On n'a pas piraté les supermarchés, on a piraté leur froid

On croit encore que la cyber, ce sont des fichiers volés et des rançons en bitcoins. Ce lundi matin, dans plusieurs centaines de supermarchés français, c'était des surgelés décongelés, des produits frais à jeter et des rayons à vider. Aucune fuite de données n'a été signalée à ce stade. Ce qui a été attaqué, c'est la chaîne du froid.

Ce que l'on sait, ce que l'on ne sait pas

L'enquête commence à peine. Voici où en sont les faits ce soir.

La troisième colonne est la plus importante, et elle doit rester vide tant que les enquêteurs n'ont rien publié. Je n'ai aucune hypothèse d'attribution à proposer, et je me méfierais de quiconque en avance une ce soir.

Comment pirate-t-on un frigo ?

Un meuble réfrigéré de supermarché n'est pas le frigo de votre cuisine. Il est piloté par un contrôleur électronique, lui-même raccordé à un superviseur central qui gère tout le magasin : températures de consigne, alarmes, et programmation du dégivrage. Ce dernier est une phase normale et courte, pendant laquelle l'équipement chauffe pour faire fondre le givre qui s'accumule sur l'évaporateur.

Ce superviseur est connecté, et c'est voulu : le frigoriste qui assure la maintenance doit pouvoir consulter une alarme à distance, à trois heures du matin, sans se déplacer. Si ce canal de supervision est exposé sur Internet ou mal protégé, celui qui en prend la main dispose des mêmes réglages que le technicien.

L'attaque a exploité une fonction de sécurité. Un dégivrage, c'est du chauffage autorisé. Imposé à tous les meubles et poussé jusqu'à 50 °C [2], il transforme un congélateur en étuve en quelques heures, la nuit, quand personne n'est en magasin pour le remarquer.

On ne vise plus la forteresse, on vise le serrurier

Personne n'a attaqué Leclerc. On a attaqué l'équipement de son fournisseur de froid, présent à l'identique dans les magasins de plusieurs enseignes concurrentes. Une seule faiblesse, des centaines de sites, six enseignes : c'est l'économie d'échelle du côté de l'attaquant.

Le schéma n'est pas nouveau. Le 24 février 2022, le matin même de l'invasion russe de l'Ukraine, le réseau satellitaire KA-SAT de Viasat était saboté. L'attaquant était entré par un équipement VPN mal configuré, jusqu'au segment de gestion du réseau, d'où il a envoyé des commandes légitimes qui ont mis hors service des dizaines de milliers de modems [5]. Parmi les victimes collatérales : 5 800 éoliennes Enercon en Europe centrale, qui ont perdu leur surveillance et leur pilotage à distance [6]. Personne ne visait des éoliennes. Cet été, j'ai décrit trois laboratoires d'IA dont les modèles ont attaqué des entreprises réelles depuis l'environnement d'un prestataire de test. Même mécanique : la faiblesse n'était pas chez celui qu'on regardait.

Pour un RSSI, la conséquence est inconfortable. Le périmètre réel de son entreprise inclut des boîtiers qu'il n'a pas achetés lui-même, que le service maintenance ou un frigoriste a installés, et qui ne figurent souvent dans aucun inventaire informatique. Le serrurier, aujourd'hui, c'est le fournisseur d'un objet connecté banal.

« Obsolètes » : un mot qui mérite d'être lu deux fois

Danfoss indique que la majorité des appareils touchés sont en fin de vie et ne reçoivent plus de mises à jour [1][4]. C'est sans doute exact, et cela ne règle rien.

Le calendrier public, d'abord. Le 20 mai 2025, l'agence américaine CISA publiait un avis sur une autre gamme de superviseurs de froid du même fabricant, les AK-SM 800A : un contournement d'authentification exploitable à distance, corrigé dans la version R4.2 [7]. Le 9 août 2026, les chercheurs de Claroty y ajoutaient deux failles, et recensaient environ 2 765 de ces appareils directement exposés sur Internet [8]. Rien ne permet aujourd'hui d'affirmer que ces failles sont celles qui ont servi le 11 octobre, ni qu'elles touchent les modèles cités par Danfoss. Mais la fragilité des superviseurs de froid connectés était documentée, chiffrée et publiée bien avant l'attaque.

Ensuite, ce que recouvre le mot. Un équipement frigorifique de magasin reste en service bien plus longtemps qu'un ordinateur. Il a été conçu pour produire du froid sans tomber en panne, pas pour résister à un attaquant, et personne ne le remplace tant qu'il refroidit. Une faille dans un objet industriel connecté vit aussi longtemps que l'objet lui-même, et un produit en fin de vie n'en a plus aucune chance d'être corrigé. Dire « obsolète », c'est déplacer la responsabilité vers celui qui n'a pas renouvelé son parc, alors que celui qui l'a vendu connecté savait qu'il resterait raccordé au réseau après la fin de ses mises à jour.

C'est précisément ce que l'Europe commence à corriger. Le Cyber Resilience Act impose aux fabricants de produits connectés de signaler les vulnérabilités activement exploitées depuis le 11 septembre 2026, et s'appliquera entièrement le 11 décembre 2027, avec des exigences de sécurité dès la conception et un traitement des vulnérabilités sur toute la durée de support [9]. Il ne s'appliquera pas rétroactivement aux boîtiers déjà installés. Ceux-là resteront dans nos magasins, nos entrepôts et nos pharmacies jusqu'à leur remplacement.

Faut-il s'inquiéter pour notre alimentation ?

Ni panique, ni déni. L'impact immédiat est économique, des stocks entiers de frais et de surgelés à détruire, et sanitaire à l'échelle locale : ces produits ne doivent pas être vendus, et c'est leur retrait qui protège le consommateur. Il n'y a pas de menace vitale pour qui fait ses courses cette semaine.

Le signal, lui, est sérieux. Le grand public découvre ce que les spécialistes appellent la convergence IT-OT, c'est-à-dire le raccordement des systèmes industriels aux réseaux informatiques ordinaires. Le sujet n'a rien de neuf pour eux. Ce qui change, c'est qu'il devient visible dans le caddie.

Pour les RSSI : ce qu'on peut faire dès cette semaine

Les mesures sont connues, et aucune ne demande d'attendre les conclusions de l'enquête.

1. Inventorier ce que l'informatique ne voit pas. Superviseurs de froid, gestion technique du bâtiment, contrôle d'accès, onduleurs : demander aux services généraux et aux mainteneurs la liste des équipements raccordés au réseau ou à un modem 4G.
2. Vérifier son exposition depuis l'extérieur. Interroger Shodan ou Censys sur ses propres plages d'adresses prend une heure. Un contrôleur industriel joignable depuis Internet est un incident en attente.
3. Cloisonner. L'OT dans son propre segment, aucun flux direct vers Internet, et l'accès distant des prestataires par un point unique, journalisé, et coupé hors intervention.
4. Relire les contrats de maintenance. Qui détient les identifiants des superviseurs ? Le mot de passe d'usine a-t-il été changé ? Le mainteneur est-il tenu de signaler une vulnérabilité, et d'appliquer un correctif dans un délai donné ? Quels équipements arrivent en fin de support, et à quelle date ?
5. Garder une mesure indépendante. Une sonde de température qui alerte par un autre canal que le contrôleur lui-même. Un système compromis ne signale pas sa propre compromission ; un thermomètre autonome, si.

Pour les journalistes : ce qu'il est trop tôt pour écrire

• L'attribution. Aucun acteur n'a revendiqué, aucune autorité n'a désigné personne. Rançongiciel, sabotage étatique, démonstration de force : à ce stade, les trois restent ouverts.
• Le vecteur technique. L'ANSSI a identifié une vulnérabilité [1], sans la rendre publique. Le dégivrage à 50 °C est décrit par Intermarché [2], pas encore par Danfoss ni par les enquêteurs.
• L'obsolescence comme explication. C'est la version du fabricant, qui a un intérêt évident à la mettre en avant. Elle se relève, elle ne s'endosse pas.
• Le lien avec les failles publiées en 2025 et 2026. Il est plausible, il n'est pas démontré.

Ce qui est établi suffit déjà : un frigo est devenu un ordinateur, raccordé au réseau, administré à distance par un tiers, et ses défaillances se mesurent désormais en tonnes de nourriture. Je ne suis pas là pour dramatiser un frigo, mais pour expliquer ce que ça change.

Sources

1. franceinfo, « Des magasins Système U, Intermarché, E.Leclerc et Monoprix touchés par une cyberattaque contre leurs installations frigorifiques », 12 octobre 2026 : confirmation d'E.Leclerc, déclaration de Danfoss, saisine de l'ANSSI par Matignon.
2. AFP, « Des supermarchés français touchés par une cyberattaque inédite de leurs installations frigorifiques », 12 octobre 2026 : déclarations de Thierry Cotillard, nombre de magasins par enseigne, enquête du parquet de Paris.
3. IT-Connect, « Super U, Intermarché : des pirates font chauffer les congélateurs à 50 °C », 12 octobre 2026 : déclaration de Dominique Schelcher sur X, versions logicielles visées.
4. ICI, « Frigos à 50 degrés, produits frais jetés : ce que l'on sait de la cyberattaque qui touche des centaines de supermarchés », 12 octobre 2026.
5. Viasat, KA-SAT Network cyber attack overview, 30 mars 2022.
6. Reuters, repris par Euronews, « Satellite outage knocks out thousands of Enercon's wind turbines », 28 février 2022.
7. CISA, ICSA-25-140-03 : Danfoss AK-SM 8xxA Series, 20 mai 2025 (CVE-2025-41450).
8. Claroty Team82, Freeze the Controller, Defrost the Food: Uncovering Vulnerabilities in Danfoss Refrigeration Controllers, 9 août 2026 (CVE-2025-41451 et CVE-2025-41452).
9. Règlement (UE) 2024/2847 du 23 octobre 2024, dit Cyber Resilience Act, articles 14 et 71.