Un scan rapide effectué le 12 octobre à l’aide des moteurs de recherche IoT « S » et « C » (à la recherche du titre de la page web du contrôleur ou de la signature du favicon) révèle environ 700 hôtes Danfoss exposés à Internet en Belgique, dont environ 400 semblent exécuter une version vulnérable. Plusieurs chaînes de grande distribution belges, y compris des acteurs majeurs, en font partie.
La partie émergée de l’iceberg
Les congélateurs des supermarchés ne sont que la partie émergée de l’iceberg. Ce à quoi nous assistons est un anti-modèle de cybersécurité courant, présent dans tous les secteurs qui dépendent des contrôleurs IoT. Souvent par facilité ou par manque de sensibilisation, les intégrateurs TIC et les mainteneurs d’équipements IoT choisissent la pire option possible pour accéder à un appareil à distance : ils ouvrent un port sur le pare-feu ou le routeur et le redirigent vers l’appareil.
Ouvrez un port, et l’appareil se retrouve sur Internet
Une objection fréquente est : « Mon appareil n’est pas directement sur Internet. Il se trouve derrière notre pare-feu, nous n’ouvrons qu’un seul port. » C’est exactement ce que signifie une exposition directe. Une redirection de port (port-forward) publie l’interface web de l’appareil sur l’ensemble d’Internet, et le pare-feu se contente de laisser passer le trafic. N’importe qui, y compris un scanner, peut alors atteindre l’appareil, le tester et l’exploiter, sans VPN ni authentification préalable.
L’éléphant dans la pièce
Personne n’en parle. Pourtant, tous les acteurs du terrain savent qu’un appareil IoT publié sur un port aléatoire d’Internet sera tôt ou tard touché par une vulnérabilité. Les intégrateurs le savent, les mainteneurs le savent, et les clients qui paient pour le service le soupçonnent souvent. Pourtant, cette pratique se poursuit parce qu’elle est rapide, économique et que rien ne semble se casser visiblement jusqu’au jour où cela arrive. Un port ouvert « temporairement » pour un technicien a tendance à devenir permanent.
L’attaque survenue en France n’a pas nécessité de techniques avancées : trouver des appareils vulnérables avec des moteurs de recherche, exploiter la vulnérabilité, régler la température sur 50 °C. La sophistication réside ailleurs : dans le fait de le faire simultanément sur des centaines de magasins et plusieurs chaînes. Ce niveau de coordination témoigne d’une préparation et prouve que cette exposition est connue et exploitable à grande échelle.
Quelle est la solution ?
La réponse habituelle tient en deux mots : « gestion des correctifs » (patch management). Mais tout le monde sait que dans le monde de l’IoT, les modèles en fin de vie restent utilisés parce qu’ils fonctionnent toujours. Les anciens contrôleurs de température Danfoss (AK-SM800, AK-SC355) régulent toujours parfaitement la température des congélateurs, jusqu’à ce qu’ils soient piratés. Ces modèles ne reçoivent plus de mises à jour de sécurité, donc l’application de correctifs ne peut pas être la seule réponse.
La bonne réponse réside dans une segmentation réseau adéquate : placer les appareils IoT derrière des pare-feux, avec un accès distant uniquement via un VPN et des serveurs relais (jump hosts). Surtout, une règle absolue : ne jamais exposer directement un appareil à Internet, en gardant à l’esprit qu’ouvrir un port revient exactement à cela.
Où vous situez-vous ?
Savez-vous lesquels de vos appareils sont accessibles depuis Internet aujourd’hui ? Approach Cyber peut évaluer votre exposition et vous aider à renforcer votre infrastructure avec AXS Guard, notre solution de pare-feu développée en Belgique.