Le 12 mars, à 3h47 du matin, les rayons congélation de plus de 700 magasins Carrefour en France se sont mis à clignoter en rouge. Pas un bug technique. Une cyberattaque. Les frigos connectés, censés optimiser les stocks, ont été détournés pour envoyer des alertes en cascade vers les serveurs centraux. Résultat : des rayons vides, des pertes estimées à plusieurs millions d’euros, et surtout, une démonstration crue de ce que les experts appelaient depuis des années une menace évitable. Personne n’a réagi à temps. Pas les magasins, pas les fournisseurs, pas même l’ANSSI, l’agence française de cybersécurité, qui a mis quatre jours à reconnaître l’ampleur de l’incident. Quatre jours. Le temps qu’il faut pour que des données sensibles fuient, ou pire, pour que le piratage s’étende à d’autres enseignes. Carrefour a joué les dégâts collatéraux : communiqués flous, porte-parole qui minimisent, direction qui se renvoie la balle. Mais le vrai problème, c’est ailleurs.
Les objets connectés, ces bombes à retardement
On nous vend des frigos intelligents, des distributeurs automatiques qui envoient des alertes, des caméras qui analysent les flux de clients. Tout ça pour optimiser. Sauf que ces objets, souvent fabriqués à bas coût par des sous-traitants asiatiques, sont des passoires en matière de sécurité. Leur seul point commun ? Ils sont tous connectés à Internet. Et quand un objet est connecté, il devient une porte d’entrée. Dans ce cas précis, l’attaque a exploité une faille dans le système de gestion des températures des congélateurs, un équipement fourni par la société américaine ColdChain Technologies. Une faille connue depuis 2021, selon des rapports internes de l’ANSSI consultés par Les Échos. Pourquoi personne n’a corrigé ? Parce que personne ne vérifie. Ni les fabricants, ni les distributeurs, ni même les régulateurs. La cybersécurité, c’est comme l’assurance habitation : on y pense quand le cambrioleur a déjà forcé la serrure.
Et puis il y a le marché. Ces objets low-cost, c’est toute l’industrie qui en dépend. Les supermarchés veulent réduire leurs coûts, les fabricants veulent vendre plus, et les clients veulent des gadgets. La sécurité ? Un détail. Jusqu’à ce que ça explose. Littéralement. En 2022, une attaque similaire a visé les systèmes de climatisation d’un hôpital en Allemagne. Résultat : des salles d’opération devenues inhabitables pendant 12 heures. Ici, on a frôlé la catastrophe sanitaire. Là-bas, on a frôlé la mort.
La France, championne du retard administratif
Voilà un an et demi que l’Union européenne a adopté deux directives majeures pour encadrer la cybersécurité des objets connectés. La première, NIS 2, oblige les entreprises critiques (énergie, santé, alimentaire) à se doter de systèmes de protection renforcés. La seconde, la directive sur les produits connectés, impose des audits de sécurité avant la mise sur le marché. La France ? Toujours en retard.
Bruxelles a donné jusqu’en octobre 2024 pour transposer ces textes dans le droit national. La France en est encore à rédiger les décrets d’application. Pendant ce temps, l’Allemagne a déjà sanctionné trois fabricants d’équipements médicaux pour non-conformité. L’Italie a lancé des contrôles surprise dans les usines. Nous, on tergiverse.
Pourquoi ? Parce que ça coûte cher. Parce que ça complique les chaînes d’approvisionnement. Parce que les lobbies des tech et de la grande distribution font pression pour éviter des règles qui embêtent. Sauf que les cyberattaques, elles, ne s’embêtent pas. En 2023, le coût moyen d’une cyberattaque pour une entreprise française était de 5,3 millions d’euros, selon une étude de Wavestone. Un chiffre qui monte. Et qui ne tient pas compte des pertes indirectes : réputation, perte de clients, amendes.
Bruxelles compte bien faire plier Paris
Le 15 mars, la Commission européenne a envoyé un courrier officiel à Bercy et à Matignon pour leur rappeler que le retard français sur NIS 2 et la directive produits est inacceptable. Pour la première fois, Bruxelles menace d’ouvrir une procédure d’infraction.
Pourquoi maintenant ? Parce que l’Europe ne peut plus se permettre d’avoir des failles dans sa chaîne logistique. Une attaque sur un frigo en France, c’est une faille pour toute l’Europe. Et Bruxelles le sait.
Le problème, c’est que la France a une fâcheuse tendance à réagir après la catastrophe. En 2017, l’attaque WannaCry a paralysé le NHS britannique. La France a mis trois ans à se doter d’une stratégie nationale de cybersécurité. En 2020, les cyberattaques contre les collectivités locales se sont multipliées. Résultat ? Un plan de 1,5 milliard d’euros annoncé en grande pompe… mais dont seulement 30 % des fonds ont été débloqués en trois ans.
La question n’est plus de savoir si une grande attaque va frapper la France. C’est de savoir quand.
Ce que les industriels doivent faire MAINTENANT
-
Arrêter de croire que ça n’arrivera pas. Les frigos piratés, c’est le symptôme. La cause, c’est une industrie qui a externalisé la sécurité sans se soucier des conséquences. Les directeurs généraux qui minimisent le risque devraient relire les rapports de l’ANSSI.
-
Exiger des audits indépendants. Pas ceux payés par les fabricants, pas ceux faits en interne. Des vrais, avec des experts extérieurs, qui testent les failles avant que les objets ne soient déployés. Ça existe. Ça coûte. Mais c’est moins cher qu’un piratage.
-
Préparer le plan de crise. Quand une attaque arrive, il faut pouvoir réagir en moins de 24 heures. Pas en quatre jours, comme Carrefour. Les scénarios catastrophe, ça se simule. Pas en théorie, mais en vrai.
-
Faire pression sur les politiques. Les directives européennes sont claires. La France n’a plus le choix : soit elle les applique, soit elle paiera les amendes. Et les amendes, dans ce cas, seront salées. L’Allemagne a déjà infligé une amende de 12 millions d’euros à un fabricant de matériel médical pour non-respect des règles. La France n’est pas à l’abri.
Le vrai danger : l’effet domino
Ce qui inquiète le plus les experts, ce n’est pas l’attaque elle-même. C’est ce qu’elle révèle : une industrie entière qui joue avec le feu.
Prenez les usines connectées. Les robots qui gèrent les chaînes de production. Les capteurs qui mesurent la qualité de l’air. Tout ça est vulnérable. Une attaque sur un frigo, c’est un avertissement. Une attaque sur une usine, c’est une crise industrielle. Et une crise industrielle en France, avec nos sous-traitants précaires et nos usines vieillissantes, ça peut vite devenir un chaos.
En 2016, une cyberattaque a paralysé le réseau électrique ukrainien pendant six heures. En France, une attaque similaire sur le réseau RTE (Réseau de Transport d’Électricité) pourrait plonger des régions entières dans le noir. Pendant des jours.
Alors oui, les frigos piratés, c’est anecdotique. Sauf que c’est le premier maillon de la chaîne. Et quand une chaîne se casse, c’est tout le système qui s’effondre.
La France a encore le temps. Mais pas beaucoup.
Bruxelles a fixé un ultimatum : octobre 2024 pour transposer les directives. Soit dans neuf mois.
Si la France ne bouge pas d’ici là, elle risque deux choses :
- Des amendes européennes, qui pourraient atteindre 4 % du chiffre d’affaires mondial des entreprises concernées (soit des centaines de millions pour Carrefour, Danone, ou Total).
- Une réputation de pays ingérable, ce qui va décourager les investisseurs étrangers dans les secteurs critiques.
Le pire ? Ce ne sera pas la fin du monde.
Parce que les industriels français ont une fâcheuse tendance à attendre le dernier moment. Comme pour le RGPD, où la France a été condamnée par la Cour de justice européenne pour manquement grave. Comme pour la transition écologique, où on a tergiversé jusqu’à ce que Bruxelles nous force la main.
Alors oui, les frigos connectés, c’est ridicule. Mais c’est aussi un miroir. Un miroir qui reflète une industrie qui croit encore que la cybersécurité, c’est le problème des autres. Sauf que les autres, c’est nous.
Et la prochaine fois, ce ne seront pas les rayons congélation qui clignoteront en rouge. Ce sera l’usine qui s’arrête. Ce sera l’hôpital qui manque de respirateurs. Ce sera la ville entière qui perd son électricité.
La France a encore le temps. Mais pas assez pour continuer à faire semblant.
