Des chambres froides de l’Établissement français du sang ont été déréglées à distance, en pleine nuit, via le logiciel de surveillance d’un prestataire. Aucune poche de plasma n’a été perdue : l’EFS a vu l’anomalie grâce à ses propres alarmes. Une leçon directe pour toute entreprise qui confie la surveillance d’un équipement critique à un fournisseur.
Ce qui s’est passé
Dans la nuit du 1er au 2 novembre 2026, les réglages de chambres froides ont été modifiés sur trois sites régionaux de l’EFS, notamment en Bourgogne-Franche-Comté. Ces chambres conservent des échantillons de donneurs et du plasma destiné à la transfusion et à la fabrication de médicaments. Selon Le Canard enchaîné, qui a révélé l’affaire, la consigne aurait été portée à 110 °C : c’est la valeur demandée à l’équipement, pas la température atteinte.
L’EFS a confirmé l’incident dans un communiqué : les installations de supervision et de pilotage des chambres équipées de la solution du prestataire ont été touchées. Il assure qu’aucune perte de produits sanguins n’est à déclarer. Le ministère de la Santé détaille les mesures prises : accès à distance neutralisés, surveillance renforcée, produits transférés vers d’autres installations (Le Quotidien du Médecin, avec AFP, 4 novembre 2026).
Comment l’attaque a fonctionné
Le prestataire, Coolworld, spécialiste des solutions frigorifiques, confirme un incident sur un logiciel de surveillance à distance de systèmes de réfrigération. Il précise que la faiblesse concerne un composant fourni par un tiers, qu’il ne contrôle pas directement, et que seul un nombre limité de ses unités a été touché (Coolworld, communiqué).
Autrement dit, la chaîne compte au moins trois maillons : l’EFS, son prestataire, et le fournisseur d’un composant du prestataire. L’attaquant n’a pas eu besoin d’entrer dans les systèmes de l’EFS : il lui a suffi d’agir sur l’outil qui pilote les équipements à distance.
Ce qui a sauvé les stocks : un technicien de permanence a vu la remontée des températures, et l’EFS dit avoir réagi très vite grâce à des systèmes de supervision indépendants de ce fournisseur (La Libre, avec Belga/AFP, 5 novembre 2026). Si l’alarme avait dépendu du même logiciel, l’attaquant aurait pu la faire taire.
Ce qu’on ne sait pas encore
Le composant tiers en cause et sa faille, le chemin utilisé par les attaquants, leur identité et le lien éventuel avec les attaques contre les frigos de supermarchés d’octobre restent inconnus. Le ministère annonce un nouveau bilan quand les analyses seront terminées. Le 5 novembre, les autorités américaines ont publié une alerte générale sur ces attaques contre la réfrigération industrielle, sans nommer de fabricant ni d’auteur (BleepingComputer, 5 novembre 2026).
Ce que ça change pour une PME
- Faites la liste de ce qui est piloté à distance. Froid, chauffage, climatisation de la salle serveur, alarme, portail : pour chaque équipement, notez le prestataire, l’outil qu’il utilise et le chemin par lequel il se connecte.
- Gardez une alarme qui ne dépend pas du prestataire. Une sonde de température autonome qui envoie un SMS coûte peu. C’est elle qui vous préviendra si l’outil du prestataire est détourné.
- Faites borner les réglages. Demandez au prestataire de limiter les consignes possibles : une valeur absurde doit être refusée ou déclencher une alerte.
- Exigez d’être prévenu. Le contrat doit prévoir que le prestataire vous informe vite d’un incident, y compris chez ses propres fournisseurs. Les 10 mesures essentielles de Cybermalveillance.gouv.fr donnent un bon point de départ.
Le regard de l’auditeur
Quatre questions à vous poser, ou à poser à votre prestataire. Elles s’inspirent de ce que vérifie un auditeur ISO 27001 :
- Savons-nous quels prestataires peuvent modifier à distance nos équipements techniques, et avec quels outils ou fournisseurs à eux ?
- Avons-nous une alarme indépendante de l’outil du prestataire, et qui la reçoit la nuit et le week-end ?
- Les réglages de nos équipements critiques sont-ils limités pour qu’une consigne aberrante soit refusée ou signalée ?
- Avons-nous prévu et testé ce que nous ferions si le pilotage à distance était détourné : couper l’accès, déplacer les produits, prévenir qui ?
Pour les pros : notre analyse technique (mode opératoire, MITRE ATT&CK, questions d’audit ISO 27001).
Dossiers : Fournisseurs et sous-traitants · Équipements exposés et correctifs
Cet article prolonge notre bulletin de veille du 7 novembre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.