Un réfrigérateur peut être touché sans qu’un pirate ait besoin d’en ouvrir la porte : dans des supermarchés français, des cyberattaques ont fait monter la température d’appareils de froid et compromis des stocks de denrées. L’incident donne un aperçu concret d’un risque plus large : dès qu’un équipement dépend d’un logiciel ou d’une connexion, sa sécurité peut avoir des effets matériels.
Le 11 et le 12 octobre, des centaines de supermarchés français ont été visés, selon l’AFP. Les températures des réfrigérateurs et congélateurs ont augmenté, conduisant des magasins à jeter des produits périssables. La France a attribué ces attaques au Corps des gardiens de la révolution islamique iranien. Juhan Lepassaar, directeur exécutif de l’agence européenne de cybersécurité ENISA, n’a pas commenté cette attribution. Il a toutefois averti que les appareils électroménagers pourraient devenir des cibles, après les équipements frigorifiques de magasins.
Un objet connecté n’est pas seulement un appareil
Un équipement doté d’un logiciel peut échanger des données avec un téléphone, une application ou un service en ligne. Cette connexion permet, selon le produit, de le commander à distance, de recevoir une alerte ou d’accéder à des réglages. Elle crée aussi des chemins numériques qu’il faut protéger : l’appareil, le réseau auquel il se relie, l’application et les services associés.
Ces éléments forment une chaîne. Une faiblesse dans un logiciel ou un service peut exposer un appareil, même si l’utilisateur n’a pas modifié ses réglages. À l’inverse, le fait qu’un produit soit connecté ne signifie pas qu’il est vulnérable à toute attaque, ni qu’il sera nécessairement visé. Le risque dépend notamment de sa conception, de la façon dont il est maintenu et de la durée pendant laquelle son fabricant corrige les failles découvertes.
Dans un magasin, le problème peut dépasser la confidentialité des données. Un système qui surveille ou régule la température participe à la conservation des aliments. Si son fonctionnement est perturbé, une conséquence économique et matérielle peut suivre. L’épisode français montre cette possibilité dans un contexte précis ; il ne permet pas de conclure que les appareils domestiques sont exposés de la même manière, ou qu’une attaque provoquera nécessairement une panne ou un incident de sécurité.
Les mises à jour font partie du produit
Une faille peut être découverte après la vente d’un appareil. Sa protection dépend alors de la capacité du fabricant à publier un correctif et de celle du propriétaire à l’installer. Un produit qui ne reçoit plus de mises à jour peut donc devenir plus difficile à défendre au fil du temps, même s’il fonctionne encore normalement.
C’est l’un des problèmes auxquels répond le règlement européen sur la cyberrésilience, ou Cyber Resilience Act (CRA). Il vise les produits matériels et logiciels comportant des éléments numériques, des montres connectées aux applications. Le texte impose aux fabricants des exigences de cybersécurité à différentes étapes : planification, conception, développement et maintenance. Il prévoit aussi des obligations de traitement des vulnérabilités pendant le cycle de vie du produit.
La mise en œuvre est progressive. Le CRA est entré en vigueur le 10 décembre 2024. Ses obligations principales s’appliqueront à partir du 11 décembre 2027, tandis que les obligations de signalement s’appliquent depuis le 11 septembre 2026. Le marquage CE indiquera la conformité aux exigences du règlement, avec un contrôle assuré par les autorités nationales de surveillance du marché. Ce cadre vise à relever les exigences imposées aux produits concernés ; il ne constitue pas une promesse que toute attaque sera empêchée.
Avant l’achat, regarder au-delà des fonctions
Pour une personne qui choisit un appareil connecté, une question pratique est de savoir combien de temps il recevra des mises à jour de sécurité. Il est également utile de vérifier comment elles sont installées, si l’appareil peut rester utilisable sans certaines fonctions en ligne et quelles données ou permissions l’application demande. Ces points comptent autant pour un réfrigérateur piloté à distance que pour une caméra ou un thermostat : ils déterminent les dépendances numériques créées par le produit.
Une connexion permanente n’est pas toujours nécessaire à l’usage recherché. Si une fonction à distance n’apporte rien au quotidien, le lecteur peut examiner si elle peut être désactivée sans empêcher l’appareil de remplir sa tâche principale. Lors de l’installation, modifier les identifiants par défaut lorsqu’une option existe et maintenir à jour l’appareil et l’application sont des mesures élémentaires de réduction du risque, sans garantir une protection absolue.
La responsabilité ne repose cependant pas seulement sur l’utilisateur. Celui-ci ne peut pas corriger lui-même une faille dans le logiciel du fabricant, ni prolonger le support d’un produit abandonné. C’est précisément pourquoi le CRA met l’accent sur la conception et la maintenance, et pas uniquement sur les réglages au moment de l’achat.
Des appareils aux services essentiels
Pour ENISA, l’enjeu dépasse les objets ménagers. Juhan Lepassaar souligne que de nombreux services dont dépendent les citoyens comportent une composante numérique. Une perturbation peut alors toucher des activités concrètes, des transports aux soins ou aux services d’urgence. L’agence appelle les fabricants à intégrer la sécurité dès la conception, plutôt qu’à la traiter comme un ajout tardif.
L’alerte ne signifie pas qu’un grille-pain connecté ou un réfrigérateur domestique soit aujourd’hui une cible certaine. Elle invite plutôt à considérer le logiciel, les mises à jour et la durée du support comme des caractéristiques du produit. Pour les fabricants, cela implique une responsabilité qui se prolonge après la vente. Pour l’acheteur, cela fournit un critère utile : une fonction connectée vaut aussi par les conditions qui permettent de la maintenir et de la protéger.
Références
- RTL Today, « After fridge hacks, home appliances could be next, warns EU cyber chief »
- Commission européenne, Cyber Resilience Act
Un thermostat Netatmo photographié à Prague. Photo d’illustration des objets connectés.
