Quand les frigos deviennent des armes : la cyberattaque qui a ravagé 150 supermarchés cette nuit

Dans la nuit du 11 au 12 octobre 2026, des pirates ont pris le contrôle des systèmes de réfrigération de plusieurs centaines de magasins français. Intermarché, Super U, E.Leclerc: personne n’a été épargné. Le résultat, ce sont des rayons entiers partis à la benne au petit matin, des pertes chiffrées en dizaines, voire en centaines de milliers d’euros par magasin pour certains, et une question que l’on pose depuis des années sans qu’elle soit vraiment prise au sérieux : qui contrôle réellement les équipements industriels connectés de nos grandes surfaces ?

Le mode opératoire : simple, efficace, dévastateur

Les attaquants n’ont pas eu besoin de pirater les caisses enregistreuses, les fichiers clients ou les systèmes de paiement. Ils ont ciblé quelque chose de bien plus physique : les régulateurs de froid du fabricant danois Danfoss, les boîtiers qui gèrent la température de chaque meuble frigorifique, accessibles à distance via une interface d’administration réseau.

La technique utilisée est d’une élégance perverse. Chaque installation frigorifique dispose d’une fonction de dégivrage : un cycle temporaire pendant lequel la température monte légèrement pour éliminer le givre. Fonction normale, indispensable, intégrée de longue date. Les pirates auraient maintenu ce cycle en continu, en forçant une consigne pouvant atteindre 50 degrés. Un congélateur à moins vingt degrés qui monte à plus trente, la nuit, magasin fermé, sans alarme suffisante pour déclencher une intervention : quand les équipes arrivent le matin, tout est à jeter.

Des failles connues, documentées, non corrigées

Ce qui rend cet incident particulièrement difficile à digérer, c’est qu’il ne surprend personne dans le milieu de la cybersécurité industrielle. Le 9 août 2026, soit exactement deux mois avant l’attaque, l’équipe Claroty Team82 publiait une analyse détaillée du contrôleur Danfoss AK-SM 800A. Trois vulnérabilités documentées, trois CVE enregistrées: un mécanisme d’authentification caché contournable par un code quotidien (CVE-2025-41450), une injection de commandes permettant l’exécution de code à distance une fois authentifié (CVE-2025-41451), et une faiblesse dans la configuration du serveur web permettant de perturber l’interface d’administration (CVE-2025-41452).

Les chercheurs avaient également recensé 2 765 équipements Danfoss directement exposés sur Internet. Danfoss avait publié un correctif, la version R4.3.1 de son firmware. Combien de magasins l’avaient appliqué ? La question mérite d’être posée ce soir.

Ce n’est pas la première fois qu’on en parle

Sur ce site, nous traitons depuis plusieurs années de la vulnérabilité des équipements industriels connectés dans le secteur de la grande distribution. La convergence IT/OT, c’est-à-dire la jonction entre les systèmes informatiques classiques et les équipements physiques pilotés par réseau, est un angle mort systématique dans les politiques de cybersécurité des enseignes. On sécurise le fichier client. On chiffre la base de données. On installe des pare-feux devant les serveurs de caisse. Mais le régulateur de froid du rayon surgelés, branché sur le réseau du magasin depuis dix ans, avec son firmware jamais mis à jour et son interface d’administration accessible depuis Internet par défaut ? Personne ne s’en préoccupe.

Intermarché avait pourtant eu un premier avertissement en août 2026 avec une fuite de données touchant 287 605 clients de son service Drive. Deux incidents majeurs en deux mois sur la même enseigne, c’est un signal que la politique de sécurité globale mérite un audit sérieux.

Tout doit passer par la DSI

L’enseignement opérationnel de cet incident est clair et il n’est pas nouveau : tout équipement connecté au réseau du magasin, qu’il s’agisse d’un système de caisse, d’une caméra de surveillance, d’un contrôleur de climatisation ou d’un régulateur de froid, doit être sous la supervision directe de la Direction des Systèmes d’Information. Pas du prestataire de maintenance frigorifique. Pas du fabricant qui laisse son interface d’accès à distance active par défaut. Pas d’un sous-réseau parallèle que personne n’a cartographié.

Cela implique plusieurs choses concrètes : un inventaire exhaustif de tous les équipements connectés, une politique de mise à jour des firmwares aussi rigoureuse que celle appliquée aux postes de travail, la suppression de tout accès direct depuis Internet sur les interfaces d’administration industrielles, et des tests de pénétration réguliers qui incluent explicitement les systèmes OT.

La question ne se résume pas au budget. Elle relève aussi de la gouvernance, de l’anticipation et de la hiérarchisation des risques. Lorsqu’un magasin peut perdre plusieurs dizaines, voire plusieurs centaines de milliers d’euros de marchandises à la suite d’un incident informatique, l’investissement dans la prévention mérite d’être mis en perspective avec les conséquences financières et opérationnelles potentielles d’une attaque.

La vraie question qui se pose

L’attaque de cette nuit ne vole rien. Elle ne chiffre rien. Elle ne demande pas de rançon, du moins pas encore. Elle détruit, physiquement, des marchandises périssables dans des équipements mal sécurisés. C’est une nouvelle catégorie de menace que l’on voit émerger, des cyberattaques à impact physique immédiat, sans code malveillant complexe à déployer, sans accès aux systèmes centraux à obtenir. Juste un équipement industriel connecté, une faille non corrigée, et la connaissance de son fonctionnement.

La grande distribution n’est pas seule concernée. Les hôpitaux, les entrepôts logistiques, les usines agroalimentaires, les data centers, partout où un équipement physique est piloté à distance, la surface d’attaque est là. La question n’est plus de savoir si ce type d’incident va se reproduire. C’est de savoir sur quel secteur il frappera la prochaine fois.

Cet incident rappelle l’importance d’une approche préventive, associant connaissance des vulnérabilités, surveillance des menaces et maîtrise des infrastructures techniques.

Une veille stratégique sur les publications de sécurité industrielle aurait, par exemple, permis d’identifier les vulnérabilités documentées sur certains équipements Danfoss et d’en évaluer la pertinence pour les installations concernées. De même, une cartographie des équipements et des risques liés aux fournisseurs (intelligence économique), associée à des audits de cybersécurité  adaptés aux environnements industriels, aurait pu contribuer à identifier certaines expositions et à renforcer les dispositifs de protection.

Ces démarches ne garantissent pas l’absence d’incident. Elles permettent néanmoins de mieux connaître les risques, de prioriser les mesures correctives et de réduire les possibilités d’exploitation de vulnérabilités connues. Car en matière de cybersécurité industrielle, le véritable enjeu n’est pas seulement de savoir réagir à une attaque. C’est aussi de disposer, en amont, des informations et des moyens nécessaires pour en limiter la probabilité et les conséquences.