⚠ Crise en cours ? +33 (0)1 47 33 03 12

contact@altairconseil.fr

Analyse · Cybersécurité industrielle · Résilience

De Stuxnet aux frigos de supermarché : seize ans d’attaques contre les équipements qui pilotent le monde physique

Article mis à jour le 13 octobre 2026. L’enquête sur l’attaque du 12 octobre est en cours et plusieurs éléments peuvent encore évoluer.

Dans la nuit du 11 au 12 octobre 2026, plusieurs centaines de supermarchés français ont vu la température de leurs meubles frigorifiques monter sous l’effet d’une attaque informatique. Pour le grand public, l’incident est inédit. Il prolonge pourtant une série ouverte en 2010 par Stuxnet, premier logiciel malveillant connu conçu pour endommager un équipement industriel. Depuis, des attaques ont touché des réseaux d’électricité, des stations d’eau, un réseau de chauffage urbain, des aciéries et un barrage. Certaines n’ont demandé qu’une interface joignable depuis Internet et un mot de passe d’usine.

Armoire de commande industrielle ouverte, avec câblage et modules d'automates
Photo : Raymond Sime, Unsplash

Natanz, 2010

Stuxnet a été identifié en juin 2010 par VirusBlokAda, une société de sécurité biélorusse. Sa cible était l’usine d’enrichissement d’uranium de Natanz, en Iran. Le ver se propageait par clés USB en exploitant plusieurs failles de Windows encore inconnues, ce qui lui permettait d’atteindre des réseaux industriels non reliés à Internet. Il ne s’activait que sur les automates Siemens S7-315 et S7-417 qui commandaient les centrifugeuses.

Une fois en place, il modifiait la vitesse de rotation des centrifugeuses et renvoyait aux opérateurs des valeurs enregistrées auparavant, qui décrivaient un fonctionnement normal. Les estimations publiques font état d’environ un millier de centrifugeuses mises hors service. Les inspecteurs de l’AIEA avaient relevé dès janvier 2010 un rythme de remplacement anormal, sans en connaître la cause. Pour franchir l’isolement du site, les auteurs ont d’abord infecté des entreprises iraniennes qui travaillaient pour Natanz.

L’opération, baptisée Olympic Games selon le New York Times, est attribuée aux États-Unis et à Israël. Aucun des deux États ne l’a reconnue.

Natanz a montré qu’un automate peut être détourné pour produire un effet physique pendant que l’écran de supervision affiche un état faux. L’accès, lui, est passé par des sous-traitants. Ces éléments reviennent dans la plupart des incidents décrits ci-dessous.

Octobre 2026 : le froid commercial

Dans la nuit du 11 au 12 octobre 2026, des attaquants ont pris le contrôle des régulateurs frigorifiques de plusieurs centaines de supermarchés français. Ils ont forcé des cycles de dégivrage à 50 °C, ce qui a provoqué des pertes de denrées et des départs de feu. Les équipements visés étaient des régulateurs Danfoss, ainsi que Copeland et Dixell selon le CERT-FR. Danfoss indique qu’il s’agissait de modèles en fin de vie ou non mis à jour, joignables depuis Internet. En août 2026, l’équipe Team82 de Claroty avait décrit des failles dans ce type de gestionnaire et recensé 2 765 appareils exposés.

Le déroulé de l’attaque et ses enseignements pour la gestion de crise font l’objet d’un article distinct, mis à jour au fil de l’enquête.

Stuxnet avait demandé des moyens d’État et des années de préparation. L’attaque d’octobre a visé des équipements anciens ou non mis à jour, exposés sur Internet et installés à l’identique dans des centaines de magasins.

Seize ans d’incidents

Les cas suivants ont été documentés par des autorités, des éditeurs de sécurité ou la presse. Le premier, antérieur à Stuxnet, est un précédent souvent cité. Ils couvrent l’eau, l’énergie, l’industrie, l’agroalimentaire et le bâtiment.

Un précédent : eaux usées, Australie, 2000

Entre février et avril 2000, Vitek Boden, ancien superviseur de chantier chez Hunter Watertech, l’entreprise qui avait installé le système SCADA du réseau d’assainissement de Maroochy Shire (Queensland), a pris le contrôle à distance de stations de pompage par liaison radio. Il avait été écarté d’un poste par la municipalité. Environ 800 000 litres d’eaux usées brutes ont été rejetés dans des parcs et des cours d’eau, selon l’étude publiée par le MITRE. Il a été condamné en 2001 à deux ans de prison. Le cas reste l’exemple de référence d’une attaque menée par un ancien intervenant qui connaissait le système.

Sidérurgie, Allemagne, 2014

Dans son rapport annuel publié en décembre 2014, l’office fédéral allemand de la sécurité informatique (BSI) a décrit une attaque contre une aciérie dont il n’a pas donné le nom. Les attaquants sont entrés par hameçonnage ciblé dans le réseau bureautique, puis ont atteint le réseau de production. Des composants ont cessé de fonctionner et un haut fourneau n’a pas pu être arrêté de façon contrôlée, ce qui a causé des dommages importants à l’installation.

Électricité, Ukraine, 2015 et 2016

Le 23 décembre 2015, des intrusions chez trois distributeurs régionaux ont privé d’électricité environ 225 000 clients pendant une à six heures, selon l’alerte de la CISA. Le courant a été rétabli en manœuvrant les disjoncteurs à la main dans les postes. Les attaquants avaient aussi saturé les lignes téléphoniques du service client.

Un an plus tard, le 17 décembre 2016, le logiciel Industroyer, analysé par ESET, a coupé le poste de Pivnichna, près de Kyiv, pendant un peu plus d’une heure. Contrairement à 2015, les commandes envoyées aux disjoncteurs étaient automatisées dans le code du logiciel. Ces deux attaques sont attribuées au groupe Sandworm, rattaché au renseignement militaire russe.

Pétrochimie, Arabie saoudite, 2017

Le logiciel Triton visait les systèmes instrumentés de sécurité Triconex de Schneider Electric d’une usine pétrochimique, c’est-à-dire les automates chargés de mettre l’installation en sécurité avant un accident grave. En août 2017, les attaquants ont déclenché par erreur l’arrêt de six de ces contrôleurs, ce qui a conduit à la découverte du logiciel. Un premier arrêt était survenu en juin, un samedi soir, à une heure où peu d’ingénieurs étaient sur le site. Il avait été attribué à une panne mécanique.

Aluminium, Norvège, 2019

Le 19 mars 2019, un rançongiciel a touché Norsk Hydro. Le groupe a dû passer en mode manuel dans plusieurs de ses activités. Les systèmes de commande industriels n’étaient pas la cible : c’est la perte de l’informatique de gestion qui a désorganisé la production.

Carburant et viande, États-Unis, 2021

En mai 2021, le rançongiciel DarkSide a atteint le réseau de gestion de Colonial Pipeline. L’entreprise a arrêté par précaution ses 5 500 miles d’oléoduc, qui transportent environ 45 % du carburant consommé sur la côte Est. L’arrêt a duré six jours et une déclaration d’urgence fédérale a été prise pour 17 États et le district de Columbia. Les systèmes de pilotage de l’oléoduc n’avaient pas été compromis.

Quelques semaines plus tard, le rançongiciel REvil a frappé JBS, premier transformateur de viande au monde. Le 1er juin, ses neuf usines de bœuf américaines ont cessé de produire, et des sites en Australie et au Canada ont aussi été touchés. JBS a reconnu avoir payé une rançon de 11 millions de dollars.

Distribution, Suède, 2021

En juillet 2021, la chaîne Coop a dû fermer temporairement environ 800 magasins en Suède. Ses caisses dépendaient d’un prestataire lui-même victime d’une attaque. Le magasin n’était pas visé : il dépendait d’un fournisseur commun à de nombreux clients.

Carburant et sidérurgie, Iran, 2021 à 2023

Le 26 octobre 2021, une attaque contre le système de cartes qui gère le carburant subventionné a paralysé environ 4 300 stations-service iraniennes. Des panneaux d’affichage ont été détournés avec le message « Khamenei, où est notre carburant ? ». En juin 2022, le même groupe, Predatory Sparrow, a revendiqué des attaques contre trois sidérurgistes. Une vidéo diffusée par le groupe montre, chez Khouzestan Steel, un pont roulant qui déverse du métal en fusion sur le sol de l’usine. En décembre 2023, le ministre iranien du pétrole a indiqué qu’environ 70 % des stations-service étaient touchées par une nouvelle attaque, également revendiquée par Predatory Sparrow. Téhéran accuse ce groupe d’être lié à Israël. Le pays visé par Stuxnet subit désormais des attaques qui touchent la vie quotidienne de sa population.

Éolien, Europe, 2022

Le 24 février 2022, jour de l’invasion de l’Ukraine, une attaque contre le réseau satellitaire KA-SAT de Viasat a coupé la supervision et la maintenance à distance d’environ 5 800 éoliennes Enercon, d’une puissance totale d’environ 11 GW. Le matériel de communication endommagé, notamment les modems satellites, a dû être remplacé. Le 19 avril, plus de 95 % des turbines étaient de nouveau supervisées. L’éolien n’était pas la cible : il a subi les effets d’une attaque contre un fournisseur de communications.

Eau potable, États-Unis, 2023 et 2024

En novembre 2023, le groupe CyberAv3ngers, que le FBI et la CISA relient aux Gardiens de la révolution iraniens, a pris le contrôle d’un automate Unitronics qui régulait la pression d’une station de surpression de l’autorité des eaux d’Aliquippa (Pennsylvanie). Les opérateurs sont passés en commande manuelle. Les automates compromis utilisaient leurs identifiants par défaut, et la CISA a rappelé que le mot de passe d’usine était « 1111 ». Forescout comptait alors plus de 1 800 automates de cette marque exposés sur Internet dans le monde.

En janvier 2024, à Muleshoe (Texas), des attaquants ont pris la main sur le système de pilotage à distance d’un réservoir d’eau, qui a débordé pendant trente à quarante-cinq minutes avant le passage en commande manuelle. Deux autres petites villes de la région ont détecté des tentatives d’intrusion. Mandiant a relié la persona qui a revendiqué l’attaque, CyberArmyofRussia_Reborn, au groupe Sandworm.

Chauffage urbain, Ukraine, 2024

En janvier 2024, une attaque contre une entreprise de chauffage urbain de Lviv a privé de chauffage plus de 600 immeubles pendant près de deux jours, par des températures négatives. Le logiciel FrostyGoop, analysé par Dragos, envoyait des commandes Modbus aux contrôleurs. Les attaquants étaient entrés par un routeur MikroTik vulnérable exposé sur Internet, et le réseau n’était pas segmenté. Modbus est utilisé dans pratiquement tous les secteurs industriels.

Barrage, Norvège, 2025

En avril 2025, des attaquants ont pris le contrôle du système qui régule le débit d’un barrage de la commune de Bremanger et ont ouvert les vannes de sortie. Il a fallu environ quatre heures pour détecter et corriger la manœuvre, et plus de 7,2 millions de litres d’eau se sont écoulés. En août, la cheffe de la police de sécurité norvégienne (PST), Beate Gangås, a attribué l’opération à des pirates prorusses, dont le but était selon elle de montrer leurs capacités plus que de causer des dégâts.

Les faiblesses qui se répètent

Les secteurs, les auteurs et les motivations diffèrent. Les faiblesses exploitées, elles, se répètent.

Une faiblesse récurrente est l’exposition directe d’une interface de pilotage sur Internet : automates Unitronics à Aliquippa, routeur à Lviv, régulateurs frigorifiques recensés par Claroty. Danfoss recommande lui-même que ses régulateurs ne soient pas accessibles depuis Internet, qu’ils soient protégés par un pare-feu et placés sur un réseau distinct. L’alerte du CERT-FR va dans le même sens. Les mots de passe par défaut ou prévisibles complètent souvent l’exposition, comme à Aliquippa ou dans les contrôleurs Copeland étudiés par Claroty.

Les correctifs existent mais ne sont pas installés. Les failles Danfoss décrites par Claroty avaient été corrigées en 2025, et le fabricant affirme que les équipements visés en octobre étaient en fin de vie ou non mis à jour. Sur ces matériels, une mise à jour suppose souvent une intervention sur site et un arrêt de la régulation, et elle est reportée.

Le cloisonnement entre informatique de gestion et systèmes industriels reste insuffisant. Dans l’aciérie allemande, les attaquants sont passés du réseau bureautique au réseau de production. À Lviv, rien ne séparait le routeur des contrôleurs. Chez Colonial, Norsk Hydro ou JBS, à l’inverse, les installations n’étaient pas compromises, mais l’exploitation ne pouvait pas continuer sans l’informatique de gestion.

Les tiers ouvrent des chemins d’accès. Natanz a été atteint par des sous-traitants, Maroochy par un ancien intervenant, les éoliennes Enercon par la perte d’un opérateur satellitaire, les magasins Coop par un prestataire de caisse. Les régulateurs frigorifiques sont en général maintenus à distance par des frigoristes, avec des accès que l’exploitant ne gère pas toujours.

La supervision peut tromper. Stuxnet rejouait des valeurs normales et FrostyGoop faussait les mesures des contrôleurs. Une organisation qui ne dispose que de l’écran compromis pour connaître l’état de ses installations ne voit pas l’attaque.

Les automates de sécurité sont eux aussi des cibles. Triton visait précisément la couche chargée d’empêcher l’accident.

Enfin, plusieurs attaques ont eu lieu quand les équipes étaient en effectif réduit : le premier arrêt Triton un samedi soir, l’attaque contre les supermarchés français dans la nuit de dimanche à lundi.

Questions pour la continuité d’activité

Pour une organisation qui exploite des installations physiques, ces cas conduisent à des vérifications précises.

Les équipements connectés qui pilotent une fonction critique (froid, chauffage, ventilation, énergie, eau, process) sont-ils inventoriés, avec leur mode d’accès distant et le nom de l’entreprise qui les maintient ? Ils relèvent souvent des services techniques ou d’un prestataire et n’apparaissent ni dans l’inventaire de la direction des systèmes d’information ni dans la cartographie des risques.

Ces équipements sont-ils joignables depuis Internet ? Les accès des prestataires passent-ils par une passerelle contrôlée, avec authentification forte et journalisation ? Les mots de passe d’usine ont-ils été changés, les micrologiciels sont-ils à jour, et le contrat de maintenance dit-il qui en est responsable, avec quelle obligation de notification en cas d’incident ?

Existe-t-il une mesure ou une alarme indépendante de la supervision, transmise par un autre canal, et des sécurités physiques qui fonctionnent sans le logiciel ?

Les alarmes de nuit et de week-end parviennent-elles à une personne capable de décider, et sous quel délai ?

Le plan de continuité prévoit-il un fonctionnement manuel, comme à Kyiv en 2015, à Aliquippa en 2023 ou à Muleshoe en 2024 ? Les procédures existent-elles sur papier, le personnel sait-il les appliquer et combien de temps l’organisation peut-elle tenir ainsi ? Pour le froid, cela suppose aussi une astreinte des frigoristes, des capacités de stockage de repli et une procédure de destruction et de traçabilité des produits.

Les polices d’assurance couvrent-elles une perte de marchandises causée par une attaque informatique sur un équipement technique ? La remarque d’Intermarché montre que la réponse n’est pas acquise.

Les exercices de crise intègrent-ils la perte de contrôle d’un équipement physique ? La plupart des scénarios cyber portent encore sur le chiffrement des serveurs ou la fuite de données. Un scénario de ce type fait intervenir d’autres acteurs : services techniques, mainteneurs, qualité, sécurité des personnes, autorités sanitaires et clients.

Le cadre réglementaire français

Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité transpose la directive NIS2, la directive REC et la directive qui accompagne le règlement DORA. Ce règlement, propre au secteur financier, s’applique directement depuis le 17 janvier 2025. Adopté par le Sénat le 12 mars 2025, puis par une commission spéciale de l’Assemblée nationale le 10 septembre 2025, il devait être examiné en séance le 7 octobre 2026. La conférence des présidents a de nouveau reporté cet examen le 6 octobre, sans nouvelle date. La date limite de transposition de NIS2 était le 17 octobre 2024. Le texte doit s’appliquer à plus de 15 000 entités relevant de 18 secteurs.

En mars 2026, l’ANSSI a mis en ligne une version de travail de son Référentiel Cyber France (ReCyF), destiné à préciser les mesures attendues des entités concernées. Le 18 mars, la Commission supérieure du numérique et des postes a demandé au Parlement d’examiner le projet de loi dans les plus brefs délais.

Les mesures décrites plus haut ne dépendent pas de l’entrée en vigueur de la loi et demandent à l’évidence à être engagées dès maintenant si elles ne l’ont pas été plus tôt.

Vos équipements industriels et techniques sont-ils intégrés à votre dispositif de crise ?

Altaïr Conseil accompagne les organisations pour identifier leurs équipements et prestataires critiques, structurer leurs dispositifs de continuité et entraîner leurs cellules de crise sur des scénarios de perte de contrôle d’installations physiques.

Faire le point sur votre dispositif

Assistance opérationnelle 24h/24 : +33 (0)1 47 33 03 12

Sources

Attaque d’octobre 2026

Incidents antérieurs

Cadre réglementaire