La CISA et le FBI disent que des attaquants visent les contrôleurs de réfrigération

Le 5 novembre 2026, la CISA, le FBI, le ministère de la Santé et des Services sociaux, le ministère de l’Agriculture et le ministère des Transports ont publié une fiche (en anglais) sur des attaques contre les contrôleurs qui gardent les réfrigérateurs et congélateurs commerciaux à la bonne température. Les agences disent que l’activité est mondiale. Elles ne nomment ni victime, ni entreprise, ni logiciel malveillant. Ce qu’elles décrivent, c’est un attaquant qui peut atteindre un contrôleur exposé à Internet et changer ce qu’il fait.

Ce que les agences disent qu’il se passe

La fiche, marquée TLP:CLEAR pour qu’elle puisse être partagée, dit que les agences autrices sont au courant d’une activité malveillante contre des systèmes industriels de réfrigération et de surveillance de la chaîne du froid. Les hôpitaux, les sites chimiques, l’alimentation et l’agriculture, et le transport les utilisent tous, y compris les camions frigorifiques. Les systèmes surveillent les températures, les consignent, lancent les cycles de dégivrage et gèrent l’énergie.

La section sur la menace est plus précise, et elle est écrite comme une capacité, pas comme un dossier d’incident clos. Des acteurs visent des contrôleurs électroniques de température et des contrôleurs de réfrigération commerciale dans les épiceries et l’entreposage frigorifique. Ils peuvent utiliser un contournement d’authentification, une injection de code ou une configuration faible sur un contrôleur non corrigé ou joignable depuis Internet. Si cela fonctionne, les agences disent que l’attaquant pourrait forcer les appareils dans des cycles continus de chauffage et de dégivrage. Les effets qu’elles énumèrent sont :

• une durée de vie plus courte de l’équipement
• un risque d’incendie
• une perte de stocks
• un tort pour les personnes qui consomment ensuite un aliment ou un médicament conservé dans de mauvaises conditions
• une perte de visibilité sur la température actuelle, de sorte que le personnel ne voit pas que quelque chose ne va pas

Chris Butera, directeur exécutif adjoint par intérim de la cybersécurité à la CISA, a dit que chaque organisme qui dépend de ces systèmes devrait supposer qu’il pourrait être une cible. Brett Leatherman, directeur des opérations de la branche cyber du FBI, a dit que le Bureau voit ces systèmes visés dans des secteurs d’infrastructures essentielles à l’échelle mondiale, et que les stocks et l’équipement sont à risque. Ni ces déclarations ni la fiche ne donnent un nombre de sites, une répartition par pays, ou la confirmation que la nourriture d’un magasin précis a été touchée.

C’est la limite du document. C’est un avertissement sur une classe d’équipement et un ensemble de faiblesses, avec un langage conditionnel (« may », « could » dans le texte anglais). Ce n’est pas une liste de fuites, et ce n’est pas le rapport d’un rançongiciel ou d’un botnet nommé. Des articles le même jour ont décrit des incidents de supermarchés et de banques de sang en Europe. Ces détails ne figurent ni dans la fiche ni dans le communiqué des agences, donc ils ne sont pas repris ici.

Ce qu’elles demandent aux exploitants

Les mesures suivent les objectifs de rendement en cybersécurité intersectoriels de la CISA et du NIST. En bref :

1. Retirez les panneaux de contrôle de l’Internet public. Si quelqu’un doit les joindre à distance, placez un pare-feu ou un appareil de périmètre à jour devant eux.
2. Mettez l’équipement opérationnel sur son propre réseau, séparé du réseau de bureau.
3. Changez les mots de passe par défaut, utilisez-en de plus solides, et ajoutez une authentification multifacteur résistante à l’hameçonnage là où l’appareil le permet.
4. Corrigez le micrologiciel, et retirez les contrôleurs que le fournisseur ne prend plus en charge.
5. N’autorisez que des appareils et des adresses connus à changer les réglages.
6. Gardez des sauvegardes hors ligne et essayez-les.
7. Activez la journalisation, ou recueillez le trafic réseau là où l’appareil n’a pas de journaux utiles, et donnez l’alerte lorsqu’une consigne de température sort de la plage sûre.

La fiche renvoie les exploitants qui veulent les versions plus longues vers les guides de la CISA sur la technologie opérationnelle, les appareils de périmètre et la réduction de l’exposition à Internet, et vers les principes de connectivité sûre du Centre national de cybersécurité du Royaume-Uni pour la technologie opérationnelle.

Les organismes américains sont invités à signaler une activité suspecte à la CISA à contact@cisa.dhs.gov ou au 1-844-729-2472, ou au centre de plaintes sur la criminalité Internet du FBI ou à un bureau local. Les perturbations du secteur de la santé peuvent aussi aller au HHS à HHSCyber@hhs.gov ou au 202-619-7800. Les agences demandent la date, l’heure et le lieu, le type d’activité, le nombre de personnes touchées, l’équipement en cause et une personne-ressource.

Ce que ça signifie si vous ne gérez pas une chambre froide

Si vous faites l’épicerie ou allez chercher une ordonnance, vous ne pouvez pas corriger le contrôleur du magasin, et cet avis ne dit pas que votre nourriture était en cause. Il n’y a pas de liste de vérifications pour le consommateur qui découle de la fiche. Les personnes qui peuvent agir sont celles qui possèdent ou entretiennent l’équipement : un épicier, une clinique, un entrepôt, une entreprise de camionnage, ou le fournisseur qui a installé le moniteur.

Si c’est vous, la première question est de savoir si la page d’administration du contrôleur répond sur l’Internet public. Si oui, la première mesure de la fiche est de retirer cette exposition avant de débattre du reste.

Comment Frame peut aider

Frame ne surveille pas les contrôles de bâtiment ni l’équipement de réfrigération. Cet avis n’est pas une fuite de données personnelles. Rien de ce qu’il contient n’appartient à un catalogue de fuites.

Sources

• CISA, US Government Partners Urge Hardening Industrial Refrigeration and Cold Chain Monitoring Systems (en anglais), 5 novembre 2026
• CISA, CISA, FBI, HHS, USDA, and DOT Urge Critical Infrastructure To Strengthen Industrial Refrigeration and Cold Chain Monitoring Systems Cybersecurity (en anglais), 5 novembre 2026