Piratage de systèmes de gestion du froid : ce n'est pas une fatalité

Les systèmes de supervision des meubles frigorifiques de Danfoss, et marginalement de Dixell, ont été victimes d'une vaste campagne de compromission en fin de week-end. Une situation critique pour les acteurs de la chaîne du froid affectés.

L'expert Daniel Card s'est penché les systèmes StoreView de Danfoss, dans un laboratoire virtualisé, réussissant à reproduire le scénario de l'attaque. Les conclusions sont sans appel : l'opération n'a pas nécessité un niveau de sophistication particulièrement élevé et a vraisemblablement été automatisée, par script, avec aisance.

Et c'est peut-être là l'une des premières failles du côté de Danfoss : une API, nécessaire à l'intégration, est exposée par les systèmes de supervision... mais il n'est pas possible de la découpler de l'interface graphique Web. En somme, si l'un est accessible, l'autre l'est aussi, et strictement sur le même port, sauf à placer des éléments de sécurité réseau en amont, à l'instar d'un pare-feu ou d'un WAF, par exemple.
Dès lors, non seulement l'interface graphique Web constitue un point d'entrée exploitable, mais l'API permet de scripter l'attaque.

L'Agence nationale de la sécurité des systèmes d'information (Anssi) l'a répété : « de manière générale, l'exposition d'une interface de gestion sur Internet est contraire aux bonnes pratiques ». Et pourtant, plus de 6200 adresses IP dans le monde exposent l'interface - et donc l'API - de StoreView sur Internet, dont près de la moitié sont... françaises. Une véritable spécificité régionale. Laquelle est d'autant frappante que Danfoss revendique plus de 50 000 déploiement, dans le monde, de tels systèmes.

Dans un échange téléphonique, Adrien Le Norcy, gérant de Frigoriste.fr, explique que « Danfoss est historiquement très implanté dans les grandes et moyennes surfaces (GMS) ; c'était même le plus présent jusqu'à récemment », aux côtés de Carel. De quoi expliquer au moins en partie la sur-représentation de l'Hexagone dans l'éventail des victimes de la campagne malveillante.

Mais alors, l'absence de protection des accès, ne serait-ce que par VPN ? « Ce n'est pas notre métier - et il est déjà complexe, avec des questions d'aérodynamique, de thermodynamique, des automatismes, etc. Nous connectons les meubles sur un bus de communication interne et nous fournissons une supervision, à charge pour le client de nous apporter une connectivité ».

Des clients dont la sensibilisation aux questions de cybersécurité ne couvre pas nécessairement tout l'éventail des possible : « ce qu'on nous demande habituelle, c'est que le réseau de gestion des meubles réfrigérants soit dissocié du réseau du magasin ».

Cela n'empêche pas que certains frigoristes aient mis en place des accès via VPN : « les systèmes protégés par ces accès n'ont pas été touchés, selon les remontées que j'ai reçues ». Et cela vaut aussi pour ceux qui ont recours à d'autres mécanismes d'accès distant bien connus dans le monde IT, AnyDesk ou TeamViewer par exemple.

Toutefois, pour Adrien Le Norcy, la cybersécurité n'est pas encore un sujet pris pleinement à bras-le-corps par la profession. Et d'illustrer : « à Lyon se triendra prochainement le Sifa, un salon dédié au froid. Cette année, la cybersécurité est au programme, mais c'est peut-être bien la première fois ». Le sujet fera effectivement l'objet d'une conférence lors du salon, le 24 novembre, avec notamment... un représentant de Danfoss. Mais ça s'arrête là : même l'IA a droit à plus de place au programme.

D'autres mécanismes auraient-ils pu prévenir la catastrophe ? Oui, mais pas n'importe lesquels. Certes, il serait techniquement possible de renverser des changements de consignes n'ayant pas été annoncés en amont, « mais compte tenu de la multiplicité et de la diversité des personnes susceptibles d'intervenir sur les meubles, y compris manuellement en présence, je ne suis pas sûr que ce soit gérable », relève Adrien Le Norcy.

Alors bloquer des changements de consignes significatifs, simultanés et en masse ? « Oui, d'autant plus qu'en dégivrage, on monte très fort en température. Des alertes sont d'ailleurs générées, mais durant certains créneaux horaires, elles sont masquées temporairement ». Et cela d'autant plus, relève-t-il, que pour éviter une surcharge sur les alimentations électriques, « normalement, on décale d'une demi-heure le dégivrage entre chaque meuble ».

D'où une piste pratique pour éviter ce genre d'incident à l'avenir : bloquer tout passage au dégivrage en masse.