Des pirates informatiques ont tenté de manipuler les systèmes de réfrigération protégeant du plasma sanguin dans trois établissements médicaux français, mettant potentiellement en danger des fournitures médicales essentielles.
La cyberattaque a ciblé des équipements exploités par l'Établissement français du sang (EFS) entre le 1er et le 2 novembre. Les attaquants auraient obtenu un accès via un prestataire tiers de réfrigération et modifié les réglages de température et de dégivrage, mais les systèmes de surveillance ont détecté l'activité anormale avant que les produits stockés ne soient endommagés.
Cet incident fait suite à des informations faisant état d'autres incidents cyber liés à la réfrigération en Europe et met en évidence les risques liés au recours à des prestataires externes pour assurer la maintenance de technologies opérationnelles connectées. Les enquêteurs n'ont pas établi de lien entre ces attaques.
Déroulement de l'attaque
L'attaque s'est produite entre le 1er et le 2 novembre, lorsque des pirates ont compromis un prestataire de services de réfrigération connecté à l'EFS. Par l'intermédiaire des systèmes du fournisseur, ils ont accédé aux équipements de réfrigération de trois établissements de l'EFS qui stockaient du plasma et des échantillons biologiques.
Les attaquants ont manipulé les seuils de température et de dégivrage, tentant d'exposer les produits stockés à des températures dangereusement élevées.
CBS News, citant le journal français Le Canard Enchaîné, a rapporté que les réglages étaient passés d'environ -30 °C à 110 °C. Ce chiffre correspond à la modification de configuration rapportée, et non à une température effectivement atteinte par les produits stockés.
Les systèmes de surveillance et d'alarme de l'EFS ont détecté les changements anormaux, permettant au personnel d'intervenir avant que les produits ne soient endommagés. Le personnel a sécurisé les équipements concernés et transféré le plasma stocké vers d'autres établissements par mesure de précaution.
DW-TV a rapporté que l'accès à distance aux réfrigérateurs concernés avait ensuite été désactivé. Coolworld, le fournisseur de systèmes de réfrigération cité dans les articles, a reconnu un incident de cybersécurité impliquant ses logiciels et attribué la vulnérabilité signalée à un composant tiers.
L'EFS indique que l'enquête sur l'incident est toujours en cours.
Une vague plus large d'attaques contre les systèmes de réfrigération
Cet incident fait suite à des informations faisant état d'autres perturbations de systèmes de réfrigération en France et ailleurs, même si les enquêteurs n'ont pas établi de lien entre ces affaires.
En octobre, des pirates informatiques ont perturbé les équipements de réfrigération de centaines de supermarchés français, manipulant les réglages de température et de dégivrage et provoquant d'importantes pertes alimentaires.
Par ailleurs, le Pentagone enquête sur des pannes de congélateurs survenues dans au moins six bases militaires américaines en août, mais dont l'ampleur n'a été largement connue que récemment, après les premières attaques en France. Le Pentagone cherche à déterminer si les défaillances de réfrigération dans plusieurs installations militaires américaines ont été causées par une cyberattaque. Une cause liée à la cybersécurité n'a pas été confirmée.
Une deuxième vague d'attaques a touché des supermarchés et des entreprises dans plusieurs pays européens, notamment la Belgique, les Pays-Bas, la Suède, le Luxembourg, l'Irlande et l'Estonie. Selon The Guardian, des centaines de magasins et d'entreprises auraient été touchés dans la nuit du 1er au 2 novembre, pendant la même période que l'attaque visant les établissements de l'EFS.
L'attaque contre la banque du sang française, une leçon de cyberrésilience
Cet incident montre comment les défenses de cybersécurité peuvent limiter les dommages physiques, même après que des attaquants ont pris le contrôle d'équipements connectés.
« Nous ne pouvons pas empêcher chaque intrusion, en particulier avec des dépendances complexes vis-à-vis de prestataires tiers, mais une surveillance efficace, des mesures de protection physiques et des procédures d'intervention peuvent empêcher qu'une compromission technique ne se transforme en un problème aux conséquences bien plus graves », a déclaré Gabrielle Hempel, stratège des opérations de sécurité chez Exabeam, à eSecurity Planet.
Darin Fredde, directeur senior de l'ingénierie du marketing technique chez Ridge Security, estime que cette attaque illustre une évolution plus générale des conséquences des défaillances de sécurité chez les prestataires tiers. Au lieu de se manifester uniquement par des données volées ou des serveurs perturbés, ces défaillances peuvent toucher les systèmes physiques dont dépendent les organisations.
Les systèmes de surveillance et d'alarme de l'EFS auraient détecté les réglages anormaux des équipements de réfrigération, permettant au personnel d'intervenir avant que le plasma stocké ne soit endommagé. La réponse souligne l'importance d'une surveillance indépendante, de procédures d'escalade rapides et de mesures de protection qui restent efficaces lorsque les systèmes de gestion à distance sont compromis.
Si vous avez un congélateur connecté au travail ou chez vous, voici ce que vous pouvez faire
Les équipements de réfrigération connectés à Internet peuvent introduire des risques de sécurité, en particulier lorsque leurs systèmes de contrôle sont accessibles à distance.
Selon Damon Small, membre du conseil d'administration de Xcape, Inc., « tout appareil connecté à Internet capable d'avoir une incidence sur la sécurité des personnes doit disposer d'une authentification forte et de contrôles d'accès stricts. L'accès doit être limité aux utilisateurs autorisés au moyen d'un filtrage approprié, car ces systèmes méritent le même niveau de protection que toute autre technologie opérationnelle critique. »
Pour les particuliers et les entreprises qui utilisent des congélateurs connectés :
- Évitez l'exposition à Internet public : N'exposez pas directement les contrôleurs de réfrigération à Internet au moyen d'adresses IP publiques.
- Sécurisez l'accès à distance : Utilisez un VPN protégé pour la maintenance à distance plutôt qu'un accès Internet sans restriction.
- Modifiez les mots de passe par défaut : Remplacez les identifiants définis en usine sur les contrôleurs de réfrigération et protégez les comptes associés aux appareils avec des mots de passe uniques.
- Mettez à jour le micrologiciel des contrôleurs : Installez les correctifs de sécurité fournis par les fabricants des équipements et remplacez les contrôleurs qui ne sont plus pris en charge lorsque cela est nécessaire.
- Surveillez les réglages de température : Activez les alertes en cas de variation inattendue de la température, lorsque cela est possible.
- Isolez les équipements critiques : Les entreprises doivent maintenir les contrôleurs opérationnels sur des segments réseau dédiés, séparés des ordinateurs de bureau ordinaires.
L'incident de l'EFS montre pourquoi la protection des équipements de réfrigération connectés exige davantage que la simple sécurisation des appareils eux-mêmes. Les organisations doivent également contrôler l'accès des fournisseurs, surveiller les équipements de manière indépendante et maintenir des procédures d'intervention capables d'empêcher qu'un système compromis n'endommage des fournitures sensibles à la température.
Pour les prestataires de soins, les distributeurs alimentaires et les autres exploitants de systèmes de réfrigération critiques, la priorité est de veiller à ce qu'une cyberattaque ne puisse pas transformer silencieusement une modification de configuration à distance en incident de sécurité physique.
Autre actualité : la fuite de données de l'université Harvard en 2025 a exposé environ 851 000 adresses e-mail uniques, selon une nouvelle publication de Have I Been Pwned, les informations compromises sur des anciens élèves et des donateurs pouvant permettre des attaques d'hameçonnage ciblées et des usurpations d'identité.