Le 5 novembre 2026, cinq agences américaines ont publié un avertissement sur les cybermenaces visant les systèmes de réfrigération industrielle et la surveillance de la chaîne du froid. Deux jours plus tôt, un incident chez un prestataire d’équipements frigorifiques avait affecté des installations de trois sites de l’Établissement français du sang (EFS). L’EFS a indiqué que ses alarmes et son intervention avaient permis de protéger les produits sanguins et les échantillons.
Ce qui s’est passé dans les installations de l’EFS
L’incident s’est produit le 2 novembre chez un prestataire de l’EFS. Selon l’établissement, des réglages de température et de dégivrage ont été portés à des niveaux très élevés dans des chambres froides réparties sur trois sites. L’EFS a précisé qu’il n’avait pas été directement visé. Dans son communiqué du 3 novembre, il explique que ses dispositifs de surveillance et ses alarmes ont détecté les anomalies. Les équipements concernés ont été maîtrisés ou neutralisés, et les produits ont été déplacés par précaution lorsque cela était nécessaire.
L’EFS n’a signalé ni conséquence sanitaire ni perte de produits sanguins. Il a également indiqué que les collectes et les distributions s’étaient poursuivies.
Pourquoi les commandes de réfrigération comptent dans la santé
La technologie opérationnelle, ou OT, désigne les systèmes qui surveillent ou pilotent des équipements physiques. Dans une chaîne du froid, ils participent au contrôle des températures. Une modification de réglage peut donc exposer les stocks à des températures inadéquates.
Dans leur fiche publiée le 5 novembre, la CISA, le FBI, HHS, l’USDA et le DOT signalent des tentatives visant des contrôleurs de température et des systèmes frigorifiques vulnérables, notamment lorsqu’ils ne sont pas à jour ou sont accessibles depuis Internet. Les agences citent parmi les secteurs concernés la santé, la chimie, l’agriculture et les transports. Elles avertissent qu’une attaque réussie pourrait modifier les températures, entraîner des pertes de stocks, créer des risques d’incendie ou réduire la durée de vie des équipements.
Les mesures recommandées par les agences américaines
La fiche conjointe recommande de retirer d’Internet les appareils ou systèmes de commande concernés, de remplacer les mots de passe par défaut et de renforcer les mots de passe, d’installer les correctifs et mises à jour, puis de retirer ou remplacer les équipements anciens qui ne sont plus pris en charge par leur fabricant.
Ces mesures visent les faiblesses citées dans l’avertissement : une exposition à Internet, des mots de passe insuffisants, des mises à jour manquantes ou des appareils qui ne bénéficient plus de l’assistance de leur fabricant.
Les mesures sanitaires rapportées par NPR
NPR a rapporté que Health ISAC avait aussi alerté les organisations de santé sur les risques visant les commandes frigorifiques. Selon ce compte rendu, l’organisme recommande de séparer ces systèmes des réseaux informatiques et des réseaux invités des hôpitaux, de conserver des sauvegardes hors ligne et de former les équipes à reprendre la commande manuelle sur place en cas d’urgence.
NPR attribue également à Errol Weiss, responsable de la sécurité de Health ISAC, la recommandation d’ajouter des alarmes thermiques indépendantes et des coupures câblées que les commandes logicielles ne peuvent pas neutraliser.
Pour protéger une chaîne du froid, les alertes et la reprise manuelle doivent pouvoir rester utiles même si les commandes connectées sont isolées.
