Êtes-vous concerné ?
- Directement concernés : les commerces et entreprises alimentaires dont les contrôleurs de froid sont joignables depuis Internet. En France, l'ANSSI a signalé des compromissions de modules de pilotage à distance de Danfoss et Copeland.
- À notre avis, la leçon va plus loin : elle vaut pour toute entreprise dont un service ouvert sur Internet n'est protégé que par des identifiants de connexion – une page d'administration de site web, un NAS, un bureau à distance, des caméras ou un appareil géré par un prestataire.
- Vous n'êtes pas concerné si : rien de ce qui vous appartient, appareils des prestataires compris, n'est joignable depuis Internet autrement que par un VPN ou depuis des adresses IP fixes.
Que faire
- Recensez ce qui est joignable depuis Internet : les redirections de ports de votre pare-feu ou routeur, et chaque appareil auquel un prestataire se connecte à distance.
- Tout ce qui n'est protégé que par un mot de passe : placez-le derrière un VPN ou n'autorisez que des adresses IP précises. Pour les contrôleurs de froid, le CERT-FR a conseillé de les retirer d'Internet ou de filtrer strictement l'accès.
- Pour le froid en particulier : demandez à l'installateur quel contrôleur vous avez. Les Danfoss AK-SM 800 et AK-SC 355 ne reçoivent plus de mises à jour de sécurité ; Danfoss conseille de les migrer vers la génération actuelle. Pour l'AK-SM 800A, faites confirmer que le correctif de l'an dernier est installé.
- Les signes de cette attaque étaient des unités passées en dégivrage ou des températures que le personnel ne parvenait pas à rétablir ; les installateurs ont ensuite déconnecté les unités du réseau. Une société de maintenance estonienne a indiqué qu'une réaction en moins de 10 minutes avait limité les dégâts.
Ce que l'on sait – et ce que l'on ignore
- Parmi les enseignes touchées figurent Delhaize, Carrefour et Spar en Belgique, ICA et Coop en Suède ; en Irlande, Musgrave a retiré les produits frais et surgelés de 13 magasins SuperValu.
- Claroty a montré l'an dernier que les modèles Danfoss en fin de vie présentent une interface de connexion avec l'identifiant « admin » et un code journalier dérivé de la date de l'appareil. Après l'attaque en France, Reuters a compté au moins 4 500 interfaces Danfoss en ligne.
- En Estonie, selon la société de maintenance Kitman Coldtech, les attaquants ont pénétré dans un contrôleur Danfoss d'ancienne génération. Il n'est pas confirmé que les magasins belges et suédois utilisent le même équipement ; Sabcobel indique que la méthode est exactement la même qu'en France.
- Personne n'a revendiqué les attaques et aucune demande de rançon n'a été signalée.
- ICA indique que les connexions des magasins touchés se trouvent en dehors de son réseau central.
Pourquoi c'est important
Une page de connexion exposée sur Internet peut être trouvée par quiconque la cherche ; sans second facteur, seul le mot de passe barre alors la route. Sur les anciens modèles Danfoss, c'est un code dérivé de la date. Les congélateurs sont le cas extrême ; la vérification vaut pour chaque page d'administration que vous gérez.