Carrefour : comment la cybersécurité a protégé ses opérations lors des JO 2024

Partenaire officiel des Jeux Olympiques, Carrefour devait relever un double défi : gérer une logistique massive tout en protégeant ses infrastructures numériques dans un contexte de menace accrue. « Les JO ont été un moment de vérité pour tester la résilience de nos infrastructures dans un contexte d’exposition accrue », confie Guillaume Cécile, SecOps Manager chez Carrefour (pilote la sécurité informatique pour protéger les données, systèmes et opérations contre les cybermenaces). Chaque jour, le groupe a fourni 40 000 repas aux athlètes et géré trois magasins éphémères installés au cœur des lieux stratégiques des JO, comme le village olympique et le village des médias.

Mais ce succès logistique reposait sur une infrastructure numérique complexe, regroupant 900 téraoctets de données dans le cloud, en augmentation de 10 à 15 % chaque année, des milliers d’appareils connectés et des flux d’information critiques pour la gestion des stocks, des prix et des paiements. « Le retail est un secteur qui évolue vite, mais les JO 2024 ont placé Carrefour dans un environnement encore plus exigeant en termes de rapidité et de sécurité », pointe Guillaume Cécile.

Chaque mois, le groupe détecte en moyenne 1 000 attaques.

Les cybermenaces identifiées vont du credential stuffing (réutilisation de mots de passe) à la reconnaissance réseau, en passant par le scraping des données sensibles comme les prix ou les stocks.

Cartographier les équipements pour mieux les protéger

Pour répondre à ces enjeux, Carrefour s’est tourné vers Armis, une entreprise spécialisée dans la surveillance des appareils connectés. Grâce à une technologie avancée, Armis a permis de cartographier en temps réel tous les équipements connectés sur les réseaux du groupe, des imprimantes oubliées aux équipements IoT en passant par les systèmes critiques comme les caisses et les serveurs. « Les JO ont été un véritable stress test pour nos systèmes, souligne Guillaume Cécile. Nous avons détecté des vulnérabilités que nous n’aurions jamais identifiées sans l’apport d’Armis. »

La première étape pour sécuriser les infrastructures de Carrefour a été de comprendre précisément ce qui était connecté à son réseau. Contrairement à ce que l’on pourrait penser, il est courant, même dans des environnements contrôlés, que des appareils « oubliés » ou non identifiés restent connectés, comme des imprimantes débranchées ou des bornes Wi-Fi installées temporairement.

Carrefour a installé des sondes dans ses entrepôts, ses magasins éphémères et au siège pour détecter tous les appareils connectés, qu’ils soient actifs ou non. « Nous avons découvert que près de 40 % de nos actifs connectés n’étaient pas répertoriés. Cela inclut des équipements IoT mal configurés, des appareils obsolètes ou des équipements ajoutés sans validation », précise Guillaume Cécile.

Ces sondes ont permis de surveiller en permanence les flux réseau, c’est-à-dire les communications entre les appareils. Cela a permis d’identifier les comportements normaux et de repérer les anomalies, comme une caméra connectée à un site inattendu ou un appareil industriel utilisant un protocole dépassé.

Des failles critiques révélées sur le terrain

Les analyses ont rapidement mis en lumière des vulnérabilités importantes. Dans les entrepôts, certains routeurs n’avaient pas été mis à jour depuis dix ans et utilisaient encore des protocoles non sécurisés comme Telnet, ce qui ouvre la porte aux intrusions. Par ailleurs, des PC dédiés à la gestion des chaînes de production étaient connectés au réseau principal au lieu de rester isolés sur un réseau sécurisé dédié. Ces machines, parfois sans antivirus ni mises à jour, représentaient un point d’entrée potentiel pour des cyberattaques.

Les magasins éphémères ont également révélé des lacunes. Des caisses avaient été déployées avec des antivirus périmés, et certains équipements étaient installés sans respecter les processus habituels de validation par la direction informatique.

« Le cas le plus critique était probablement lié aux chambres froides, dont les systèmes fonctionnaient encore sous Windows 7, explique Guillaume Cécile. Ces équipements vulnérables étaient une cible parfaite pour des attaques comme WannaCry. »

Des anomalies inattendues, des risques bien réels

Au-delà des failles techniques, Carrefour a également identifié des usages surprenants. Une console de jeux connectée dans une salle de repos, une pompe à insuline utilisant le Wi-Fi interne ou encore une Tesla mise à jour via le réseau d’un entrepôt ont mis en évidence la nécessité d’une meilleure sensibilisation des employés.

Ces exemples montrent que la sécurité ne se limite pas à des outils technologiques. « La cybersécurité, c’est aussi une question d’éducation et de responsabilisation. Chaque employé doit comprendre que ses actions peuvent avoir un impact direct sur l’intégrité du réseau », insiste Guillaume Cécile.

Renforcer les processus pour l’avenir

L’expérience des JO a permis à Carrefour de revoir en profondeur ses protocoles de sécurité et renforcer ses processus. Tous les équipements connectés doivent désormais être vérifiés avant leur utilisation, et des campagnes de sensibilisation internes ont été lancées pour limiter l’usage des appareils personnels sur les réseaux de l’entreprise.

Les sondes déployées pour l’événement ont été maintenues dans certains entrepôts et seront progressivement installées sur d’autres sites du groupe. « Nous avons transformé une contrainte en opportunité. Aujourd’hui, nous avons une vision beaucoup plus précise de notre infrastructure et de ses vulnérabilités », se réjouit Guillaume Cécile. Carrefour participe également à des groupes de travail interprofessionnels avec d’autres grands retailers comme Decathlon ou Fnac Darty, pour partager les meilleures pratiques et harmoniser les normes de cybersécurité dans le secteur.

L’effort consenti par Carrefour pendant les Jeux Olympiques ne se limite pas à cet événement exceptionnel. Il pose les bases d’un nouveau standard en matière de cybersécurité, où la multiplicité des appareils connectés et l’accélération des flux de données rendent les entreprises particulièrement vulnérables. « Les JO 2024 ont été une opportunité unique de mettre à l’épreuve nos infrastructures. Aujourd’hui, nous sommes mieux préparés à répondre aux défis qui nous attendent, non seulement dans nos entrepôts, mais aussi dans nos magasins et nos systèmes numériques », conclut Guillaume Cécile.