Le CRA ne ressemble plus à une exagération

Une attaque coordonnée contre les régulateurs frigorifiques de centaines de supermarchés français a montré clairement pourquoi le règlement sur la cyberrésilience exige ce qu'il exige. Ce n'est pas le froid qui a été attaqué : c'est le régulateur.

Ce qui s'est passé en France

Dans la nuit du dimanche 11 au lundi 12 octobre, environ 500 supermarchés français ont retrouvé leurs chambres froides et leurs meubles de surgelés à plus de 50 °C. Il n'y a eu ni vol de données ni demande de rançon : quelqu'un a accédé à distance aux systèmes de supervision frigorifique, a désactivé les alarmes avec des droits d'administrateur et a forcé un cycle de dégivrage continu.

L'ampleur a été considérable : plus de 300 magasins d'une enseigne, près d'une centaine d'une autre, quatre-vingts d'une troisième, une trentaine d'une quatrième. À l'ouverture, le matin, les responsables du rayon frais ont trouvé la marchandise perdue et le sol inondé. Les pertes déclarées vont de 10 000–15 000 € pour un petit magasin à 75 000 € pour un hypermarché, sans compter les jours de vente perdus jusqu'au réassort. Plusieurs enseignes ont indiqué que leur assurance ne couvre pas ce type d'incident.

Le parquet de Paris a ouvert une enquête et l'agence nationale de cybersécurité s'est mobilisée pour coordonner la réponse avec d'autres pays européens. Il ne s'agit pas d'un cas isolé touchant un seul magasin : c'est une attaque coordonnée contre la chaîne du froid de tout un pays.

La difficulté technique était faible ; l'échelle, non

Les attaquants ont exploité des vulnérabilités déjà connues et documentées publiquement. Une experte en cybersécurité citée par la presse française l'a résumé sans détour : un lycéen un peu débrouillard aurait pu le faire. Ce qui a en revanche demandé une certaine sophistication, c'est de coordonner l'intrusion dans des centaines d'installations en même temps.

Cette asymétrie explique le problème de fond. Pendant des décennies, un régulateur frigorifique était un équipement isolé : il se trouvait en salle des machines, se programmait avec un clavier et personne ne pouvait l'atteindre de l'extérieur. Il a été conçu en privilégiant la fiabilité et le coût, ce qui était le bon choix dans ce contexte. La connectivité est arrivée ensuite, greffée sur une architecture qui n'avait jamais été pensée pour résister à qui que ce soit.

La surface d'attaque, ce n'est pas le froid. C'est le régulateur qui pilote le procédé et le canal par lequel on lui donne des ordres. Peu importe ce qu'il y a derrière : un meuble de supermarché, une chambre froide de plusieurs centaines de mètres cubes, un séchoir ou un four. Ce qui est attaqué, c'est l'équipement qui décide de la consigne. Et cet équipement coûte quelques centaines d'euros, alors que ce qu'il protège peut valoir des centaines de milliers d'euros et porter le chiffre d'affaires de toute une entreprise.

La phrase qui devrait nous mettre mal à l'aise, nous fabricants

Le fabricant des régulateurs concernés a répondu que la plupart des unités étaient des produits anciens, en fin de vie, qui ne reçoivent plus de mises à jour logicielles ni de sécurité.

C'est une réponse techniquement exacte et, jusqu'à récemment, parfaitement standard dans notre secteur. Mais elle montre précisément où se trouve la faille : un équipement frigorifique industriel est installé pour durer quinze ou vingt ans, et il continue de fonctionner, et de rester connecté, bien après que l'électronique qui le pilote a cessé d'être maintenue.

La vie commerciale du produit s'arrête. Sa vie opérationnelle, non. Entre ces deux dates, il existe un parc installé qui reste en ligne sans que personne ne le surveille, et c'est là que s'engouffre une attaque comme celle du 12 octobre. En tant que fabricants d'électronique, cette fenêtre relève de notre responsabilité, pas de celle de l'installateur ni de l'utilisateur final.

Ce que change le règlement sur la cyberrésilience

Quand le règlement sur la cyberrésilience a été publié, une bonne partie du secteur l'a trouvé disproportionné. Déclarer une période de support, tenir un inventaire des composants logiciels, surveiller pendant des années les vulnérabilités d'un code qu'on n'a pas écrit soi-même : beaucoup de contraintes pour un régulateur industriel qui fonctionne sans problème depuis trente ans. Relue le lundi 12 octobre, la barre ne semble plus si haute.

Le règlement (UE) 2024/2847 transforme une bonne partie de ce qui précède en obligation légale pour tout produit comportant des éléments numériques mis sur le marché européen. Deux dates rythment le calendrier :

• 11 septembre 2026 (déjà en vigueur). Obligation de notifier les vulnérabilités activement exploitées et les incidents graves : alerte précoce sous 24 heures, notification sous 72 heures.
• 11 décembre 2027. Application complète : exigences essentielles de cybersécurité, documentation technique, déclaration UE de conformité et marquage CE.

Ce qui compte pour ce cas se trouve à l'annexe I, partie II : le fabricant doit déclarer une période de support, tenir un inventaire des composants logiciels (SBOM), surveiller les vulnérabilités de ces composants, disposer d'un canal de signalement et d'une politique de divulgation, et être capable de diffuser des correctifs pendant toute cette période.

Autrement dit, « c'est un produit ancien que nous ne mettons plus à jour » cesse d'être une explication acceptable pour les équipements mis sur le marché à partir de cette date. Cela ne règle pas le cas du parc déjà installé — le règlement ne s'applique pas rétroactivement, sauf en cas de modification substantielle —, mais cela empêche le problème de se reproduire à chaque nouvelle génération de produits.

Pourquoi nous avons pris ce chemin avant qu'il ne soit obligatoire

Chez Conatec, nous avons développé notre propre plateforme de produits électroniques connectés et cybersécurisés. C'est la base sur laquelle sont construits des équipements comme Smartic Cool, Smartic Dry ou notre régulateur de four à convection.

Les éléments qui la définissent :

• Puce cryptographique (élément sécurisé). Chaque équipement possède sa propre identité cryptographique. Les clés sont générées et restent dans la puce : elles ne circulent pas, ne peuvent pas être extraites et ne sont pas partagées entre unités. Compromettre un équipement ne livre pas le parc.
• Certificats et authentification mutuelle. L'équipement vérifie à qui il parle, et la plateforme vérifie quel équipement lui parle. Il n'y a pas d'identifiants génériques d'usine.
• Démarrage sécurisé. Le bootloader vérifie la signature du firmware avant de l'exécuter. Un binaire non signé ne démarre pas.
• Mise à jour signée sur site. Un équipement installé peut être corrigé de manière vérifiée, sans avoir à se déplacer.
• Communication chiffrée et contrôle d'accès par rôles, avec une gestion à distance qui s'appuie sur la couche plateforme.

Ce développement est antérieur au règlement. Nous ne l'avons pas fait pour nous conformer à une norme, mais parce qu'un équipement qui restera connecté quinze ans doit pouvoir être maintenu pendant ces quinze ans. Mais c'est le résultat qui compte : la plateforme intègre déjà les exigences essentielles de cybersécurité de l'annexe I et nous met en mesure de respecter pleinement le règlement sur la cyberrésilience lorsqu'il deviendra entièrement applicable, en décembre 2027 — y compris une période de support déclarée par famille de produits, un inventaire des composants logiciels et une surveillance continue de leurs vulnérabilités.

Six questions à poser à votre fournisseur d'électronique

Si vous fabriquez des équipements à régulation connectée et ne savez pas par où commencer, ces six questions permettent assez bien de séparer le bon grain de l'ivraie :

1. Quelle période de support de sécurité le fabricant du régulateur déclare-t-il, et à partir de quelle date commence-t-elle ?
2. Le firmware peut-il être mis à jour sur site ? La mise à jour est-elle signée, et l'équipement la vérifie-t-il avant de l'installer ?
3. Chaque équipement a-t-il sa propre identité cryptographique, ou tout le parc partage-t-il les mêmes identifiants ?
4. Existe-t-il un inventaire des composants logiciels (SBOM), et quelqu'un surveille-t-il activement les vulnérabilités publiées de ces composants ?
5. Existe-t-il un canal de signalement des vulnérabilités et une politique de divulgation, ou l'alerte arrive-t-elle par un client mécontent ?
6. Une alarme peut-elle être désactivée via l'accès à distance sans privilège distinct et sans laisser de trace ?

La sixième explique le cas français. Les cinq premières sont celles qui évitent le suivant.

Le problème n'est pas de connecter, c'est de s'en désintéresser

Personne ne va renoncer à la supervision à distance, et à juste titre : elle évite des déplacements, détecte les dérives avant qu'elles ne gâchent un lot et permet de justifier les consommations. Le problème n'est pas la connectivité. C'est de traiter un équipement connecté comme s'il était fermé, et de le considérer comme terminé le jour où il sort de l'usine.

Un régulateur connecté est un produit vivant. Il a une maintenance, un cycle de correctifs et une date jusqu'à laquelle quelqu'un s'engage à le maintenir. Cette date, il faut la déclarer, puis la respecter.

Les faits relatifs à l'incident proviennent de la couverture de la presse française et espagnole des 12 et 13 octobre 2026 (AFP, Sud Ouest). Les chiffres des pertes sont ceux déclarés par les enseignes elles-mêmes et peuvent évoluer au fil de l'enquête.