⚠ Crise en cours ? +33 (0)1 47 33 03 12

contact@altairconseil.fr

Analyse d’actualité · Cyberattaque · Continuité d’activité

Cyberattaque des systèmes frigorifiques : les premiers enseignements pour la gestion de crise

Article mis à jour le 6 novembre 2026. L’enquête est en cours et plusieurs éléments peuvent évoluer.

Dans la nuit du 11 au 12 octobre 2026, des attaquants ont pris la main sur les régulateurs frigorifiques de plusieurs centaines de supermarchés français et ont forcé des cycles de dégivrage à 50 °C. Pour les magasins, le premier signal a été une alarme de température, en pleine nuit, sur un équipement que la direction des systèmes d’information ne gère pas.

Une attaque contre un équipement technique se présente d’abord comme une panne. Elle devient une crise d’exploitation avant que quiconque ait compris sa nature. Sécuriser ces équipements ne suffit donc pas : il faut savoir à l’avance qui reçoit l’alerte, qui décide, et comment coordonner des sites et des prestataires touchés en même temps.

Allée de supermarché bordée de meubles frigorifiques
Photo : Franki Chamaki, Unsplash

Ce que l’on sait au 6 novembre

Le Groupement Les Mousquetaires fait état de près de 300 magasins Intermarché et Netto touchés. Carrefour a confirmé 80 établissements, Coopérative U 80 sur environ 2 000, Monoprix une trentaine. Plusieurs E.Leclerc sont concernés, sans données publiées à ce stade. Le 13 octobre, le ministre des Finances, Roland Lescure, a évoqué devant le Parlement environ 700 supermarchés touchés sur les 10 000 du pays. Il a écarté tout risque pour l’approvisionnement alimentaire. Le 13 octobre, Les Mousquetaires estimaient à une semaine environ le retour à la normale pour les clients, et à deux ou trois semaines la remise en état complète des systèmes. Selon Le Parisien, cité par La Clé publique, le groupement a annoncé le 14 octobre que les installations de ses magasins touchés étaient de nouveau opérationnelles. Le réassort devait se poursuivre jusqu’à la fin de la semaine.

Les attaquants ont porté la température de dégivrage à 50 °C et allongé la durée du cycle, jusqu’à huit heures selon Le Monde. Le parquet de Paris fait état de départs de feu et a confié l’enquête à l’Office anticybercriminalité (Ofac). Selon Dark Reading, qui cite CNBC, Les Mousquetaires indiquent que l’attaque a visé un prestataire chargé de gérer les installations frigorifiques de certains de leurs magasins. Le groupement estime que c’est à ce fournisseur de porter plainte.

Selon BFMTV, Danfoss indique que les régulateurs visés étaient en fin de vie (AK-SM800, AK-SC355) ou non mis à jour (AK-SM800A). Le 13 octobre, le CERT-FR a étendu son alerte aux équipements Copeland XWEB et Dixell XWEB et fait état de nombreuses compromissions. Danfoss dit travailler avec ses clients touchés à des mises à jour de micrologiciel, à un renforcement des protections réseau et à la suppression de l’exposition directe sur Internet. Copeland indique que la génération de contrôleurs concernée est abandonnée et en fin de vie. Le groupe, propriétaire de Dixell, reconnaît la vulnérabilité et dit travailler avec ses clients touchés pour réduire le risque. Un E.Leclerc du Tarn équipé de régulateurs Dixell a subi une rupture de la chaîne du froid. Selon Le Monde, la même nuit du 12 au 13 octobre, un magasin de la région bordelaise équipé de matériel Dixell a vu la consigne de ses congélateurs passer de −22 °C à 150 °C. Il s’agit d’une valeur programmée, pas d’une température mesurée. Le frigoriste intervenu a observé plusieurs paramètres modifiés chaque seconde, ce qui laisse penser à une attaque automatisée. Le CERT-FR estime que les campagnes d’attaque sont probablement toujours en cours.

Les failles de ces équipements étaient documentées. Synacktiv indique avoir signalé à Danfoss un contournement d’authentification dès 2023. Le 9 août 2026, Claroty recensait 2 765 contrôleurs AK-SM 800A accessibles depuis Internet, alors que Danfoss avait publié des correctifs en 2025. La faille décrite permettait de contourner l’authentification avec un mot de passe généré à partir de la date du jour. Les contrôleurs Copeland XWEB faisaient eux aussi l’objet d’alertes. Selon The Register, l’agence américaine CISA avait recensé près de deux douzaines de vulnérabilités sur les XWEB et XWEB Pro en février 2026, et Claroty en a présenté d’autres en août. Danfoss indique à franceinfo recommander « depuis longtemps de mettre à jour les systèmes et de remplacer les plus anciens ». Le lien entre ces failles et l’attaque n’est pas établi à ce stade. Le directeur général de l’ANSSI, Vincent Strubel, juge « urgent de les déconnecter d’internet ». Le 21 octobre, devant la commission des Affaires étrangères du Sénat, il a écarté l’hypothèse d’une attaque sophistiquée : « ce sont des défauts de sécurisation élémentaire qui ont été exploités ». Il cite l’exposition directe des équipements sur Internet et des mots de passe faibles. Il a contesté les analyses qui rattachent l’attaque aux vulnérabilités publiées par des chercheurs. Il a aussi signalé que le secteur de la santé utilise le même type d’équipements, notamment pour stocker des vaccins, et que l’ANSSI a travaillé avec ses acteurs pour les protéger.

L’attaque n’a pas été revendiquée et aucune rançon n’a été demandée. Les Mousquetaires évaluent leurs pertes à plusieurs millions d’euros. Thierry Cotillard, président d’Intermarché, a parlé sur BFMTV de dizaines de millions d’euros à l’échelle nationale. Pour Coopérative U, Dominique Schelcher estime la perte à quelques dizaines de milliers d’euros pour un petit magasin et à 180 000 à 200 000 euros pour un hypermarché. BFMTV cite 220 000 euros de préjudice pour un seul E.Leclerc, à Wasselonne (Bas-Rhin). Selon Vincent Nguyen, de la société Stoïk, cité par Solutions Numériques, un Intermarché de Haguenau (Bas-Rhin) a perdu environ 50 000 euros de marchandises. Intermarché a indiqué à l’AFP que son assurance ne couvrait pas ce type de sinistre. Selon quatre courtiers interrogés par Reuters, les polices cyber excluent en général les dommages matériels, et l’absence de mises à jour peut peser sur l’indemnisation. Si un acteur étatique était désigné, les exclusions de guerre ou d’attaque soutenue par un État pourraient s’appliquer. Le Lloyd’s les impose dans les polices cyber autonomes depuis 2023. Thierry Cotillard a annoncé une bataille juridique pour établir les responsabilités.

Hors de France, un analyste de Sekoia cité par Reuters évoque des cas en Espagne, au Portugal, en Pologne, en Allemagne et en Belgique. Aucun autre pays n’a confirmé de compromission liée à cette attaque. L’ANSSI se coordonne avec ses homologues européens. Le même week-end, Ahold Delhaize a mis hors ligne une partie de ses systèmes après un incident de sécurité. Le 19 octobre, le groupe a porté plainte auprès de la police néerlandaise. Il attribue l’incident à des « actions malveillantes de tiers », sans les identifier, et dit n’avoir à ce stade aucun indice d’un vol de données sensibles. Le centre néerlandais de cybersécurité (NCSC) ne voit pas de lien avec l’attaque contre les régulateurs frigorifiques.

Dans la nuit du 1er au 2 novembre, des supermarchés de plusieurs pays européens ont subi des incidents comparables. Delhaize fait état d’un « incident informatique » touchant la réfrigération de plusieurs dizaines de magasins, en Belgique et quelques-uns au Luxembourg. Carrefour Belgique compte 15 magasins touchés sur plus de 700, Colruyt cinq magasins Spar. Selon La Libre, Intermarché en recense une quinzaine en Belgique. Stephan Moelans, PDG du frigoriste Sabcobel, indique que les évaporateurs ont été basculés à distance en mode dégivrage. Le parquet fédéral belge a ouvert une enquête. En Suède, ICA fait état d’un nombre limité de magasins touchés et Coop de six. Un magasin ICA indique que ses températures avaient été réglées à 50 °C, comme en France. En Irlande, le groupe Musgrave indique que 13 magasins SuperValu ont été touchés par un « cyber incident ». Le centre national de cybersécurité irlandais estime que l’incident pourrait être lié à une vulnérabilité connue. En Estonie, le fournisseur Kitman Coldtech indique qu’un de ses clients a été touché, sans dommage significatif selon lui. Aux Pays-Bas, un porte-parole de Danfoss a indiqué à la NOS que 17 entreprises avaient été touchées, surtout des boucheries et de petits commerces, ainsi qu’un entrepôt de surgelés. En Allemagne, selon le Bayerischer Rundfunk cité par IamExpat, un magasin Edeka en Bavière et un REWE en Rhénanie-du-Nord-Westphalie ont vu leurs températures réglées à 50 °C. Danfoss indique que les logiciels concernés n’avaient pas été mis à jour. Selon Euronews, neuf pays sont concernés au 3 novembre. En Italie, au moins quatre supermarchés Coop en Sicile et une entreprise en Toscane ont été touchés. Au Portugal, le groupe Mosqueteiros fait état de sept magasins Intermarché et indique que l’attaque semble avoir visé un prestataire extérieur chargé de la réfrigération. En Finlande, quelques petits magasins du groupe Kesko ont connu des températures anormales, sans qu’une interférence par le réseau soit écartée. En Suède, ICA indique que tous ses magasins touchés utilisaient un système de contrôle Danfoss. Sabcobel reconnaît que certains de ses systèmes n’avaient pas encore été mis à niveau après l’attaque d’octobre en France. Le commissaire européen à l’Agriculture, Christophe Hansen, indique que l’Union prend ces incidents très au sérieux. Il y voit une « tentative délibérée de perturber notre chaîne d’approvisionnement alimentaire et de saper la confiance des consommateurs », tout en jugant que la sécurité alimentaire européenne n’est pas en danger. La Commission a tenu des réunions de crise avec l’agence européenne de cybersécurité (ENISA) et Europol. Le sujet sera examiné par le Collège de sécurité de la Commission. Le 4 novembre, les groupes prorusses NoName057(16) et Z-Pentest ont revendiqué ces attaques dans une vidéo et sur Telegram. Ils disent avoir visé des équipements Danfoss et Dixell XWEB sans recourir à un logiciel malveillant, et détenir 2 500 lignes d’une base de données de Danfoss contenant des identifiants. Les chaînes Telegram ont depuis disparu. Aucune preuve indépendante ne confirme leur implication. Selon SentinelOne, ces revendications ne sont pas vérifiées et ne portent pas explicitement sur l’attaque française d’octobre. Le chercheur Kevin Beaumont estime que les équipements touchés présentent la même exposition et la même vulnérabilité qu’en France. Aucun lien formel avec l’attaque d’octobre n’est établi à ce stade.

La même nuit, en France, des chambres froides de l’Établissement français du sang (EFS) ont été visées, dont un en Bourgogne-Franche-Comté, selon Le Canard enchaîné cité par 20 Minutes. L’attaque a exploité une faille chez Coolworld, prestataire extérieur de l’EFS. La consigne des congélateurs, habituellement d’environ −30 °C, a été reprogrammée à 110 °C. Il s’agit d’une valeur programmée, pas d’une température mesurée. Selon le ministère de la Santé, un technicien a détecté l’anomalie à temps et l’incident n’a eu « zéro conséquence opératoire » pour la chaîne transfusionnelle et les patients. Les chambres concernées contenaient du plasma congelé destiné à la transfusion. Dans un communiqué du 3 novembre, l’EFS indique que les installations de supervision et de pilotage de chambres froides de trois sites ont été touchées et que « des seuils de température et de dégivrage ont été portés à de très hautes températures ». L’EFS précise ne pas avoir été directement visé. Les produits ont été transférés à titre préventif vers d’autres sites et « aucune perte de produits sanguins n’est à déclarer ». Ses équipes travaillent avec l’ANSSI et le ministère de la Santé, et la surveillance des températures a été renforcée sur l’ensemble du parc. Le 21 octobre, le directeur général de l’ANSSI avait signalé que le secteur de la santé utilisait le même type d’équipements.

Pourquoi l’incident ressemble d’abord à une panne

Le dégivrage est une fonction normale d’un meuble frigorifique. Un cycle trop long ou trop chaud produit une alarme de température, du même type que celle d’un compresseur défaillant. Dans une installation courante, cette alarme part vers le frigoriste de maintenance ou une télésurveillance, puis vers le responsable du magasin. Le service informatique n’en est pas destinataire.

Les précédents montrent que cette première lecture se trompe souvent. En juin 2017, l’arrêt d’urgence d’une usine pétrochimique saoudienne a été attribué à une panne mécanique ; c’était le logiciel Triton, identifié seulement lors d’un second arrêt en août. En août 2026, la perte des congélateurs d’un magasin militaire de Fort Huachuca (Arizona) a d’abord été présentée comme une défaillance d’équipement survenue pendant la nuit. D’autres sites ont été touchés et les services d’enquête de l’Army et de l’Air Force ont ouvert des procédures. Aucune cause n’a été rendue publique. Selon le Telegraph, au moins six bases américaines sont concernées. Le service d’enquête criminelle du ministère américain de la Défense (DCIS) pilote les investigations et travaille avec les enquêteurs français sur les incidents européens. Aucun lien avec l’attaque française n’est établi à ce stade.

Le signe qui distingue une attaque d’une panne est la simultanéité : des alarmes identiques sur plusieurs sites, la même nuit, ou une consigne modifiée sans intervention connue. Un magasin isolé ne peut pas le voir. Seuls le siège ou le mainteneur, qui reçoivent les alarmes de plusieurs sites, sont en mesure de faire le rapprochement. Encore faut-il que quelqu’un soit chargé de le faire, la nuit et le week-end.

Les décisions des premières heures

Aucun retour d’expérience détaillé des enseignes n’a encore été publié. Les points qui suivent relèvent de l’analyse : ce sont les décisions qu’un incident de ce type impose, dans l’ordre où elles se présentent.

Plusieurs sites, un même mainteneur

L’attaque a touché des centaines de magasins en une nuit parce que le même équipement y était installé à l’identique. Le 13 octobre, SOCRadar comptait près de 2 900 systèmes Danfoss exposés sur Internet en France. Le même jour, Reuters relevait au moins 4 500 interfaces Danfoss encore visibles en ligne, sans pouvoir dire combien étaient vulnérables. Le 15 octobre, selon The Register, les relevés de l’assureur Coalition comptaient encore 618 équipements Danfoss connectés, dont 206 en France. Le 22 octobre, Forescout a recensé dans le monde 12 976 services de gestion du froid exposés sur Internet, sur 6 017 adresses IP dans 99 pays. Les interfaces Copeland et Dixell XWEB en représentent 7 075, les Danfoss StoreView 4 697. Selon Forescout, 80 % des interfaces AK-SM 800A observées fonctionnent avec un micrologiciel antérieur au correctif de 2025. L’éditeur relève par ailleurs plus de vingt attaques revendiquées contre des systèmes frigorifiques depuis janvier 2026, principalement par les groupes prorusses Z-Pentest et NoName057(16). L’attaque d’octobre n’a pas été revendiquée. Les méthodes de comptage diffèrent d’une source à l’autre : ces chiffres ne sont pas directement comparables. Pour une enseigne, l’incident forme un seul événement qui touche en même temps une partie de son réseau.

Les ressources de secours, elles, sont partagées. Un frigoriste couvre souvent plusieurs magasins, parfois plusieurs enseignes. Lors d’une attaque simultanée, il peut recevoir les appels de tous ses clients dans la même heure. Les capacités de stockage de repli, les camions frigorifiques et les astreintes s’épuisent de la même façon.

Un arbitrage central est donc nécessaire. Quels sites traiter en premier : ceux où un risque d’incendie est signalé, ceux qui stockent les produits les plus sensibles, ceux qui ont une solution de repli à proximité ? Ces critères doivent être fixés à froid. Pendant la crise, la cellule les applique et répartit les moyens, pendant que chaque magasin garde la main sur la sécurité des personnes.

Le mainteneur doit être intégré au dispositif. Il détient souvent les accès distants, connaît la configuration et sera le premier à intervenir. La répartition des rôles reste souvent floue. Dans son guide sur la cybersécurité des systèmes industriels, l’ANSSI relève qu’il peut être contractuellement interdit de modifier un système existant, y compris pour le sécuriser. Selon Roland Atoui, fondateur de Red Alert Labs, le prestataire et le client ont chacun « le sentiment que c’est à l’autre de gérer la sécurisation de l’objet ». Son contrat doit préciser ses délais d’intervention en situation multisite, ses obligations de notification et la gestion des identifiants. Le jour de l’incident, il faut savoir qui l’appelle et qui arbitre entre ses clients.

Communiquer sans connaître la cause

Pendant les premières heures, personne ne sait s’il s’agit d’une panne ou d’une attaque. La communication doit décrire ce qui est constaté et ce qui est fait, sans trancher sur la cause avant qu’elle ne soit établie. Annoncer une panne technique, puis devoir parler de cyberattaque le lendemain, coûte en crédibilité. L’inverse aussi.

Les équipes en magasin ont besoin de consignes simples et identiques partout : ne pas remettre en rayon les produits exposés, relever les températures à la main, ne pas manipuler les régulateurs, conserver les traces pour l’enquête. Ces consignes doivent exister sur papier, car le canal habituel peut être indisponible.

Les clients voient des rayons vides ou fermés. Une information sobre sur place suffit souvent, à condition qu’elle soit cohérente d’un magasin à l’autre. Si des produits exposés ont pu être vendus avant la détection, la question du rappel et de l’information des autorités sanitaires se pose. Elle doit être instruite par le département qualité dès les premières heures.

L’assureur doit être prévenu tôt, d’autant que la couverture de ce type de sinistre n’est pas acquise. Le dépôt de plainte et la préservation des preuves conditionnent à la fois l’enquête et l’indemnisation.

Enfin, l’incident ayant une dimension sectorielle, la Fédération du commerce et de la distribution a demandé publiquement à Danfoss une transparence totale. Une enseigne doit savoir qui, chez elle, suit ces échanges collectifs et peut s’y exprimer.

Cinq précédents et ce qu’ils apprennent

L’attaque d’octobre s’inscrit dans une série ouverte en 2010 par Stuxnet. Cinq cas suffisent à montrer ce qu’elle exige d’une cellule de crise.

Cas Ce qui s’est passé Enseignement
Natanz, Iran, 2010 Stuxnet modifiait la vitesse des centrifugeuses et renvoyait aux opérateurs des valeurs normales. Les inspecteurs de l’AIEA ont constaté un taux de remplacement anormal sans en trouver la cause. La supervision peut mentir. L’état réel s’établit par des moyens indépendants.
Réseau électrique, Ukraine, 2015 Environ 225 000 clients privés de courant. Le service a été rétabli en manœuvrant les disjoncteurs à la main ; les lignes du service client avaient été saturées. Le mode manuel doit être connu et praticable, et le canal vers les clients protégé.
Pétrochimie, Arabie saoudite, 2017 Triton visait les automates de sécurité. Un premier arrêt, un samedi soir de juin, a été attribué à une panne mécanique. Un premier diagnostic de panne doit rester révisable, surtout hors heures ouvrées.
Colonial Pipeline, États-Unis, 2021 Un rançongiciel a touché l’informatique de gestion. L’oléoduc a été arrêté six jours, sans que ses systèmes de pilotage soient compromis. Une exploitation peut s’arrêter faute de pouvoir facturer, suivre ou planifier.
Éoliennes Enercon, Europe, 2022 L’attaque du réseau satellitaire KA-SAT a coupé la supervision de 5 800 éoliennes. Il a fallu environ huit semaines pour en reconnecter plus de 95 %. La défaillance d’un prestataire non ciblé peut durer plus longtemps que l’attaque elle-même.

Se préparer et s’exercer

Les plans de continuité portent le plus souvent sur la perte des serveurs ou des données, plus rarement sur la perte de contrôle d’un équipement physique. Les vérifications suivantes donnent une première mesure de l’écart :

Le cadre réglementaire se resserre. Depuis le 11 septembre 2026, le Cyber Resilience Act oblige les fabricants de produits connectés vendus dans l’Union européenne à signaler les vulnérabilités activement exploitées et les incidents graves. Ses autres exigences s’appliqueront à partir du 11 décembre 2027. Elles portent sur les fabricants et ne dispensent pas l’exploitant de maintenir ses propres équipements à jour.

La meilleure façon de vérifier ces points reste l’exercice. Un scénario utile combine la perte simultanée de plusieurs équipements, de leur supervision et de l’accès du mainteneur, la nuit, sur plusieurs sites. Il fait travailler ensemble des acteurs qui se croisent rarement en cellule de crise : services techniques, prestataires, qualité, sécurité, juridique et communication.

Ce scénario peut être travaillé dans un exercice de crise cyber ou lors de la révision d’un plan de continuité d’activité.

Vos équipements techniques sont-ils couverts par votre dispositif de crise ?

Altaïr Conseil accompagne les organisations pour identifier leurs équipements et prestataires critiques, adapter leurs critères de déclenchement et entraîner leurs cellules de crise sur des scénarios d’incident multisite.

Faire le point sur votre dispositif

Assistance opérationnelle 24h/24 : +33 (0)1 47 33 03 12

Sources