Piratage des congélateurs en Europe et angle mort des câbles : deux fronts d'un même combat

L'avertissement figure dans le rapport annuel du NCSC, publié mardi. « Il est ... très probable que, d'ici 2028, des logiciels malveillants dopés à l'IA aient été utilisés dans une attaque par rançongiciel contre des infrastructures critiques britanniques », indique l'agence, selon The Guardian. L'expression CNI, en usage au Royaume-Uni, couvre l'énergie, les transports, la défense, l'alimentation, la santé et la finance.

Richard Horne, directeur général du NCSC, doit déclarer dans un discours prononcé en marge du rapport que « dans les mois à venir, nous faisons face à la perspective réelle d'une hausse sans précédent du nombre d'incidents cyber ». Il en attribue la cause à la capacité de l'IA à trouver des failles dans des systèmes informatiques « tolérées depuis bien trop longtemps ». Le rapport précise aussi que la Russie et la Chine commenceront à utiliser l'IA « de manière routinière » dans leurs cyberattaques.

C'est une prévision, pas une observation. Le NCSC ne désigne aucun auteur pour les incidents décrits ci-dessous.

Des congélateurs à 50C dans sept pays

La perturbation la plus concrète de la semaine n'avait rien à voir avec l'IA. Lundi, des chaînes de supermarchés d'au moins sept pays européens ont indiqué que la température de certains réfrigérateurs et congélateurs avait grimpé pendant la nuit jusqu'à 50C (122F), rapporte The Guardian. Des enseignes en Belgique, en Estonie, en Irlande, en Finlande, au Luxembourg, aux Pays-Bas et en Suède ont signalé des problèmes. Plusieurs ont confirmé avoir été piratées.

C'est la deuxième vague de ce type en un mois. Une attaque en France en octobre a pris le contrôle des groupes de froid de pas moins de 700 supermarchés. Elle a fait monter les températures jusqu'à 50C et provoqué des incendies et des pertes de denrées estimées à des dizaines de millions d'euros. Christophe Hansen, commissaire européen à l'alimentation et à l'agriculture, a qualifié ces incidents répétés de « tentative délibérée de perturber notre chaîne d'approvisionnement alimentaire et d'ébranler la confiance des consommateurs ».

« Nous avons commencé à mobiliser des techniciens à 1h du matin. Nous avons passé toute la nuit et la matinée à déconnecter les installations touchées. »

C'est Stephan Moelans, directeur général de Sabcobel, qui exploite les systèmes de réfrigération de Delhaize, interrogé par Le Soir. Ahold Delhaize a indiqué que les réfrigérateurs et congélateurs de dizaines de ses supermarchés en Belgique et au Luxembourg avaient été touchés. Des journalistes en visite dans un magasin au nord-est de Bruxelles ont vu des rayons vides et un panneau d'excuse « en raison de cyberattaques ».

Les chiffres varient selon les enseignes, et les articles le reflètent plutôt que d'établir un total unique. CNBC rapporte que Colruyt Group a déclaré que cinq de ses magasins Spar en Belgique avaient été ciblés. Carrefour a dit à la BBC que 15 de ses magasins belges avaient été attaqués, et Intermarché que 15 de ses 153 magasins en Belgique étaient concernés. IKEA a indiqué à CNBC qu'un incident cyber avait touché les réfrigérateurs et congélateurs de son magasin de Mons, en Belgique, entre dimanche et lundi, avec un « impact limité » sur son restaurant et son Swedish Food Market. ICA, le plus grand distributeur alimentaire suédois, a fait état d'un « nombre limité de magasins » sur des réseaux extérieurs à ses systèmes centraux. Kesko en Finlande, l'irlandais Supervalu et l'estonien One Selver ont également signalé des perturbations, selon CNBC. La Commission européenne a déclaré être en contact direct avec les autorités nationales. Elle a convoqué lundi matin une réunion de sa task force interinstitutionnelle avec l'ENISA et Europol.

Des mots de passe par défaut, pas des grands modèles de langage

Le mécanisme derrière les attaques sur les congélateurs paraît banal. Paul Chichester, directeur des opérations du NCSC, a déclaré mardi que ces incidents n'étaient pas liés à l'IA. Ils exploitaient des vulnérabilités présentes « depuis longtemps ». Il a précisé que le NCSC travaillait avec les organisations touchées au Royaume-Uni, où l'impact national a été minime.

The Guardian rapporte que l'attaque française impliquait une technologie ancienne connectée à internet avec des mots de passe par défaut. Xavier Bellekens, directeur général de l'entreprise de cyberdéfense Lupovis, a déclaré au journal que sa société avait enregistré 256 tentatives d'attaque venues de 91 sources différentes entre le 20 octobre et le 30 octobre. Les cibles étaient des pièges en ligne de type « honeypot » conçus pour ressembler à des contrôleurs de réfrigérateurs Danfoss. La plupart des tentatives d'authentification utilisaient le nom d'utilisateur et le mot de passe d'usine documentés publiquement par le fabricant.

La British Association of Independent Meat Suppliers a indiqué à la BBC que certains de ses plus de 300 membres avaient été touchés. Les chambres froides d'une entreprise sont montées jusqu'à 100C et deux autres ont signalé une décongélation. Aims a précisé que les unités étaient vides et qu'aucune marchandise n'avait été perdue.

La formule employée par Horne pour résumer tout cela est la phrase de la semaine. Les attaques sur les congélateurs représentent les « contreforts » d'une menace plus vaste, a-t-il dit lors du lancement du rapport. La métaphore porte beaucoup de poids. Elle reconnaît que ce qui s'est produit jusqu'ici est modeste, tout en soutenant que le terrain à venir est pire.

Les câbles que personne ne fait chauffer

Le jour même du lancement du rapport du NCSC, Tom's Hardware a rapporté qu'un navire de recherche chinois stationnant près d'un câble sous-marin avait ignoré les exigences philippines de se retirer. Le bâtiment aurait ignoré les contacts radio et diffusé une fausse identification. Il a manœuvré pour échapper à la capture avant que les Philippines n'envoient leur plus grand navire, repéré à 37 milles marins de la province de Batanes.

Un navire des gardes-côtes chinois est intervenu, et Pékin s'est ensuite plaint de harcèlement, selon le South China Morning Post cité par Tom's Hardware. Aucun rapport confirmé ne fait état d'attaques chinoises contre des câbles sous-marins. Un rapport du Center for Strategic and International Studies a constaté que les navires de recherche chinois passent plus de temps à stationner près des câbles que ceux de toute autre nation. Le think tank a qualifié ce schéma de « disproportionné ».

Cartographier n'est pas couper. Mais la distinction compte moins dès lors qu'on admet que la même catégorie de technologies opérationnelles se trouve sous les deux histoires. Ces équipements sont joignables à distance et souvent non corrigés. Le centre national de cybersécurité suédois a déclaré avoir établi que le pays comptait « pas mal de dispositifs de technologie opérationnelle exposés » qui nécessitent une mise à jour ou un correctif. Son directeur, John Billow, s'est exprimé auprès de Reuters, cité par The Guardian.

Ollie Whitehouse, directeur technique du NCSC, a défendu mardi l'argument du côté consommateur. Il faut encourager les fabricants à rendre les appareils connectés plus sûrs, et les consommateurs doivent accepter de payer plus cher pour un équipement plus sûr. C'est un argument d'achat déguisé en argument de sécurité, et il vaut pour un compresseur de supermarché autant que pour un routeur.

Les fournisseurs bougent, les attaquants aussi

Les réponses commerciales arrivent à leur propre rythme. Mardi, Bull et Schwarz Digits, la division informatique et numérique du groupe Schwarz, ont signé un protocole d'accord, rapporte HPCwire. Ils veulent bâtir ce qu'ils décrivent comme un écosystème européen indépendant et sûr d'IA et de cloud. Le projet place la plateforme BullSequana AI de Bull dans le STACKIT Marketplace de Schwarz Digits, avec des serveurs issus de l'usine Bull d'Angers et un refroidissement liquide direct.

Emmanuel Le Roux, directeur général de Bull, a déclaré que l'objectif est de donner aux organisations européennes des capacités « qu'elles peuvent déployer et contrôler ». Le protocole couvre aussi la co-conception de serveurs selon les standards de l'Open Compute Project, l'intégration de SAP RISE et des travaux exploratoires sur l'informatique quantique. C'est un protocole, pas un contrat, et aucun montant n'a été communiqué.

Côté offensif, OpenAI a annoncé mardi avoir recruté Dan Driscoll, ancien secrétaire à l'Armée américaine, comme conseiller principal pour la modernisation de la sécurité nationale, un poste nouveau, rapporte CNBC. Driscoll a démissionné de son poste de secrétaire à l'Armée cette année après des tensions rapportées avec le secrétaire à la Défense Pete Hegseth. Sam Altman a déclaré que les États-Unis avaient « une occasion extraordinaire de travailler avec d'autres pays pour diffuser l'adoption d'une IA démocratique ».

OpenAI a aussi quadruplé les primes de son programme de chasse aux bugs, rapporte The Decoder mardi. Les vulnérabilités critiques dans des produits comme ChatGPT ou Codex rapportent désormais aux chercheurs externes jusqu'à 30 000 dollars, les découvertes exceptionnelles jusqu'à 100 000 dollars, et avec les bonus environ 172 000 dollars. Lors de son dernier sprint de sécurité interne, 25 pour cent des ingénieurs produit d'OpenAI ont travaillé à trouver des vulnérabilités, selon l'entreprise.

Toutes les intrusions ne sont pas spectaculaires. Tom's Hardware a rapporté lundi que la plateforme de développement cloud Brev de Nvidia avait connu une activité non autorisée entre le 4 et le 20 octobre, avec des clés SSH potentiellement exposées. Nvidia a déclaré avoir renouvelé les clés et mis à jour les instances clients, sans trouver de preuve d'usage abusif. L'entreprise n'a pas expliqué comment les attaquants étaient entrés.

Ce que la semaine montre vraiment

Deux choses peuvent être vraies en même temps. Les attaques sur les congélateurs étaient grossières, fondées sur des identifiants par défaut et d'anciennes failles, et ont été contenues dans la plupart des cas. Intermarché a indiqué à CNBC que ses mesures de sécurité lui avaient permis de réagir vite. Quelques magasins ont subi des pertes de stock « rien de comparable à l'attaque de la mi-octobre ».

Et la prévision du NCSC reste une prévision. Alan Woodward, professeur de cybersécurité à l'université de Surrey, a déclaré à The Guardian que l'IA peut aider à trouver et à corriger des failles, « mais si nous n'obtenons pas l'accès, les méchants nous devanceront ». L'agence cite un seul point de données sur les capacités de l'IA. Le mois dernier, la technologie a aidé à découvrir une faiblesse critique dans PHP, un langage utilisé par près de 70 pour cent des sites web mondiaux.

Le dossier des câbles sous-marins est plus difficile à chiffrer. Aucune coupure confirmée n'est liée à l'incident de septembre près de Batanes, et aucune attaque chinoise confirmée contre un câble n'existe. Ce qui existe, c'est une série de stationnements et la conclusion d'un think tank qu'ils sont disproportionnés. Les gardes-côtes philippins ont aussi dû envoyer leur plus grand navire pour suivre un navire de recherche.

Pour les opérateurs européens, le chevauchement pratique manque de glamour : l'inventaire. La vague des congélateurs s'est propagée parce que des groupes de froid étaient joignables depuis internet avec des identifiants que n'importe qui pouvait consulter. Le risque lié aux câbles grandit parce que les infrastructures des fonds marins sont cartographiées plus vite qu'elles ne sont protégées. Aucun des deux problèmes ne se règle avec un meilleur modèle.