Des cyberattaques ont touché des équipements de réfrigération de supermarchés dans au moins douze pays européens. Pour le directeur de l'agence européenne de cybersécurité, ces incidents rappellent une menace qui concerne aussi les particuliers : celle des appareils connectés insuffisamment protégés.
Les incidents survenus en octobre et novembre 2026 en Europe montrent que les équipements de réfrigération professionnels ne sont pas à l’abri d’une cyberattaque. Après la France, les réfrigérateurs et congélateurs de supermarchés de plusieurs pays européens ont été la cible de cyberattaques présumées. Et pour l’Agence de l’Union européenne pour la cybersécurité (Enisa), le problème dépasse largement les rayons des grandes surfaces.
Dans un entretien accordé à l’AFP ce mardi 10 novembre, Juhan Lepassaar, directeur exécutif de l’Enisa, appelle à ne plus considérer la sécurité informatique comme une question secondaire. « Aujourd’hui, c’étaient les frigos, demain ce pourrait être les routeurs, et après-demain les appareils ménagers domestiques », prévient-il.
Une mise en garde qui concerne directement l’univers de la maison connectée, où les équipements du quotidien reposent de plus en plus sur des logiciels et des connexions réseau. En cela, il rejoint les conclusions d’un rapport présenté par BitDefender et Netgear récemment, selon lequel les appareils domestiques du quotidien constituent un vecteur d’exposition aux menaces en ligne.
Les chercheurs affirment avoir analysé 5,4 milliards d’événements de sécurité et scruté un nombre très élevé de vulnérabilités (1,2 milliard selon le communiqué). L’étude révèle qu’un domicile compte en moyenne 24 appareils reliés à Internet. Au sein de cet écosystème, les téléviseurs connectés arrivent en tête des observations en concentrant 22,7 % des vulnérabilités observées. Les prises connectées représentent 22,4 % des observations de vulnérabilités, devant les NAS (22 %). Attention, ces proportions ne correspondent pas à la probabilité qu’un appareil soit piraté.
Des réfrigérateurs de supermarchés attaqués dans douze pays européens
Les attaques recensées depuis octobre ont touché des supermarchés d’au moins douze pays européens. La France a été particulièrement affectée. Dans la nuit du 11 au 12 octobre, des contrôleurs de réfrigération utilisés sur environ 700 sites de la grande distribution ont été ciblés.
Lundi 9 novembre, les autorités françaises ont officiellement attribué cette opération à une unité cyber relevant des Gardiens de la révolution iraniens. Interrogé par l’AFP, Juhan Lepassaar n’a pas souhaité commenter cette attribution. Le responsable de l’Enisa souligne toutefois que plusieurs groupes liés ou proches d’États étrangers, notamment l’Iran et la Russie, mènent des opérations visant les intérêts européens.
Ces incidents mettent surtout en lumière la dépendance des équipements professionnels à des systèmes informatiques. Un dispositif conçu pour contrôler la réfrigération peut lui aussi présenter des vulnérabilités exploitables à distance.
Routeurs, électroménager : pourquoi les appareils domestiques sont concernés
Pour le directeur de l’Enisa, la multiplication des équipements interconnectés impose de revoir la manière dont leur sécurité est envisagée.
Les appareils de nos logements ne se limitent plus à leurs fonctions mécaniques ou électriques. Certains embarquent des logiciels, communiquent avec un réseau domestique ou utilisent des services numériques pour fonctionner.
Cette évolution crée de nouveaux enjeux de cybersécurité.
« Chaque service dont vous dépendez […] comporte une couche dans laquelle intervient un élément numérique, un morceau de code qui, s’il n’est pas protégé, peut être piraté », explique Juhan Lepassaar à l’AFP.
Les routeurs occupent une place particulière dans cet environnement : ils assurent la connexion des équipements au réseau. Mais l’alerte de l’Enisa concerne plus largement les produits connectés, y compris les appareils ménagers présents dans les cuisines.
La sécurité informatique doit commencer dès la conception
Pour Juhan Lepassaar, la réponse ne peut pas reposer uniquement sur des corrections apportées après la découverte d’une faille. La cybersécurité doit être intégrée dès le développement des équipements, puis prise en compte tout au long de leur utilisation.
Le directeur de l’Enisa insiste aussi sur la question des moyens. « La cybersécurité n’est pas bon marché », rappelle-t-il, en soulignant la nécessité d’investir pour limiter les risques.
Cette exigence concerne les fabricants de produits numériques, mais également les entreprises et les organisations qui les utilisent.
De nouvelles obligations européennes pour les fabricants
L’Union européenne entend renforcer la protection des produits intégrant des composants numériques. Adopté en 2024, le Cyber Resilience Act vise notamment à imposer des exigences de cybersécurité aux fabricants de matériels et de logiciels.
Son principe est de faire de la sécurité une caractéristique du produit dès sa conception, plutôt qu’une simple fonctionnalité supplémentaire.
Les principales obligations doivent entrer pleinement en application en décembre 2027. Elles concernent notamment la conception sécurisée des produits et le traitement des vulnérabilités pendant leur période de support. Les obligations de déclaration de certaines vulnérabilités activement exploitées et d’incidents graves sont déjà applicables depuis le 11 septembre 2026.
Sources : La Provence/AFP, rapport ENISA, ANSSI
