700 supermarchés touchés : le froid connecté devient un risque métier

Le 13 octobre 2026, le ministre Roland Lescure a évalué à environ 700 sur 10 000 le nombre de supermarchés français touchés par des attaques contre leur réfrigération, d’après Associated Press, qui rapporte aussi que 300 magasins Intermarché et Netto et 80 magasins de Coopérative U ont été affectés. Carrefour et Monoprix figurent également parmi les enseignes concernées. Certains magasins ont dû jeter des denrées après une perturbation de la chaîne du froid ; d’autres ont conservé leurs produits en intervenant à temps.

Le CERT-FR recense des compromissions de contrôleurs à distance Danfoss AK-SM et AK-SC, Copeland xweb et Dixell xweb dans une alerte publiée le 12 octobre, élargie le 13 et mise à jour le 16 octobre 2026. Il estime que des campagnes visant ces équipements sont probablement encore en cours. Pour les commerces équipés de froid pilotable à distance, l’incident relie un accès informatique à une perte possible de marchandises.

Deux nuits d’attaque, deux familles de contrôleurs

Dans l’enquête du Monde, la première offensive contre des systèmes Danfoss se situe dans la nuit du 11 au 12 octobre 2026, suivie d’attaques contre des équipements Dixell dans celle du 12 au 13 ; le frigoriste Damien Deudon décrit des réglages modifiés et une consigne de 150 °C inscrite à la place de −22 °C pour des surgelés. Cette valeur était un paramètre saisi dans le système : elle ne désigne pas la température effectivement atteinte par les aliments. La seconde vague semblait toucher moins de magasins que la première, mais elle concernait une autre famille de matériel.

Dans un supermarché de la région bordelaise équipé par Dixell, une alerte de supervision a permis aux équipes d’intervenir avant de jeter des produits. Un magasin E.Leclerc du Tarn, également équipé par Dixell, a annoncé avoir vidé ses réfrigérateurs après une rupture de la chaîne du froid. Ces deux situations montrent pourquoi le délai de détection compte autant que le réglage modifié : une consigne anormale peut être corrigée rapidement, tandis qu’une hausse prolongée de la température impose d’évaluer le sort des denrées.

Comment une commande à distance atteint les rayons

Un contrôleur frigorifique ne se contente pas d’afficher une température. Il commande des paramètres de fonctionnement, dont les cycles de dégivrage et la régulation du froid. Une personne qui obtient la capacité de modifier ces réglages peut donc perturber le fonctionnement des meubles réfrigérés et des installations de stockage. Dans un magasin, l’effet se traduit par des vitrines indisponibles, des produits retirés de la vente et une intervention technique nécessaire pour retrouver une configuration fiable.

Il faut suivre deux choses distinctes : les consignes enregistrées dans le contrôleur et les températures réellement mesurées dans les équipements. Une consigne aberrante signale une manipulation, mais elle ne suffit pas à chiffrer les pertes. La durée de la dérive, les relevés de température et la rapidité de l’intervention déterminent si les marchandises peuvent être conservées. Cette distinction explique pourquoi deux magasins visés par une opération similaire peuvent subir des conséquences très différentes.

L’administration à distance ajoute une autre difficulté. Le magasin peut dépendre d’un frigoriste qui exploite la solution pour son compte : l’accès technique, la surveillance et la décision de couper une connexion ne relèvent alors pas nécessairement de la même équipe. Une interface exposée sur Internet crée un point d’entrée possible vers les commandes physiques. Le chemin initial emprunté lors de ces attaques reste toutefois à établir ; l’existence de vulnérabilités documentées sur certains équipements ne démontre pas qu’elles ont été utilisées ici.

Les vérifications qui concernent aussi les petites entreprises

La portée de l’alerte dépasse les grandes enseignes. Une PME qui utilise une chambre froide, une vitrine réfrigérée ou un autre automatisme pilotable à distance dépend du même enchaînement : un compte ou une interface donne accès à des réglages, et ces réglages influencent l’exploitation. Les contrôles utiles portent donc à la fois sur l’accès à l’appareil et sur la capacité à constater une dérive physique sans dépendre uniquement de la console qui le pilote.

• Interfaces d’administration. Recenser les contrôleurs et les prestataires autorisés à s’y connecter, puis vérifier si une interface répond directement depuis une adresse Internet publique. La recommandation du CERT-FR est de supprimer cette exposition et de rétablir l’accès par un VPN sécurisé ou un réseau protégé. Un filtrage des adresses des prestataires peut servir en urgence, mais l’alerte ne le présente pas comme une solution durable.
• Configuration et micrologiciel. Comparer les réglages en service à une configuration de référence, notamment les plages de dégivrage. Identifier la version du micrologiciel et vérifier si le fabricant fournit encore des correctifs. Sur un appareil en fin de vie laissé accessible depuis Internet, une remise à zéro peut effacer une compromission sans supprimer la vulnérabilité qui a permis l’accès.
• Comptes et mots de passe. Retirer les accès inutiles, contrôler ceux des prestataires et remplacer les mots de passe par défaut. Pour les équipements Danfoss concernés, le CERT-FR recommande aussi les mises à jour disponibles et le niveau de sécurité « Strict ». Le propriétaire de l’installation et son mainteneur doivent savoir qui peut modifier les consignes et qui peut suspendre cet accès pendant un incident.
• Alertes de température. Prévoir, lorsque l’installation le permet, une mesure ou une alerte indépendante de l’interface d’administration du froid, avec un destinataire capable d’agir hors des heures d’ouverture. Si la console de pilotage est compromise, un autre signal de température aide à distinguer un réglage suspect d’une dérive réelle et à déclencher une vérification sur place.

La remise en service demande ainsi davantage qu’un redémarrage : les réglages doivent être revus, l’accès distant sécurisé et les températures suivies pendant le retour à la normale. Pour les magasins touchés, l’enquête technique et judiciaire devra encore préciser comment les attaquants ont obtenu la main sur les contrôleurs. Pour toute entreprise dont une installation connectée conserve des marchandises, le risque immédiat se joue dans le temps séparant la modification d’une consigne de sa détection.

À lire aussi :

• Cisco ajoute des racks Supermicro à son usine IA, commandables en octobre
• Boston Scientific paralysé : les commandes touchées, aucun délai de reprise
• ANote lève 2 M€ : la liquidité reste le vrai risque des royalties