Le piratage des congélateurs : anatomie d’une cyberattaque inédite contre la chaîne du froid française

piratage des congélateurs de supermarché

Résumé

Dans la nuit du 11 au 12 octobre 2026, des individus non identifiés ont pris le contrôle à distance des installations frigorifiques de plusieurs centaines de supermarchés français, en visant les contrôleurs de froid connectés du fabricant danois Danfoss. Les attaquants ont déclenché des cycles de dégivrage forcés et en continu, portant la température de meubles frigorifiques et de congélateurs jusqu’à 50 °C. Les conséquences ont été immédiates et tangibles : destruction de stocks entiers de produits frais et surgelés, ruptures d’approvisionnement, départs de feu dans plusieurs magasins et des pertes estimées à plusieurs millions d’euros. Cette attaque est considérée comme la première cyberattaque ayant un impact physique direct sur la chaîne d’approvisionnement alimentaire d’un pays. (franceinfo, CNBC, Wikipédia)

1. Déroulement des faits

L’attaque s’est déroulée dans la nuit de dimanche 11 à lundi 12 octobre 2026, un créneau choisi avec méthode : les magasins étaient fermés ou peu fréquentés, et le cycle de dégivrage nocturne, un fonctionnement normal des installations, masquait l’anomalie aux systèmes d’alarme. Les attaquants ont envoyé des consignes de dégivrage répétées aux contrôleurs de froid, avec des consignes de température absurdes, jusqu’à 50 °C, voire des valeurs encore plus élevées affichées sur les applications de supervision (un gérant de Carrefour Market à Rennes a rapporté des congélateurs « programmés à 95 °C »). (franceinfo, shattered.io)

L’ampleur du sinistre n’a été découverte qu’à l’ouverture des magasins : surgelés fondus, glaces ramollies, rayons frais vidés et barricadés. Les magasins touchés incluent au moins 300 points de vente Intermarché/Netto, une centaine de Coopérative U, environ 80 Carrefour, une trentaine de Monoprix et plusieurs E.Leclerc — soit, selon certaines estimations, entre 800 et 1 000 magasins au total, plusieurs sources évoquant toutefois un ordre de grandeur plus proche de 400 à 600 établissements. (20 Minutes, RMC/BFM, Futura)

Selon le parquet de Paris, des départs de feu ont également eu lieu dans certains équipements, conséquence directe de la sollicitation anormale et prolongée des compresseurs et des résistances de dégivrage. (franceinfo, CNBC)

2. La méthode : comment pirate-t-on un congélateur ?

2.1 L’architecture visée : la supervision frigorifique connectée

Un magasin moderne ne possède pas un congélateur autonome, mais une centrale frigorifique complète : chaque meuble froid et chaque chambre froide dispose de son propre contrôleur (thermostat électronique), et l’ensemble est supervisé par un « system manager », un petit serveur qui centralise les consignes de température, planifie les cycles de dégivrage, collecte les alarmes et permet aux techniciens frigoristes d’intervenir à distance via un serveur web embarqué. (France Inter, Claroty, flawfence)

C’est précisément cette capacité d’administration distante qui a constitué la porte d’entrée : « chaque fois que l’on connecte quelque chose à Internet ou qu’un système peut être piloté à distance, on crée une nouvelle surface d’attaque », a résumé le hacker éthique SaxX. (Huffington Post)

2.2 Les équipements visés

Les contrôleurs visés sont des équipements Danfoss, principalement des séries AK-SM 800 et AK-SC 355, exécutant d’anciennes versions de firmware antérieures à la version 4. Danfoss a confirmé que les systèmes compromis étaient pour l’essentiel des équipements hérités (« legacy ») qui ne recevaient plus de mises à jour de sécurité. (Journal du Geek, Gate News, RMC/BFM)

2.3 Les vulnérabilités exploitées

La piste technique la plus solide renvoie aux travaux de recherche publiés par l’équipe Team82 du cabinet Claroty, publiés en août 2026, soit environ deux mois avant l’attaque. Cette recherche avait identifié trois vulnérabilités critiques sur le contrôleur Danfoss AK-SM 800A (Claroty, hard2bit) :

  • CVE-2025-41450 : un contournement d’authentification fondé sur un code d’accès journalier dérivé de la date courante de l’appareil ; quiconque reproduit l’algorithme peut générer un code administrateur valide pour n’importe quel équipement, n’importe quel jour ;
  • CVE-2025-41451 : une injection de commandes permettant l’exécution de code après authentification ;
  • CVE-2025-41452 : un déni de service.

Ces trois failles ont été corrigées par Danfoss dans le firmware R4.3.1. Les équipements restés sur des versions antérieures restaient exposés. (Gate News, Claroty)

Le mode opératoire probable, largement relayé par les experts pendant l’incident, a été résumé par le chercheur Kevin Beaumont en une phrase : « le nom d’utilisateur est admin et le mot de passe change automatiquement chaque jour pour… la date du jour ». Les contrôleurs compromis exposaient directement sur Internet leur interface web d’administration. (International Cyber Digest, intsignal)

Il convient de souligner une nuance d’importance : aucune source officielle n’a, à ce jour, confirmé quelle faille précise a été exploitée, et les enquêteurs n’ont pas établi publiquement le vecteur d’intrusion. En outre, un administrateur légitime possédant les identifiants n’aurait eu besoin d’exploiter aucune faille pour modifier une consigne de dégivrage : la manipulation de ce paramètre relève de l’administration courante. (intsignal, hard2bit, Futura)

2.4 Le déroulé de l’attaque

L’attaque n’a probablement pas nécessité de compétences exceptionnelles. Le scénario reconstitué est le suivant (shattered.io, Ars Technica) :

  1. Repérage des contrôleurs Danfoss exposés sur Internet à l’aide de moteurs de recherche d’équipements connectés (Shodan) ; des recherches post-attaque ont recensé environ 4 980 hôtes Danfoss accessibles en ligne, dont 2 911 en France ;
  2. Authentification sur les interfaces web d’administration grâce au mot de passe prévisible dérivé de la date ;
  3. Déclenchement du mode dégivrage forcé, de manière répétée et prolongée, en pleine nuit ;
  4. Modification des consignes de température (valeurs de l’ordre de 50 °C), sans déclencher les alarmes prévues pour détecter des températures anormales en fonctionnement normal.

Physiquement, le dégivrage exploite le gaz chaud refoulé par le compresseur, dont la température avoisine 50 °C : laisser un équipement en dégivrage continu le porte naturellement à cette température, sans qu’aucune résistance de chauffage sophistiquée soit nécessaire. (Ars Technica)

La coordination simultanée de centaines d’équipages témoigne, selon certains experts, d’une « certaine sophistication » opérationnelle ; d’autres, comme Clément « SaxX » Domingo, estiment au contraire que ce piratage n’est « pas si sophistiqué que ça », la faille étant connue, documentée et triviale à exploiter. (franceinfo, Futura)

3. Les causes : pourquoi cela a-t-il été possible ?

3.1 Des systèmes industriels conçus sans cybersécurité

Les équipements frigorifiques industriels ont longtemps été des systèmes isolés (OT — operational technology), sans connexion à Internet. Ils ont été conçus pour privilégier « la fiabilité et la maîtrise des coûts, plutôt que la protection contre les cyberattaques », car les attaquants ne pouvaient pas y accéder à distance. La connectivité a été ajoutée a posteriori, sans repenser en profondeur l’architecture de sécurité. (Le Temps, 20 Minutes)

3.2 L’exposition directe à Internet

Le facteur décisif est l’exposition directe des interfaces d’administration à Internet, sans filtrage, VPN ni cloisonnement réseau. « Pourquoi des équipements individuels, en l’occurrence des meubles frigorifiques, seraient-ils directement exposés à l’Internet mondial ? », s’est interrogé Bruce Schneier, pour qui l’attaque illustre un échec architectural fondamental. (Schneier on Security, Ars Technica)

3.3 L’obsolescence et le déficit de correctifs

Les équipements compromis exécutaient des firmwares anciens, antérieurs à la version 4, sans possibilité de mise à jour de sécurité, ce qui a « rendu la tâche plutôt aisée aux pirates », selon l’expert en cybersécurité Benoit Brunenwald. Le délai entre la divulgation publique des vulnérabilités (août 2026) et l’exploitation (octobre 2026) illustre le problème récurrent du « patch gap » sur les systèmes embarqués, que personne ne surveille avec la même urgence qu’une faille de VPN d’entreprise. (RMC/BFM, shattered.io)

3.4 Une chaîne d’approvisionnement mutualisée

Le fait que les meubles froids de plusieurs enseignes concurrentes (Intermarché, Carrefour, Monoprix, Système U, E.Leclerc) soient tous supervisés par les contrôleurs d’un même fabricant a créé une vulnérabilité systémique : une seule faille chez un prestataire unique a suffi à toucher l’ensemble de la grande distribution française. (TF1 Info, flawfence)

4. Conséquences et réponses

Les conséquences matérielles sont considérables : destruction de stocks de denrées (chaîne du froid rompue, donc impropre à la vente), fermeture de rayons, départs de feu, et des pertes estimées à plusieurs millions d’euros pour l’ensemble de la distribution. Un gérant d’Intermarché en Alsace résumait la situation : « on doit tout jeter ». (RMC/BFM, franceinfo)

La réponse des pouvoirs publics a été rapide et d’un niveau inhabituel pour ce type d’incident (Konbini, 20 Minutes, TF1 Info) :

  • le parquet de Paris a ouvert une enquête de sa propre initiative, confiée à l’Office anti-cybercriminalité (OFAC), portant sur l’ensemble du territoire national ;
  • l’ANSSI (Agence nationale de la sécurité des systèmes d’information) a été saisie par le Premier ministre, Sébastien Lecornu, qui suit personnellement le dossier, et le CERT-FR a publié dès le 12 octobre une alerte consacrée aux contrôleurs Danfoss des séries AK-SM et AK-SC ;
  • le directeur général de l’ANSSI, Vincent Strubel, a jugé « urgent de déconnecter ces contrôleurs d’Internet, ou d’adopter à minima une politique de filtrage réseau très restrictive » ;
  • au niveau européen, le commissaire à l’Agriculture, Christophe Hansen, a fermement condamné l’attaque, estimant que « l’armement de l’alimentation est devenu une réalité » ; l’ANSSI coordonne ses actions avec ses homologues européens, des cas ayant été signalés en Espagne, au Portugal, en Pologne, en Allemagne et en Belgique ;
  • la Fédération du commerce et de la distribution (FCD) a exigé de Danfoss et des frigoristes « une transparence totale ».

À ce stade, l’attaque n’a été revendiquée par aucun groupe et aucun acteur n’a été identifié ; aucune demande de rançon n’est apparue. L’absence de revendication et la faible sophistication technique plaident pour des intervenants opportunistes, mais l’hypothèse d’une opération de déstabilisation visant la sécurité alimentaire n’est pas écartée. (franceinfo, Futura, CNBC)

5. Perspectives

5.1 Vers un durcissement de la sécurité des systèmes OT

L’incident confirme une tendance de fond de l’année 2026 : l’exploitation de firmwares embarqués connus et non corrigés, plutôt que la recherche de failles inédites (« zero-days »). Les recommandations techniques applicables immédiatement sont claires (intsignal, flawfence) :

  1. déconnecter les interfaces d’administration des équipements OT d’Internet et n’autoriser l’accès distant que via VPN ou réseau de confiance ;
  2. mettre à jour les firmwares (R4.3.1 minimum sur les AK-SM 800A) et migrer les systèmes hérités vers des générations actuelles ;
  3. changer les mots de passe par défaut et appliquer le niveau de sécurité « Strict » recommandé par le fabricant ;
  4. vérifier l’intégralité des configurations, en commençant par les planifications de dégivrage : une consigne modifiée pendant l’attaque peut rester dormante jusqu’au prochain cycle ;
  5. cloisonner les réseaux de supervision frigorifique du reste du système d’information.

5.2 Un précédent juridique et assurantiel

L’attaque pose des questions inédites de responsabilité : la faute incombe-t-elle au fabricant (mot de passe dérivé de la date), au prestataire frigoriste, au distributeur ou à l’installateur ? Les assureurs, dont les polices cyber ont été rédigées pour les fuites de données, ne couvraient pas nécessairement un scénario de « congélateur qui prend feu à cause d’un firmware non corrigé ». Les renouvellements de contrats de fin 2026 et début 2027 devraient intégrer des questions précises sur la cadence de correction des firmwares OT et l’exposition aux équipements de réfrigération, à l’image des exigences souscriptionnelles apparues après la vague de ransomwares. (shattered.io)

5.3 La sécurisation de la chaîne alimentaire comme enjeu souverain

L’enseignement le plus profond de l’affaire est structurel : un congélateur de supermarché n’est pas classé « infrastructure critique », alors que les conséquences de sa compromission — denrées détruites, magasins paralysés, alerte sanitaire, incendies — sont réelles et immédiates. L’attaque de 2026 s’inscrit dans la lignée de Stuxnet et de l’attaque du réseau électrique ukrainien, dont elle diffère par la nature de sa cible : elle manipule une variable physique (la température) plutôt que de voler des données ou de chiffrer des fichiers, mais frappe un acteur économique ordinaire, a priori peu protégé. (shattered.io, Le Temps)

On peut anticiper, dans les mois à venir, une extension de la réglementation européenne sur la cybersécurité (directive NIS 2, Cyber Resilience Act) aux systèmes de gestion du froid et de la chaîne du froid, ainsi qu’une consolidation des exigences de sécurité dès la conception (« security by design ») pour les équipements industriels connectés. L’incident illustre enfin le risque de propagation : des perturbations ont depuis été signalées aux Pays-Bas, en Belgique et, dans une moindre mesure, aux États-Unis. (Wikipédia)

Conclusion

Le piratage des congélateurs de supermarchés d’octobre 2026 restera probablement comme le moment où la menace cyber a franchi la porte des rayons frais. Il ne s’agissait ni d’une prouesse technique ni d’un exploit inédit : des mots de passe prévisibles, des équipements obsolètes exposés à Internet et une fonctionnalité légitime (le dégivrage) détournée de son usage. C’est précisément ce banal assemblage de négligences ordinaires qui rend l’événement si instructif — et si inquiétant. Tant que les systèmes industriels connectés conserveront des architectures de sécurité datant de l’époque où ils étaient isolés du monde, chaque équipement connecté demeurera une surface d’attaque potentielle contre les infrastructures les plus essentielles : celles qui alimentent la population. (franceinfo, shattered.io)

Sources principales

Publications similaires

Laisser un commentaire

Votre adresse e-mail ne sera pas publiée. Les champs obligatoires sont indiqués avec *