Une cyberattaque a modifié les réglages de réfrigération, notamment les cycles de dégivrage, dans des centaines de supermarchés français dans la nuit du 11 au 12 octobre, contraignant des magasins à jeter des denrées fraîches et surgelées. Les autorités françaises en cybersécurité ont élargi une alerte sur des contrôleurs compromis et averti que des attaques pouvaient être encore en cours.
Les enseignes touchées incluent Intermarché, Netto, Coopérative U, Carrefour et Monoprix. Le propriétaire d’un Intermarché a déclaré qu’une chambre froide avait atteint 50 °C avant que les dégâts ne soient découverts tôt lundi. Le directeur général de Coopérative U, Dominique Schelcher, a confirmé des perturbations dans sa chaîne et indiqué que des techniciens travaillaient à rétablir la réfrigération.
Cyberattaque : contrôleurs compromis et recommandations de CERT-FR
CERT-FR, l’équipe nationale de réponse aux incidents informatiques, a signalé de nombreux compromis de contrôleurs de réfrigération dans une alerte publiée le 12 octobre. Le 13 octobre, CERT-FR a étendu son alerte au-delà des équipements Danfoss AK-SM et AK-SC pour inclure des contrôleurs Copeland et Dixell XWEB. L’alerte a mis l’accent sur des interfaces de gestion exposées et a recommandé de supprimer tout accès direct depuis Internet, de vérifier les réglages — y compris les horaires de dégivrage — et d’installer les mises à jour de firmware disponibles.
Pour les équipements compromis, CERT-FR a préconisé une réinitialisation d’usine, un rétablissement des accès uniquement via un VPN sécurisé ou un réseau protégé, et une reconfiguration complète. L’agence a toutefois averti qu’une simple réinitialisation ne suffirait pas à sécuriser des appareils non pris en charge et exposés en ligne. L’alerte ne précise pas quels contrôles les équipements compromis exécutaient avant d’appliquer les commandes malveillantes.
Incidents signalés, fabricants et enquêtes
Selon des rapports, du personnel d’un supermarché équipé par Dixell près de Bordeaux est intervenu avant la perte des denrées, tandis qu’un E.Leclerc à Lescure-d’Albigeois, également équipé par Dixell, a dû jeter des produits réfrigérés, a déclaré son directeur.
Danfoss, fabricant danois d’équipements de réfrigération, avait documenté des attaques antérieures impliquant ses systèmes. Dans un bulletin technique d’octobre 2025, l’entreprise indiquait que le modèle AK‑SM 800 était en fin de vie depuis 2021 et décrivait des incidents dans des magasins en Russie et en Israël en 2022. Après l’attaque en France, Danfoss a déclaré à une publication spécialisée qu’une majorité des unités Danfoss affectées étaient des modèles anciens ou des produits supportés fonctionnant avec des firmwares obsolètes, et qu’elle aidait ses clients à mettre à jour les équipements et à restreindre l’accès direct depuis Internet. Les enquêteurs n’ont pas établi publiquement la voie précise utilisée pour compromettre les contrôleurs.
Thomas Plank, directeur général de Tributech, un spécialiste de la sécurité des technologies opérationnelles, a souligné que les contrôleurs doivent vérifier qu’une commande distante provient d’une source autorisée et n’a pas été altérée, et que même une instruction authentique doit être contrôlée pour s’assurer qu’elle reste dans les limites de fonctionnement de l’équipement. Il a estimé que des cycles de dégivrage anormalement prolongés devraient être rejetés ou nécessiter une approbation supplémentaire.
Le parquet de Paris a ouvert une enquête. Aucune organisation n’avait revendiqué publiquement la responsabilité de l’attaque au 13 octobre, selon un reportage, et les enquêteurs n’avaient pas établi si les différents contrôleurs avaient été compromis via la même vulnérabilité.
