Le problème de fond, c’est que ces systèmes de froid sont installés par des frigoristes qui n'ont généralement pas de compétences en cybersécurité. De plus, pour un frigoriste, appliquer une mise à jour sur un contrôleur représente un risque inutile : celui de créer une panne chez un client dont l'équipement fonctionne très bien.
Par ailleurs, en France, une grande partie des hypermarchés sont des indépendants (E.Leclerc, Intermarché, Système U, etc.). En dehors de quelques directives groupe centralisées, chaque magasin gère son infrastructure comme il l'entend et fait appel à des prestataires locaux. Résultat : on se retrouve avec des dizaines de PME de froid commercial aux pratiques très hétérogènes sur tout le territoire.
En résumé : le frigoriste demande d'exposer le contrôleur directement sur Internet pour simplifier la télémaintenance, et le magasin s'exécute sans se poser de questions, souvent via une simple box FTTH grand public ou un accès 4G dédié sans aucun filtrage.
Bref, il ne faut pas chercher midi à 14h : l'attaque est d'une simplicité enfantine, mais elle fonctionne parce qu'on est au niveau zéro de l'hygiène informatique (limiter son exposition sur les flux entrants). Heureusement, comme l'a dit Vivien, cela ne touche au final qu'une minorité de magasins qui ont négligé ce sujet (ce sont des épiciers, la cyber n'est pas leur métier).
Là où cela va devenir particulièrement intéressant, c'est sur la réaction des assurances. Et comme vous l'avez compris, il n'y a pas de contrat groupe global pour ces indépendants : chaque magasin gère sa propre police d'assurance, avec ses propres conditions, ses clauses d'exclusion et sa propre appréciation du risque. Je sens qu'il y en a un paquet qui vont découvrir qu'ils ne sont pas couverts contre le risque cyber ou que s'ils le sont, ils le sont très mal avec des clauses sur le défaut de sécurité élémentaire qui vont bloquer l'indemnisation.
Attaques informatiques