ENISA : après les frigos de supermarché, les appareils ménagers

Il demande que les produits soient sûrs dès leur conception. Tout incident est évitable, dit-il, mais la sécurité coûte cher : reste à savoir si les fabricants sont prêts à investir. Selon le rapport de l'ENISA, l'IA joue en outre un rôle d'« amplificateur de puissance » dans la recherche de failles.

Que s'est-il passé avec les systèmes de réfrigération ?

Dans la nuit du 11 au 12 octobre, les contrôleurs de réfrigération d'environ 700 points de vente en France, dont des supermarchés, ont été pris à distance. Les températures ont grimpé et au moins 15 incendies ont suivi. Début novembre, au moins 12 pays, dont la Belgique, la Suède et l'Irlande, ont signalé des dégâts. Les attaquants sont passés par des équipements de gestion à distance exposés sur Internet et par du matériel ancien sans correctifs de sécurité.

Ce qu'exige le règlement sur la cyberrésilience

Depuis septembre, le règlement européen sur la cyberrésilience oblige les fabricants à signaler dans les 24 heures toute faille activement exploitée et tout incident grave dont ils ont connaissance, y compris pour les produits déjà vendus. L'amende peut atteindre 15 millions d'euros ou 2,5 % du chiffre d'affaires mondial annuel, le montant le plus élevé étant retenu. Les exigences de sécurité dès la conception s'appliqueront pleinement en décembre prochain.

Les fabricants sud-coréens qui exportent des appareils connectés en Europe sont déjà concernés. Un responsable du secteur estime que la sécurité deviendra « une condition d'accès au marché, non un coût », et cite trois chantiers : des dispositifs indépendants protégeant température et alimentation même si le réseau est compromis, une politique de mises à jour couvrant les produits abandonnés, et le contrôle des accès à distance. Séoul s'est pour l'instant limité à recommander un VPN et le changement des mots de passe par défaut.