BRUXELLES, Belgique / EuroWire.IO / – Les autorités de cybersécurité de l'Union européenne ont exhorté les organisations à prendre des mesures immédiates pour réduire leur exposition aux cybermenaces après une nouvelle vague d'attaques contre les systèmes de réfrigération les 1er et 2 novembre. Cet avertissement figure dans une déclaration conjointe publiée le 4 novembre. Il fait suite à des incidents ayant perturbé le fonctionnement des réfrigérateurs et congélateurs de supermarchés dans plusieurs pays de l'UE. Les premiers incidents remontent au 11 octobre, précise la déclaration.
L’Agence de l’Union européenne pour la cybersécurité (ENISA), la Commission européenne, le Centre européen de lutte contre la cybercriminalité (EC3) d’Europol, le réseau des équipes d’intervention en cas d’incident de sécurité informatique de l’UE et le réseau des organisations de liaison européennes en cas de cybercrise (EU-CyCLONe) ont publié une déclaration conjointe. Les États membres concernés enquêtent sur les incidents et fournissent des orientations. Les équipes nationales d’intervention et les autorités de gestion de crise continuent d’échanger des informations et de suivre l’évolution de la situation. La déclaration ne précise pas les auteurs des attaques.
L'ENISA et d'autres organismes de l'UE suivent la situation de près afin de soutenir une réponse coordonnée à l'échelle de l'Union. Ces agences recommandent aux organisations de consulter les derniers avis de sécurité publiés par les équipes nationales d'intervention, disponibles via les canaux officiels et dans la base de données de l'ENISA. Le réseau CSIRT a publié un avis le 3 novembre concernant les systèmes de contrôle de la réfrigération compromis dans les commerces de détail. Aux États-Unis, la CISA et le FBI ont publié des recommandations similaires relatives aux attaques contre les systèmes de contrôle électronique de la température.
Les fabricants doivent signaler les failles exploitées.
Les agences ont rappelé aux fabricants de matériel et de logiciels leurs obligations au titre du règlement européen sur la cyber-résilience. Depuis le 11 septembre 2026, les fabricants sont tenus de signaler les incidents graves et les vulnérabilités exploitées via la plateforme unique de signalement prévue par le règlement. Les principales exigences de cybersécurité du règlement entreront en vigueur le 11 décembre 2027. Les fabricants devront alors intégrer la sécurité dès la conception de leurs produits. Ils devront également assurer un support en matière de sécurité tout au long du cycle de vie des produits et corriger les vulnérabilités sans délai.
Les organisations soumises à la directive européenne sur la sécurité des réseaux et de l'information (NIS2) doivent mettre en œuvre des mesures de gestion des risques de cybersécurité. Elles sont également tenues de signaler les incidents importants aux autorités nationales compétentes ou aux équipes d'intervention en cas d'incident de sécurité informatique. Les États membres ont transposé la directive en droit national ; la nouvelle loi autrichienne sur la cybersécurité est entrée en vigueur en octobre. L'ENISA a indiqué qu'elle continue de promouvoir les principes de sécurité intégrée dès la conception et par défaut par le biais de conseils et d'orientations techniques.
Réfrigérateurs de supermarché réglés à 50°C
Le 2 novembre, des incidents ont touché des supermarchés en Suède, aux Pays-Bas, en Belgique, en Irlande, au Luxembourg et en Estonie. Selon la société belge de réfrigération Sabcobel, les auteurs de ces actes ont activé le mode dégivrage des évaporateurs et réglé certains congélateurs à 50 °C. Plusieurs chaînes, dont Ahold Delhaize, Carrefour Belgique, ICA, Coop et SuperValu, ont signalé des magasins concernés. Dans certains points de vente, les produits frais et surgelés ont été retirés de la vente. En Irlande, Musgrave a indiqué que 13 de ses 223 magasins SuperValu avaient été touchés.
En France, en octobre, des pirates informatiques ont pris le contrôle des systèmes frigorifiques de centaines de supermarchés, provoquant des incendies et des pertes alimentaires. Une alerte de cybersécurité française a établi un lien entre ces attaques et les régulateurs de réfrigération Danfoss et Copeland/Dixell, selon BleepingComputer. L'association du commerce de détail EuroCommerce a appelé à un renforcement de la cybersécurité dans le secteur. Aucune revendication n'a été faite. Le commissaire européen Christophe Hansen a qualifié ces attaques de tentative délibérée de perturber l'approvisionnement alimentaire de l'UE.
L’article « Les agences de l’UE appellent à l’action après des cyberattaques contre des systèmes de réfrigération » est paru initialement sur British Messenger .