Cyberattaque des supermarchés : ce que révèle le piratage des frigos

Dans la nuit du 11 au 12 octobre 2026, une cyberattaque a visé les supermarchés français par un chemin inattendu : les régulateurs qui pilotent leurs frigos et congélateurs. Des attaquants ont pris ces équipements en main à distance, forcé des dégivrages et modifié les consignes de température. Pas de rançon ni de données volées, mais des tonnes de produits jetés. L'attaque rappelle qu'un équipement oublié, joignable depuis Internet, peut causer des dégâts bien réels.

Selon Public Sénat, environ 300 magasins Intermarché et Netto, 80 Carrefour, une trentaine de Monoprix, des magasins U et plusieurs E.Leclerc ont été touchés dès la première nuit. Le président des Mousquetaires a indiqué que les attaquants avaient déclenché des dégivrages à distance et poussé certains équipements « jusqu'à 50 degrés ». Celui de Coopérative U a estimé les pertes à quelques dizaines de milliers d'euros pour un petit magasin, et jusqu'à 180 000 ou 200 000 euros pour un hypermarché.

Le CERT-FR, centre d'alerte de l'ANSSI, a publié le 12 octobre une alerte, complétée dès le lendemain par de nouveaux équipements visés, en prévenant que des campagnes d'attaques étaient « probablement toujours en cours ». La section cybercriminalité du parquet de Paris a ouvert une enquête. À la date de cet article, l'attaque n'a pas été revendiquée et la porte d'entrée exacte n'a pas été rendue publique.

Dans un supermarché, chaque meuble froid est piloté par un régulateur, et un contrôleur central permet aux frigoristes de surveiller et de régler l'installation à distance. L'alerte du CERT-FR cite les séries Danfoss AK-SM et AK-SC, puis Copeland xweb et Dixell xweb. Leur point commun : une interface de gestion accessible depuis Internet. Le CERT-FR le dit sans détour : « l'exposition d'une interface de gestion sur Internet est contraire aux bonnes pratiques ».

Danfoss a indiqué, selon Cooling Post, que la plupart des unités touchées étaient des modèles anciens : l'AK-SM 800, en fin de vie depuis 2021, et l'AK-SC 355, retiré en 2016, qui ne reçoivent plus de correctifs. D'autres étaient des AK-SM 800A, le modèle actuel, avec un micrologiciel pas à jour. Un cabinet d'audit cité par Public Sénat avait par ailleurs relevé dès 2023, chez un distributeur, une faille permettant de contourner l'identification, et l'avait signalée au fabricant.

Autrement dit, l'attaque n'a sans doute pas demandé de moyens exceptionnels : elle a profité d'équipements installés pour la commodité de la maintenance, puis oubliés.

L'alerte CERTFR-2026-ALE-012 distingue deux situations.

Si l'équipement n'est pas compromis

• supprimer toute exposition à Internet, en vérifiant au préalable le contrat d'assurance avant de couper la remontée des données vers le frigoriste ;
• vérifier toute la configuration, en particulier les plannings de dégivrage ;
• n'autoriser l'accès qu'au travers d'un VPN ou d'un réseau protégé ; filtrer les adresses des frigoristes sur un pare-feu n'est qu'une mesure d'urgence ;
• appliquer les recommandations du constructeur : mises à jour du micrologiciel, niveau de sécurité strict et changement des mots de passe par défaut.

Si l'équipement est compromis

• supprimer l'exposition à Internet, puis remettre l'équipement aux paramètres d'usine ;
• le reconfigurer entièrement avant la remise en service, avec un accès par VPN et les recommandations du constructeur.

Le CERT-FR prévient qu'une remise à zéro seule ne suffit pas : elle supprime la présence de l'attaquant mais laisse l'équipement vulnérable. Pour les accès distants des installations industrielles, son guide CERTFR-2025-DUR-003 rappelle les mêmes principes : filtrage des adresses, VPN, mots de passe forts et authentification multifacteur, correctifs appliqués sans tarder.