Congélateurs piratés et casse à 6 milliards de dollars : ce que prévoit le droit européen de la cybersécurité

 Les auteurs de cet article participent au projet CRACY, financé par l’Union européenne, qui aide les PME à comprendre la cybersécurité et à se conformer au Cyber Resilience Act.

En l’espace d’une semaine, des acteurs malveillants ont transformé des congélateurs des supermarchés belges en fours et ont dérobé plus de six milliards de dollars à la plus grande plateforme d’échange de cryptomonnaies au monde. Aucune de ces deux attaques n’a commencé par un coup de maître technique. La première est partie d’un mot de passe par défaut que personne n’avait modifié, la seconde d’un entretien d’embauche qui n’était pas ce qu’il semblait être. Alors que les cyberattaques frappent aussi bien le magasin du coin que les entreprises mondiales, cet article revient sur les faits, expose le cadre juridique applicable et précise ce que l’Union européenne attend des entreprises. 

1. Des congélateurs piratés transformés en fours dans toute l’UE 

1.1. Que s’est-il passé ? 

Dans la nuit du dimanche 1 au lundi 2 novembre, les réfrigérateurs et congélateurs de dizaines de magasins belges se sont mis à chauffer. Delhaize, Carrefour, Intermarché, Spar et IKEA ont tous signalé des magasins impactés, et un boucher des environs d’Anvers a perdu quelque 15.000 euros de viande. Fait particulièrement marquant, cette attaque de grande ampleur semble avoir visé non seulement de grandes entreprises, mais aussi de petits commerces de proximité. À l’évidence, personne n’est à l’abri des attaques visant la chaîne d’approvisionnement. 

Des magasins de toute l’Europe, de la Suède et de la Finlande à l’Irlande, l’Estonie et la Roumanie, ont été touchés la même nuit, trois semaines après une attaque similaire contre des centaines de supermarchés français. Plus de 10 autres États membres de l’UE ont été concernés. Le parquet fédéral a ouvert une enquête pénale. Au 4 novembre 2026, ces cyberattaques avaient été revendiquées par les collectifs de hackers prorusses NoName057(16) et Z-Pentest, sans que leur implication ait été confirmée par les autorités. L’ENISA, l’agence de l’Union européenne pour la cybersécurité, a publié une déclaration commune appelant les organisations à prendre des mesures immédiates pour réduire l’exposition des systèmes concernés. 

Comment est-ce qu’on hack un congélateur ? Les installations frigorifiques des supermarchés sont pilotées par de petits ordinateurs que des prestataires gèrent via internet, de sorte que toute personne capable de s’y connecter peut en modifier les paramètres. Aux Pays-Bas, le fabricant de ces congélateurs a indiqué que les systèmes touchés étaient accessibles en ligne et utilisaient encore leurs mots de passe d’usine, publiés dans des manuels accessibles au public. Les hackers se sont servis de ces mots de passe pour faire grimper à distance la température jusqu’à 50 °C, rendant les denrées impropres à la consommation. 

1.2. Ce que prévoit la réglementation 

Le Cyber Resilience Act (CRA), le règlement européen sur la cyberrésilience, s’attaque précisément à ce problème. Il impose aux fabricants de produits connectés de les mettre sur le marché avec une configuration sécurisée par défaut et une protection contre les accès non autorisés. Dans la plupart des cas, cela exclut les mots de passe par défaut et, à plus forte raison, le fait de les imprimer. Ces règles ne s’appliquent toutefois qu’aux nouveaux produits mis sur le marché de l’Union à partir du 11 décembre 2027. Si les produits plus récents devraient donc être mieux sécurisés, les produits plus anciens ne doivent pas nécessairement être mis à jour, de sorte qu’une grande partie des produits connectés en Europe reste exposée à des vulnérabilités similaires. 

Une partie du CRA est néanmoins déjà applicable. Depuis le 11 septembre 2026, les fabricants doivent notifier au CSIRT national et à l’ENISA les vulnérabilités activement exploitées et les incidents graves touchant leurs produits, avec une alerte précoce dans les 24 heures, y compris pour les produits vendus avant 2027. Les attaques contre les congélateurs comptent parmi les premiers tests à grande échelle de ce régime. 

Les magasins eux-mêmes peuvent relever de NIS2, la législation qui impose des mesures de sécurité organisationnelles à un certain nombre d’entités actives dans des secteurs critiques. Le commerce de détail alimentaire en tant que tel n’est pas visé, contrairement à la distribution en gros de denrées alimentaires. Les groupes de distribution qui approvisionnent des magasins franchisés ou affiliés à partir de leurs propres centres de distribution devraient vérifier leur qualification au regard de NIS2, s’ils ne l’ont pas encore fait. À mesure que l’IA rend possibles des attaques plus complexes et de plus grande envergure, la sécurisation de la chaîne d’approvisionnement devient de plus en plus importante. 

2. Un entretien d’embauche qui a coûté six milliards de dollars à Binance 

2.1. Que s’est-il passé ? 

Le 29 octobre, des attaquants ont dérobé à Binance quelque six milliards de dollars américains en crypto-actifs, ce qui en fait probablement le plus important vol de crypto-actifs de l’histoire. Le FBI a attribué l’attaque à la Corée du Nord. 

En septembre, un ingénieur logiciel de Binance a été approché, via une plateforme de recrutement légitime, par une personne se présentant comme directeur de projet dans une autre entreprise. À l’issue d’un entretien vidéo, il lui a été demandé de télécharger un test de programmation sur son ordinateur portable professionnel. Ce test contenait un logiciel malveillant que les outils de sécurité de l’entreprise n’ont pas détecté. 

À partir de là, les attaquants ont progressé patiemment. Au moyen de l’ordinateur infecté et d’un outil d’IA interne, ils ont pris le contrôle des ordinateurs de deux autres ingénieurs, dont l’un avait accès au système de signature des transactions. Les pirates ont ainsi pu donner à leur propre logiciel un contrôle partiel sur les portefeuilles de Binance connectés à internet, qui contiennent les fonds destinés aux retraits quotidiens des clients, et les vider en quelques heures. 

2.2. Ce que prévoit la réglementation 

Les plateformes d’échange de crypto-actifs actives dans l’Union doivent se conformer au Digital Operational Resilience Act (DORA), le même corpus de règles en matière de cyberrésilience que celui qui s’applique aux banques, aux assureurs et aux établissements de paiement. DORA impose un contrôle strict des personnes autorisées à accéder à chaque système, rend obligatoire la formation du personnel à la sensibilisation à la sécurité et exige que les incidents majeurs soient notifiés à l’autorité de surveillance. 

La leçon dépasse le secteur financier. NIS2 impose aux organisations relevant de son champ d’application de traiter la sécurité des ressources humaines, le contrôle des accès et la formation à la cyberhygiène, et charge les organes de direction de superviser ces mesures. Toute organisation dont les développeurs installent librement des outils, ou dont le personnel utilise des ordinateurs portables professionnels à des fins privées, s’expose au même risque et à une éventuelle mise en cause de la responsabilité de ses dirigeants. L’affaire Binance montre que les pertes peuvent être astronomiques. 

3. L’IA en fait l’affaire de tous Dans son rapport 

Threat Landscape 2026, l’ENISA, l’agence de l’Union européenne pour la cybersécurité, a averti que l’IA abaissera probablement les barrières à l’entrée dans la cybercriminalité. L’IA met des attaques techniquement complexes à la portée d’un nombre bien plus important de personnes, y compris de celles qui ne disposent que de peu de véritables compétences techniques. L’ENISA cite une intrusion assistée par l’IA au cours de laquelle un accès administrateur a été obtenu en 8 minutes. Les auteurs de l’attaque contre Binance ont même retourné contre l’entreprise son propre outil d’IA. Ce type d’attaques patientes, menées en plusieurs étapes, devient accessible à des groupes criminels ordinaires. 

L’IA rend aussi les attaques techniquement simples plus fréquentes et plus convaincantes. Les criminels l’utilisent pour rédiger à grande échelle des courriels d’hameçonnage irréprochables, créer des deepfakes de la voix et du visage de cadres, et rendre crédibles de faux recruteurs et de faux fournisseurs. L’attaque elle-même n’est pas plus sophistiquée sur le plan technique qu’auparavant, mais davantage de personnes s’y laissent prendre. 

Quant aux attaques les plus simples, elles ont toujours été quasiment gratuites. Tester des mots de passe d’usine sur des milliers d’appareils connectés ne coûte pratiquement rien à un attaquant. Comme l’ont montré ces attaques, aucune entreprise n’est trop petite ou trop insignifiante pour être une cible, notamment parce qu’un petit fournisseur ou prestataire peut constituer une porte d’entrée vers un client bien plus important au sein de la chaîne d’approvisionnement. La cybersécurité ne peut donc plus être l’affaire des seuls grands services informatiques. 

4. Avant tout, changez vos mots de passe par défaut 

Aux Pays-Bas, les magasins qui avaient sécurisé leurs systèmes de réfrigération après les attaques survenues en France ont été épargnés. Ceux qui ne l’avaient pas fait ont été touchés. 

Les leçons à en tirer sont donc claires pour tout le monde. Commencez par recenser tous les appareils connectés à internet au sein de votre organisation et à votre domicile, des pare-feu et caméras jusqu’aux congélateurs et systèmes de gestion technique des bâtiments. Une fois cet inventaire établi, assurez-vous qu’aucun d’entre eux ne fonctionne encore avec son mot de passe d’usine, déconnectez ce qui n’a pas besoin d’être en ligne et activez l’authentification multifacteur partout où c’est possible. Posez ensuite les mêmes questions à vos fournisseurs. 

5. Comment Timelex peut vous aider 

Timelex conseille des fabricants, des distributeurs, des institutions financières et des organismes publics en droit européen et belge de la cybersécurité. Nous pouvons vous accompagner dans les domaines suivants :

• Champ d’application. Analyse de l’applicabilité de NIS2, du CRA ou de DORA à votre organisation ou à vos produits, y compris l’enregistrement auprès du Centre pour la Cybersécurité Belgique. 

• Conformité au CRA. Classification des produits, exigences de sécurité et processus de notification permettant de respecter le deadline de 24 heures. 

• Réponse aux incidents. Coordination des notifications au titre de NIS2, du RGPD, du CRA et de DORA lorsque le temps presse. 

• Contrats. Sécurité, accès à distance, mises à jour et responsabilité dans vos contrats avec vos fournisseurs et prestataires de maintenance. 

• Formation des dirigeants. Accompagnement des organes de direction pour qu’ils remplissent leur obligation de formation au titre de NIS2 et comprennent ce qu’ils approuvent. 

Vous fabriquez, vendez ou utilisez des équipements connectés, ou vous exploitez des systèmes qui conservent des actifs de clients ? Réservez un entretien de 30 minutes avec Pedro Demolder ou Wout Platteau pour déterminer si le CRA, NIS2 ou DORA s’applique à vous et par où commencer. Contactez-les via pedro.demolder@timelex.eu ou wout.platteau@timelex.eu.