La nuit de lundi, des pirates ont pris le contrôle des systèmes de trois entrepôts frigorifiques stockant des produits sanguins pour le compte de l’Établissement français du sang (EFS), et ont poussé les seuils de température et de dégivrage à des « niveaux très élevés ». Les alarmes ont permis d’intervenir avant que les poches de plasma ne soient altérées. L’incident est contenu, mais il change de nature : des supermarchés, on passe à la chaîne de santé publique.
Une vulnérabilité d’abord domestique
L’EFS précise n’avoir pas été visé directement : les entrepôts touchés sont exploités par ses prestataires. Le détail est capital. L’État a conservé la maîtrise du service, il en a externalisé la logistique, et c’est dans cet interstice que s’est glissée l’attaque. Une chaîne vitale n’est aussi solide que son maillon le moins surveillé. Les groupes frigorifiques, désormais pilotables à distance, restent exposés tant que leurs failles ne sont pas corrigées.
La séquence compte autant que la cible. Une vague en France le mois dernier, jusqu’à 700 supermarchés touchés ; lundi et mardi, une dizaine de pays européens, avec des températures montées jusqu’à 50 °C et des millions d’euros de denrées détruits ; en août, des pannes de réfrigération dans au moins six bases américaines, que le Pentagone soupçonne d’être un piratage. Personne ne revendique, aucun mobile n’est établi.
Attribuer sans preuve, un exercice périlleux
Il faut distinguer ce qui est établi de ce qui est supposé. Des responsables du renseignement occidental décrivent une campagne de sabotage russe en Europe, sous formes multiples depuis 2022. Mais Rafe Pilling, de Sophos, juge les hypothèses les plus plausibles soit une « démonstration de capacité » étatique, soit un pirate isolé. Bruxelles s’est bien gardée de désigner un coupable. La prudence est de mise : une attribution hâtive engage l’État qui la formule.
Si l’hypothèse étatique se confirmait, la logique serait lisible. L’attaque est peu coûteuse et ses dégâts sont réversibles ; elle sème l’inquiétude sans franchir le seuil d’une riposte militaire. Elle montre à des sociétés dépendantes de systèmes connectés qu’on peut les atteindre, y compris dans ce qu’elles ont de plus vital.
La réponse, elle, reste d’abord nationale. Rome a réuni ses services de renseignement, Paris a alerté l’ANSSI et le ministère de la Santé. Le porte-parole de l’Union européenne, Thomas Regnier, annonce des discussions urgentes entre agences européennes et autorités nationales pour une « réponse collective » ; on attend qu’elle soit plus qu’un affichage. Car la protection d’une poche de plasma ne se décide pas à Bruxelles : elle dépend de ce que chaque État exige de ses opérateurs et de ses sous-traitants.
La leçon est simple. La résilience est une compétence régalienne : cartographier ses dépendances numériques, imposer des normes de sécurité à toute la chaîne, garder la capacité d’agir seul. La coordination européenne ne vaudra que par la solidité de chacun de ses membres. Reste à savoir si ces attaques sont un avertissement ou une répétition.
