Frigos piratés : vos équipements techniques sont une porte d'entrée
Après la manipulation à distance des régulateurs frigorifiques de supermarchés, les questions à poser à votre DSI sur vos équipements connectés : froid, GTB, accès, onduleurs.
Une semaine après les frigos piratés, la vraie question n'est pas « qui ». C'est « et chez moi ? ».
Ce que l'on sait
Selon la presse, dans la nuit du 11 au 12 octobre, les régulateurs frigorifiques de plusieurs centaines de supermarchés ont été manipulés à distance. Des tonnes de produits frais et surgelés ont dû être jetées. La section cyber du parquet de Paris a ouvert une enquête. Aucune revendication n'a été rendue publique à ce jour.
Au-delà du préjudice financier, l'incident rappelle une réalité que nous constatons régulièrement en audit : les équipements techniques sont connectés, mais rarement traités comme des systèmes informatiques à part entière.
Une leçon qui dépasse la grande distribution
Froid, gestion technique du bâtiment (GTB), climatisation, contrôle d'accès, onduleurs, vidéosurveillance : ces équipements sont présents dans presque toutes les organisations. Ils ont souvent trois points communs :
- ils sont joignables à distance, parfois directement depuis Internet
- ils sont maintenus par des prestataires qui s'y connectent avec leurs propres accès
- ils sont rarement inclus dans le périmètre des audits de sécurité, considérés comme du « technique » plutôt que de l'informatique
C'est exactement la combinaison qu'un attaquant recherche : un accès possible, peu de surveillance, et un impact concret sur l'activité.
Les questions à poser cette semaine à votre DSI
Pas besoin d'attendre un audit pour commencer. Quatre questions suffisent à mesurer votre exposition :
- Quels équipements techniques sont joignables depuis Internet ?
- Qui s'y connecte à distance, et avec quelle authentification ?
- Sont-ils à jour, et séparés du reste du réseau ?
- Une alarme vous préviendrait-elle si quelqu'un changeait une consigne ?
Si une seule de ces réponses est « je ne sais pas », le sujet mérite d'être traité.
Ce que nous faisons
Nous auditons ces environnements comme un attaquant les verrait : recherche des équipements exposés, revue des accès des prestataires, analyse de la segmentation entre le réseau technique et le reste du système d'information, et test des scénarios de manipulation. Toujours sans perturber l'exploitation, avec des tests préparés et validés en amont.
Vos équipements connectés n'ont jamais été audités ? Écrivez-nous.