Des pirates ont fait monter la température des chambres froides de trois sites de l'EFS

Des pirates s'en sont pris aux chambres froides de l'Établissement français du sang (EFS). Le 2 novembre, les systèmes de pilotage de chambres froides de trois sites de l'EFS ont été modifiés : « des seuils de température et de dégivrage ont été portés à de très hautes températures », a indiqué l'EFS dans un communiqué du 3 novembre. Selon l'établissement, aucun produit sanguin n'a été perdu et les patients n'ont pas été touchés. L'intrusion est passée par un prestataire d'équipement frigorifique, et non par le réseau propre de l'EFS.

Ce qui s'est passé à l'EFS

Les chambres froides des sites de préparation et de distribution de l'EFS conservent les produits sanguins avant leur livraison aux établissements de santé, ainsi que des échantillons destinés aux biothèques. Dans les chambres touchées se trouvaient des poches de plasma pour la transfusion et du plasma destiné au fractionnement pour fabriquer des médicaments.

L'EFS affirme que ses propres systèmes de surveillance et d'alarme ont repéré rapidement les anomalies. Selon les sites, les équipes ont soit repris la main sur les équipements sans dommage pour leur contenu, soit les ont neutralisés, en transférant par précaution les produits vers d'autres installations. Les prélèvements et la distribution se poursuivent. L'établissement travaille avec l'ANSSI, l'agence nationale de la sécurité des systèmes d'information, et le ministère de la Santé, et a renforcé la surveillance des températures sur l'ensemble de ses équipements.

Un porte-parole de l'EFS n'a pas pu préciser quels étaient les trois sites, qui fabriquait les systèmes de pilotage ni de quel modèle il s'agissait, rapporte The Record. Le prestataire n'a pas été nommé.

Une deuxième vague en Europe

L'EFS est le premier établissement de santé connu touché par une vague d'attaques contre des systèmes de pilotage du froid qui visait jusqu'ici surtout des supermarchés. Mi-octobre, des pirates avaient mis en dégivrage les frigos de centaines de magasins en France, gâchant des stocks alimentaires. Une deuxième vague a suivi aux premières heures du 2 novembre, le jour même de l'incident à l'EFS.

Cette nuit-là, plus de 50 magasins ont été touchés en Belgique, un « nombre limité » de petites enseignes en Suède et plus d'une douzaine d'autres en Irlande, en Estonie, aux Pays-Bas et au Luxembourg, écrit The Record. Le gérant d'un supermarché du sud de la Suède a raconté que les congélateurs avaient été réglés à distance sur 50 °C. Au total, des entreprises d'au moins onze pays européens, dont l'Allemagne, la Finlande, le Portugal et le Royaume-Uni, auraient été touchées.

Personne n'a revendiqué les attaques, et on ignore si les vagues d'octobre et de novembre sont l'œuvre des mêmes auteurs. « On ne sait pas qui est derrière cette attaque, et il ne sera peut-être jamais possible de l'identifier », a déclaré à The Record une porte-parole du Centre pour la cybersécurité Belgique.

Pourquoi les vieux contrôleurs sont le point faible

En Estonie, un sous-traitant a expliqué que les attaquants s'étaient introduits dans un ancien système Danfoss, et la chaîne néerlandaise NOS a rapporté que du matériel Copeland avait été visé en Belgique. Les deux fabricants ont indiqué qu'après l'attaque en France, les appareils touchés étaient surtout des produits arrêtés qui ne reçoivent plus de mises à jour de sécurité. En octobre, les magasins français avaient été atteints via des contrôleurs de télégestion exposés sur internet. Un installateur belge a indiqué qu'une vingtaine des centaines d'unités qu'il gère étaient touchées et qu'elles devaient être modifiées physiquement, une mise à jour logicielle ne suffisant pas.

Pour l'instant, les fabricants n'ont aucune obligation légale de corriger ces produits. Les exigences de sécurité plus strictes du Cyber Resilience Act européen ne s'appliqueront qu'à partir de décembre 2027.