Une cyberattaque contre Coolworld, prestataire de l'Établissement français du sang, a déréglé les chambres froides de trois sites stockant du plasma. Pour l'expert en cybersécurité Benoît Grunemwald (ESET), l'incident pose une question qui va au-delà de l'EFS.
Comme nous le racontions plus tôt ce mercredi, une cyberattaque contre Coolworld, prestataire de l’Établissement français du sang (EFS) a déréglé dans la nuit du 1er au 2 novembre les chambres froides de trois sites où dormait du plasma. Grâce aux alarmes, aucun produit sanguin n’a été perdu. L'expert en cybersécurité Benoît Grunemwald, d'ESET France, en tire une leçon qui vaut pour toutes les organisations, à savoir que la sécurité des objets connectés ne s’arrête pas aux équipements gérés en interne.
Cyberattaque de l’EFS, pourquoi le danger est venu d’un prestataire
« Lorsque le numérique pilote le froid, une cyberattaque peut directement affecter ce que l'équipement est chargé de protéger. » La formule de Benoît Grunemwald dit l'essentiel. Il n'y a pas besoin de voler la moindre donnée pour nuire, parfois il suffit juste de toucher aux réglages. Comme l'a révélé Le Canard enchaîné, les installations de supervision de Coolworld, chargée de la maintenance de conteneurs de l'EFS, notamment en Bourgogne-Franche-Comté, ont été compromises. Dans trois sites, les seuils de température et de dégivrage se sont retrouvés poussés à l'extrême.
Ces chambres ne contenaient visiblement que des échantillons conservés pour la veille sanitaire, avant que l'EFS finisse par admettre la présence de plasma congelé destiné à la transfusion. Son communiqué cite d'ailleurs aussi du plasma réservé au fractionnement, le procédé qui permet d'en tirer des médicaments. Les 110 °C évoqués désignent la température demandée aux machines, censées maintenir –30 °C, pas celle réellement atteinte, a-t-on appris. Sauf qu'à l'intérieur, le thermomètre a bel et bien commencé à grimper.
Beaucoup font le parallèle avec cette nuit du 11 au 12 octobre, à l'issue de laquelle des centaines de supermarchés français ont retrouvé leurs congélateurs en mode chauffage, puis les tonnes de denrées parties à la poubelle, avant qu'une nouvelle attaque du même genre ne soit menée en Europe cette semaine. Pour l'expert d'ESET, l'incident de l'EFS rappelle le rôle essentiel des équipements de réfrigération connectés, « qu'il s'agisse de préserver des denrées alimentaires ou des produits sanguins ». Rien ne permet toutefois, à ce stade, de relier les auteurs.
Ce que la cyberattaque de l’EFS pourrait apprendre à toutes les entreprises
Alors si aucun produit sanguin n'a été perdu, c'est d'abord grâce aux alarmes. Elles ont fonctionné, et un technicien de permanence a vu les températures remonter en pleine nuit. Selon les cas, les appareils ont été repris en main ou mis hors service, leur contenu étant alors déplacé par précaution. Les prélèvements comme la distribution de produits sanguins se poursuivent normalement. Benoît Grunemwald estime que cette réactivité souligne l'importance de préparer sa résilience, qui repose notamment sur « une supervision indépendante des températures, des procédures, des alarmes et la capacité à transférer rapidement les produits ».
Le mot « indépendante » ne fait pas figuration. Si les sondes et les alarmes passent par le même logiciel que celui qui pilote les chambres froides, un pirate qui en prend le contrôle peut à la fois modifier les réglages et faire croire que tout va bien. Une surveillance séparée, avec ses propres capteurs, continue au contraire de mesurer la température réelle, quoi qu'il arrive au système principal.
L'autre enseignement est que l'EFS n'était pas directement visé. C'est son prestataire qui a été touché, et l'onde de choc s'est propagée jusqu'à ses chambres froides. « La vigilance ne doit pas s'arrêter aux équipements gérés en propre », insiste Benoit Grunemwald. Autrement dit, verrouiller sa porte ne suffit pas si l'on confie un double des clés sans savoir comment il est gardé. L'EFS, qui travaille avec l'ANSSI et le ministère de la Santé, a d'ailleurs renforcé la surveillance de l'ensemble de ses équipements.
La recommandation ne vaut pas que le secteur de la santé ou de la grande distribution. Pour Benoît Grunemwald, les organisations de toutes tailles doivent « dès à présent » examiner « la sécurité de leurs objets connectés, industriels ou non, qu'ils soient gérés en interne ou par des prestataires ». Que l'on parle d'un frigo, d'une caméra ou d'un capteur, tout ce qui parle au réseau mérite désormais l'attention qu'on réserve d'ordinaire aux serveurs.
