La cyberattaque qui a touché les systèmes frigorifiques de la grande distribution soulève de nombreuses questions sur la responsabilité des distributeurs, des fabricants et des prestataires de maintenance. Qui devra supporter les pertes ? Les assurances pourront-elles intervenir ? Comment éviter de nouvelles attaques ? Claude-Étienne Armingaud, avocat associé au sein du cabinet Latournerie Wolfrom Avocats, dont l’activité dominante porte sur les nouvelles technologies, les données et la propriété intellectuelle, décrypte les enjeux juridiques d’une menace appelée à se multiplier.
LSA : Quelle a été votre réaction en découvrant la cyberattaque qui a touché les systèmes frigorifiques de la grande distribution ?
Claude-Étienne Armingaud : Depuis dix ans, on parle beaucoup des données personnelles et de leur protection. Mais aujourd’hui, le véritable enjeu concerne aussi la multiplication des dispositifs connectés, indépendamment des données personnelles qu’ils peuvent contenir. Les entreprises sont fatiguées par leurs obligations de conformité aux nombreuses réglementations européennes sur le numérique. Elles ont parfois l’impression de devoir réinventer la roue tous les trois mois. À cela s’ajoutent certaines lenteurs françaises en matière de cybersécurité, alors même que nous savons qu’il s’agit d’un domaine critique. La transposition de la directive européenne NIS2, qui devait être discutée par l’Assemblée nationale, a ainsi été retirée de l’ordre du jour à la dernière minute. Les entreprises françaises manquent donc encore de certaines pièces du puzzle réglementaire. Des ministères ou encore des organismes liés à France Travail ont déjà été victimes d’attaques. La cybersécurité reste un sujet extrêmement technique, complexe et parfois difficile à appréhender. Par lassitude, par manque d’expertise ou face à cette complexité, certaines entreprises ne se sont pas suffisamment emparées de ces enjeux.
L’attaque à distance d’appareils connectés était donc une question de temps. La question n’était pas de savoir si cela arriverait, mais quand et comment. Nous avons eu de la chance que cette attaque concerne des réfrigérateurs de supermarchés plutôt que des systèmes de ventilation dans un hôpital, par exemple. Dès lors qu’un appareil est connecté à un réseau hétérogène, si une personne peut y accéder légitimement, une autre peut potentiellement y accéder de manière illégitime, avec plus ou moins de facilité.
Il faut également prendre en compte les évolutions de l’intelligence artificielle, notamment la possibilité pour de nouveaux agents de s’autorépliquer sur des terminaux connectés. À ce stade, l’attaque contre les réfrigérateurs semble avoir été menée par des opérateurs humains, de manière relativement artisanale. Mais à moyen terme, nous pourrions voir apparaître des agents semi-autonomes dont la seule mission serait de générer du chaos. Cette attaque de masse contre des dispositifs connectés pourrait donc n’être qu’un début. D’autant que les équipements concernés semblent particulièrement anciens. Or, plus un matériel vieillit, moins il est surveillé et moins ses correctifs de sécurité sont régulièrement installés.
LSA : La difficulté est que les responsabilités peuvent remonter à plusieurs niveaux de fournisseurs et de sous-traitants. Contre qui un distributeur peut-il se retourner ?
Claude-Étienne Armingaud : Nous entrons ici dans des problématiques classiques de droit civil. Les contentieux risquent malheureusement d’être assez longs, car les seuls arguments juridiques des parties ne suffiront pas. Il faudra réaliser des expertises pour déterminer les conditions dans lesquelles les équipements ont été mis à disposition et identifier les responsabilités. En principe, lorsqu’il y a transfert de la garde d’une chose, celui qui en devient gardien en assume les risques, sauf situations particulières, notamment en présence d’un vice caché ou d’un défaut inhérent au matériel.
Prenons l’exemple d’une table. Si elle se casse, il faut déterminer si elle présentait un vice caché ou un défaut particulier. Entre commerçants, certaines garanties peuvent d’ailleurs être aménagées contractuellement. En dehors de ces hypothèses, celui qui a la garde du bien peut devoir en assumer les conséquences. C’est le raisonnement traditionnel du droit civil français.
Mais d’autres obligations entrent désormais en jeu, notamment celles issues du Cyber Resilience Act, dont certaines dispositions sont entrées en application le 11 septembre dernier. Ce texte fait peser des obligations sur les fabricants lorsqu’il existe des vulnérabilités. Toutefois, les réfrigérateurs concernés semblent être des équipements relativement anciens, qui ne relèvent pas nécessairement de ce nouveau cadre réglementaire. Il faut donc distinguer la responsabilité réglementaire, qui peut incomber au fabricant, de la responsabilité contractuelle et civile, qui est beaucoup moins évidente à établir. Si la garde des équipements a été transférée aux grandes surfaces et que les expertises démontrent une négligence de leur part, leur situation risque d’être compliquée. Il faudra également déterminer si cette attaque peut présenter les caractéristiques d’un cas de force majeure.
LSA : Les assurances peuvent-elles prendre en charge les pertes subies par les magasins ?
Claude-Étienne Armingaud : C’est une autre question importante. Une police d’assurance couvre des risques que les assureurs cherchent à évaluer. Ils disposent de tables actuarielles leur permettant d’estimer la probabilité de réalisation d’un événement, son coût potentiel et, en conséquence, de déterminer les cotisations, les franchises et les garanties. Mais lorsqu’un risque est nouveau, sans précédent comparable, comment le faire entrer dans un périmètre assurantiel ? Cette difficulté va nécessairement être prise en compte. Nous observons déjà des phénomènes comparables avec les dégâts climatiques, qui se multiplient. Et lorsqu’un risque devient récurrent, les assureurs peuvent considérer que les assurés n’ont pas suffisamment pris de mesures de prévention. Ils chercheront alors à limiter leur couverture.
LSA : Si un distributeur utilise un matériel obsolète, équipé d’une ancienne version de logiciel, peut-il être considéré comme responsable de l’attaque parce qu’il n’a pas exigé davantage de sécurité de son fournisseur ?
Claude-Étienne Armingaud : Tout dépend des engagements pris par le fournisseur. Lorsqu’une entreprise achète un équipement, elle exprime généralement un besoin, éventuellement formalisé dans un cahier des charges. Le fournisseur s’engage à répondre à ce besoin. Si le cahier des charges prévoit simplement un dispositif réfrigéré avec un taux de disponibilité de 99,99 %, et que le fournisseur respecte cet engagement, il a rempli ses obligations contractuelles.
En revanche, si aucune obligation particulière n’a été prévue concernant la sécurité ou la cybersécurité du terminal connecté, il sera beaucoup plus difficile d’engager sa responsabilité sur ce terrain. C’est donc véritablement la nature des engagements contractuels souscrits par le fournisseur qui permettra de déterminer sa responsabilité.
LSA : Que conseillez-vous aujourd’hui aux distributeurs et, plus généralement, aux entreprises confrontées à ces risques ?
Claude-Étienne Armingaud : La première chose à faire est un travail d’archéologie contractuelle. D’après ce que je comprends, les réfrigérateurs concernés étaient particulièrement anciens. Il faut donc retrouver les contrats et examiner précisément les obligations qui avaient été prévues. Si ces contrats sont anciens, il est probable qu’ils n’aient pas intégré les risques cyber. Si le fournisseur ne s’était engagé à aucune obligation particulière de sécurisation, le distributeur pourrait avoir beaucoup de difficultés à obtenir réparation.
Il resterait éventuellement la possibilité de s’appuyer sur les principes généraux de responsabilité du Code civil, dont certains remontent à 1804. Mais cela suppose de démontrer trois éléments : une faute, un dommage et un lien de causalité entre les deux. Il faudrait notamment prouver que le fabricant a commis une faute en ne sécurisant pas le matériel ou en interrompant les mises à jour de sécurité d’un équipement devenu obsolète.
Les juridictions françaises vont-elles créer, par leur jurisprudence, une obligation de maintien en sécurité de matériels obsolètes et en fin de vie ? Je ne suis pas certain qu’elles en aient la volonté ni le pouvoir. Cela risque donc d’être particulièrement complexe. Nous allons probablement assister à des contentieux et à des contre-expertises destinées à identifier l’origine du problème, les obligations de chacun et les éventuelles défaillances. Il faudra aussi déterminer si l’attaque relève d’une situation de force majeure.
LSA : Ces attaques risquent de se multiplier. Cela signifie-t-il qu’une jurisprudence va progressivement se mettre en place ?
Claude-Étienne Armingaud : Oui, mais probablement dans dix ans ! Si des actions sont engagées aujourd’hui, une première procédure devant les juridictions commerciales peut prendre entre 18 et 24 mois. En cas d’appel, il faut encore compter 24 à 36 mois. Et compte tenu des enjeux financiers, il est probable que certaines affaires remontent jusqu’à la Cour de cassation, avec éventuellement un renvoi devant une cour d’appel. Les montants en jeu peuvent être considérables.
La structure juridique des distributeurs aura aussi son importance. Chez Système U, par exemple, les magasins sont exploités par des adhérents dans un système coopératif. Il faudra déterminer si chaque magasin doit engager sa propre action. Dans une enseigne disposant d’une gouvernance centralisée, l’entité ayant subi le préjudice pourrait, au contraire, faire valoir un dommage beaucoup plus important. Les enjeux financiers pourraient donc conduire les parties à poursuivre les procédures jusqu’en cassation. Ces affaires pourraient devenir des références jurisprudentielles pour les prochaines générations de juristes.
LSA : Concrètement, conseillez-vous aux distributeurs de prévoir des clauses spécifiques sur les risques cyber dans tous leurs contrats dès lors qu’il existe une connexion à distance ou un système de télésurveillance ?
Claude-Étienne Armingaud : Je ne dirais pas qu’il faut commencer à le faire aujourd’hui. Il aurait fallu le faire depuis un certain temps. Dans les contrats sur lesquels je travaille pour mes clients, lorsqu’il existe des appareils comportant des composants électroniques, connectés ou non, un contrat de maintenance est généralement prévu. Ce contrat peut notamment comprendre une maintenance évolutive, avec des engagements du prestataire dans le temps.
Et le prestataire chargé de la maintenance n’est pas nécessairement le fabricant. Il peut s’agir d’une entreprise tierce. Cela signifie qu’au-delà des relations entre le distributeur et le fabricant, un troisième acteur peut intervenir : le mainteneur. Sa responsabilité pourrait également être recherchée s’il n’a pas respecté ses obligations de maintenance.
LSA : Même lorsqu’une maintenance est prévue, faut-il préciser dans le contrat qui sera responsable si un pirate informatique utilise les systèmes du fournisseur pour attaquer le distributeur ?
Claude-Étienne Armingaud : Dès lors qu’il existe une connexion à un réseau hétérogène, c’est impératif. La question n’est même plus de savoir si une attaque va se produire, mais de prévoir ce qu’il faudra faire lorsqu’elle se produira. C’est inéluctable.
LSA : Les distributeurs intègrent-ils déjà ces dispositions dans leurs contrats ?
Claude-Étienne Armingaud : Je ne sais pas précisément ce que font les distributeurs. En revanche, dans le secteur des technologies, ces dispositions sont assez largement intégrées aux contrats portant sur des dispositifs connectés. Les entreprises technologiques ont acquis une certaine maturité sur ces problématiques. La distribution, qui possède une culture davantage industrielle que technologique, a-t-elle parfois négligé cet aspect ? Je ne peux pas l’affirmer.
Mais dans tous les cas, dès qu’une machine est connectée à un réseau, il faut prévoir des engagements de sécurisation de ce réseau et des accès au terminal. Il existe nécessairement un lien contractuel entre le fabricant et le distributeur, ne serait-ce que pour l’achat des équipements et, éventuellement, leur maintenance. Il faut donc examiner si les contrats couvrent les dommages liés à ces risques. Si ce n’est pas le cas, il faut impérativement les compléter.
LSA : Dans la grande distribution, pratiquement tout est désormais connecté. Cette multiplication des connexions augmente-t-elle mécaniquement les risques ?
Claude-Étienne Armingaud : Absolument. C’est toute l’ambivalence des objets connectés. Prenons l’exemple des téléviseurs connectés, qui ont récemment soulevé des questions sur la collecte d’informations relatives aux usages des téléspectateurs. Il existe également des débats européens sur la possibilité d’introduire des portes dérobées dans les logiciels de messagerie. Aujourd’hui, des services comme WhatsApp utilisent un chiffrement de bout en bout des conversations. L’idée d’introduire des mécanismes permettant aux forces de l’ordre ou aux autorités de sécurité nationale d’accéder à certaines données soulève une difficulté fondamentale.
Dès lors qu’une porte d’accès existe, elle peut être utilisée à des fins légitimes, mais également à des fins illégitimes. C’est exactement la même problématique pour les dispositifs industriels connectés. Bien sûr, la connectivité facilite énormément les opérations. Elle permet de faire remonter des informations, de surveiller en temps réel la température des équipements, de suivre leur consommation et de gérer un parc à distance. Ce sont des opportunités formidables. Mais si nous pouvons accéder à ces équipements à distance, une personne mal intentionnée peut potentiellement y accéder également et réaliser les actes malveillants que nous avons observés en début de semaine.
LSA : Un distributeur me disait que cette cyberattaque allait au moins servir de leçon à la profession. Partagez-vous ce sentiment ?
Claude-Étienne Armingaud : Oui. Nous avons connu un phénomène comparable avec le RGPD. Au départ, beaucoup d’entreprises considéraient que cette réglementation concernait surtout les grands acteurs technologiques comme Facebook ou Amazon. Puis, lorsque des entreprises plus traditionnelles ont commencé à être sanctionnées par la CNIL, elles ont compris que le risque n’était pas seulement théorique. Aujourd’hui, nous avons de nombreux textes européens, notamment le Cyber Resilience Act, le EU Data Act pour les produits connectés, ou encore l’EU AI Act (consolidated). Ces réglementations peuvent paraître éloignées des préoccupations quotidiennes des entreprises, notamment parce que leurs sanctions semblent lointaines.
Pourtant, les problèmes qu’elles cherchent à prévenir sont extrêmement concrets. Si cette cyberattaque peut provoquer une prise de conscience dans l’ensemble de l’écosystème, ce sera une bonne chose pour les entreprises, mais aussi pour les consommateurs. Car il faut imaginer des attaques beaucoup moins visibles, avec des conséquences potentiellement plus graves.
Prenons un exemple : plutôt que de dérégler brutalement les réfrigérateurs en portant leur température à 50 degrés pour détruire les marchandises, un pirate pourrait provoquer de simples microcoupures ou des variations de température. Celles-ci pourraient favoriser le développement de bactéries sans nécessairement déclencher d’alerte.
LSA : Avec, cette fois, un véritable risque pour la sécurité alimentaire ?
Claude-Étienne Armingaud : Exactement. Et ce risque pourrait ne pas être détecté. C’est pourquoi la médiatisation de cette attaque est finalement utile. Elle attire l’attention sur des vulnérabilités qui pourraient être exploitées de manière beaucoup plus discrète. D’autres attaques, moins spectaculaires médiatiquement, pourraient avoir des conséquences sanitaires beaucoup plus concrètes et beaucoup plus graves. Il est donc essentiel que l’ensemble des acteurs prenne conscience de ces risques.