Frigos de supermarchés piratés : ce que l'attaque d'octobre 2026 apprend à toute entreprise

Dans la nuit du dimanche 11 au lundi 12 octobre 2026, les rayons frais de nombreux supermarchés français ont commencé à chauffer. Personne n'avait touché aux frigos : des pirates ont pris la main, à distance, sur les boîtiers qui les pilotent. Les magasins ont dû jeter des produits, parfois pour des dizaines de milliers d'euros. Aucune donnée n'a été volée.

L'attaque n'a pas été revendiquée, et le parquet de Paris a ouvert une enquête. Elle concerne la grande distribution, mais elle pose une question à toute entreprise qui a un équipement relié à Internet : un frigo, une climatisation, une caméra, un portail.

Ce qui s'est passé, en clair

Un frigo de magasin n'est plus seulement un meuble froid. Un petit boîtier électronique le surveille et le règle, et ce boîtier est relié à Internet : ainsi, le magasin et son frigoriste peuvent suivre les températures sans se déplacer. C'est pratique.

Les pirates ont utilisé cette commande à distance. Ils ont déclenché le dégivrage, la fonction qui réchauffe un frigo pour fondre le givre, et l'ont forcée en continu. Selon ZATAZ, média français spécialisé en cybersécurité, la température demandée pouvait atteindre 50 degrés. Ce chiffre est la valeur annoncée : rien ne prouve que tous les meubles l'ont atteinte. Selon Thierry Cotillard, dirigeant des Mousquetaires (Intermarché), les meubles froids ont bien été portés jusqu'à cette température.

Les décomptes de magasins touchés divergent selon les sources. D'après franceinfo, qui reprend des chiffres des distributeurs, au moins 300 magasins Intermarché et Netto, moins d'une centaine de magasins Coopérative U, 80 Carrefour et une trentaine de Monoprix l'ont été, ainsi que plusieurs Leclerc. Un média spécialisé, BleepingComputer, rapporte 250 à 350 magasins d'après la presse française. Aucun total fiable n'est établi.

Côté pertes, Dominique Schelcher, président de Coopérative U, parle de quelques dizaines de milliers d'euros dans un petit magasin et de 180 000 à 200 000 euros dans un hypermarché (source : franceinfo). Le chiffre de « plusieurs millions d'euros au total » vient d'une source non officielle.

Pourquoi c'était possible

Les sources techniques, que l'on trouve en fin d'article, donnent trois raisons. Voici ce qu'elles veulent dire.

Le boîtier était joignable depuis Internet. Imaginez la porte d'entrée d'un magasin ouverte sur la rue, avec une simple serrure. Le CERT-FR, le centre d'alerte de l'ANSSI (l'agence de l'État pour la sécurité informatique), le rappelle : exposer l'interface de gestion d'un équipement sur Internet va à l'encontre des bonnes pratiques. Un chercheur, Baptiste Robert, de la société Predicta Lab, a recensé le 12 octobre 2 752 appareils Danfoss (le fabricant danois concerné) joignables de cette façon, dont 1 590 en France. Un autre moteur de recensement en comptait plus de 4 500. Les deux chiffres viennent de méthodes différentes et ne s'additionnent pas (source : BleepingComputer).

Les appareils étaient anciens, ou pas mis à jour. Comme un téléphone qui ne reçoit plus de mises à jour de sécurité, certains boîtiers n'étaient plus protégés. Danfoss a indiqué à Cooling Post, la presse spécialisée du froid, que la majorité des unités touchées étaient anciennes ou n'avaient pas leur logiciel interne à jour. Le modèle AK-SM800 est en fin de vie annoncée depuis 2021, et l'AK-SC355 a été retiré en 2016. Aucun des deux ne reçoit plus de correctif.

Des défauts étaient déjà connus. Un défaut de ce type s'appelle une faille : une porte mal verrouillée que quelqu'un a remarquée. Une équipe de chercheurs en sécurité des systèmes industriels, Claroty Team82, a publié le 9 août 2026 une étude sur ces boîtiers. Elle décrit un « code du jour » : un code de secours qui change chaque jour parce qu'il est calculé à partir de la date. Le problème est qu'une fois la règle de calcul découverte, n'importe qui peut fabriquer le code du jour, sans connaître le vrai mot de passe. Les chercheurs ont reconstitué cette règle. Danfoss avait déjà publié un correctif pour le modèle récent en mars 2025, et le cabinet français Synacktiv avait publié un avis sur un défaut d'identification des modèles plus anciens dès mai 2023.

Ce que l'on ignore encore. Aucun document officiel ne dit quelle faille a réellement servi. Le CERT-FR n'en nomme aucune, et BleepingComputer écrit que la méthode d'accès n'est pas connue. Un hacker éthique, Clément Domingo, a évoqué sur RMC un mot de passe correspondant à la date du jour : cela ressemble au « code du jour » décrit par Claroty, mais aucune autorité n'a confirmé le lien.

Cinq questions à poser à votre prestataire

Elles valent pour un frigo, une climatisation, une caméra, un portail, une alarme ou un système de badges.

1. Quels équipements sont reliés à Internet ? Faites-en la liste, y compris ceux qu'un prestataire a installés et que personne ne regarde plus.

2. Lesquels sont joignables depuis Internet ? C'est la porte ouverte sur la rue. Le CERT-FR recommande de supprimer cette exposition, et de ne laisser l'accès qu'au travers d'un VPN (un tunnel sécurisé vers votre réseau) ou d'un réseau protégé. L'agence américaine de cybersécurité, la CISA, ajoute d'isoler ces équipements du reste du réseau de l'entreprise derrière un pare-feu (un filtre qui contrôle ce qui entre et ce qui sort), et rappelle qu'un VPN n'est aussi sûr que les appareils auxquels il donne accès. Vincent Strubel, directeur général de l'ANSSI, juge urgent de les déconnecter d'Internet ou, au minimum, de filtrer très strictement qui peut s'y connecter (source : Public Sénat).

3. Sont-ils à jour, ou en fin de vie ? Demandez la date de la dernière mise à jour et si le fabricant en publie encore. Pour un modèle abandonné, il n'existe pas de correctif : Danfoss recommande de le remplacer par un modèle actuel. Le CERT-FR prévient qu'un appareil ancien, exposé et sans correctif est très probablement piraté de nouveau, même après avoir été remis à zéro.

4. Qui s'y connecte, et avec quels mots de passe ? Changez les mots de passe d'origine, et limitez les accès à distance de vos prestataires à ceux qui en ont besoin. Le CERT-FR recommande aussi d'activer le mode de sécurité renforcé proposé par le constructeur et de vérifier le réglage des plages de dégivrage.

5. Que se passe-t-il si la température monte ? Une sonde avec alarme, indépendante du réseau, reste un garde-fou simple : si la commande à distance est piratée, quelqu'un entend l'alarme sur place. C'est un conseil de bon sens, il ne figure pas dans l'alerte du CERT-FR. Prévoyez aussi qui est prévenu, et quoi sauver en premier. Enfin, relisez votre contrat d'assurance : Intermarché indique, selon franceinfo, que ses assurances ne couvrent pas ce type d'incident, et le CERT-FR invite à le vérifier avant de couper la remontée de données vers un prestataire.

Et la réglementation NIS2 ?

NIS2 est une directive européenne qui impose des règles de cybersécurité aux secteurs jugés importants pour la société (le sigle vient de « Network and Information Security 2 », sécurité des réseaux et de l'information). Selon l'ANSSI, le secteur « production, transformation et distribution de denrées alimentaires » en fait partie. Les entreprises concernées sont dites « importantes » à partir de 50 personnes, ou de 10 millions d'euros de chiffre d'affaires et de bilan.

Le texte de la directive vise les entreprises alimentaires qui font de la distribution en gros, de la production ou de la transformation industrielles. D'après le cabinet Kohen Avocats, un commerce de détail n'est pas automatiquement concerné pour cette seule raison : chaque structure doit examiner son activité réelle, entrepôts et centrales d'achat compris.

La France n'a pas encore fini d'appliquer ce texte. L'ANSSI indique que la transposition, c'est-à-dire l'écriture de la directive dans la loi française, est en cours. Le projet de loi correspondant, adopté par le Sénat en mars 2025, attend son examen à l'Assemblée nationale : celui qui était prévu à partir du 7 octobre 2026 a été retiré de l'ordre du jour le 6 octobre. La Commission européenne a aussi saisi la Cour de justice de l'Union européenne contre la France, le 8 juillet 2026, pour retard. Selon les sources consultées, ces obligations ne s'imposent donc pas encore telles quelles aux entreprises françaises.

Un autre texte européen, le Cyber Resilience Act, adopté en 2024, demande aux fabricants de produits connectés de prévoir la sécurité dès la conception et pendant toute la vie du produit, selon Public Sénat.

Réglementation ou non, l'essentiel ne change pas : un équipement connecté, exposé et jamais mis à jour finit par être trouvé.

Par où commencer cette semaine

Demandez à vos prestataires la liste des équipements connectés de vos locaux, leur exposition à Internet et la date de leur dernière mise à jour. Si quelqu'un ne sait pas répondre, la réponse est déjà un diagnostic.

Pour les techniciens

Les éléments ci-dessous s'adressent à votre prestataire ou à votre informaticien.

• Produits cités par le CERT-FR (alerte CERTFR-2026-ALE-012, publiée le 12 octobre 2026 et mise à jour le 13) : Danfoss séries AK-SC et AK-SM, Copeland xweb, Dixell xweb. L'alerte ne mentionne aucun identifiant de vulnérabilité.
• Avis du constructeur DSA-2025-03-01 (24 mars 2025) : CVE-2025-41450, contournement d'authentification, noté 8,2 sur 10 (score CVSS), sur la série AK-SM 8xxA avant la version R4.2. Les chercheurs de Claroty Team82 sont crédités.
• Avis de la CISA ICSA-25-140-03 (20 mai 2025, mis à jour le 26 août
  2025. : ajoute CVE-2025-41451 (injection de commandes après authentification) et CVE-2025-41452, corrigées dans la version 4.3.1. La CISA ne signalait alors aucune exploitation publique et jugeait la complexité de l'attaque élevée.
• Étude Claroty Team82 (9 août 2026) : une fonction nommée check_code_of_day produit un mot de passe à partir de la date de l'appareil. Claroty comptait 2 765 appareils AK-SM 800A exposés, d'après un scan Censys.
• Avis Synacktiv du 22 mai 2023 : contournement d'authentification sur les modèles SM800 et SC255. Kevin Tellier, de Synacktiv, a expliqué à Public Sénat avoir repéré en 2023, lors d'un audit chez une enseigne, une faille d'authentification et l'avoir signalée à Danfoss.
• Mesures du CERT-FR : supprimer l'exposition à Internet, vérifier la configuration (notamment les plages de dégivrage), n'autoriser l'accès qu'au travers d'un VPN, mettre le micrologiciel à jour, activer le mode de sécurité strict, changer les mots de passe par défaut. Si l'équipement est compromis : remise à zéro d'usine, puis les mêmes mesures avant la remise en service.

Sources

Sources techniques et officielles

• Alerte du CERT-FR, produits concernés et mesures : CERTFR-2026-ALE-012, publiée le 12 octobre 2026, mise à jour le 13.
• Avis du constructeur, contournement d'authentification CVE-2025-41450 : Danfoss DSA-2025-03-01, 24 mars 2025.
• Avis de l'agence américaine, trois CVE de la série AK-SM 8xxA : CISA ICSA-25-140-03, 20 mai 2025, mis à jour le 26 août 2025.
• Recherche sur le code du jour et le nombre d'appareils exposés : Claroty Team82, « Freeze the Controller, Defrost the Food », 9 août 2026.
• Avis sur les modèles plus anciens : Synacktiv, avis de sécurité Danfoss SM800 et SC255, 22 mai 2023. Le fichier PDF détaillé n'a pas pu être relu ici : seuls le titre et la date de la liste sont cités.
• NIS2, secteurs et seuils : ANSSI, page NIS2.

Presse spécialisée

• Déclaration de Danfoss, modèles en fin de vie, mesures pour les exploitants : Cooling Post, 12 octobre 2026.
• Exposition sur Internet (Predicta Lab, recensement Shodan) et méthode d'accès non connue : BleepingComputer.
• Détournement de la fonction de dégivrage : ZATAZ.
• Compilation des décomptes de magasins et propos de Clément Domingo : ComplexDiscovery.

Presse généraliste

• Chiffres des enseignes, pertes, déclarations de dirigeants : franceinfo, 13 octobre 2026.
• Déclarations de Synacktiv, de l'ANSSI et du Cyber Resilience Act : Public Sénat.

NIS2 et transposition

• Formulation de l'annexe II rapportée, et commerce de détail : Kohen Avocats.
• Calendrier parlementaire : AOCSI, suivi de la loi Résilience et IT-Connect, saisine de la Cour de justice.

Les faits relevés sont ceux des 12 au 14 octobre 2026 : l'enquête est en cours et les chiffres peuvent évoluer. Le texte de la directive n'a pas été consulté sur EUR-Lex : sa formulation est rapportée d'après les sources ci-dessus.