Cyberattaque : comment sécuriser les systèmes connectés de votre entreprise ?
Une cyberattaque survenue en octobre 2026 contre des systèmes de réfrigération de supermarchés français rappelle qu'un équipement connecté peut devenir un point d'entrée dans l'infrastructure d'une entreprise. Les conséquences ne se limitent pas au vol de données ou au chiffrement de serveurs : une prise de contrôle peut aussi interrompre une activité physique et entraîner des pertes d'exploitation. Voici les enseignements à retenir et les mesures à appliquer pour réduire ce risque.
Une cyberattaque qui dépasse le cadre informatique
Le 12 octobre 2026, le CERT-FR a publié une alerte signalant de nombreuses compromissions de contrôleurs à distance utilisés dans les installations de réfrigération. Les équipements concernés comprennent notamment certaines gammes Danfoss AK-SC et AK-SM, Copeland XWEB et Dixell XWEB. L'alerte a été mise à jour le 16 octobre, avec des recommandations complémentaires.
Les systèmes touchés pilotent des équipements physiques. Une compromission de leur interface de gestion peut donc modifier des paramètres opérationnels, et pas uniquement exposer des informations.
Reuters a rapporté le 13 octobre que l'attaque avait affecté au moins 350 supermarchés selon les informations alors disponibles. L'Associated Press a ensuite relayé une estimation d'environ 700 magasins. Ces chiffres ne sont pas directement comparables : les périmètres et les dates de publication diffèrent. Il convient de retenir l'ampleur des perturbations plutôt qu'un total définitif.
Le mécanisme exact utilisé lors de chaque compromission n'a pas été publiquement établi par les autorités. Il serait donc prématuré d'attribuer l'ensemble des incidents à une seule vulnérabilité ou à un groupe précis.
L'enseignement pour les entreprises est clair : un équipement technique connecté doit être traité comme un actif du système d'information, même s'il ne fait pas partie du parc informatique traditionnel.
Pourquoi les équipements anciens sont-ils vulnérables ?
Les systèmes industriels et techniques restent souvent en service pendant de nombreuses années. Leur remplacement peut être coûteux et complexe, notamment lorsqu'ils dépendent d'un prestataire spécialisé ou d'un processus métier qui ne peut pas être interrompu facilement.
Le problème apparaît lorsqu'un équipement n'est plus maintenu, qu'il ne reçoit plus de correctifs de sécurité ou que son interface d'administration reste accessible depuis Internet.
Dans son analyse publiée le 9 août 2026, l'équipe de recherche Claroty Team82 a décrit plusieurs vulnérabilités affectant le contrôleur Danfoss AK-SM 800A, dont des faiblesses d'authentification et une possibilité d'exécution de commandes à distance. Les vulnérabilités avaient été signalées au constructeur, qui a publié des corrections. Cette recherche constitue un élément technique de contexte ; elle ne prouve pas à elle seule que chacune de ces failles a été exploitée lors des attaques d'octobre.
Trois facteurs doivent être examinés :
- L'obsolescence : l'équipement ne reçoit plus de mises à jour de sécurité.
- L'exposition réseau : son interface d'administration est directement accessible depuis Internet.
- Le manque de visibilité : l'entreprise ignore parfois l'existence de l'équipement, son propriétaire technique ou son état de maintenance.
Ces risques concernent aussi les caméras IP, les automates, les systèmes de contrôle d'accès, les équipements de télémaintenance et certaines interfaces d'administration de serveurs.
Sept mesures pour sécuriser les systèmes connectés
L'alerte du CERT-FR recommande notamment de supprimer l'exposition directe à Internet, de limiter les accès distants à un VPN sécurisé ou à un réseau protégé, et d'appliquer les mesures de sécurité préconisées par les constructeurs.
Pour une DSI, ces recommandations peuvent être traduites en sept actions concrètes.
1. Inventorier les équipements et leurs dépendances
Recensez les équipements connectés, leur adresse IP, leur version logicielle, leur responsable et le prestataire qui en assure la maintenance.
L'inventaire doit inclure les équipements qui ne sont pas administrés directement par l'équipe informatique. Une liste de serveurs à jour ne suffit pas si les systèmes techniques restent hors périmètre.
2. Supprimer les interfaces d'administration exposées
Une interface de gestion ne doit pas être accessible librement depuis Internet. Identifiez les équipements publiés sur des adresses IP publiques et supprimez cette exposition lorsque cela est possible.
Si un accès distant est indispensable, faites-le passer par un VPN et des règles de filtrage strictes. Le CERT-FR mentionne également le filtrage temporaire des adresses IP des prestataires comme mesure d'urgence, sans le considérer comme une solution pérenne.
3. Appliquer les correctifs et traiter l'obsolescence
Vérifiez les versions des firmwares, c'est-à-dire les logiciels intégrés aux équipements, puis appliquez les mises à jour validées par le constructeur.
Lorsqu'un produit est en fin de vie, l'absence de correctifs doit déclencher une décision explicite : remplacement, isolation renforcée ou mesure compensatoire documentée. Un simple redémarrage ne corrige pas une vulnérabilité persistante.
4. Renforcer les comptes et les accès distants
Changez les mots de passe par défaut, supprimez les comptes inutilisés et limitez les privilèges aux opérations nécessaires.
Les accès des prestataires doivent être nominatifs lorsque c'est possible, limités dans le temps et révocables rapidement. L'authentification multifacteur doit être activée sur les points d'accès qui la prennent en charge.
5. Segmenter le réseau
La segmentation consiste à séparer les systèmes selon leur fonction et leur niveau de confiance.
Les équipements industriels ne devraient pas disposer d'un accès libre au réseau bureautique, aux serveurs de production ou aux sauvegardes. Les flux autorisés doivent être limités aux communications nécessaires.
6. Surveiller les changements inhabituels
Les journaux de connexion, les modifications de configuration et les alertes opérationnelles permettent de détecter des comportements anormaux.
Pour un système de réfrigération, une modification inattendue des paramètres de température ou des plages de dégivrage doit déclencher une vérification. Dans un environnement informatique, les équivalents sont les changements de droits, les connexions inhabituelles et les modifications de règles réseau.
7. Préparer le retour à la normale
Définissez une procédure d'incident : qui peut isoler un équipement, qui contacte le prestataire, comment vérifier l'intégrité de la configuration et qui autorise la remise en service.
Prévoyez également des sauvegardes des configurations et des données nécessaires à la reprise. Leur restauration doit être testée, et les procédures doivent tenir compte du risque de réintroduire un équipement vulnérable dans le réseau.
Ce que ça change pour votre entreprise
Une cyberattaque peut générer des coûts qui dépassent largement la remise en état informatique : interruption de production, indisponibilité d'un service, pertes de marchandises, mobilisation des équipes, intervention d'experts et atteinte à la relation client.
Le risque dépend notamment du nombre d'équipements exposés, de leur niveau de privilège, des dépendances entre systèmes et du temps nécessaire à la reprise.
Un audit permet de hiérarchiser les corrections en fonction du risque réel. Il évite de consacrer les mêmes ressources à un équipement isolé et à un système directement exposé qui contrôle une fonction essentielle.
Le plan d'action doit également préciser le responsable de chaque correction, son échéance et la manière de vérifier son efficacité.
Cloud et infogérance : la sécurité ne se limite pas à l'hébergement
Une infrastructure Cloud bien administrée peut faciliter la supervision, la gestion des accès, l'application des mises à jour et la sauvegarde des applications. Elle ne protège toutefois pas automatiquement les équipements connectés situés dans les locaux de l'entreprise.
Il faut distinguer deux périmètres :
- L'infrastructure informatique : serveurs, systèmes d'exploitation, applications, réseaux, comptes d'administration et sauvegardes.
- Les systèmes techniques connectés : automates, contrôleurs, équipements industriels et interfaces de télémaintenance.
La sécurité dépend de la coordination entre les équipes informatiques, les responsables métiers et les prestataires qui administrent ces équipements.
Pour une application hébergée dans un Cloud privé infogéré, la répartition des responsabilités doit être définie contractuellement : qui applique les correctifs, qui surveille les services, qui gère les accès et qui intervient en cas d'incident ? Ces responsabilités doivent être vérifiées au regard du service réellement souscrit.
L'objectif n'est pas de déplacer tous les systèmes vers une même infrastructure, mais de réduire les accès inutiles, de cloisonner les environnements et de rendre les procédures de reprise vérifiables.
Conclusion : trois priorités pour réduire le risque cyber
L'actualité d'octobre 2026 met en évidence trois priorités :
- Connaître son exposition : inventorier les équipements, leurs versions et leurs accès réseau.
- Réduire les possibilités de compromission : supprimer les interfaces publiques inutiles, sécuriser la télémaintenance et traiter l'obsolescence.
- Préparer la reprise : sauvegarder les configurations, tester les restaurations et formaliser les responsabilités en cas d'incident.
Une stratégie de cybersécurité efficace commence par une vision claire des actifs et des dépendances, puis par des mesures proportionnées aux conséquences d'une compromission.
FAQ : cyberattaque et sécurisation des systèmes connectés
Comment savoir si un équipement connecté est vulnérable ?
Identifiez son modèle, sa version logicielle, son statut de maintenance et son exposition réseau. Comparez ensuite ces informations aux avis de sécurité du constructeur et du CERT-FR. En cas de compromission suspectée, évitez de vous limiter à une simple mise à jour ou à un redémarrage : suivez une procédure d'investigation et de remise en service adaptée.
Pourquoi ne faut-il pas exposer une interface d'administration sur Internet ?
Une interface publique augmente la surface d'attaque. Si l'équipement présente une vulnérabilité ou utilise des identifiants faibles, un attaquant peut tenter de prendre le contrôle de ses fonctions. Un VPN sécurisé, associé à des règles de filtrage, réduit cette exposition.
Un VPN suffit-il à protéger les équipements industriels ?
Non. Le VPN sécurise le chemin d'accès distant, mais ne corrige pas une faille logicielle et ne garantit pas que l'utilisateur dispose uniquement des droits nécessaires. Il doit être complété par des mises à jour, une gestion rigoureuse des comptes, une segmentation réseau et une surveillance des activités.
Que faire si un équipement connecté a été compromis ?
Limitez son exposition réseau, préservez les éléments utiles à l'investigation et vérifiez l'intégrité de sa configuration. Suivez les consignes du constructeur et des autorités compétentes avant de le remettre en service. Une réinitialisation seule est insuffisante si la vulnérabilité d'origine reste présente.
Quel est le rôle d'un prestataire Cloud infogéré dans la cybersécurité ?
Il peut prendre en charge, selon le périmètre contractuel, l'administration des serveurs, la supervision, les mises à jour, la gestion des accès et les sauvegardes. La sécurisation des équipements industriels ou des systèmes tiers doit faire l'objet d'une répartition explicite des responsabilités.