Les frigos qui mentent à leurs propriétaires

Imaginez : vous poussez votre chariot vers le rayon frais, vous attrapez une bouteille de lait, un paquet de steaks. Vous regardez l’étiquette, vous souriez parce que le prix est correct. Sauf que le frigo vient de mentir.

En France, des hackers ont réussi à modifier les températures internes de certains réfrigérateurs industriels via des failles dans les systèmes de gestion énergétique. Objectif ? Faire croire aux capteurs que tout était sous contrôle, alors que la viande pourrissait à +10°C au lieu de +4. Les enseignes concernées ont parlé de « panne technique », mais personne n’a osé dire cyberattaque. Parce que ça fait peur. Parce que ça signifie que vos aliments pourraient être compromis sans que vous le sachiez.

En Suisse, on n’en est pas là… encore. Mais les experts tirent la sonnette d’alarme depuis des mois. Les systèmes de réfrigération connectés, ces monstres high-tech qui gèrent la chaîne du froid des entrepôts jusqu’aux rayons, sont des cibles faciles. Pourquoi ? Parce que personne ne les protège comme il le devrait.

Prenez le cas de Coop, qui a externalisé une partie de sa logistique à des sous-traitants spécialisés dans l’IoT (Internet des Objets). Ces boîtes brillantes, avec leurs capteurs et leurs algorithmes, sont souvent configurées en mode « rapidité » plutôt qu’en mode « sécurité ». Résultat : une faille ici, un bug là, et hop, un intrus peut jouer avec vos steaks.

Migros, de son côté, mise sur des partenariats avec des géants comme Siemens pour ses entrepôts automatisés. Siemens, qui a déjà eu des problèmes de sécurité critique dans ses systèmes industriels. En 2021, une faille dans leurs logiciels de gestion énergétique avait permis à des pirates de couper le chauffage d’un hôpital en Allemagne. Un hôpital. Pas un supermarché. Alors imaginez le reste.

Le gaspillage, c’est le cadet des soucis

Oui, des tonnes de nourriture gâchée, c’est déjà grave. En France, on parle de plus de 500 tonnes de produits perdus en une seule semaine dans certains entrepôts. Mais le vrai problème, c’est ce qu’on ne voit pas.

Quand un frigo est piraté, ce n’est pas qu’un appareil qui tombe en panne. C’est un maillon entier de la chaîne qui se désagrège.

• La traçabilité disparaît. Plus moyen de savoir si votre salade a été exposée à des températures dangereuses pendant 48 heures. Les étiquettes « date limite de consommation » deviennent des leurres.
• Les stocks sont faussés. Un pirate peut simuler une rupture de stock pour faire monter les prix. Ou au contraire, saboter les systèmes pour que les rayons semblent vides et pousser à l’achat en ligne (où les marges sont bien plus grasses).
• La réputation prend un coup. Une seule image de clients évitant les rayons frais parce que « ça sent le moisi » et c’est la crise. Coop et Migros ont déjà galéré avec des scandales sanitaires. Ils n’ont pas besoin d’un coup de massue numérique.

Et puis, il y a l’aspect santé publique. Personne ne veut parler des risques réels : une bactérie comme Listeria ou Salmonella qui se développe parce qu’un frigo a été manipulé à distance. En 2019, une panne de courant dans un entrepôt de Migros à Zurich avait déjà causé une contamination massive. Cette fois, ce ne serait pas un hasard.

Pourquoi personne ne bouge ?

Vous vous dites : « Bon, d’accord, c’est grave. Mais alors, que fait la Suisse ? »

Rien. Enfin, presque.

Le SECO (Secrétariat d’État à l’économie) a sorti un communiqué l’an dernier pour rappeler que les « infrastructures critiques » devaient être protégées. Sauf que les supermarchés ne sont pas considérés comme des « infrastructures critiques ». Pour eux, c’est du commerce. Pas de la défense nationale.

Du côté des grandes surfaces, on se renvoie la balle. Migros pointe du doigt les sous-traitants. Coop parle de « protocoles de sécurité renforcés ». Personne ne veut avouer qu’on est en train de jouer à la roulette russe avec la nourriture des Suisses.

Et les fournisseurs de ces systèmes connectés ? Siemens, Schneider Electric, ou même des startups suisses comme Climeworks (oui, celle qui parle de capturer le CO₂) se contentent de vendre des machines « prêtes à l’emploi » sans garantir leur sécurité.

Pourquoi ? Parce que la sécurité coûte cher. Et que pour l’instant, personne ne veut payer le prix.

Ce qui pourrait mal tourner (et ça va mal tourner)

En 2023, une étude de l’ANSSI (l’équivalent français de notre NCSC) a révélé que 68 % des attaques contre les systèmes industriels en Europe ciblaient la chaîne du froid. La Suisse n’est pas épargnée. Pourtant, nos régulateurs dorment.

Voici ce qui pourrait se passer si une cyberattaque majeure frappe Migros ou Coop :

• Des rayons entiers deviennent des pièges à bactéries. Pas une semaine, pas un mois, mais des mois de produits impropres à la consommation écoulés en silence.
• Les assurances refusent de couvrir les pertes. Parce que la cyberattaque ? « C’est un risque connu, mais non assumé. » Traduction : vous êtes seul.
• Les clients se tournent vers l’étranger. Si les Suisses n’ont plus confiance, ils iront acheter en France ou en Allemagne. Et ça, les actionnaires ne le pardonneront pas.
• Un scandale sanitaire éclate. Un seul cas de listériose lié à une viande mal conservée à cause d’un frigo piraté, et c’est l’embrasement médiatique. Migros a déjà eu droit à ça avec les œufs contaminés en 2017. Ils n’ont pas envie de revivre ça.

Le pire ? On n’est pas au bout de nos surprises.

Les systèmes de réfrigération connectés sont de plus en plus reliés à d’autres infrastructures. Un pirate qui s’amuse avec un frigo pourrait aussi :

• Désactiver les systèmes de ventilation dans les entrepôts, créant des zones de chaleur mortelle pour les denrées.
• Fausser les données de poids pour escroquer les fournisseurs (imaginez un camion de pommes de terre qui pèse soudain 20 tonnes de moins…).
• Lancer des alertes fictives pour vider les rayons et provoquer des pénuries artificielles.

Alors, que faire ?

Si vous êtes un client, pas grand-chose. À part vérifier vous-même les températures des frigos (ce qui est mission impossible dans un supermarché bondé) et espérer que votre chance tient jusqu’à la prochaine attaque.

Si vous êtes Migros ou Coop, il est temps de :

1. Arrêter de sous-traiter la sécurité à des boîtes qui ne savent pas ce qu’elles font.
2. Isoler les systèmes critiques du reste du réseau. Un frigo piraté ne doit pas pouvoir communiquer avec la caisse ou le système de paiement.
3. Former le personnel à repérer les signes d’une intrusion. Parce que oui, parfois, c’est juste un employé qui remarque que « le frigo numéro 7 fait un bruit bizarre ».
4. Exiger des audits indépendants sur les fournisseurs de technologie. Pas ceux qu’ils paient pour dire que tout va bien.

Si vous êtes le gouvernement, il est temps de classer les supermarchés comme infrastructures critiques. Parce que sans nourriture, même les banques et les hôpitaux tombent.

Le vrai danger n’est pas dans le frigo

Non, le vrai danger, c’est l’effet domino.

Une cyberattaque sur les frigos, c’est déjà grave. Mais une attaque qui s’étend aux systèmes de livraison, aux stocks des petits commerces, ou pire, aux réserves stratégiques de l’armée, ça, c’est une autre histoire.

La Suisse a les moyens de se protéger. Elle refuse de le faire.

Parce que c’est moins cher de prier pour que ça n’arrive pas. Jusqu’au jour où ça arrivera.

Et ce jour-là, vous ne pourrez plus dire que vous n’étiez pas prévenu.