Chaque semaine, la série de podcasts "L'Europe vue de Bruges" propose un éclairage original sur l’actualité européenne, vue depuis Bruges. Les intervenant·es sont des étudiant·es de la promotion Victoria Amelina, des Assistant·es académiques et, plus ponctuellement, des professeur·es.
Wael Maaninou est étudiant au Collège d'Europe à Bruges, dans la promotion Gutenberg.
Aujourd'hui, direction les rayons de nos supermarchés. Dans la nuit du 1er au 2 novembre, des pirates informatiques ont fait grimper la température des frigos et des congélateurs de magasins en Belgique et dans plusieurs autres pays européens. Une cyberattaque qui pose une question : l'Europe est-elle prête ?
Wael, que s'est-il passé exactement ?
Merci Laurence. Dans la nuit du 1er au 2 novembre, des pirates ont pris le contrôle à distance des systèmes de réfrigération de supermarchés dans plusieurs pays européens, dont la Belgique, où je vis. Des dizaines de magasins ont été touchés dans sept pays. En Belgique, Delhaize, Colruyt et Intermarché ont subi des problèmes.
Ce n'était pas la première fois : une première vague avait déjà touché la France en octobre. Delhaize indique que la panne est résolue, mais le groupe Ahold Delhaize a revu ses prévisions à la baisse, avec jusqu'à 250 millions d'euros de ventes perdues selon certains médias.
Une anecdote ? Je ne crois pas. Cette affaire pose une vraie question de vitesse et de capacité de coordination et de réponse à l'Union européenne.
Sait-on qui est derrière ces attaques ?
Pas à ce stade. Deux pistes sont évoquées, mais rien n'est confirmé, et je préfère rester prudent. Ce que l'on sait, c'est que l'attaque a touché plusieurs pays en même temps.
Pourquoi cette affaire concerne-t-elle l'Europe et pas seulement quelques pays ?
Pour trois raisons.
D'abord, la cible. Un frigo de supermarché est relié à internet, comme beaucoup d'objets du quotidien. Selon Euronews, près de 13 000 systèmes de contrôle de réfrigération sont accessibles en ligne dans 99 pays. La faille est donc mondiale.
Ensuite, l'effet. Faire monter la température, c'est s'attaquer à la chaîne alimentaire. Le commissaire européen à l'Agriculture, Christophe Hansen, y voit un avertissement à prendre au sérieux. Avec mon intérêt pour l'énergie, je fais le même constat : réseaux électriques, gazoducs, ports ou chaîne du froid dépendent tous de systèmes numériques.
Enfin, l'échelle. Plusieurs pays ont été frappés en même temps, alors qu'ils n'ont ni les mêmes moyens ni les mêmes règles.
Que fait l'Union européenne face à ce type de menace ?
Elle dispose déjà d'outils. La directive NIS2 (directive sur la sécurité des réseaux et des systèmes d'information) impose des exigences de cybersécurité aux secteurs critiques, dont l'alimentation. Les entreprises concernées doivent évaluer leurs risques et s'assurer que leurs fournisseurs respectent les mêmes standards.
Le règlement sur la cyber-résilience vise, lui, la sécurité des produits connectés. Depuis le 11 septembre dernier, un fabricant doit signaler dans les 24 heures toute faille activement exploitée ou tout incident grave. Ce signalement va aux CSIRT (équipes nationales de réponse aux incidents de sécurité informatique) et à l'ENISA (Agence de l'Union européenne pour la cybersécurité). Cela permet aux pays de partager l'information quand plusieurs États sont concernés. Mais l'essentiel des obligations de ce règlement ne s'appliquera qu'en décembre 2027.
Surtout, la cybersécurité reste d'abord une compétence des États. L'Europe fixe des règles et coordonne, tandis que les autorités nationales enquêtent et répondent.
Où se situent les limites ?
La première limite, c'est la vitesse. Les attaques sont rapides, alors que les règles européennes mettent des années à être adoptées, puis appliquées.
La seconde, c'est l'écart entre les États. Une chaîne de supermarchés présente dans plusieurs pays dépend de plusieurs autorités, avec des pratiques différentes. Les chiffres le montrent : en mai, la Commission a encore demandé à 19 États membres de transposer pleinement NIS2, bien après la date limite d'octobre 2024.
La troisième, c'est le rôle du secteur privé. Les entreprises possèdent l'essentiel de ces systèmes, et leur niveau de préparation varie beaucoup selon leur taille et leurs moyens.
Que faut-il retenir de cette affaire ?
D'abord, qu'il ne faut pas la regarder isolément. Elle s'inscrit dans un contexte plus tendu, avec la guerre en Ukraine aux portes de l'Union. Depuis plusieurs années, l'Europe fait face à des câbles sous-marins endommagés en mer Baltique, à des drones près de sites sensibles, à des sabotages et à des cyberattaques. Les responsables européens parlent de guerre hybride : des actions qui restent sous le seuil du conflit armé, en mêlant sabotage, cyberattaques et désinformation.
Mardi 3 novembre, à Bruxelles, à l'ouverture du Forum européen de la protection civile, la commissaire européenne chargée de la préparation et de la gestion des crises, Hadja Lahbib, a eu cette phrase: « Nous ne sommes ni en situation de paix, ni en situation de guerre. » Et elle a parlé d'une « zone grise dangereuse », qui peut devenir rouge en un clin d'œil. Et elle a cité les pirates qui visent les hôpitaux, les communications et les élections.
Ensuite, le sujet dépasse les cyberattaques et les supermarchés. L'énergie, les transports, les télécommunications, la santé et l'alimentation sont liés : une faille dans un maillon peut en fragiliser d'autres. Les frigos d'aujourd'hui sont peut-être un avertissement pour des infrastructures bien plus sensibles demain.
Enfin, il faut plus de vitesse et plus d'union. Le Parlement européen prépare justement des propositions pour une attribution plus rapide, des sanctions plus fermes et un meilleur partage du renseignement. C'est la bonne direction. Ceux qui nous attaquent exploitent nos différences, donc la réponse doit être plus rapide et commune.
Pour les citoyens, cela veut dire qu'il ne faut pas attendre la prochaine panne pour s'y intéresser. La sécurité européenne se joue aussi dans nos supermarchés, nos câbles et nos réseaux. Merci.
Un entretien réalisé par Laurence Aubron.
