⚠ Crise en cours ? +33 (0)1 47 33 03 12

contact@altairconseil.fr

Analyse d’actualité · Cyberattaque · Continuité d’activité

Cyberattaque des systèmes frigorifiques : les premiers enseignements pour la gestion de crise

Article mis à jour le 16 octobre 2026. L’enquête est en cours et plusieurs éléments peuvent évoluer.

Dans la nuit du 11 au 12 octobre 2026, des attaquants ont pris la main sur les régulateurs frigorifiques de plusieurs centaines de supermarchés français et ont forcé des cycles de dégivrage à 50 °C. Pour les magasins, le premier signal a été une alarme de température, en pleine nuit, sur un équipement que la direction des systèmes d’information ne gère pas.

Une attaque contre un équipement technique se présente d’abord comme une panne. Elle devient une crise d’exploitation avant que quiconque ait compris sa nature. Sécuriser ces équipements ne suffit donc pas : il faut savoir à l’avance qui reçoit l’alerte, qui décide, et comment coordonner des sites et des prestataires touchés en même temps.

Allée de supermarché bordée de meubles frigorifiques
Photo : Franki Chamaki, Unsplash

Ce que l’on sait au 16 octobre

Le Groupement Les Mousquetaires fait état de près de 300 magasins Intermarché et Netto touchés. Carrefour a confirmé 80 établissements, Coopérative U 80 sur environ 2 000, Monoprix une trentaine. Plusieurs E.Leclerc sont concernés, sans données publiées à ce stade. Le 13 octobre, le ministre des Finances, Roland Lescure, a évoqué devant le Parlement environ 700 supermarchés touchés sur les 10 000 du pays. Il a écarté tout risque pour l’approvisionnement alimentaire. Le 13 octobre, Les Mousquetaires estimaient à une semaine environ le retour à la normale pour les clients, et à deux ou trois semaines la remise en état complète des systèmes. Selon Le Parisien, cité par La Clé publique, le groupement a annoncé le 14 octobre que les installations de ses magasins touchés étaient de nouveau opérationnelles. Le réassort devait se poursuivre jusqu’à la fin de la semaine.

Les attaquants ont porté la température de dégivrage à 50 °C et allongé la durée du cycle, jusqu’à huit heures selon Le Monde. Le parquet de Paris fait état de départs de feu et a confié l’enquête à l’Office anticybercriminalité (Ofac). Selon Dark Reading, qui cite CNBC, Les Mousquetaires indiquent que l’attaque a visé un prestataire chargé de gérer les installations frigorifiques de certains de leurs magasins. Le groupement estime que c’est à ce fournisseur de porter plainte.

Selon BFMTV, Danfoss indique que les régulateurs visés étaient en fin de vie (AK-SM800, AK-SC355) ou non mis à jour (AK-SM800A). Le 13 octobre, le CERT-FR a étendu son alerte aux équipements Copeland XWEB et Dixell XWEB et fait état de nombreuses compromissions. Danfoss dit travailler avec ses clients touchés à des mises à jour de micrologiciel, à un renforcement des protections réseau et à la suppression de l’exposition directe sur Internet. Copeland indique que la génération de contrôleurs concernée est abandonnée et en fin de vie. Le groupe, propriétaire de Dixell, reconnaît la vulnérabilité et dit travailler avec ses clients touchés pour réduire le risque. Un E.Leclerc du Tarn équipé de régulateurs Dixell a subi une rupture de la chaîne du froid. Selon Le Monde, la même nuit du 12 au 13 octobre, un magasin de la région bordelaise équipé de matériel Dixell a vu la consigne de ses congélateurs passer de −22 °C à 150 °C. Il s’agit d’une valeur programmée, pas d’une température mesurée. Le frigoriste intervenu a observé plusieurs paramètres modifiés chaque seconde, ce qui laisse penser à une attaque automatisée. Le CERT-FR estime que les campagnes d’attaque sont probablement toujours en cours.

Les failles de ces équipements étaient documentées. Synacktiv indique avoir signalé à Danfoss un contournement d’authentification dès 2023. Le 9 août 2026, Claroty recensait 2 765 contrôleurs AK-SM 800A accessibles depuis Internet, alors que Danfoss avait publié des correctifs en 2025. La faille décrite permettait de contourner l’authentification avec un mot de passe généré à partir de la date du jour. Les contrôleurs Copeland XWEB faisaient eux aussi l’objet d’alertes. Selon The Register, l’agence américaine CISA avait recensé près de deux douzaines de vulnérabilités sur les XWEB et XWEB Pro en février 2026, et Claroty en a présenté d’autres en août. Danfoss indique à franceinfo recommander « depuis longtemps de mettre à jour les systèmes et de remplacer les plus anciens ». Le lien entre ces failles et l’attaque n’est pas établi à ce stade. Le directeur général de l’ANSSI, Vincent Strubel, juge « urgent de les déconnecter d’internet ».

L’attaque n’a pas été revendiquée et aucune rançon n’a été demandée. Les Mousquetaires évaluent leurs pertes à plusieurs millions d’euros. Thierry Cotillard, président d’Intermarché, a parlé sur BFMTV de dizaines de millions d’euros à l’échelle nationale. Pour Coopérative U, Dominique Schelcher estime la perte à quelques dizaines de milliers d’euros pour un petit magasin et à 180 000 à 200 000 euros pour un hypermarché. BFMTV cite 220 000 euros de préjudice pour un seul E.Leclerc, à Wasselonne (Bas-Rhin). Intermarché a indiqué à l’AFP que son assurance ne couvrait pas ce type de sinistre. Selon quatre courtiers interrogés par Reuters, les polices cyber excluent en général les dommages matériels, et l’absence de mises à jour peut peser sur l’indemnisation. Thierry Cotillard a annoncé une bataille juridique pour établir les responsabilités.

Hors de France, un analyste de Sekoia cité par Reuters évoque des cas en Espagne, au Portugal, en Pologne, en Allemagne et en Belgique. Aucun autre pays n’a confirmé de compromission liée à cette attaque. L’ANSSI se coordonne avec ses homologues européens. Le même week-end, Ahold Delhaize a mis hors ligne une partie de ses systèmes après un incident de sécurité. Le centre néerlandais de cybersécurité (NCSC) ne voit pas de lien avec l’attaque contre les régulateurs frigorifiques.

Pourquoi l’incident ressemble d’abord à une panne

Le dégivrage est une fonction normale d’un meuble frigorifique. Un cycle trop long ou trop chaud produit une alarme de température, du même type que celle d’un compresseur défaillant. Dans une installation courante, cette alarme part vers le frigoriste de maintenance ou une télésurveillance, puis vers le responsable du magasin. Le service informatique n’en est pas destinataire.

Les précédents montrent que cette première lecture se trompe souvent. En juin 2017, l’arrêt d’urgence d’une usine pétrochimique saoudienne a été attribué à une panne mécanique ; c’était le logiciel Triton, identifié seulement lors d’un second arrêt en août. En août 2026, la perte des congélateurs d’un magasin militaire de Fort Huachuca (Arizona) a d’abord été présentée comme une défaillance d’équipement survenue pendant la nuit. D’autres sites ont été touchés et les services d’enquête de l’Army et de l’Air Force ont ouvert des procédures. Aucune cause n’a été rendue publique.

Le signe qui distingue une attaque d’une panne est la simultanéité : des alarmes identiques sur plusieurs sites, la même nuit, ou une consigne modifiée sans intervention connue. Un magasin isolé ne peut pas le voir. Seuls le siège ou le mainteneur, qui reçoivent les alarmes de plusieurs sites, sont en mesure de faire le rapprochement. Encore faut-il que quelqu’un soit chargé de le faire, la nuit et le week-end.

Les décisions des premières heures

Aucun retour d’expérience détaillé des enseignes n’a encore été publié. Les points qui suivent relèvent de l’analyse : ce sont les décisions qu’un incident de ce type impose, dans l’ordre où elles se présentent.

Plusieurs sites, un même mainteneur

L’attaque a touché des centaines de magasins en une nuit parce que le même équipement y était installé à l’identique. Le 13 octobre, SOCRadar comptait près de 2 900 systèmes Danfoss exposés sur Internet en France. Le même jour, Reuters relevait au moins 4 500 interfaces Danfoss encore visibles en ligne, sans pouvoir dire combien étaient vulnérables. Le 15 octobre, selon The Register, les relevés de l’assureur Coalition comptaient encore 618 équipements Danfoss connectés, dont 206 en France. Les méthodes de comptage diffèrent d’une source à l’autre : ces chiffres ne sont pas directement comparables. Pour une enseigne, l’incident forme un seul événement qui touche en même temps une partie de son réseau.

Les ressources de secours, elles, sont partagées. Un frigoriste couvre souvent plusieurs magasins, parfois plusieurs enseignes. Lors d’une attaque simultanée, il peut recevoir les appels de tous ses clients dans la même heure. Les capacités de stockage de repli, les camions frigorifiques et les astreintes s’épuisent de la même façon.

Un arbitrage central est donc nécessaire. Quels sites traiter en premier : ceux où un risque d’incendie est signalé, ceux qui stockent les produits les plus sensibles, ceux qui ont une solution de repli à proximité ? Ces critères doivent être fixés à froid. Pendant la crise, la cellule les applique et répartit les moyens, pendant que chaque magasin garde la main sur la sécurité des personnes.

Le mainteneur doit être intégré au dispositif. Il détient souvent les accès distants, connaît la configuration et sera le premier à intervenir. La répartition des rôles reste souvent floue. Dans son guide sur la cybersécurité des systèmes industriels, l’ANSSI relève qu’il peut être contractuellement interdit de modifier un système existant, y compris pour le sécuriser. Selon Roland Atoui, fondateur de Red Alert Labs, le prestataire et le client ont chacun « le sentiment que c’est à l’autre de gérer la sécurisation de l’objet ». Son contrat doit préciser ses délais d’intervention en situation multisite, ses obligations de notification et la gestion des identifiants. Le jour de l’incident, il faut savoir qui l’appelle et qui arbitre entre ses clients.

Communiquer sans connaître la cause

Pendant les premières heures, personne ne sait s’il s’agit d’une panne ou d’une attaque. La communication doit décrire ce qui est constaté et ce qui est fait, sans trancher sur la cause avant qu’elle ne soit établie. Annoncer une panne technique, puis devoir parler de cyberattaque le lendemain, coûte en crédibilité. L’inverse aussi.

Les équipes en magasin ont besoin de consignes simples et identiques partout : ne pas remettre en rayon les produits exposés, relever les températures à la main, ne pas manipuler les régulateurs, conserver les traces pour l’enquête. Ces consignes doivent exister sur papier, car le canal habituel peut être indisponible.

Les clients voient des rayons vides ou fermés. Une information sobre sur place suffit souvent, à condition qu’elle soit cohérente d’un magasin à l’autre. Si des produits exposés ont pu être vendus avant la détection, la question du rappel et de l’information des autorités sanitaires se pose. Elle doit être instruite par le département qualité dès les premières heures.

L’assureur doit être prévenu tôt, d’autant que la couverture de ce type de sinistre n’est pas acquise. Le dépôt de plainte et la préservation des preuves conditionnent à la fois l’enquête et l’indemnisation.

Enfin, l’incident ayant une dimension sectorielle, la Fédération du commerce et de la distribution a demandé publiquement à Danfoss une transparence totale. Une enseigne doit savoir qui, chez elle, suit ces échanges collectifs et peut s’y exprimer.

Cinq précédents et ce qu’ils apprennent

L’attaque d’octobre s’inscrit dans une série ouverte en 2010 par Stuxnet. Cinq cas suffisent à montrer ce qu’elle exige d’une cellule de crise.

Cas Ce qui s’est passé Enseignement
Natanz, Iran, 2010 Stuxnet modifiait la vitesse des centrifugeuses et renvoyait aux opérateurs des valeurs normales. Les inspecteurs de l’AIEA ont constaté un taux de remplacement anormal sans en trouver la cause. La supervision peut mentir. L’état réel s’établit par des moyens indépendants.
Réseau électrique, Ukraine, 2015 Environ 225 000 clients privés de courant. Le service a été rétabli en manœuvrant les disjoncteurs à la main ; les lignes du service client avaient été saturées. Le mode manuel doit être connu et praticable, et le canal vers les clients protégé.
Pétrochimie, Arabie saoudite, 2017 Triton visait les automates de sécurité. Un premier arrêt, un samedi soir de juin, a été attribué à une panne mécanique. Un premier diagnostic de panne doit rester révisable, surtout hors heures ouvrées.
Colonial Pipeline, États-Unis, 2021 Un rançongiciel a touché l’informatique de gestion. L’oléoduc a été arrêté six jours, sans que ses systèmes de pilotage soient compromis. Une exploitation peut s’arrêter faute de pouvoir facturer, suivre ou planifier.
Éoliennes Enercon, Europe, 2022 L’attaque du réseau satellitaire KA-SAT a coupé la supervision de 5 800 éoliennes. Il a fallu environ huit semaines pour en reconnecter plus de 95 %. La défaillance d’un prestataire non ciblé peut durer plus longtemps que l’attaque elle-même.

Se préparer et s’exercer

Les plans de continuité portent le plus souvent sur la perte des serveurs ou des données, plus rarement sur la perte de contrôle d’un équipement physique. Les vérifications suivantes donnent une première mesure de l’écart :

Le cadre réglementaire se resserre. Depuis le 11 septembre 2026, le Cyber Resilience Act oblige les fabricants de produits connectés vendus dans l’Union européenne à signaler les vulnérabilités activement exploitées et les incidents graves. Ses autres exigences s’appliqueront à partir du 11 décembre 2027. Elles portent sur les fabricants et ne dispensent pas l’exploitant de maintenir ses propres équipements à jour.

La meilleure façon de vérifier ces points reste l’exercice. Un scénario utile combine la perte simultanée de plusieurs équipements, de leur supervision et de l’accès du mainteneur, la nuit, sur plusieurs sites. Il fait travailler ensemble des acteurs qui se croisent rarement en cellule de crise : services techniques, prestataires, qualité, sécurité, juridique et communication.

Ce scénario peut être travaillé dans un exercice de crise cyber ou lors de la révision d’un plan de continuité d’activité.

Vos équipements techniques sont-ils couverts par votre dispositif de crise ?

Altaïr Conseil accompagne les organisations pour identifier leurs équipements et prestataires critiques, adapter leurs critères de déclenchement et entraîner leurs cellules de crise sur des scénarios d’incident multisite.

Faire le point sur votre dispositif

Assistance opérationnelle 24h/24 : +33 (0)1 47 33 03 12

Sources