salle blanche - un laboratoire, une salle d’opération, une chambre froide… - reste un scénario « moins documenté, plus spécialisé », qui peut exiger de contourner des contrôles indépendants. Signe que cette menace reste crédible, l’ANSSI a aussi publié son guide dédié à la protection des GTB.
