Des cyberpirates ont pris le contrôle de la température des réfrigérateurs de nombreuses enseignes d’épiceries françaises dans la nuit de dimanche à lundi, causant la perte de milliers de produits alimentaires partout au pays. Une attaque inédite qui pousse à se questionner sur la place que prennent les objets connectés à Internet dans nos sociétés, pense un expert questionné par Le Devoir.

Une attaque comme celle qui s’est produite en France cette semaine, « ça pourrait arriver au Canada et au Québec », répond sans détour Sébastien Gambs, professeur au Département d’informatique de l’Université du Québec à Montréal. Dans la nuit de dimanche, les assaillants se sont emparés du système de contrôle de la température des réfrigérateurs de plusieurs centaines de points de vente des enseignes Intermarché / Netto, Carrefour, E. Leclerc et Monoprix. Des équipements ont pris feu et des denrées alimentaires ont été perdues.

Au total, ce sont des milliers de produits qui ont été jetés.

« L’enjeu principal c’est que le niveau de sécurité des objets connectés est souvent relativement bas », souligne Sébastien Gambs. Concrètement, les assaillants ont profité de failles de sécurité informatique dans les équipements de réfrigération qui étaient connectés à Internet et dont l’interface était accessible à distance, sans avoir besoin de s’authentifier. « Ç’a été assez facile d’y accéder. »

L’attaque des cyberpirates a selon lui aussi été un succès parce que le fabricant des réfrigérateurs — l’entreprise danoise Danfoss selon des sources proches du dossier — ne respectait pas « les bonnes pratiques de sécurité », et que certains de leurs appareils étaient trop vieux pour être mis à jour, par exemple. Pour l’instant, les épiciers qui utilisent encore ces réfrigérateurs ont été conseillés de les déconnecter d’Internet, le temps que la situation se stabilise.

Au Canada, au moins deux supermarchés seraient dotés de ces systèmes. « Ce n’est pas beaucoup, mais il y a d’autres entreprises [de réfrigérateurs] américaines qui font un peu la même chose et qui pourraient être ciblées. »

Infrastructures critiques et objets du quotidien

L’attaque frappe l’imaginaire. « Quand on pense aux infrastructures critiques, on a souvent en tête les hôpitaux ou les réseaux électriques, mais finalement l’exemple des supermarchés, c’est aussi important ».

« Par exemple, si une guerre se déclenchait et qu’un État voulait faire mal à un autre État, en causant la panique dans une grosse partie des supermarchés et en diminuant le stock de nourriture disponible, et bien l’attaque de dimanche montre que c’est clairement possible. »

Mais reste que les événements de dimanche « auraient pu être évités en ayant des équipements plus récents ou en mettant un système d’accès avec un mot de passe ou une authentification double comme on a l’habitude avec nos comptes bancaires, les bonnes pratiques de sécurité classique », croit-il.

« La question se pose maintenant : est-ce que les failles des objets médicaux connectés dans certains hôpitaux pourraient être exploitées ? Ou d’autres infrastructures critiques ? »

Pour les objets connectés du quotidien, comme les réfrigérateurs intelligents à la maison ou les thermostats connectés à Internet, « c’est exactement les mêmes risques », dit M. Gambs. L’impact serait certes moins important si un seul domicile était visé, mais les risques d’attaques du même genre sont tout de même possibles. Puisque les entreprises qui mettent en marché les nouveaux appareils connectés ont souvent intérêt à garder les coûts bas, les mesures de sécurité ne sont souvent pas la priorité, explique l’expert.

« Éventuellement, avec le temps, il peut y avoir des enjeux de sécurité. On peut penser par exemple aux caméras intelligentes qui ont été hackées. »

La solution ? « C’est peut-être le temps de prendre un pas de recul et de vraiment penser : Est-ce que les fonctionnalités du frigo connecté sont vraiment essentielles, ou est-ce qu’on ne veut pas plutôt rester avec un frigo classique ? »

Avec l’Agence France-Presse