La leçon des chambres froides de l’EFS…

Dans la nuit du 1er au 2 novembre 2026, une cyberattaque visant un prestataire de l’Établissement français du sang (EFS) a modifié à distance les seuils de température et de dégivrage de chambres froides sur trois de ses sites (Le Monde Informatique, 2026). Aucune poche de plasma n’a été perdue. Les systèmes de surveillance et d’alarme de l’EFS, indépendants de la solution du prestataire, ont détecté l’anomalie à temps.

Trois semaines plus tôt, la même mécanique avait frappé plusieurs centaines de supermarchés. Dans un Intermarché de Gradignan, l’attaque aurait commencé vers 23 heures, et ses conséquences n’ont été constatées que vers 4 heures du matin (InformatiqueNews, 2026). Le 9 novembre, la France a attribué cette campagne à une unité des Gardiens de la révolution iraniens (Les Smart Grids, 2026). Même attaque, deux issues. La différence ne tenait ni au pare-feu ni au mot de passe. Elle tenait à une question que peu d’industriels se posent : quand le système qui pilote votre procédé se met à mentir, qui d’autre que lui peut donner l’alerte ?

Quelques chiffres pour mesurer ce que coûte une mesure sans contre-témoin :

• 3 sites de l’EFS touchés, avec des chambres conservées à –30 °C qui ont reçu une consigne de 110 °C ; ce chiffre correspond à la température demandée aux machines, pas à une température atteinte (Clubic, 2026).

• 150 magasins Intermarché environ concernés selon le groupement Les Mousquetaires, et 80 établissements Carrefour confirmés (InformatiqueNews, 2026).

• 6 heures : la durée pendant laquelle certains équipements seraient restés à 50 °C, selon les déclarations des Mousquetaires à Reuters (InformatiqueNews, 2026).

• 2 765 contrôleurs frigorifiques d’un seul modèle recensés comme accessibles depuis Internet par l’équipe de recherche Claroty Team82, dans une étude publiée en août 2026 (InformatiqueNews, 2026).

• 11 pays européens ont signalé des incidents similaires après l’attaque française (Les Smart Grids, 2026).

Consigne, alarme, écran de supervision : trois voix, une seule source

Dans une installation frigorifique moderne, un gestionnaire central coordonne les régulateurs de chaque meuble ou chambre froide. Il collecte les mesures, enregistre les alarmes, planifie les dégivrages et permet de modifier les paramètres depuis un simple navigateur (InformatiqueNews, 2026). Ce boîtier commande, mesure, alerte et affiche. C’est ce qui le rend si pratique pour le frigoriste qui intervient de nuit sans se déplacer. C’est aussi ce qui le rend si dangereux le jour où il passe sous le contrôle de quelqu’un d’autre.

Les attaquants n’ont introduit aucune fonction malveillante. Ils ont détourné une fonction parfaitement légitime, le dégivrage, en portant sa température à 50 °C et sa durée d’une à huit heures (InformatiqueNews, 2026). Les contrôleurs ont exécuté ces commandes sans en vérifier l’intégrité (Les Smart Grids, 2026). Et dans certains magasins, les alarmes auraient été retardées par la modification des paramètres (InformatiqueNews, 2026).

C’est le cœur du problème. Un attaquant capable de modifier à la fois le fonctionnement et la supervision peut retarder la détection (InformatiqueNews, 2026). La consigne change, l’alarme se tait, l’écran reste vert.

Le système ne tombe pas en panne. Il ment.

Transposez maintenant à votre site. L’étuve de polymérisation d’un atelier composite, le four de traitement thermique, la chambre de maturation d’une fromagerie, l’autoclave d’un sous-traitant aéronautique : chacun est piloté par un automate qui règle la consigne, lit la sonde et déclenche l’alarme. Si ces trois fonctions passent par le même équipement, elles tombent ensemble.

Le constat technique : vous faites contrôler vos pièces par l’opérateur qui les a usinées, avec son propre pied à coulisse, dont il a lui-même réglé le zéro.

Ce que l’EFS avait fait et que les supermarchés n’avaient pas fait

L’EFS n’a pas été visé directement. C’est un prestataire chargé de ses installations frigorifiques qui a été compromis, et la presse rappelle qu’une telle compromission peut se répercuter chez le client même lorsque celui-ci dispose de ses propres dispositifs de sécurité (Le Monde Informatique, 2026). Autrement dit, la cybersécurité de l’EFS n’a pas empêché l’attaque. Elle n’avait aucun moyen de le faire.

Ce qui a fait la différence se trouve ailleurs. Les alarmes ont fonctionné, un technicien de permanence a vu les températures remonter pendant la nuit, et les équipements ont été repris en main ou mis hors service, leur contenu déplacé par précaution (Clubic, 2026). Ces alarmes ne dépendaient pas de la solution compromise.

Un témoin indépendant se définit par trois séparations.

• Une mesure séparée : le capteur qui surveille n’est pas celui qui régule. Il lit la grandeur physique directement, sans passer par l’automate de commande.

• Un chemin d’alerte séparé : l’alarme ne transite pas par l’équipement qu’elle surveille. Si le gestionnaire central est compromis, le message part quand même.

• Une administration séparée : le témoin n’est pas paramétré par le même prestataire, avec les mêmes accès, depuis le même portail. Sinon, l’attaquant qui prend l’un prend l’autre.

Les spécialistes interrogés après l’attaque des supermarchés ne disent pas autre chose : il faut prévoir des alarmes de température autonomes, des limitations physiques des commandes et des procédures de remise en sécurité qui ne dépendent pas de la supervision attaquée (InformatiqueNews, 2026). Les industries à risque appliquent ce principe depuis longtemps en séparant le système qui conduit le procédé de celui qui le met en sécurité. Il reste à l’étendre à tout procédé dont la dérive détruit de la valeur.

« Nos accès sont fermés » : pourquoi la porte ne suffit pas

L’objection est légitime. Vous avez inventorié vos accès, coupé les interfaces exposées, changé les mots de passe par défaut. Le centre gouvernemental de veille et de réponse aux attaques informatiques (CERT-FR) le rappelait dès le 12 octobre : exposer une interface de gestion sur Internet est contraire aux bonnes pratiques (CERT-FR, 2026). Nous avons consacré à ce chantier un article entier, Combien de portes ouvertes dans votre atelier ?, et il reste prioritaire.

Mais fermer la porte réduit la probabilité : Le témoin réduit la conséquence. Ce sont deux protections différentes, et la première ne dispense jamais de la seconde, pour trois raisons.

• La première tient au prestataire : L’EFS a été atteint par un tiers dont il ne contrôlait ni les postes ni les accès. Vos frigoristes, vos intégrateurs et vos constructeurs de machines sont dans la même position.

• La deuxième tient à l’équipement : Mettre à jour un contrôleur industriel peut exiger qu’un technicien se déplace avec une clé USB, et certains modèles touchés étaient déclarés en fin de vie depuis plusieurs années (InformatiqueNews, 2026). Une fenêtre de vulnérabilité de plusieurs mois n’est pas une exception, c’est la norme.

• La troisième tient à l’adversaire : L’unité désignée par la France est associée au ciblage d’infrastructures civiles et à l’absence de demande de rançon (Les Smart Grids, 2026). Elle ne cherche pas vos données. Elle cherche des dégâts physiques.

La vraie question n’est pas de savoir si votre système de commande sera un jour compromis. La vraie question est de savoir combien de temps il pourra vous mentir avant que quelqu’un s’en aperçoive.

Après les portes, puis le réseau traité dans Dix heures sans réseau, il restait ce troisième étage : la vérité de la mesure.

4 actions concrètes pour installer un témoin indépendant

1. Cartographier qui commande, qui mesure, qui alerte : listez les procédés dont une dérive de quelques heures détruit de la valeur, comme un lot en maturation, une charge en étuve ou un stock sous température dirigée. Pour chacun, notez quel équipement règle la consigne, lequel lit la mesure et lequel envoie l’alarme. Partout où la réponse est trois fois le même boîtier, vous tenez votre priorité.

2. Doubler la mesure par un capteur hors de la chaîne de commande : un enregistreur autonome, une sonde reliée à un système distinct, un capteur d’une autre technologie. Ses seuils sont fixés par vous, pas par le prestataire qui maintient l’installation.

3. Filtrer les consignes qui entrent, surveiller celles qui changent : une passerelle de sécurité industrielle peut limiter les échanges aux flux de supervision sortants et bloquer les commandes entrantes non autorisées (Les Smart Grids, 2026). Ce qui passe malgré tout doit être surveillé : une modification de paramètre hors plage normale, hors horaire ou depuis une adresse inhabituelle doit déclencher une alerte avant même que la température bouge (Les Smart Grids, 2026). Un dégivrage de huit heures programmé à 23 heures n’a rien d’un réglage de maintenance.

4. Écrire la reprise en main manuelle : qui se déplace, avec quelle clé, pour couper quel équipement, et où déplacer le contenu. L’EFS a pu reprendre ses appareils en main ou les mettre hors service dans la nuit. Cette procédure se rédige à froid, jamais à 3 heures du matin.

Laisser sortir la mesure sans laisser entrer n’importe quelle commande suppose un intermédiaire qui connaît le flux attendu. C’est le principe sur lequel akawan a construit Kaptngo, une passerelle sécurisée de communication conçue pour remplacer des pare-feu et des réseaux privés virtuels (VPN) matériels vieillissants. Elle prend en charge les échanges machine à machine, les applications et protocoles hérités, les serveurs de licences et les protocoles TCP et UDP, avec une contrainte de départ : s’adapter aux besoins sans perturber les systèmes existants. Placée entre les équipements de terrain et ceux qui les télémaintiennent, elle fait du chemin d’accès un point de contrôle plutôt qu’une simple ouverture. Le périmètre fonctionnel figure sur la fiche Kaptngo, et notre démarche d’architecture sur la page Transformation Numérique.

Un procédé critique mérite deux témoins

L’attaque des chambres froides marque un changement de nature. Les attaquants n’ont rien chiffré et n’ont rien volé : ils ont détourné une fonction normale pour produire un dommage physique, en comptant sur le fait que l’équipement chargé du procédé serait aussi le seul à en rendre compte. Là où ce monopole existait, la dérive a duré des heures. Là où il n’existait pas, elle a été rattrapée dans la nuit.

L’état cible est simple à énoncer : sur chaque procédé critique, une commande, une mesure indépendante, une alerte qui ne passe pas par l’équipement surveillé, et une procédure pour reprendre la main sans lui. Rien de cela n’exige de remplacer vos automates. Tout cela exige de cesser de leur faire une confiance exclusive. Une question suffit à situer votre usine : si vos automates mentaient cette nuit, qui, chez vous, le saurait avant 4 heures du matin ?