Dans la nuit du 11 au 12 octobre, une cyberattaque a ciblé les systèmes de réfrigération connectés de plusieurs centaines de supermarchés français, entraînant la destruction de produits frais et surgelés. Alors que l’enquête doit encore déterminer les responsabilités et l’ampleur exacte de l’attaque, cet incident rappelle qu’un équipement industriel connecté peut affecter directement la continuité d’activité d’une entreprise.
Au-delà de la question de la responsabilité, cette attaque pose la question de la préparation des entreprises face à la compromission de leurs équipements physiques. Un plan de continuité et de reprise d’activité ne doit pas se limiter à la restauration des serveurs et des données. Il doit également permettre de remettre en service des équipements industriels de manière fiable et sécurisée.
« Les plans de continuité et de reprise d’activité ne doivent pas seulement permettre de redémarrer les systèmes informatiques. Lorsqu’une entreprise dépend d’équipements connectés, ils doivent aussi garantir, en amont, que ces installations sont déployées et configurées de manière sécurisée. Ceci nécessite de mettre en place des sauvegardes récurrentes saines, de tester régulièrement les procédures via des pentests afin de s’assurer que les risques associés soient bien contrôlés (ex: restrictions sur les accès distants, configuration sécurisée). En aval, avant remise en service de ces systèmes, il est nécessaire d’enquêter (forensics) pour comprendre comment les attaquants ont réussi à s’introduire dans le système et plus généralement réaliser leur attaque, mais également s’assurer que ces derniers soient bien hors du système pour éviter une deuxième attaque » explique Maxime Flament, consultant expert en cybersécurité chez Meritis.
« Sur ce type d’incident, le coût ne se limite pas aux produits qu’il faut jeter. Plusieurs millions d’euros peuvent être perdus sur le seul volet alimentaire. Sans PCA et PRA opérationnels, l’entreprise risque également de prolonger l’interruption et d’augmenter fortement ses pertes d’exploitation. Dans ce contexte, le cyber-assureur peut également contribuer à la résilience de l’entreprise, notamment dans l’accompagnement de la gestion de l’incident et de ses conséquences », poursuit Maxime Flament.
Dans ce contexte, plusieurs bonnes pratiques doivent être respectées :
– Vérifier régulièrement les mises à jour et le niveau de support des logiciels et équipements, appliquer les correctifs de sécurité dès qu’ils sont disponibles et prévoir le remplacement des systèmes en fin de vie qui ne bénéficient plus de mises à jour.
– Disposer de sauvegardes saines et récentes, comprenant les configurations, logiciels, paramètres et éléments nécessaires à la reconstruction de l’infrastructure, avec au moins une copie hors réseau.
– Réaliser des pentests et audits de sécurité réguliers sur les équipements industriels connectés, leurs accès distants et les interfaces exposées sur Internet.
– Tester régulièrement le PRA en conditions réelles, au moins deux fois par an, voire chaque trimestre pour les activités les plus sensibles.
– Améliorer le niveau de sécurité pendant la reprise, en réinstallant les outils de supervision, les contrôles d’accès et les dispositifs de protection avant tout retour à la normal, mais également en les améliorant en fonction de ce qui ressort de l’enquête suite à l’attaque
– Segmenter les réseaux et sécuriser les accès de maintenance, notamment grâce à des VPN, une authentification à double facteur et une limitation stricte des droits.
Cette problématique dépasse largement le secteur de la grande distribution. Les chaînes d’assemblage industrielles, les réseaux d’énergie et d’eau, les transports, les aéroports, la logistique, les établissements de santé, les laboratoires pharmaceutiques et les bâtiments équipés de systèmes de gestion technique présentent des vulnérabilités comparables. Dans ces environnements, une cyberattaque pourrait provoquer un arrêt de production, perturber un service essentiel, altérer un paramètre industriel ou déclencher une crise opérationnelle.
À propos de Meritis
Meritis est une société́ de conseil, pilotage et développement IT fondée en 2007 par Sébastien Videment. Installée initialement à Paris, elle a su développer un réseau national et assure une présence dans les plus grandes villes de France : Sophia-Antipolis, Montpellier, Nantes, Bordeaux, Aix-en-Provence, Lille et plus récemment à Lisbonne (Portugal) depuis 2023. Leurs experts accompagnent les clients dans l’intégralité de leurs besoins de transformations numériques à travers de nombreux domaines d’expertise : Finance & Risques, Software Engineering, Cloud & DevOps ; Cybersécurité ; Data & IA et Projet & Agilité. Fort de ses valeurs d’exigence, d’humilité, de bienveillance et de proximité, le cabinet de 1 000 collaborateurs primé à 5 reprises en tête du palmarès Great Place To Work connait toujours une forte croissance pour un chiffre d’affaires supérieur à 100M€ en 2024. Principaux clients : Société Générale, BNP Paribas, Crédit Agricole, Natixis, BPCE, AXA, RTE, Amadeus, Banque Populaire, Caisse d’Epargne, Euronext, Groupama, Airbus, CMA CGM, CNP Assurances, Essilor International, Engie, Kering, RATP, L’Oréal, Orange, La Poste, Schneider, SNCF.