Des supermarchés à travers l’Europe ont été touchés par des cyberattaques présumées visant des réfrigérateurs et des congélateurs, ce qui soulève de plus larges questions sur la sécurité des équipements connectés à internet. Les appareils intelligents peuvent inclure des appareils électroménagers, des systèmes de chauffage et des équipements industriels, qui peuvent tous être gérés à distance lorsqu’ils sont connectés à internet.
L’accès à internet ne signifie pas automatiquement qu’un appareil peut être facilement pris sous contrôle. Les grands fabricants investissent généralement beaucoup dans la sécurité, même si des vulnérabilités ont déjà été découvertes dans des produits connectés. En 2015, des chercheurs ont démontré qu’une faille dans un réfrigérateur intelligent Samsung pouvait permettre l’interception du trafic internet.
Rien ne prouve que des appareils domestiques aient été ciblés lors des incidents survenus dans les supermarchés. Cependant, Ciaran Martin, ancien directeur général du National Cyber Security Centre du Royaume-Uni, a déclaré que les fabricants devaient faire davantage pour intégrer la sécurité aux produits connectés. Il a conseillé aux consommateurs d’installer les mises à jour et d’activer l’authentification multifacteur lorsqu’elle est disponible.
La législation britannique entrée en vigueur en avril 2024 oblige les fabricants de certains appareils intelligents grand public à respecter des normes minimales de cybersécurité, notamment des règles concernant les mots de passe et les mises à jour de sécurité. Le NCSC a déclaré travailler avec des partenaires internationaux et le secteur pour comprendre les incidents survenus dans les supermarchés et ne pas avoir connaissance d’un quelconque impact sur le Royaume-Uni.
Des chercheurs de UK Cyber Defence ont identifié plus de 800 interfaces de réfrigération et de contrôle des bâtiments liées à des détaillants britanniques et accessibles sur l’internet public. L’accessibilité publique ne signifie pas nécessairement que les systèmes peuvent être piratés, mais des mots de passe faibles ou des vulnérabilités logicielles pourraient accroître leur exposition aux attaquants.
Les incidents ont également attiré l’attention sur la question de savoir qui est responsable de la sécurisation des équipements utilisés par les détaillants. Tom Hegel, de SentinelOne, a déclaré que les entreprises devaient déterminer qui est responsable de la sécurité de ces systèmes, plutôt que de se contenter d’identifier la personne qui les répare. Il a averti que la modification d’un réglage de contrôle pouvait endommager des stocks physiques, transformant une fonction ordinaire comme le dégivrage en méthode de perturbation.
Les risques potentiels s’étendent au-delà des magasins et des habitations. Les technologies connectées sont utilisées pour gérer des véhicules, des machines industrielles, des centrales électriques et des réseaux d’eau. L’expert en cybersécurité Ken Munro a cité une démonstration réalisée en 2015 au cours de laquelle des chercheurs ont accédé à distance à une Jeep par l’intermédiaire de son système de divertissement connecté à internet, ce qui a entraîné des améliorations de la sécurité des véhicules.
Munro a déclaré que les services publics britanniques étaient généralement efficaces pour protéger les connexions à distance, même si les normes variaient à l’échelle internationale. Il a identifié comme une préoccupation particulière certaines petites entreprises de services publics disposant de moyens limités et pouvant encore dépendre d’équipements anciens. Olivier Daloy, de Zscaler, a déclaré qu’en l’absence de protections adaptées, toute usine ou infrastructure connectée à internet, y compris les systèmes exploités par des constructeurs automobiles, des fournisseurs d’électricité ou des réseaux de transport, pourrait être confrontée à des risques comparables.
Sources: BBC News World.