if ( !emtpy($headline_subheadline ) ) : ?>
Le manque de priorités en matière de cybersécurité et la complexité des relations avec les fournisseurs ont entraîné l’incapacité de se défendre contre de nouvelles attaques.
endif; ?>
Quelques semaines seulement après qu’une cyberattaque contre les systèmes de réfrigération des supermarchés français ait entraîné des aliments avariés, voire des incendies, des détaillants en Belgique, en Irlande, en Suède, en Finlande et en Estonie ont été touchés lundi par des attaques presque identiques.
L’attaque de la mi-octobre a donné lieu à un avis du CERT-FR recommandant aux organisations de déconnecter d’Internet tous les systèmes de contrôle de réfrigération dotés d’adresses IP publiques et de les reconnecter via un VPN sécurisé uniquement après avoir vérifié la configuration et, si nécessaire, restauré les paramètres d’usine.
En cas d’urgence, suggère l’avis, les organisations pourraient simplement filtrer les connexions pour permettre uniquement aux adresses IP de leurs fournisseurs de services de réfrigération ou de leurs prestataires de services de se connecter, mais cela ne devrait pas être une solution à long terme.
L’attaque de lundi, comme celle d’octobre, « a entraîné des changements soudains dans la température de leurs réfrigérateurs et congélateurs », selon un rapport de Bloomberg, qui a confirmé des incidents avec des détaillants touchés, notamment Carrefour, Spar et Ahold Delhaize. Aucun groupe n’a pour l’instant affirmé être à l’origine de ces attaques.
Retard compréhensible
Les analystes et les consultants ont déclaré que l’absence de réponse immédiate aux attaques initiales contre la réfrigération est compréhensible, étant donné la nature complexe des systèmes et les multiples fournisseurs qui gèrent généralement ces systèmes pour les grands détaillants.
Katell Thielemann, analyste distinguée de Gartner, a déclaré que même si les détaillants européens concernés possèdent le matériel, ils sous-traitent la maintenance, l’entretien et la gestion. Ainsi, a-t-elle déclaré, « il existe une certaine confusion quant à savoir qui possède quoi dans cette boîte noire de l’externalisation ».
Bobby Kuzma, directeur de recherche principal d’IDC, est d’accord.
« Il existe un énorme fossé en termes de visibilité entre les personnes qui surveillent les informations sur les menaces et les rapports de vulnérabilité et celles qui gèrent le côté OT/industriel de l’univers », a-t-il déclaré. « Les équipes de cybersécurité ne savaient peut-être même pas que les appareils étaient connectés au réseau, surtout s’ils circulaient sur des circuits Internet dédiés pour l’assistance du fabricant. »
Thielemann a ajouté que l’incident a été aggravé par le manque historique de priorité accordée aux défenses de cybersécurité dans le commerce de détail.
«C’est la preuve que la cybersécurité n’est toujours pas une priorité», a-t-elle déclaré. « Même lorsque la situation est si flagrante, les hauts dirigeants (du commerce de détail) ne se demandent pas : « Comment pouvons-nous anticiper cela ? »
Cependant, selon Kuzma, ce problème se résume à la visibilité de l’inventaire des actifs.
« Vous ne pouvez pas protéger un système dont vous ignorez l’existence. Vous ne pouvez pas rechercher des expositions sur une connexion dont vous ignorez l’existence », a-t-il souligné. « Parfois, cet inventaire nécessite que quelqu’un se rende physiquement dans le placard des opérateurs de télécommunications sur place et pose des questions pointues sur les équipements présents. De nos jours, avoir des appareils de tout type suspendus à une connexion Internet publique et accessibles pose problème. »
IoT géré en dehors de l’informatique
David Neuman, conseiller exécutif du cabinet de conseil Acceligence, a également noté qu’il n’était jamais réaliste de supposer que la publication d’un avis de cybersécurité allait remédier de manière significative à cette faille de sécurité.
« Un avis ne répare pas un système que personne ne possède dans le bâtiment », a déclaré Neuman. « Les sous-traitants installent et entretiennent souvent les contrôleurs de réfrigération des magasins dans le cadre d’arrangements qui reposent sur un flux de données constant, afin qu’ils puissent rester en dehors de l’inventaire et de l’autorité de l’équipe de sécurité. Mettre les contrôleurs hors ligne signifie les trouver, puis retravailler la façon dont l’entrepreneur entre, magasin par magasin. »
Cela, dit-il, « explique l’écart, mais cela ne l’excuse pas : la France a donné à chacun un préavis de trois semaines. Abuser d’une fonction légitime comme le dégivrage provoque des dommages physiques et financiers sans aucun malware. »
Brian Levine, associé du cabinet de conseil Control Risks, a ajouté qu’une autre partie du problème réside dans le fait que les appareils IoT ont toujours été gérés en dehors de l’informatique.
« Pendant des années, les organisations ont traité les équipements opérationnels connectés comme un problème d’installation. Ces incidents mettent fin à ce débat », a déclaré Levine. « Les professionnels de la sécurité n’ont jamais écarté ce risque ; les budgets l’ont dépriorisé parce que rien n’avait échoué à grande échelle. C’est désormais le cas, et les conseils d’administration se demanderont pourquoi les contrats avec les fournisseurs, les plans de réponse aux incidents et les exercices sur table n’ont jamais pris en compte un résultat physique. »
Et, a déclaré Noah Kenney, consultant principal chez Digital 520, ce problème va au-delà du simple fait que les attaquants pourraient y accéder. Il s’est dit très préoccupé par l’éventail de choses que les attaquants ont pu faire avec cet accès.
« Les attaquants auraient pu manipuler les systèmes de réfrigération pour qu’ils fonctionnent bien en dehors de leurs paramètres prévus », a déclaré Kenney. « Même si quelqu’un accède à un système, il devrait y avoir des mesures de protection indépendantes empêchant les commandes susceptibles d’endommager l’équipement ou de perturber les opérations. Le fait que l’accès à distance puisse potentiellement se traduire par des dommages physiques suggère de graves lacunes dans la façon dont ces systèmes sont conçus et sécurisés. «
Kenney a également noté que certains de ces appareils avaient dépassé leur fin de vie depuis longtemps, ce qui signifie que les correctifs de sécurité et autres mises à niveau n’étaient peut-être pas disponibles. « Les organisations peuvent finir par s’appuyer sur des équipements qui fonctionnent encore parfaitement sur le plan opérationnel, mais qui ne peuvent plus être correctement sécurisés », a-t-il souligné. « Cela crée des décisions difficiles concernant l’isolation du réseau, les contrôles compensatoires et, en fin de compte, le moment où l’équipement doit être remplacé. »
En effet, selon Carmi Levy, analyste technologique indépendante, certains responsables informatiques ont tendance à ignorer les systèmes IoT, en particulier lorsqu’ils ont été déployés par des unités fonctionnelles sans l’autorisation des équipes informatiques ou de cybersécurité.
« Les entreprises n’ont pas tendance à considérer les réfrigérateurs de la même manière que les serveurs, les smartphones et autres appareils traditionnellement connectés », a-t-il noté. « Au contraire, la plupart des magasins informatiques ont une vision limitée de ce qui constitue un appareil connecté. Cela signifie que de nombreuses organisations utilisent des appareils connectés, tels que des appareils électroménagers, des nettoyeurs de sol et des machines autrefois stupides mais désormais de plus en plus intelligentes, avec des micrologiciels dangereusement obsolètes parce qu’elles ne les ont jamais identifiés comme connectés en premier lieu. »
Menace inattendue pour l’informatique
En outre, a déclaré Frank Dickson, analyste principal chez Dickson Research, il existe également des problèmes juridiques d’entreprise qui peuvent affaiblir la nécessité d’une action rapide en matière de cybersécurité.
« L’alerte du CERT-FR montre pourquoi cela prend du temps. Avant de couper un contrôleur d’Internet, il demande aux opérateurs de vérifier les conditions d’assurance dans leur contrat avec le fournisseur de services de réfrigération. Cette seule ligne en dit long », a-t-il déclaré, ajoutant que beaucoup de ces contrôleurs sont installés, surveillés et garantis par un entrepreneur qui dépend du flux de données. Le magasin n’a peut-être ni la capacité ni l’autorité de les fermer.
« Trois semaines d’avertissement, c’est long pour un attaquant et peu de temps pour une chaîne de supermarchés. Fermez d’abord la porte à Internet et renégociez ensuite les contrats », a-t-il déclaré.
Dickson a également fait valoir que ces attaques par réfrigération constituent également une menace inattendue pour les systèmes informatiques traditionnels, car les serveurs et autres équipements sont sensibles à la température.
« Un attaquant qui atteint le système de gestion du bâtiment n’a pas besoin de toucher un seul serveur. Les serveurs s’arrêteront d’eux-mêmes plutôt que de cuire », a déclaré Dickson. « Vous n’avez pas besoin de pirater le centre de données. Il vous suffit de pirater la climatisation. »
