Dans la nuit du 11 au 12 octobre 2026, des attaquants ont pris le contrôle à distance des régulateurs de froid de centaines de supermarchés français. En détournant la fonction de dégivrage, ils ont fait monter la température de chambres froides et de vitrines jusqu’à 50 °C selon BFMTV et Les Mousquetaires, obligeant à jeter des tonnes de produits. Le CERT-FR a publié une alerte dès le 12 octobre. L’attaque ne visait aucune donnée : elle visait des équipements connectés à Internet, comme il en existe dans beaucoup d’entreprises.
Les faits
- Enseignes touchées : Intermarché est la plus touchée, avec 150 à 200 magasins selon le groupement interrogé par l’AFP. Coopérative U a fait état de 80 magasins dans son réseau. Des magasins Carrefour Market, Monoprix, Netto et Leclerc sont également cités par la presse.
- Mécanisme : les contrôleurs pilotent la température et les cycles de dégivrage, normalement une courte phase de chauffe. Selon BFMTV, les attaquants ont déclenché le dégivrage en continu avec une consigne de 50 °C.
- Équipements visés : des contrôleurs Danfoss des séries AK-SM et AK-SC. Le CERT-FR a ajouté le 13 octobre les superviseurs Copeland xweb et Dixell xweb. Tom’s Guide rapporte qu’un magasin E.Leclerc du Tarn a été visé dans la nuit du 12 au 13 octobre via des équipements Dixell.
- Enquête : la section cybercriminalité du parquet de Paris a ouvert une enquête, confiée à l’Office anti-cybercriminalité (OFAC). À la mi-octobre 2026, l’attaque n’avait pas été revendiquée.
Des appareils en fin de vie, exposés sur Internet
Danfoss a indiqué que les contrôleurs AK-SM 800 et AK-SC 355 sont d’anciens modèles qui ne reçoivent plus de mises à jour de sécurité. Des contrôleurs AK-SM 800A, encore suivis, ont aussi été touchés, faute d’avoir reçu les mises à jour disponibles. Le fabricant recommande de remplacer les systèmes obsolètes.
En août 2026, les chercheurs de Claroty avaient présenté plusieurs failles sur l’interface web de l’AK-SM 800A, corrigées par Danfoss. Aucun lien n’a été établi entre ces failles et l’attaque d’octobre. Le point commun le plus évident est ailleurs : ces interfaces d’administration étaient accessibles depuis Internet. Le CERT-FR le rappelle sans détour : exposer une interface de gestion sur Internet va à l’encontre des bonnes pratiques. Un chercheur a recensé le 12 octobre plusieurs milliers de systèmes Danfoss visibles en ligne, dont une majorité en France ; ce décompte n’émane pas d’une source officielle.
Ce que recommande le CERT-FR
L’alerte CERTFR-2026-ALE-012, mise à jour pour la dernière fois le 16 octobre 2026, distingue deux cas.
Si l’équipement n’est pas compromis :
- Supprimer l’exposition sur Internet de tous les équipements concernés et de tout équipement joignable sur une adresse IP publique.
- Vérifier les conditions du contrat d’assurance avant de couper la remontée de données vers le frigoriste.
- Revoir l’ensemble de la configuration, en particulier les plannings de dégivrage.
- N’autoriser l’accès que par un VPN sécurisé ou un réseau protégé. Filtrer les IP du prestataire sur un pare-feu est possible en urgence, mais pas durablement.
- Appliquer les recommandations du fabricant : mise à jour du micrologiciel, niveau de sécurité « Strict » pour Danfoss, changement des mots de passe par défaut.
Si l’équipement est compromis : mêmes mesures d’isolement, puis redémarrage ou réinitialisation d’usine, et reconfiguration complète avant remise en service.
Le CERT-FR insiste : une réinitialisation d’usine ne suffit pas. Elle efface la persistance de l’attaquant, mais un équipement en fin de vie laissé en ligne sans correctif sera très probablement compromis à nouveau. Les campagnes étaient, selon lui, probablement toujours actives.
Le directeur général de l’ANSSI, Vincent Strubel, a résumé l’urgence : déconnecter ces équipements d’Internet ou, a minima, appliquer un filtrage réseau très restrictif.
Pourquoi ça concerne aussi les PME hors grande distribution
Remplacez « régulateur de froid » par n’importe quel équipement piloté à distance par un prestataire : chaudière ou pompe à chaleur, centrale de ventilation, contrôle d’accès, vidéosurveillance, onduleur, automate de production, compresseur d’atelier. Le schéma est souvent le même :
- un installateur pose l’équipement et ouvre un accès web pour la télémaintenance ;
- l’interface reste joignable depuis Internet, parfois avec le mot de passe d’origine ;
- personne dans l’entreprise ne sait qu’elle existe ;
- le matériel vieillit, le fabricant arrête les mises à jour, l’accès reste ouvert.
L’attaque d’octobre montre que l’impact n’est pas seulement informatique : ici, ce sont des marchandises détruites, des rayons vides et un risque sanitaire.
La check-list à lancer dans votre entreprise
- Inventorier tous les équipements techniques reliés au réseau ou à une box 4G : qui les a installés, qui les maintient, comment on y accède.
- Demander à chaque prestataire par quel moyen il se connecte. Une adresse web ouverte à tous n’est pas une réponse acceptable.
- Imposer un accès par VPN ou par une solution d’accès distant authentifiée, avec double authentification.
- Changer les mots de passe par défaut et ne pas partager un même compte entre plusieurs techniciens.
- Repérer le matériel en fin de vie et planifier son remplacement ou son isolement complet.
- Activer les alertes métier : une température qui monte, une consigne modifiée en pleine nuit doivent prévenir quelqu’un.
- Relire le contrat d’assurance, qui peut imposer des conditions sur la télésurveillance.
Pour sensibiliser vos équipes à ces sujets, notre quiz cybersécurité propose une première base de discussion.
Sources
- CERT-FR, « CERTFR-2026-ALE-012 : Incident de sécurité visant des contrôleurs distants d’installations frigorifiques », 12 octobre 2026 (mis à jour le 16 octobre 2026) : https://cert.cyber.gouv.fr/alerte/CERTFR-2026-ALE-012/
- IT-Connect, « Super U, Intermarché : des pirates font chauffer les congélateurs à 50 °C, des rayons entiers à la poubelle », 12 octobre 2026 : https://www.it-connect.fr/cyberattaque-supermarches-froid-danfoss/
- Tom’s Guide, « Cyberattaque des frigos de supermarchés : « Des appareils Danfoss exposés sont toujours en ligne » », 14 octobre 2026 : https://tomsguide.fr/cyberattaque-des-frigos-de-supermarches-des-appareils-danfoss-exposes-sont-toujours-en-ligne
- Le Club des Juristes, « Parquet de Paris : ouverture d’une enquête après la cyberattaque visant les supermarchés français », 13 octobre 2026 : https://www.leclubdesjuristes.com/?p=17807
