Équipements techniques connectés : le risque oublié en PME

Les équipements techniques connectés (chambres froides, gestion technique du bâtiment, chauffage, contrôle d’accès) sont devenus une cible à part entière : depuis octobre, des attaquants modifient à distance les consignes de systèmes frigorifiques partout en Europe. Pour une PME, le vrai risque n’est pas la sophistication de l’attaque, c’est que ces équipements ne figurent dans aucun inventaire informatique et que personne ne les surveille comme un serveur.

Ce qui s’est passé sur les systèmes frigorifiques européens

Le 2 novembre, l’Établissement français du sang a vu les seuils de température et de dégivrage de chambres froides relevés à des niveaux extrêmes sur trois de ses sites. L’EFS n’était pas visé directement : c’est son prestataire d’équipement frigorifique qui a été compromis, comme l’indique le communiqué de l’EFS. Ses alarmes ont détecté la dérive rapidement, les produits sanguins ont été transférés et aucune perte n’a été constatée.

Ce n’est pas un cas isolé. En octobre, entre 250 et 350 supermarchés français ont vu leurs installations de froid basculer en dégivrage forcé, puis une seconde vague a touché plus de 115 magasins en Belgique, aux Pays-Bas, en Suède, au Luxembourg, en Irlande et en Estonie, selon BleepingComputer. Les contrôleurs visés sont des superviseurs de froid très répandus (Danfoss AK-SM/AK-SC, Copeland/Dixell XWEB). Un loueur européen de groupes froids, Coolworld, attribue l’incident à une vulnérabilité dans un composant tiers de son logiciel de télésurveillance.

Le scénario est toujours le même : un équipement piloté à distance, une interface accessible depuis internet ou via le cloud d’un prestataire, et un attaquant qui n’a besoin ni de rançongiciel ni d’exfiltration pour causer un préjudice immédiat. Une chambre froide qui monte en température, c’est un stock perdu en quelques heures.

Pourquoi les équipements techniques échappent à la sécurité des PME

Ils n’appartiennent à personne

Dans la plupart des PME, l’informatique gère les postes, les serveurs et Microsoft 365. Le froid relève des services généraux ou de la production, la GTB du gestionnaire de bâtiment, le contrôle d’accès de la sûreté. Chacun a son prestataire, son contrat et ses identifiants. Résultat : personne ne sait précisément combien d’équipements sont reliés au réseau, ni par où le prestataire s’y connecte.

Ils sont joignables pour la télémaintenance

Pour éviter un déplacement, l’installateur ouvre un accès distant : interface web publiée sur internet, petit routeur 4G posé dans l’armoire électrique, ou portail cloud du fabricant. Ces accès sont rarement protégés par une double authentification, utilisent souvent des comptes partagés et survivent au changement de prestataire. C’est exactement le type d’accès qu’un attaquant cherche en premier.

Ils vivent dix ou quinze ans

Un superviseur de froid ou un automate de chauffage est installé pour la durée de vie de l’équipement, pas pour celle d’un logiciel. Son micrologiciel n’est presque jamais mis à jour, et l’éditeur peut avoir cessé de le corriger. En 2025, la CISA signalait déjà deux failles permettant de contourner l’authentification de contrôleurs Danfoss AK-SM ; leur exploitation dans la vague actuelle n’est toutefois pas confirmée.

Leur compromission a un effet physique

Un serveur chiffré se restaure depuis une sauvegarde. Une marchandise périmée, une ligne de production arrêtée ou une porte qui ne s’ouvre plus ne se restaurent pas. L’impact se mesure en stock, en chiffre d’affaires et parfois en sécurité des personnes, ce qui rend ces systèmes attractifs pour des attaquants qui veulent nuire ou faire pression.

Quels équipements techniques connectés vérifier en priorité

Commencez par ceux dont la panne coûte le plus cher, pas par ceux qui semblent les plus techniques :

• Froid commercial et industriel : restauration, agroalimentaire, pharmacie, logistique, laboratoires. C’est la cible du moment.
• GTB et chauffage-ventilation-climatisation : salles serveurs, entrepôts sous température dirigée, locaux recevant du public.
• Contrôle d’accès et badges : souvent reliés au réseau bureautique et administrés par un intégrateur externe.
• Onduleurs et prises électriques pilotables : une coupure commandée à distance arrête tout le reste.
• Automates de production : pour les sites industriels, voir notre article sur les automates industriels exposés sur internet.

Pour chacun, trois questions suffisent dans un premier temps : est-il relié au réseau de l’entreprise ou à internet ? Qui peut s’y connecter à distance, et comment ? Qui serait alerté si une consigne changeait en pleine nuit ?

Le prestataire de télémaintenance, maillon décisif

L’incident de l’EFS le montre : la victime peut avoir une sécurité correcte et être touchée à travers son fournisseur. Le contrat de maintenance d’un équipement technique doit donc parler de cybersécurité, au même titre que le contrat de votre infogérant. Notre article sur le risque fournisseur et l’accès des prestataires détaille la démarche ; pour les équipements techniques, les questions clés sont :

• par quel moyen le prestataire se connecte-t-il (VPN, portail cloud, routeur 4G, interface publique) ?
• les comptes sont-ils nominatifs et protégés par une double authentification ?
• les connexions sont-elles journalisées, et pouvez-vous consulter ces journaux ?
• comment êtes-vous prévenu lorsqu’une vulnérabilité touche un composant de l’équipement, et sous quel délai est-elle corrigée ?

Un prestataire qui ne sait pas répondre n’est pas forcément négligent, mais il vous indique où se trouve le risque. Les guides de l’ANSSI sur les systèmes industriels et la publication NIST SP 800-82 donnent un cadre pour aller plus loin, y compris pour des installations modestes.

Que faire maintenant

1. Dressez la liste des équipements techniques reliés au réseau ou à internet, avec pour chacun le prestataire et le mode d’accès distant.
2. Vérifiez depuis l’extérieur qu’aucune interface d’administration n’est publiée sur internet, et faites couper celles qui le sont.
3. Changez les identifiants par défaut et exigez un compte nominatif, protégé par double authentification, pour chaque intervenant.
4. Isolez ces équipements dans un réseau séparé, sans accès possible vers vos postes et vos serveurs.
5. Configurez l’envoi des alarmes de température et des connexions distantes vers une personne d’astreinte ou un service de surveillance, pas seulement vers l’écran local.

Une consigne modifiée à 3 h du matin ou une connexion de télémaintenance inhabituelle se détectent et se contiennent avec une surveillance continue : découvrez notre SOC managé 24/7 pour PME et ETI.

Ce qu’il faut retenir

• Les attaques sur les systèmes frigorifiques visent des équipements banals, présents dans des milliers de PME.
• Le point d’entrée est le plus souvent l’accès de télémaintenance du prestataire, pas votre réseau bureautique.
• Un équipement technique non inventorié est un équipement que personne ne surveille.
• Un inventaire, un réseau séparé et des alarmes qui remontent à quelqu’un couvrent l’essentiel du risque.

Sources

• EFS : l’EFS confirme l’incident de cybersécurité impactant un de ses prestataires d’équipement frigorifique
• Coolworld Rentals : Cybersecurity update
• CISA : ICS Advisory ICSA-25-140-03, Danfoss AK-SM 8xxA
• ANSSI : La cybersécurité des systèmes industriels
• NIST SP 800-82 Rev. 3 : Guide to Operational Technology Security