SHIELD

Organisation et équipe

Personne n'a décidé que vos frigos obéiraient à distance

L'attaque sur les systèmes de froid Danfoss n'a pas révélé une faille de sécurité, mais une décision de gouvernance que personne n'avait prise.

Publié le 5 min de lecture Critique

Dernière revue:

Réfrigérateur commercial dans un supermarché

On va sécuriser les automates. Personne ne demande qui a décidé qu’ils seraient pilotables depuis l’extérieur.

Dans la nuit du 11 au 12 octobre 2026, des centaines de supermarchés français ont trouvé au petit matin des rayons de surgelés à jeter. Des régulateurs de réfrigération DanfossGestionnaire central de réfrigération Danfoss, pilotable via interface web, ciblé dans l'attaque d'octobre 2026. avaient été pilotés à distance pour déclencher le dégivrage, température poussée autour de cinquante degrés. Intermarché, Netto, Coopérative U, Carrefour, Leclerc, Monoprix. Le ministre de l’Économie a évoqué 700 magasins sur 10 000, le parquet de Paris a ouvert une enquête, et l’attaque a essaimé en Belgique, en Espagne, en Allemagne.

Depuis, tout le monde a découvert l’OTSystèmes informatiques qui pilotent des équipements physiques : automates, capteurs, régulateurs industriels. et veut le sécuriser. Segmenter les réseaux, auditer les fournisseurs, patcher les automates, isoler les interfaces de gestion. Rien de faux là-dedans. Mais ça regarde la serrure sans regarder qui a posé la porte.

Personne n’a jamais décidé que le froid d’un magasin serait pilotable depuis l’extérieur. La capacité est arrivée par couches. Un contrat de maintenance qui prévoit la télésurveillance, plus pratique que de déplacer un technicien. Un équipementier qui ajoute le pilotage distant dans sa gamme. Un frigoriste qui le branche parce que c’est ce que vend le fabricant. Chaque étape se défend seule. Au bout, un matin, le dirigeant apprend qu’une partie de son outil de production obéit à quelqu’un d’autre, et il ne se souvient pas d’avoir signé pour ça.

Le Danfoss AK-SM 800A est un gestionnaire central : il coordonne les contrôleurs d’un point de vente et expose une interface web pour voir les circuits et fixer les seuils. En août 2026, à la DEF CON, l’équipe Team82 de Claroty avait montré trois failles dans cette interface et une démonstration parlante : un contrôleur compromis peut couper le froid tout en affichant des températures normales. Les chercheurs avaient aussi relevé des milliers d’interfaces de gestion accessibles publiquement. La vulnérabilité était connue. L’exposition aussi.

Le réflexe sécurité bute sur un angle mort. La sécurité répare ce qui a été mal protégé. Elle ne décide pas ce qui doit exister. On peut chiffrer, segmenter et surveiller un dispositif dont personne n’a voulu, on l’aura mieux protégé. La question est en amont, et elle n’appartient pas à l’ingénieur : qu’est-ce qui doit être pilotable à distance dans votre entreprise, par qui, et qu’acceptez-vous de perdre si ça tombe. Une fois cette réponse écrite, la sécurité redevient un sujet technique ordinaire. Avant, elle colmate.

Reste une question que l’attaque pose et que personne ne tranche. Si personne n’a décidé, qui répond. L’enseigne qui subit. Le frigoriste dont le contrat de maintenance prévoyait l’accès distant. L’équipementier dont l’interface traînait, exposée, avec une faille connue. Et une assurance perte d’exploitation couvre-t-elle un sinistre dont la cause est chez un tiers que l’assuré n’a jamais choisi. Ces réponses ne sont pas techniques elles non plus.

La faille n’était pas dans le logiciel, mais dans une décision que personne n’a prise.
Shield — shield.travel

Angle de lecture

Chez vous, le même glissement. Le thermostat, l’alarme, la caméra, le portail sont arrivés pilotables depuis une application, par défaut. Vous n’avez pas choisi que votre chauffage obéisse à un serveur distant, c’était la case cochée à l’installation. La question vaut pour votre maison : qu’est-ce qui a besoin d’être commandé de l’extérieur, et qu’est-ce qui marcherait très bien sans.

Votre inventaire liste les serveurs et les postes. Il liste rarement ce qui, dans l’OT, obéit à l’extérieur : GTB, froid, automates, onduleurs, et leurs interfaces de maintenance. Commencez par là. Qui a l’accès distant, par quel canal, prévu par quel contrat. Beaucoup de ces portes ont été ouvertes par un mainteneur, pas par vous, et ne figurent sur aucun schéma. Une interface de gestion exposée publiquement laisse la commande de votre outil industriel accessible depuis n’importe où. Traitée comme une simple dette à patcher plus tard, elle reste une porte ouverte en attendant.

Cette décision est la vôtre, pas celle de votre DSI ni de votre frigoriste. Eux sécurisent, segmentent, surveillent. Ils ne décident pas à votre place ce que votre entreprise confie à l’extérieur, ni ce qu’elle accepte de perdre. Trois choses à trancher et à imposer : ce qui doit rester pilotable à distance et ce qui se coupe ; qui détient cet accès, et ce que vos contrats de maintenance autorisent réellement ; combien de temps vous tenez si cette fonction tombe. Posez la question à votre assureur avant le sinistre, pas après : une perte d’exploitation causée par un tiers que vous n’avez pas choisi est-elle couverte. La parade est une décision, et elle se prend en amont.

À mettre en place

  • N1 Lister ce qui, dans votre outil de production, est pilotable depuis l'extérieur : froid, GTB, automates, onduleurs, caméras, serrures.
  • N1 Retrouver qui détient cet accès, équipementier, frigoriste ou mainteneur, et ce que le contrat de maintenance autorise exactement.
  • N1 Décider, pour chaque capacité, si le pilotage distant est nécessaire ou s'il se coupe.
  • N2 Écrire ce que vous acceptez de perdre si cette fonction tombe, et combien de temps vous tenez sans elle.
  • N2 Poser à votre assureur la question de la couverture quand la cause est chez un tiers que vous n'avez pas choisi.
  • N3 Une fois ces décisions prises, confier le reste à la technique : segmentation, chiffrement, supervision.

Sources

Articles liés