LuxHawk.lu (+352) 27 52 67 45

← Retour aux connaissances

Quand un pirate coupe le chauffage : l’immeuble qui gèle

Bâtiment et copropriété 11 min Auteur : Arnaud Colin Mis à jour : 19/09/2026

Résumé

Oui. En janvier 2024, un maliciel a envoyé des commandes aux automates d’un réseau de chaleur de Lviv et privé plus de 600 immeubles de chauffage central en plein hiver ; en novembre 2016, deux immeubles finlandais ont perdu chauffage et eau chaude parce que leurs automates étaient joignables depuis Internet sans pare-feu. Dans les deux cas, aucune faille logicielle n’a été exploitée : un routeur exposé et un réseau non cloisonné à Lviv, des automates joignables depuis Internet sans pare-feu à Lappeenranta ont suffi.

Peut-on couper un immeuble par le réseau ?

Dans la plupart des immeubles collectifs, le chauffage est piloté par un automate installé dans la chaufferie. Il lit des sondes, commande pompes et vannes, et il est de plus en plus souvent relié à Internet pour la télémaintenance. La question qu’un syndic ou un gestionnaire d’immeuble se pose est simple : un attaquant peut-il agir sur le confort physique des occupants, et pas seulement sur des fichiers ?

Trois cas documentés répondent oui, chacun à sa manière. À Lviv, en janvier 2024, un maliciel a envoyé des commandes aux automates d’un réseau de chaleur et privé plus de 600 immeubles de chauffage. À Lappeenranta, en novembre 2016, deux immeubles ont perdu chauffage et eau chaude sans avoir été nécessairement visés. En Ukraine, en décembre 2015, une intrusion a privé d’électricité environ 225 000 clients. Aucun de ces cas ne repose sur une prouesse technique : un équipement exposé à Lviv et à Lappeenranta, des identifiants volés par hameçonnage et un VPN sans second facteur en Ukraine ont suffi.

Lviv, janvier 2024 : plus de 600 immeubles sans chauffage

Le cas le plus complet est celui que la société d’enquête Dragos décrit dans son rapport de juillet 2024 sur le maliciel FrostyGoop. La chronologie s’étend sur dix mois. Le 17 avril 2023, les attaquants entrent par un routeur de l’exploitant de chauffage urbain exposé sur Internet, dont la vulnérabilité n’a pas été déterminée ; selon la presse spécialisée, il s’agissait d’un modèle MikroTik (SecurityWeek). Ils y déposent un webshell. En novembre et décembre 2023, ils extraient des identifiants du registre Windows. Dans la nuit du 22 au 23 janvier 2024, des tunnels L2TP sont ouverts vers des adresses situées à Moscou, et des commandes Modbus TCP sont envoyées directement aux automates ENCO du réseau de chaleur, sur le port 502.

Ce qui a rendu l’attaque possible tient en trois points. Le routeur était joignable depuis Internet. Le réseau n’était pas segmenté : routeur, serveurs de gestion et automates étaient sur le même plan, avec des routes réseau codées en dur. Et Modbus, le protocole qui relie la supervision aux automates, n’a ni authentification ni chiffrement : tout automate joignable sur ce port est pilotable par quiconque le voit. Aucune faille logicielle référencée par une CVE n’a été exploitée. Dragos présente FrostyGoop comme le neuvième maliciel connu visant les systèmes industriels et le premier à utiliser Modbus TCP pour agir sur des équipements industriels ; il n’était détecté par aucun antivirus au moment de sa découverte.

Selon le rapport de Dragos, le micrologiciel des automates a été rétrogradé vers une version dépourvue des fonctions de supervision utilisées par l’exploitant, qui a perdu la vue sur son installation ; les automates ont ensuite remonté des mesures fausses, l’eau étant signalée chaude alors qu’elle était froide, et le système a cessé de chauffer. Les attaquants n’ont pas cherché à détruire les automates.

L’impact : plus de 600 immeubles d’habitation privés de chauffage central par des températures négatives, et près de deux jours de remédiation pour l’exploitant, selon Dragos. Les autorités ukrainiennes, citées par The Record, parlent de « plus de 600 foyers » et nomment l’exploitant, Lvivteploenergo. Aucune des sources consultées ne mentionne de victime. Dragos comptait alors environ 46 000 équipements Modbus TCP exposés sur Internet dans le monde.

Dragos ne nomme ni pays ni groupe ; il relève des connexions vers des adresses moscovites. L’Office de protection de la constitution du Bade-Wurtemberg écrit, lui, « un acteur russe » : cette formulation va au-delà du rapport d’enquête. Côté réponse, Dragos renvoie, dans son billet du 23 juillet 2024, aux cinq contrôles critiques SANS pour les systèmes industriels, dont le cloisonnement et la surveillance du réseau. Le schéma n’est pas propre à l’Ukraine : un avis de l’agence américaine CISA du 7 avril 2026 décrit des acteurs affiliés à l’Iran manipulant des automates exposés sur Internet par les mêmes ports, dont le 502, dans l’eau et l’énergie.

Lappeenranta, novembre 2016 : deux immeubles dans le froid sans avoir été visés

Le second cas ressemble davantage à une copropriété luxembourgeoise : un immeuble ordinaire, un gestionnaire de facilités et un automate de chaufferie mis sur Internet pour la télémaintenance. Entre la fin octobre et le jeudi 3 novembre 2016, les automates de deux immeubles gérés par la société de services immobiliers Valtia reçoivent un trafic anormal. Le dirigeant de Valtia, Simo Rounela, explique à Vice que, sous cette charge, l’automate redémarrait son circuit de commande toutes les cinq minutes, si bien que le chauffage ne repartait pas.

Aucune faille logicielle, aucune intrusion, aucun maliciel n’ont été établis. Les automates de régulation Fidelix, qui commandaient le chauffage central et l’eau chaude, étaient joignables directement depuis Internet, sans pare-feu. Le mécanisme exact reste discuté : l’exploitant parle d’attaques visant les serveurs DNS qu’il utilisait (BleepingComputer), tandis que l’autorité finlandaise des communications décrit des automates exposés servant d’amplificateurs dans une attaque dirigée contre un autre acteur européen. Dans un cas comme dans l’autre, personne n’avait besoin de viser ces deux immeubles pour les mettre dans le froid.

La télégestion ne répondait plus, et les techniciens se sont d’abord déplacés en cherchant une panne locale ; BleepingComputer rapporte qu’il a fallu quelques jours à la société pour comprendre ce qui se passait. Une fois les automates déconnectés d’Internet, le chauffage est reparti environ une heure après l’alarme, selon Rounela ; la remise en réseau s’est faite ensuite derrière un filtrage du trafic (Security Ledger).

L’impact : chauffage et eau chaude interrompus dans deux immeubles par des températures sous zéro. La durée effective de la coupure n’est pas établie précisément par les sources, alors que l’attaque a duré environ une semaine ; il n’y a pas eu de relogement. Les auteurs n’ont jamais été identifiés (Etelä-Saimaa, 11 novembre 2016). L’information selon laquelle la glace d’une patinoire de Rauma aurait fondu lors d’une attaque comparable a été démentie par la ville (correctif d’Yle).

Le dirigeant de Fidelix, Jussi Rantanen, indique à Yle qu’un logiciel pare-feu gratuit est livré avec les automates, mais qu’il doit être activé, et qu’« en dernier ressort la société de copropriété ou immobilière est aussi partie prenante » ; beaucoup de copropriétés rechignent à payer un pare-feu. En mars 2019, Yle rapportait qu’environ 2 000 automates de bâtiment restaient exposés sans protection sur Internet en Finlande.

Ukraine, décembre 2015 : quand c’est le réseau électrique qui tombe

Le troisième cas ne touche pas un immeuble, mais l’infrastructure dont dépend tout immeuble : ascenseurs, pompes, portes, chaudières. Le 23 décembre 2015, vers 15 h 35, des attaquants prennent la main à distance sur les écrans de supervision de trois distributeurs régionaux d’électricité et ouvrent des disjoncteurs : environ 225 000 clients sont privés d’électricité en plein hiver, selon l’alerte de l’ICS-CERT américain. C’est la première coupure d’électricité publique causée par une cyberattaque.

L’entrée s’est faite au moins six mois plus tôt, par des courriels d’hameçonnage ciblé portant des documents Office à macros, qui ont déposé le maliciel BlackEnergy 3. Avec les identifiants ainsi volés, les attaquants se sont connectés au réseau industriel par le VPN de l’entreprise, avec des comptes légitimes et sans second facteur d’authentification, comme le décrit le rapport E-ISAC/SANS de mars 2016. Aucune vulnérabilité logicielle n’a été exploitée pour entrer.

En même temps qu’ils ouvraient les disjoncteurs, les attaquants ont effacé les postes de travail avec le composant KillDisk, remplacé le micrologiciel des convertisseurs série-Ethernet des postes électriques et saturé le centre d’appels clients par un déni de service téléphonique. Le rétablissement s’est fait à la main, sur site. Selon l’étude de cas du laboratoire national de l’Idaho (2022), au moins 57 postes ont été déconnectés et pilotés manuellement pendant plus de deux mois ; la coupure elle-même a duré de trois à six heures selon la société.

Un an plus tard, le 17 décembre 2016, le poste de transport Pivnichna, près de Kiev, est resté hors service un peu plus d’une heure ; ESET juge « hautement probable » l’implication du maliciel Industroyer, dont un module exploitait la vulnérabilité CVE-2015-5374 de relais de protection Siemens, composant annexe qui n’a pas servi de porte d’entrée. Contrairement au cas de Lviv, l’attaque de 2015 est judiciairement attribuée : le 19 octobre 2020, le ministère américain de la Justice a inculpé six officiers de l’unité 74455 du renseignement militaire russe.

Ce que cela apprend à un immeuble ou une copropriété au Luxembourg

Aucun de ces cas ne s’est produit au Luxembourg, et aucun piratage de la gestion technique d’un bâtiment n’y est documenté dans une source de premier rang à ce jour. Les équipements, eux, sont les mêmes : des automates de chaufferie, des passerelles de télégestion, un routeur posé par l’installateur.

  • Demander à l’exploitant de chauffage ce qui est joignable depuis Internet. À Lviv comme à Lappeenranta, l’attaque a commencé par un équipement exposé. Le contrat de maintenance doit dire quels équipements sont accessibles de l’extérieur et par qui, et prévoir que la télégestion passe par un VPN journalisé plutôt que par un port ouvert. La question vaut pour tout prestataire : l’intrusion chez le distributeur Target, en 2013, a commencé par les identifiants d’un chauffagiste-frigoriste hameçonné, selon le rapport du Sénat américain ; le prestataire a précisé que cet accès ne servait qu’à la facturation, au dépôt de contrats et à la gestion de projet, sans pilotage du chauffage.
  • Séparer le réseau technique du reste. À Lviv, routeur, serveurs et automates partageaient le même réseau. La chaufferie, la gestion technique du bâtiment et les portes n’ont rien à faire sur le réseau du bureau du syndic ni sur celui du concierge.
  • Activer le pare-feu et changer les mots de passe d’usine. Les automates finlandais étaient livrés avec un pare-feu qu’il fallait activer. Le botnet Mirai a enrôlé en 2016 des centaines de milliers de caméras et d’enregistreurs dont les identifiants d’usine n’avaient pas été changés ; l’alerte US-CERT d’octobre 2016 recommande de changer ces identifiants et de retirer ces équipements d’Internet.
  • Savoir qui met à jour, et quand. En mai 2013, la supervision d’un immeuble de bureaux de Google à Sydney tournait encore sur une version dont le correctif existait depuis août 2012 (avis ICSA-12-228-01). Le contrat doit nommer le responsable des mises à jour de l’automate et de la passerelle.
  • Exiger une double authentification sur tout accès distant. En Ukraine, un VPN utilisé avec des identifiants volés était indiscernable d’un accès légitime. Un installateur qui se connecte avec un simple mot de passe expose l’immeuble à la même situation.
  • Prévoir le mode dégradé. Dix mois de présence silencieuse à Lviv, quelques jours pour comprendre à Lappeenranta, deux mois de pilotage manuel en Ukraine : la question à poser à l’installateur est « qui rallume la chaufferie si la télégestion ment ? ». Une consigne fixe ou une marche forcée locale doit rester possible sans réseau.
  • Surveiller les accès distants et savoir qui appeler. Le personnel de maintenance finlandais a d’abord cherché une panne locale. Un journal des connexions à la télégestion, lu régulièrement, et un numéro à composer en cas de doute (l’installateur, puis le CIRCL au Luxembourg) évitent de perdre des jours.
  • Protéger aussi le poste du syndic. Le CSIRT national décrit dans son rapport TR-93 de février 2025 des postes comptables compromis par une fausse facture, puis des virements frauduleux vers l’étranger ; il recommande la validation à quatre yeux et le retrait de la carte à puce du lecteur quand elle ne sert pas. Un changement de coordonnées bancaires reçu par courriel se vérifie par un canal indépendant, et des sauvegardes hors ligne, testées, restent la parade à un chiffrement.
  • Notifier sans attendre. Si des données personnelles de copropriétaires sont touchées, la CNPD doit être informée dans les 72 heures (article 33 du RGPD) et les personnes concernées « sans retard injustifié » (article 34). Lors de la cyberattaque contre l’opérateur Encevo, en juillet 2022, l’entreprise a notifié la CNPD et le régulateur et déposé plainte, en précisant que la fourniture d’électricité et de gaz n’était pas touchée.
  • Vérifier avant de raconter. « La Russie a coupé le chauffage de Lviv » n’est pas ce que dit le rapport d’enquête, et la patinoire finlandaise n’a pas fondu. Devant une assemblée, s’en tenir aux faits établis.

Le cas de Lappeenranta résume l’ensemble : un pare-feu était livré avec les automates, ceux-ci étaient pourtant joignables sans protection, et la remise en marche a consisté à les déconnecter d’Internet. Un pare-feu ou un VPN coûte moins qu’une semaine sans chauffage.

Sources