Des chambres froides de l’Établissement français du sang ont vu leurs paramètres modifiés à distance via le logiciel de surveillance d’un prestataire frigorifique, lui-même dépendant d’un composant tiers. Cette analyse s’adresse aux auditeurs, RSSI et responsables sécurité. Le vecteur d’accès n’est pas publié : nous distinguons ce qui est confirmé par les acteurs, notre lecture, et ce qui reste inconnu.
Pour une lecture orientée dirigeant, voir notre décryptage « Chambres froides de l’EFS : l’alarme indépendante du prestataire a fait la différence ».
Contexte
- Victime : Établissement français du sang (EFS), via son prestataire de solutions frigorifiques Coolworld (nommé par Le Canard enchaîné ; incident confirmé par Coolworld, qui ne commente pas les situations de ses clients). Incident confirmé par l’EFS et le ministère de la Santé.
- Chronologie : nuit du 1er au 2 novembre 2026 ; révélation le 3 novembre ; communiqués de l’EFS et de Coolworld les 3 et 4 novembre ; alerte conjointe américaine (CISA, FBI, HHS, USDA, DOT) le 5 novembre, de portée générale.
- Périmètre : installations de supervision et de pilotage de chambres froides sur trois sites régionaux, dont la Bourgogne-Franche-Comté selon Le Canard enchaîné ; chambres contenant échantillons de donneurs et plasma.
- Bilan officiel : aucun impact sanitaire, aucune perte de produits sanguins. L’EFS a informé l’ANSSI ; rien n’indique à ce stade une atteinte de son système d’information (Infosecurity Magazine).
- Attribution : aucune. Lien avec la campagne contre les contrôleurs de froid des supermarchés (octobre, puis nuit du 1er au 2 novembre en Europe) non établi.
- Sources : Le Quotidien du Médecin (AFP), 4 novembre 2026 ; La Libre (Belga/AFP), 5 novembre 2026 ; Coolworld, communiqué ; Infosecurity Magazine, 4 novembre 2026 ; IT-Connect, 4 novembre 2026 ; BleepingComputer, 5 novembre 2026.
Mode opératoire : ce qui est documenté et ce qui ne l’est pas
| Étape | Ce qui est rapporté | Correspondance MITRE ATT&CK (notre lecture) |
|---|---|---|
| Accès initial | Incident sur un logiciel de surveillance à distance de systèmes de réfrigération ; faiblesse dans un composant fourni par un tiers et non contrôlé directement par Coolworld. Vecteur précis non publié. | Enterprise : T1199 Trusted Relationship ; ICS : T0822 External Remote Services ou T0883 Internet Accessible Device (hypothèses) |
| Action | Altération des paramètres de fonctionnement des chambres équipées de la solution du prestataire ; consigne portée à 110 °C selon Le Canard enchaîné | ICS : T0836 Modify Parameter, T0831 Manipulation of Control |
| Impact visé | Remontée de température de produits sanguins et perte des stocks | ICS : T0879 Damage to Property, T0828 Loss of Productivity and Revenue (évités) |
| Réponse | Neutralisation des accès à distance, transfert des produits, surveillance renforcée, investigations techniques | – |
Faits techniques connus
- La cible est la couche de supervision et de pilotage (logiciel de télésurveillance du prestataire), pas les systèmes informatiques de l’EFS.
- Le composant vulnérable provient d’un tiers du prestataire : la chaîne compte au moins trois niveaux (donneur d’ordre, prestataire, fournisseur de composant).
- L’alerte américaine du 5 novembre décrit, de façon générale, des attaques par contournement d’authentification, injection de code ou configuration faible sur des contrôleurs non corrigés ou exposés, avec cycles forcés de chauffe ou de dégivrage et réduction possible de la visibilité sur les températures. Elle ne cite ni fabricant, ni CVE, ni l’EFS.
Ce qu’on ne sait pas
- Le composant tiers, la nature de la faiblesse et l’existence d’un correctif.
- L’exposition du logiciel sur Internet, l’usage éventuel d’identifiants valides et la durée de présence.
- Le nombre total d’équipements concernés et le calendrier de remise en service (investigations en cours selon le ministère).
Détection : une supervision hors de portée de l’attaquant
L’anomalie a été repérée la nuit même par un technicien de permanence, sur la base de la remontée des températures. L’EFS attribue la rapidité de sa réaction à des systèmes de supervision indépendants du fournisseur. Selon notre lecture, c’est la mesure décisive : l’attaquant contrôlait le canal de pilotage, mais pas le canal de mesure et d’alarme. Une architecture où la même plateforme pilote et alerte aurait permis, en théorie, de modifier la consigne et de masquer la dérive, scénario que l’alerte américaine mentionne explicitement.
Signaux utiles pour une organisation qui exploite ce type d’équipement : changement de consigne hors des plages habituelles ou hors des heures de maintenance, commande de dégivrage répétée, connexion de télémaintenance non annoncée, écart entre la température rapportée par le pilotage et celle d’une sonde indépendante.
Questions d’audit ISO 27001:2022
- Fournisseurs et chaîne d’approvisionnement (A.5.19, A.5.20, A.5.21, A.5.22) : les prestataires de télésurveillance et de maintenance des équipements techniques figurent-ils au registre des fournisseurs, avec les composants tiers qu’ils intègrent ? Les contrats fixent-ils des exigences sur l’accès à distance, la gestion des vulnérabilités et la notification d’incident, y compris pour les sous-traitants de rang 2 ? Preuves : registre, contrats, revue périodique.
- Services supports et surveillance (A.7.11, A.8.16) : les équipements critiques disposent-ils d’une mesure et d’une alarme indépendantes du système de pilotage du prestataire, reçues par une astreinte, et testées ? Preuves : schéma de supervision, procès-verbaux de test, planning d’astreinte.
- Configuration, réseau et accès distant (A.8.9, A.8.20, A.8.22, A.5.15) : les plages de consigne sont-elles bornées, les flux de télémaintenance cloisonnés et ouverts à la demande, et les accès du prestataire nominatifs et journalisés ? Preuves : configuration de référence, matrice des flux, journaux d’accès.
- Incidents et continuité (A.5.24, A.5.26, A.5.29, A.5.30) : un scénario « sabotage du pilotage à distance » est-il prévu (coupure des accès, transfert des produits, information des autorités), et a-t-il été exercé ? Preuves : plan de continuité, compte rendu d’exercice.
Pistes de sensibilisation
- Atelier « qui touche à nos équipements à distance ? » (20 minutes, direction et services techniques) : cartographier les équipements pilotés par des prestataires, le chemin d’accès et l’alarme indépendante associée. Support : les 10 mesures essentielles de Cybermalveillance.gouv.fr.
- Pour les équipes d’astreinte : une dérive inexpliquée peut être un incident de sécurité, pas seulement une panne. Fixer qui prévenir côté sécurité informatique et quelles traces conserver avant de remettre l’équipement en service.
À lire aussi : notre décryptage pour les dirigeants et notre bulletin de veille du 7 novembre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.