Cyberattaque sur le froid de l'EFS via son prestataire Coolworld

L'Établissement français du sang (EFS) confirme une cyberattaque survenue le 2 novembre qui a touché les systèmes de supervision et de pilotage de ses chambres froides sur trois sites. L'EFS n'était pas la cible directe : l'attaque a visé son prestataire de maintenance frigorifique, dont le logiciel pilote les chambres. L'EFS indique qu'aucun impact sanitaire n'a été identifié et qu'aucune perte de produits sanguins n'est à déclarer.

Le récit s'appuie sur Next, qui cite Le Canard enchaîné, corroboré par BleepingComputer reprenant le communiqué de l'EFS du 3 novembre.

Ce qui s'est passé

• L'intrusion n'a pas touché le réseau de l'EFS mais celui de son prestataire. L'EFS ne le nomme pas ; Coolworld Rentals confirme un incident de cybersécurité affectant un nombre limité de ses unités.
• Les installations de supervision et de pilotage des chambres froides, déployées sur trois sites. Selon Le Canard enchaîné, des chambres ont été reprogrammées de −30 °C vers 110 °C ; un technicien de permanence a repéré la remontée en température.
• Du plasma congelé et des échantillons d'un dispositif de veille sanitaire figurent parmi le matériel concerné ; les produits ont été transférés ou sécurisés à temps.

Impact

La ligne de l'EFS est nette : aucun impact sanitaire, aucune perte de produits sanguins. La collecte et la distribution se poursuivent sans interruption. Selon l'EFS, l'établissement travaille avec l'ANSSI et le ministère de la Santé, et a renforcé la surveillance de ses équipements frigorifiques.

Attribution

Aucune. Aucun groupe n'a revendiqué, aucun acteur n'est nommé. Coolworld évoque une vulnérabilité dans un composant tiers exploitée par les attaquants, sans identifier ni le composant ni les auteurs.

Que faire

1. Sortez les contrôleurs de froid et de GTB d'Internet. L'interface de gestion exposée est le fil rouge de toute cette vague : placez-la derrière un VPN, jamais d'administration en accès public.
2. Traitez le plan d'administration à distance de votre prestataire frigorifique comme votre surface d'attaque. L'EFS a été frappé via un sous-traitant : cartographiez qui peut écrire des consignes dans votre chaîne du froid.
3. Alertez hors bande sur tout changement de consigne. Une écriture forcée vers 110 °C, ou un dégivrage non programmé, doit déclencher une astreinte avant que les produits ne se dégradent.
4. Inventoriez les automates OT et leurs firmwares au regard du statut de support du constructeur ; isolez le matériel en fin de vie sur un réseau segmenté.

Contexte

C'est le même mode opératoire que les attaques qui ont gâché des denrées en Europe depuis un mois : la vague française d'octobre sur des centaines de supermarchés, puis une seconde vague à six pays le 2 novembre. L'installateur belge Sabcobel affirme que les incidents de novembre exploitent la même vulnérabilité qu'en octobre. Les contrôleurs Danfoss AK-SM 800A portent deux failles divulguées par la CISA en 2025 — CVE-2025-41450 (contournement d'authentification) et CVE-2025-41451 (injection de commande) — mais rien ne confirme qu'elles, ou le logiciel du prestataire, aient servi de point d'entrée ici. Ce qui est confirmé, c'est le schéma : de l'OT exposé sur Internet, souvent obsolète, désormais retourné contre les hôpitaux et les banques de sang, et plus seulement contre les rayons des magasins.