Réfrigération : des contrôleurs compromis, les accès à sécuriser

Des accès de gestion à retirer d’Internet

Le CERT-FR rapporte de nombreuses compromissions de contrôleurs à distance d’installations de réfrigération. Il recommande de supprimer l’exposition Internet des unités concernées et de toutes les unités exposées sur une adresse IP publique (identifiant réseau accessible depuis Internet). Faites vérifier ces accès dès maintenant avec vos intervenants.

Avant de couper la remontée des données vers le prestataire frigoriste, vérifiez les conditions contractuelles d’assurance. Le rétablissement de l’accès doit passer par un VPN sécurisé (réseau privé virtuel) ou un réseau protégé. Dans l’urgence, filtrer les adresses IP sources des prestataires frigoristes sur un pare-feu (outil de filtrage des communications réseau) est possible, mais cette solution reste temporaire.

Les installations à faire vérifier

Sont concernés les équipements Danfoss des séries AK-SM et AK-SC, ainsi que Copeland XWEB et Dixell XWEB. Pour une entreprise française utilisant ces matériels, la première décision consiste à organiser la vérification avec le frigoriste et le responsable du réseau.

Pour XWEB, le guide Dixell demande un tunnel VPN chiffré. La redirection transitoire reste non recommandée : une seule adresse IP source de confiance et uniquement le port HTTPS (point d’accès au service web chiffré) peuvent être autorisés.

Les XWEB PRO en micrologiciel (logiciel interne) 1.12.1 ou antérieur doivent être mis à jour sans délai. Avant toute mise à jour, relevez la version et sauvegardez toute la configuration, toutes sections cochées dans Backup/Restore (sauvegarde/restauration). Planifiez l’opération selon l’exploitation : le redémarrage interrompt quelques minutes l’enregistrement des températures.

Une alerte actualisée le 16 octobre

L’alerte initiale date du 12 octobre 2026. D’autres équipements ont été ajoutés le 13 octobre, puis les recommandations ont été mises à jour le 16 octobre. Le CERT-FR estime que des campagnes d’attaques sont probablement toujours en cours.

Maintenir exposé à Internet un équipement en fin de vie sans correctif de sécurité présente, selon le CERT-FR, une très forte probabilité de compromission. Dans ce cas, une réinitialisation d’usine seule est insuffisante : sur un appareil compromis, elle supprime les mécanismes permettant à l’attaque de persister, mais l’appareil reste vulnérable et sera, selon l’alerte, certainement de nouveau compromis.

Les mesures à coordonner

• Faites identifier les modèles installés et leurs accès Internet avec votre frigoriste et le responsable réseau.
• Supprimez l’exposition directe, après vérification des conditions d’assurance concernant la remontée des données.
• Si l’équipement n’est pas compromis, vérifiez toute sa configuration, notamment les plages de dégivrage.
• S’il est compromis, suivez la recommandation du CERT-FR : redémarrer l’équipement Danfoss, sinon restaurer sa configuration d’usine, puis le reconfigurer pour sa remise en service.
• Rétablissez l’accès par VPN sécurisé ou réseau protégé ; réservez le filtrage des adresses sources des prestataires frigoristes sur un pare-feu à une transition d’urgence, avec les restrictions XWEB détaillées plus haut.
• Appliquez les bonnes pratiques du constructeur : mises à jour, mots de passe par défaut changés et, pour les équipements Danfoss concernés, niveau de sécurité Strict (mode de sécurité du constructeur).

Pour organiser la liaison entre vos équipements et les intervenants à distance, VCSTS peut prendre en charge une liaison ciblée, de la conception aux essais et à la transmission.