On pourrait croire qu'un pirate soutenu par un État a mieux à faire que de dérégler un réfrigérateur. C'est pourtant ce scénario, appliqué à nos logements, que le directeur de l'agence européenne de cybersécurité, l'Enisa, a mis sur la table mardi 10 novembre. L'Estonien Juhan Lepassaar a jugé que les appareils électroménagers équipant les logements pourraient être la prochaine cible des pirates. Il a même décrit l'enchaînement qu'il redoute : d'abord les frigos, puis les routeurs, ces équipements qui font circuler les données d'un réseau informatique, et ensuite les appareils ménagers domestiques.

Le patron de l'Enisa présentait ce jour-là le rapport bisannuel de son agence. Pour lui, la sécurité doit être pensée dès la conception de ces produits interconnectés, que l'on trouve désormais partout, jusque dans nos cuisines et nos chambres à coucher. Il a aussi rappelé une évidence que nous oublions volontiers : chaque service dont nous dépendons repose sur un morceau de code qui, s'il n'est pas protégé, peut être piraté.
 

Dans la nuit du 11 au 12 octobre, les contrôleurs qui pilotent à distance la réfrigération d'environ 700 sites français de la grande distribution ont été pris en main. La température des frigos est montée jusqu'à 50 degrés, et Intermarché, Leclerc et Super U ont dû jeter leurs produits frais. Au total, des supermarchés d'au moins 12 pays européens ont été touchés en octobre et en novembre. Dans la nuit du 1er au 2 novembre, ce sont même les chambres froides de trois sites de l'Établissement français du sang, qui conservent des produits sanguins, dont les paramètres ont été modifiés.

La France a officiellement attribué l'attaque des supermarchés, lundi 9 novembre, à une unité cyber des Gardiens de la révolution iraniens, le groupe Shahid Kaveh, et l'Iran a rejeté mardi des accusations qu'il juge infondées. Pour nous, l'essentiel tient à la porte d'entrée. Le CERT-FR, le centre d'alerte de l'État en matière d'attaques informatiques, l'a écrit sans détour dans son alerte sur les contrôleurs de réfrigération : exposer une interface de gestion sur Internet est contraire aux bonnes pratiques. Parmi ses consignes aux exploitants figure un geste que chacun connaît, s'assurer que les mots de passe par défaut ont été changés.
 

Chez vous, le risque prend une forme très concrète dès qu'un appareil se règle depuis une application. Antoine Hautin, spécialiste de la cybersécurité interrogé par 20 Minutes, estime qu'il est tout à fait possible de prendre le contrôle de chauffages et de climatisations privés à partir du moment où ils sont connectés. Il cite le thermostat, le chauffe-eau ou le climatiseur réglables à distance, dont un pirate pourrait monter ou baisser la température à sa guise, ou provoquer une surconsommation.

Ce spécialiste évoque aussi une attaque « par rebond », qui passerait d'un appareil à l'autre. Il reconnaît toutefois qu'il est difficile d'évaluer la réalité de cette menace, tout en jugeant ces hypothèses crédibles. Un précédent existe pourtant à une autre échelle : en janvier 2024, à Lviv, en Ukraine, des habitants ont été privés de chauffage après la cyberattaque d'une entreprise de chauffage urbain. Pour ma part, je ne débrancherais pas mon thermostat connecté pour autant, car la parade recommandée aux supermarchés passe aussi par un geste simple.
 

Ce geste, vous pouvez le faire vous-même. L'application du fabricant et les réglages de l'appareil restent en effet entre vos mains. Cybermalveillance.gouv.fr, le dispositif public d'assistance aux victimes, recommande d'abord de modifier les mots de passe fournis par défaut avec vos objets connectés, souvent trop faibles ou publiquement connus. Il conseille aussi de mettre à jour sans tarder ces objets et leurs applications, de sécuriser votre connexion Wi-Fi et d'éteindre les objets que vous n'utilisez pas.

En revanche, la protection qui viendra des fabricants prendra plus de temps. Le règlement européen sur la cyberrésilience, entré en vigueur le 10 décembre 2024, appliquera ses principales obligations à partir du 11 décembre 2027 : les fabricants devront penser la cybersécurité dès la conception de leurs produits et gérer leurs failles au cours de leur cycle de vie. D'ici là, le geste le plus utile se fait en quelques minutes, dans l'application de votre thermostat ou de votre chauffe-eau, en remplaçant le mot de passe d'origine par le vôtre.