Selon Reuters, des responsables du Pentagone soupçonnent que des pirates informatiques se seraient attaqués aux congélateurs des magasins de l’armée, d’après Reuters.
Quatre responsables ont indiqué que les enquêteurs du Département de la Défense considèrent une série de dysfonctionnements de congélateurs sur des bases militaires en août comme une piste d’attaque potentielle, et l’un d’eux a ajouté que les enquêteurs avaient pris contact avec leurs homologues français après que des pirates aient visé les congélateurs des supermarchés en France plus tôt dans le mois. Le Pentagone a déclaré à Reuters dans un communiqué qu’une unité du Cyber Command travaillait en étroite coordination avec les partenaires interagences et les forces de l’ordre sur la question, tandis que les enquêteurs criminels de l’armée ont confirmé qu’ils coopéraient avec la police française.
Le blog Signal and Silence a été le premier à émettre des soupçons à la fin du mois d’août, écrivant qu’ils étaient « suffisamment conscients que cela peut paraître insensé », mais « il existe une probabilité non négligeable que quelqu’un ait piraté les congélateurs des magasins commissaires ». Cette publication identifiait 14 pannes signalées dans des magasins commissaries/congélateurs sur des installations militaires dans 11 États. (Reuters a confirmé au moins six d’entre elles.)
Signal and Silence a également noté que des publications sur les réseaux sociaux provenant du fort Huachuca de l’armée américaine en Arizona avaient précisé qu’il n’y avait pas de coupure de courant, mais que le congélateur passait en « mode dégivrage où tous les aliments se réchauffaient. Faites-nous confiance: il s’agissait de produits « gâtés » ». L’Agence des magasins de défense (DeCA) impose des spécifications techniques exigeant que le dégivrage soit « contrôlé par le RMCS [Remote Monitoring Control System] », et un document d’approvisionnement montre que le RMCS est en place sur 182 sites, dont tous les 14 listés. Le blog répertoriait aussi des publications montrant que des commissaries de bases telles que Fort Irwin (Californie), Holloman AFB (New Mexico) et la Naval Station Newport (Rhode Island) avaient publié des avis concernant des défaillances réfrigérantes qui avaient empêché la disponibilité de produits réfrigérés et surgelés dans les rayons.
Enfin, Signal and Silence nota que début août, des chercheurs de l’équipe Claroty Team82 avaient publié deux études identifiant des vulnérabilités dans les systèmes de contrôle des congélateurs Danfoss AK-SM 800A et Copeland XWEB Pro, qui servent à gérer centralement les systèmes de réfrigération commerciaux. Le blog ne parvint pas à déterminer si des sites DeCA affectés utilisaient ces systèmes précis, bien que Reuters ait rapporté que Danfoss disposait d’un « en vaste » parc de tels contrôleurs en France. Au moins un site DeCA utilise un système Danfoss similaire, mais il ne figurait pas sur la liste des sites touchés.
Selon Reuters, l’incident en France a touché plus de 350 magasins et, dans certains cas, a donné lieu à des feux. Cela corrobore une anecdote citée par le billet de Signal and Silence selon laquelle deux congélateurs de la viande des magasins de la base F.E. Warren AFB dans le Wyoming ont atteint des températures entre 160 et 180 degrés Fahrenheit (on n’est pas clair si cette mesure concernait l’affichage de la température, les aliments ou la machine elle-même).
Si cela s’avère être un piratage, il reviendrait à une problématique de sécurité récurrente : les contrôleurs industriels, les ordinateurs utilisés dans une large variété d’appareils industriels ou de technologies opérationnelles (OT) pour collecter des données de capteurs et recevoir des instructions. Les contrôleurs (notamment les automates programmables, ou PLCs) ont été utilisés dans pratiquement tous les environnements industriels ou d’infrastructure pendant des décennies — d’où le problème persistant. Beaucoup de contrôleurs avaient été conçus avant l’essor d’Internet ou la prise de conscience des risques liés à la connexion des systèmes industriels ou OT à Internet. Ce n’est que relativement récemment que les fabricants de PLC et d’autres types de contrôleurs ont commencé à accorder une attention particulière à la sécurité, et la longue traîne de contrôleurs vulnérables constitue une cible lucrative pour les acteurs malveillants cherchant à extorquer les organisations par des périodes d’indisponibilité ou simplement à causer des dommages et des perturbations organisationnelles.
Dans les industries agricoles et agroalimentaires en pleine modernisation, cela signifie souvent que l’attaquant peut rendre des denrées impropres à la consommation en les rendant dangereuses à ingérer. Si l’augmentation du niveau d’opération des congélateurs est une méthode possible, il suffit aussi de mettre l’arrêt de la production pour provoquer une détérioration massive des produits ou des perturbations coûteuses de la chaîne d’approvisionnement. Par exemple, les agriculteurs ne peuvent pas arrêter de traire les vaches lorsque des installations d’emballage et de transformation des produits laitiers tombent hors ligne. Le lait se gâte ou est déversé sous l’Ordonnance FDA sur le lait pasteurisé, qui exige que les cuves de lait cru non traité soient vidées après 72 heures.
Bill Moore, PDG du fournisseur de cybersécurité industrielle Xona Systems, a indiqué à Reuters que les concepteurs considéraient à l’origine les contrôleurs comme des dispositifs isolés, occasionnellement entretenus par des humains, et non comme des portes d’entrée vers Internet.
« Cela peut réellement perturber la chaîne d’approvisionnement alimentaire », a-t-il affirmé.
