Cyberattaque sur l’Établissement français du sang : des chambres froides poussées à 110 °C

De −30 à 110 °C. C’est la consigne que des pirates ont imposée à des chambres froides de l’Établissement français du sang (EFS). Le Canard enchaîné a révélé le piratage de Coolworld, prestataire chargé de la maintenance de ces conteneurs frigorifiques. L’attaque remonte à la nuit du 1er au 2 novembre et visait des installations situées en Bourgogne-Franche-Comté.

Un technicien d’astreinte a vu les températures grimper et a donné l’alerte avant que la moindre poche ne soit perdue. Le ministère de la Santé assure que la chaîne transfusionnelle n’a jamais été interrompue et qu’aucun patient n’a été exposé.

Points clés

• Via le prestataire Coolworld, des pirates ont fait basculer la consigne de conteneurs frigorifiques de l’EFS de −30 °C à 110 °C, sans perte de poches grâce à un technicien d’astreinte
• Trois semaines plus tôt, des centaines de supermarchés français subissaient le même déréglage, suivis d’enseignes en Belgique, en Irlande et jusqu’en Suède
• L’ANSSI avait alerté sur des contrôleurs frigorifiques accessibles depuis Internet et conseillé de couper leurs interfaces de gestion distantes
• Aucune rançon n’a été réclamée ici, alors que les paiements mondiaux de ransomware sont tombés à 813 millions de dollars en 2024 selon Chainalysis

Cyberattaque sur l’Établissement français du sang, du plasma à 110 °C

Dans ces conteneurs dormaient des échantillons de surveillance sanitaire et des poches destinées aux transfusions. Le plasma frais congelé se conserve jusqu’à trois ans sous les −25 °C. Repassé au-dessus de zéro, il part à la destruction (on rappellera qu’une poche décongelée ne se recongèle jamais). La consigne trafiquée aurait anéanti le stock en quelques heures.

Sur BFMTV, le président de l’EFS Frédéric Pacoud a écarté toute atteinte à la sécurité des produits.

« On aurait pu perdre des échantillons ou des poches de plasma destinés à soigner des patients. »

Frédéric Pacoud, président de l’Établissement français du sang

L’incident n’est pas le premier pour l’établissement. En mars 2024, le vol des données issues de son logiciel de gestion des donneurs avait touché environ 1,5 million de personnes, avec des éléments d’identité et des antécédents médicaux exposés.

Des supermarchés français aux frigos suédois, la chaîne du froid sous attaque

Or le mode opératoire n’avait rien d’inédit. Dans la nuit du 11 au 12 octobre, des centaines de supermarchés français ont retrouvé leurs groupes frigorifiques déréglés, chez Intermarché, E.Leclerc et Coopérative U. Les magasins ont jeté une partie de leurs produits frais et surgelés.

Le 2 novembre, l’attaque a pris de l’ampleur : Quinze magasins Carrefour ont été touchés en Belgique. Treize supermarchés SuperValu ont retiré des produits de la vente par précaution en Irlande. Même scénario en Suède, où des enseignes ont vidé leurs congélateurs.

Ces installations sont pilotées par des automates connectés qui permettent aux techniciens de surveiller les températures et d’intervenir sans se déplacer. Quand l’interface de gestion traîne sur Internet avec un mot de passe d’usine, changer une consigne ne demande aucune prouesse technique.

L’agence française de cybersécurité (ANSSI) avait publié une alerte dès le 12 octobre sur le piratage de contrôleurs d’installations frigorifiques, avant de l’élargir à plusieurs gammes signées Danfoss, Copeland ou Dixell. Ses recommandations tiennent en quelques lignes : retirer d’Internet les interfaces de gestion, verrouiller les accès distants, appliquer les mises à jour et vérifier les réglages, à commencer par les plages de dégivrage. Un cycle de dégivrage fait légitimement monter la température d’une chambre froide, et un paramètre trafiqué passe alors pour une opération de routine.

Autres temps, autres mœurs

Pourtant, personne n’a revendiqué l’attaque. Aucune demande de rançon n’a filtré chez Coolworld ni dans la grande distribution, à rebours du scénario habituel quand un établissement de santé est visé. Les pirates du centre hospitalier sud-francilien de Corbeil-Essonnes avaient réclamé 10 millions de dollars en août 2022, divisé leur exigence par dix, puis publié les données volées faute de paiement.

La mode serait-elle en train de passer ? Les paiements de rançons reculent depuis deux ans. Chainalysis les a chiffrés à 813 millions de dollars en 2024, soit 35 % de moins qu’en 2023, année record à 1,25 milliard. La proportion de victimes qui acceptent de payer est tombée sous les 30 % d’après Coveware, qui suit ces négociations trimestre après trimestre.

La traçabilité des paiements y est pour quelque chose. Une rançon versée en bitcoin laisse une trace publique et définitive dans le registre, que les enquêteurs remontent d’adresse en adresse jusqu’aux plateformes d’échange. On se souviendra du cas emblématique où le FBI avait récupéré 63,7 des 75 bitcoins payés par Colonial Pipeline, un mois après l’attaque de mai 2021. Un sabotage sans paiement ne laisse rien de comparable et les enquêteurs en sont réduits à analyser des traces bien plus réduites. comme des journaux de connexion.

Aucun lien formel n’est établi entre le piratage de Coolworld et la vague d’octobre, et rien ne dit si les chambres froides visées embarquaient les équipements listés par l’agence. L’astreinte, elle, a ramené les conteneurs à leur consigne avant la moindre perte. L’EFS a besoin de 10 000 dons par jour pour tenir ses stocks. Pensez a donner !