Des pirates chauffent les frigos français à 50 degrés

Six heures de dégivrage, commandées à distance

Dans la nuit du dimanche 11 au lundi 12 octobre, des attaquants ont pris le contrôle du logiciel de gestion à distance des équipements de réfrigération de supermarchés français et les ont mis en dégivrage. Au lieu d'un bref réchauffement nocturne, les frigos et les congélateurs ont continué à chauffer. Intermarché a indiqué que ses équipements avaient chauffé jusqu'à 50 degrés pendant environ six heures, et que tout ce qui était concerné avait été jeté pour écarter les risques sanitaires.

Les responsables arrivés lundi matin ont reçu une bouffée d'air chaud des congélateurs, et certains magasins ont connu de petits départs de feu. Le Premier ministre Sébastien Lecornu a chargé l'agence nationale de cybersécurité ANSSI d'enquêter, et le parquet de Paris a ouvert une enquête sur ce qu'il a qualifié d'attaque de grande ampleur visant les chambres froides de plusieurs grandes enseignes de distribution alimentaire. Aucun auteur n'a été désigné.

Ces chiffres viennent des enseignes et de journalistes qui ont écrit à des heures différentes. Lisez chacun comme une fourchette. Aucune source ne donne de total global confirmé.

Les contrôleurs les plus anciens n'ont aucun correctif à installer

Danfoss affirme que la plupart des équipements touchés sont des modèles anciens dont le logiciel de sécurité ne peut pas être mis à jour. Le groupe ajoute qu'il conseille depuis longtemps à ses clients de garder les systèmes pris en charge sur le micrologiciel à jour.

The Hacker News rapporte que l'AK-SM 800 est en fin de vie depuis mai 2021 et que l'AK-SC 355 a été retiré en 2016, et qu'aucun ne reçoit de mises à jour logicielles ou de sécurité. Selon les informations disponibles, certaines unités de l'AK-SM 800A, un modèle actuel, ont aussi été touchées alors qu'elles tournaient avec un micrologiciel obsolète. L'alerte du CERT-FR, mise à jour le 13 octobre, cite comme produits concernés les séries Danfoss AK-SC et AK-SM ainsi que les contrôleurs Copeland xweb et Dixell xweb.

Le CERT-FR ajoute une mise en garde qui compte pour quiconque garde du vieux matériel : une réinitialisation d'usine ne suffit pas pour un équipement en fin de vie qui reste exposé à internet, car il sera probablement compromis à nouveau. Pour ces unités, il ne reste qu'à les retirer d'internet ou à les remplacer.

La façon dont ils sont entrés reste inconnue

Selon BleepingComputer, aucune information publique n'explique encore comment les contrôleurs ont été compromis.

L'équipe Team82 de Claroty a publié en août une recherche sur l'AK-SM 800A : un contournement d'authentification (CVE-2025-41450, CVSS 8,2), une injection de commandes (CVE-2025-41451, 7,6) et une faille de déni de service (CVE-2025-41452, 5,4). Des analyses Censys ont dénombré 2 765 de ces unités joignables depuis internet, et Danfoss a publié ensuite une mise à jour. Aucune source ne relie ces failles à cette attaque : elles sont un contexte, pas la cause.

L'exposition de lundi était de toute façon importante. Baptiste Robert, directeur général de Predicta Lab, a trouvé 2 752 systèmes Danfoss en ligne, dont 1 590 en France, et Shodan recense plus de 4 500 appareils Danfoss joignables depuis internet.

L'attaque n'est peut-être pas seulement française. L'analyste de Sekoia Félix Aimé a dit à Reuters que l'Espagne, le Portugal, la Pologne, l'Allemagne et la Belgique avaient aussi été touchés, sans détails, et une personne proche du Premier ministre a dit que l'ANSSI est en contact avec les agences d'autres pays européens. Ahold Delhaize a annoncé le même lundi un problème de sécurité dans son propre réseau et a mis certains systèmes hors ligne, magasins ouverts, mais son communiqué ne mentionne pas la France et BleepingComputer n'a vu aucun indice de lien.

Intermarché a prévenu que l'assurance pourrait ne pas payer

Intermarché a indiqué que les magasins touchés avaient dû jeter tous leurs produits frais et surgelés, et a prévenu que ses contrats d'assurance pourraient ne pas payer, car ils ne couvrent pas ce type d'incident en magasin.

Le montant reste flou. Thierry Cotillard, du groupe Les Mousquetaires, s'attend à des pertes de plusieurs dizaines de millions d'euros dans toute la France, selon The Hacker News, et la BBC évoque des aliments pour des millions d'euros. Deux supermarchés d'Alsace ont déclaré 270 000 euros de pertes à eux deux. Coopérative U a dit que la chaîne du froid avait tenu dans la plupart de ses 80 magasins touchés et que seule une minorité avait perdu de la marchandise.

Les consignes du CERT-FR demandent de vérifier les conditions d'assurance avant de couper la liaison de données avec le prestataire de réfrigération. L'avis de l'assureur sur la télésurveillance doit entrer dans la même conversation que la décision de déconnecter.

Ce que demande le CERT-FR, étape par étape

L'alerte CERTFR-2026-ALE-012 du CERT-FR, publiée le 12 octobre et mise à jour le 13, donne aux exploitants un ordre de travail court.

Si l'équipement n'est pas compromis : supprimer l'exposition à internet des unités concernées et de toute unité ayant une adresse IP publique ; revoir toute la configuration, surtout les plannings de dégivrage ; ne rétablir l'accès que par un VPN sécurisé ou un réseau protégé, le filtrage des adresses IP sources du prestataire n'étant accepté qu'en mesure d'urgence ; et appliquer les bonnes pratiques du constructeur, ce qui chez Danfoss signifie le niveau de sécurité réglé sur Strict et les mots de passe par défaut changés.

Si l'équipement est peut-être compromis : supprimer l'exposition, le restaurer par une réinitialisation d'usine, ne rendre l'accès que par un VPN sécurisé, reconfigurer l'unité avant de la remettre en service, puis appliquer les mesures du constructeur. Le CERT-FR dit que les campagnes d'attaque sont probablement encore en cours.

Demandez cette semaine trois choses au prestataire de réfrigération : quels modèles de contrôleur et quelles versions de micrologiciel se trouvent sur chaque site, lesquels ont dépassé leur fin de vie et qui peut les joindre à distance, et d'où.

À lire ensuite: La France exclut OpenAI de sa propre cyberdéfense  |  Les vers d'IA pourraient viser d'abord l'IoT pas cher