Avertissement lancé après des cyberattaques ayant touché, en octobre et novembre, des supermarchés dans au moins 12 pays européens, la France étant la plus touchée.
Après les récentes attaques visant des réfrigérateurs de supermarchés, les appareils électroménagers pourraient être les prochains, a averti mardi le responsable de la cybersécurité de l'UE, appelant l'Europe à investir davantage pour contrer la montée des menaces numériques.
PUBLICITÉ
PUBLICITÉ
L'alerte intervient alors que l'Europe a été frappée par de nombreux incidents informatiques ces derniers mois, suscitant une vive inquiétude, non seulement des gouvernements mais aussi du public, sur la vulnérabilité de la société face aux cyberattaques et sur le niveau de préparation du continent pour faire face aux menaces futures.
« La sécurité ne doit pas et ne peut pas être une réflexion après coup », a déclaré à l'AFP Juhan Lepassaar, directeur exécutif de l'agence européenne de cybersécurité ENISA.
« Aujourd'hui, ce sont des réfrigérateurs, demain ce pourraient être des routeurs, après-demain des appareils électroménagers, et ainsi de suite. »
Tous ces incidents peuvent être évités et la cybersécurité n'est pas bon marché, a indiqué Lepassar, mais la question, selon lui, est la suivante : « Sommes-nous prêts à investir pour y parvenir ? ».
« Lorsque nous examinons le paysage des menaces, le tableau n'est pas si rose », a souligné Lepassaar.
Les incidents récents vont de la vulnérabilité liée à PHP, qui a poussé de nombreux gouvernements de l'UE à mettre leurs sites hors ligne pour éviter qu'ils ne soient exploités par des pirates, à la vague de cyberattaques contre des réfrigérateurs de supermarchés et des banques de sang en France et dans huit autres pays, due à des failles dans des logiciels obsolètes.
Les menaces numériques évoluent et deviennent plus visibles, en partie grâce à l'intelligence artificielle, et obligent désormais les organisations à suivre le rythme des derniers progrès des modèles d'IA dans une sorte de course aux armements numériques.
« Les développements récents, tant dans les modèles d'IA de pointe que dans les incidents touchant les systèmes de réfrigération à travers l'UE, mettent en évidence des lacunes opérationnelles et la nécessité d'un partage d'informations et d'une coordination rapides », a déclaré Lepassaar.
ENISA décrit également l'IA comme un « multiplicateur de force », qui étend et accélère la capacité des pirates comme des entreprises qui se défendent à repérer plus rapidement les vulnérabilités.
« Les données synthétisées par les chercheurs montrent que le temps entre la découverte et la militarisation d'une faille tend vers zéro », indique le rapport, ce qui laisse penser que, bientôt, les entreprises pourraient ne plus disposer d'aucun délai pour se protéger des vulnérabilités une fois leurs systèmes déployés.
Dans le même temps, le rapport souligne que l'IA de pointe a un impact considérable sur la gestion des vulnérabilités en réduisant les délais de réaction et de correction, ce qui permet aux entreprises d'utiliser l'IA pour rechercher de manière proactive des failles et les corriger avant qu'elles ne soient exploitées par des pirates.
Au-delà de l'utilisation de l'IA comme outil par les pirates pour repérer des vulnérabilités à grande échelle, le rapport indique également que l'IA va aiguiser les armes dont disposent déjà les pirates.
Par exemple, les outils d'IA permettent aux attaquants de mener des opérations d'hameçonnage toujours plus convaincantes en utilisant des vidéos, des fichiers audio et des messages en deepfake pour tromper les personnes et « injecter de mauvaises données dans les systèmes afin de perturber le fonctionnement des entreprises ».
Facteurs qui alimentent les menaces numériques
Le rapport constate que 57,3 % des incidents informatiques survenus en 2025 étaient idéologiquement motivés par des événements géopolitiques tels que la guerre d'agression menée par la Russie contre l'Ukraine et le conflit au Moyen-Orient, même si la plupart ont eu un impact limité.
Par ailleurs, 29,3 % des incidents étaient motivés par des raisons financières, les rançongiciels restant le type d'attaque le plus dommageable pour les entreprises. Le rapport avertit que la facilité avec laquelle les criminels peuvent partager des rançongiciels et d'autres outils malveillants « alimente un écosystème criminel professionnel ».
ENISA relève également que des attaques ressemblant à celles menées par des acteurs étatiques ont été observées contre des pays européens afin de conduire des campagnes de cyberespionnage, de recueillir des renseignements et de voler de la propriété intellectuelle.
Les hacktivistes, précise ENISA, dominent les statistiques en termes de volume d'attaques, la plupart étant des opérations de déni de service distribué (DDoS) à faible impact.
La réponse de l'Europe
L'UE a mis en place une myriade de règles en matière de cybersécurité pour renforcer la protection du bloc, mais ENISA estime que l'on peut faire davantage, et il est difficile de dire le contraire au vu de la récente vague d'incidents numériques.
Le pilier des règles européennes de cybersécurité est la directive NIS2, qui oblige tous les secteurs économiques à mettre en place des protections numériques pour leurs infrastructures critiques. Toutefois, bien qu'elle soit entrée en application en octobre 2024, elle n'a pas encore été transposée dans la législation de tous les États membres de l'UE.
La récente attaque visant des réfrigérateurs dans neuf pays de l'UE a révélé l'existence de lacunes dans la cybersécurité de certains secteurs économiques et dans la manière dont ils définissent ce qui constitue une infrastructure critique.
Des experts en cybersécurité expliquent que de nombreuses entreprises, comme les supermarchés, abordent la cybersécurité sous un angle traditionnel, en se concentrant sur la protection financière et en laissant les infrastructures connectées aux équipes de maintenance, qui disposent de budgets et de priorités différents.
Il existe aussi le règlement sur la cyberrésilience, adopté en 2024 et qui sera pleinement applicable en décembre 2027. Il introduit des obligations de notification via un portail unique afin d'accélérer le partage d'informations et la coordination.
Le règlement sur la solidarité en matière de cybersécurité, entré en vigueur en février de l'année dernière, a renforcé la capacité de l'UE à détecter, préparer et gérer les menaces et incidents de cybersécurité, précise ENISA, grâce à la création du Système européen d'alerte en cybersécurité, du Mécanisme d'urgence en cybersécurité et de la Réserve de cybersécurité de l'UE.
La réponse de l'Europe a besoin de plus d'experts en IA
Si le cadre réglementaire européen en matière de cybersécurité est particulièrement dense, la question des ressources humaines pour assurer la défense reste un problème majeur, selon ENISA.
Le rapport constate que, dans tous les secteurs, les organisations ont du mal à attirer et à garder les talents en cybersécurité. Il cite une étude NIS Investment de 2025 selon laquelle 45 % des organisations interrogées rencontraient des difficultés à trouver des professionnels disposant des compétences requises en cybersécurité.
Le rapport avertit que cela pourrait créer une pénurie de compétences en cybersécurité, donnant un avantage aux organisations les plus riches lorsqu'elles se disputent un vivier de talents actuellement limité.
ENISA appelle les États membres à remédier à cette pénurie de compétences en élargissant leurs activités et en renforçant les programmes de l'UE dans le domaine de la cybersécurité.