Piratage des systèmes de réfrigération : l'enquête s'oriente vers Téhéran

Le 12 octobre, la France se réveillait avec des centaines de supermarchés victimes d'une vaste cyberattaque contre leurs systèmes de réfrigération. Les équipements Danfoss avaient été les premiers concernés avant que ne suivent ceux de Dixell. L'effet, notamment, d'un manque cruel de culture de la cybersécurité dans le secteur. Mais voilà, la campagne ne s'est pas arrêtée là.

Un pirate a ensuite réussi à manipuler les commandes de température dans des chambres de stockage à froid pour trois sites de l'Établissement du Français du Sang (EFS). Les seuils de température et de dégivrage ont été relevés à des niveaux très élevés.

Les systèmes de surveillance et les alarmes de l'EFS ont détecté l'activité, et le personnel a pu reprendre le contrôle. Les fournitures ont été transférées vers d'autres installations, et l'intégrité de ces stocks de sang n'a pas été compromise.

Les fournitures comprenaient du plasma sanguin destiné aux transfusions et du plasma utilisé pour développer des médicaments par un processus appelé fractionnement.

Les équipes techniques de l'EFS ont coordonné leur réponse avec l'Agence nationale de la sécurité des systèmes d'information (Anssi) et le Ministère de la Santé.

Selon l'AFP, des juges d'instruction viennent d'être chargés d'enquêter sur cette série de cyberattaques. Les investigations s'orienteraient vers les Gardiens de la Révolution d'Iran. Shahid Kaveh, chef de l'unité cyber offensive affiliée au Centre électronique et cyber du Corps des Gardiens de la Révolution (CGRI-CEC), serait en particulier visé du fait de « l’utilisation du farsi et des adresses IP renvoyant vers des terminaux localisés en Iran ».

À ce stade, ces révélations n'excluent pas la possibilité d'une campagne menée sous faux-drapeau : depuis le début de l'année, les États-Unis et Israel apparaissent isolés, sur la scène internationale, dans leur campagne contre Téhéran ; ils seraient les premiers bénéficiaires de telles cyberattaques menées par l'Iran.

En juin dernier, le leader du groupe Handala, Yahya Hosseini Panji, aurait été « éliminé ». L’unité cyber du Corps des Gardiens de la révolution islamique (CGRI) aurait elle-même confirmé le décès, tandis que des canaux liés à l’organisation du renseignement du CGRI attribuaient la responsabilité de l’opération à une « activité israélienne ». Presque au même moment, les autorités du Monténégro annonçaient l’arrestation d’un ressortissant iranien pour des cyberattaques.

Début avril, le groupe Handala avait revendiqué une cyberattaque contre le ministère de la Défense israélien. Une revendication audacieuse qui s’inscrivait dans la stratégie habituelle du groupe : maximiser l’impact médiatique et psychologique. C’était quelques semaines après l’attaque contre le fournisseur de solutions médicales Stryker.

Pour Rafe Pilling, directeur senior du renseignement sur les menaces de Sophos, « l'attribution faite par les Français s'inscrit dans une ligne d'action iranienne où la valeur d'une attaque réside autant dans le message qu'elle véhicule que dans les dégâts immédiats ».

Pour lui, « la perturbation des systèmes de réfrigération est très visible, relativement concrète et potentiellement extensible. Des attaques antérieures visant des infrastructures, telles que la campagne mondiale menée en 2023 contre les appareils Unitronics - revendiquée par le groupe d’hacktivistes iraniens Cyber Av3ngers -, avaient été menées de manière similaire, en exploitant des identifiants faibles ou par défaut pour accéder à des systèmes exposés sur Internet ».

Il relève toutefois que, « ce qui diffère ici, c’est l’absence de message politique explicite associé à ces attaques contre des groupes frigorifiques ».