Frigos Delhaize piratés : qu’est-ce qui est connecté chez vous ?

Dans la nuit du 1er au 2 novembre, la réfrigération s’est emballée dans au moins 40 supermarchés Delhaize, ainsi que dans une quinzaine de magasins Carrefour et cinq Spar, rapporte la VRT (s’ouvre dans un nouvel onglet). À Eeklo, des congélateurs étaient réglés sur 50 degrés. À Hoepertingen, ils ont atteint 15 degrés au lieu de −22, et au moins 60 000 euros de nourriture ont été jetés. C’était déjà la deuxième vague en Europe depuis la mi-octobre, écrit AP (s’ouvre dans un nouvel onglet).

Les points faibles possibles

On ne sait pas encore comment les attaquants sont entrés exactement. Des régulateurs accessibles publiquement, des mots de passe par défaut et des logiciels dépassés sont des portes d’entrée possibles. Selon Danfoss, il s’agissait surtout d’anciens produits qui ne recevaient plus de mises à jour de sécurité. Ce régulateur central est souvent accessible par internet, pour qu’un technicien puisse vérifier à distance. Richard Horne, à la tête du National Cyber Security Centre britannique, a déclaré que les frigos français étaient connectés directement à internet, avec leurs mots de passe par défaut.

Le hacker éthique Keanu Nys ne voit, sur la VRT, « aucune raison » de rendre une installation frigorifique accessible publiquement. Il la limiterait au réseau interne, par exemple via un VPN.

Je comprends comment on en arrive là. Mettre en place un VPN et garder un vrai mot de passe pour chaque régulateur, c’est fastidieux, et le frigo refroidit très bien sans. Mais alors, quiconque trouve l’adresse peut essayer de se connecter. Et on cherche activement. Xavier Bellekens, de l’entreprise de sécurité Lupovis, a vu de nombreuses tentatives d’intrusion sur de faux systèmes frigorifiques que son entreprise avait mis en ligne, la semaine avant l’attaque.

Avec la faille PHP d’octobre, l’IA a aidé à trouver des failles présentes depuis 2012 (s’ouvre dans un nouvel onglet). Je m’attends à voir de plus en plus d’attaques de ce genre, où l’IA cherche des vulnérabilités, des mots de passe par défaut et des pages de connexion standard comme celle de WordPress.

Ce que vous pouvez vérifier chez vous

Il n’y a pas que les frigos de supermarché. Beaucoup d’appareils connectés à la maison, de la caméra IP et du babyphone au four et au climatiseur, ont une interface d’administration ou un compte associé. Laurens Singier, de la Howest, explique à Reuters (s’ouvre dans un nouvel onglet) que les exploitants ne changent souvent pas le mot de passe par défaut du fabricant. Je suppose que ce n’est pas différent à la maison.

Si un appareil a encore le mot de passe sorti de la boîte, changez-le. S’il ne doit pas être accessible de l’extérieur, ne le laissez pas ouvert.

Un mot de passe solide ne doit pas demander d’effort. Un gestionnaire de mots de passe comme Proton Pass (s’ouvre dans un nouvel onglet) ou 1Password (s’ouvre dans un nouvel onglet) crée un mot de passe long et aléatoire, et le retient pour vous. J’utilise moi-même 1Password depuis des années. Le seul mot de passe que vous devez encore connaître, c’est celui du gestionnaire.

Activez aussi, partout où c’est possible, l’authentification à deux facteurs (2FA). Un site vous demande alors un code à six chiffres en plus de votre mot de passe, qui vient généralement d’une app sur votre téléphone. 1Password (s’ouvre dans un nouvel onglet) et Proton Pass (s’ouvre dans un nouvel onglet) (dans la version payante) peuvent aussi générer et conserver ces codes. Comme ils sont dans votre coffre, vous les avez sur tous vos appareils et vous ne dépendez plus de ce seul téléphone.

Votre smart TV a aussi sa place dans cette liste, car elle a souvent un micro. Cet automne, des chercheurs ont montré que des téléviseurs LG pouvaient enregistrer du son alors que l’écran semblait éteint (s’ouvre dans un nouvel onglet), et une affirmation similaire, non vérifiée (s’ouvre dans un nouvel onglet) circule sur les télés Samsung. Si vous n’utilisez pas la commande vocale, désactivez-la.

Avant d’acheter un nouvel appareil

Je n’achèterais pas la caméra d’intérieur d’Action. Test-Achats a testé (s’ouvre dans un nouvel onglet) ce modèle à environ 25 euros en juin. L’app tourne sur la plateforme chinoise Tuya et les images sur la carte microSD ne sont pas chiffrées. Si la vie privée compte pour vous, ces appareils ne sont peut-être pas pour vous, concluent-ils.

Renseignez-vous avant de connecter quelque chose à votre wifi. L’IA est pratique pour ça. Demandez à Claude ou à ChatGPT combien de temps le fabricant promet des mises à jour de sécurité, si l’appareil fonctionne sans cloud, si vous pouvez changer le mot de passe et si des failles sont connues. Cliquez quand même sur les sources qu’il donne.

L’Europe resserre aussi les règles. Depuis août 2025, des exigences européennes de cybersécurité (s’ouvre dans un nouvel onglet) s’appliquent aux appareils sans fil qui se connectent à internet. À partir du 11 décembre 2027, le Cyber Resilience Act (s’ouvre dans un nouvel onglet) ajoute des exigences pour sécuriser les produits avec du logiciel et pour gérer les failles. Cela aide pour ce que vous achetez neuf. Ce qui est connecté à votre wifi depuis des années, mieux vaut le vérifier vous-même.

Un plan hors ligne pour la maison

Dans l’épisode de novembre du podcast Nerdland (s’ouvre dans un nouvel onglet), un podcast scientifique flamand, j’ai entendu Lieven Scheire reparler d’un plan hors ligne. Je pense vraiment qu’il faut y réfléchir. Pouvez-vous encore entrer chez vous sans internet ? Vos panneaux solaires fonctionnent-ils encore quand la connexion tombe ?

Tout devient de plus en plus « always on, always connected », comme beaucoup de jeux solo qui exigent aujourd’hui une connexion internet. Faut-il vraiment tout connecter à internet ? Je pense que cela peut se faire de façon plus intelligente et plus locale. Les appareils Matter fonctionnent en local et restent pilotables sans internet ni cloud (s’ouvre dans un nouvel onglet), via un hub central à la maison. Pour y accéder de l’extérieur, un routeur intelligent peut mettre en place un VPN que vous activez avec une app sur votre téléphone, sans devoir être technicien.

En entreprise, ce n’est pas toujours aussi simple. Mais votre équipe IT peut y réfléchir et vous aider.

Nous vivons une nouvelle réalité, où même un congélateur a un identifiant. Cela me fait penser à Het is oorlog maar niemand die het ziet (s’ouvre dans un nouvel onglet) (« C’est la guerre, mais personne ne le voit »), le livre de 2019 du journaliste néerlandais Huib Modderkolk. Le titre colle étonnamment bien. Inutile de tout jeter. Réfléchissez juste un instant avant de connecter quelque chose à internet.