Dans la nuit du 11 au 12 octobre 2026, des régulateurs de froid Danfoss ont été manipulés à distance dans des centaines de supermarchés français. Cette analyse s’adresse aux auditeurs, RSSI et responsables sécurité : mode opératoire connu, correspondance avec MITRE ATT&CK for ICS, raisons d’une détection tardive, questions d’audit ISO 27001 et pistes de sensibilisation. L’enquête démarre : beaucoup d’éléments techniques restent non confirmés, et nous le signalons à chaque fois.
Pour une lecture orientée dirigeant, voir notre décryptage « Supermarchés : quand des pirates prennent la main sur les frigos ».
Contexte
- Victimes confirmées : des magasins Intermarché et Netto (porte-parole d’Intermarché) et Coopérative U (son président). Leclerc est cité par le commissaire européen à l’agriculture, Christophe Hansen. D’autres enseignes sont citées par la presse sans confirmation de leur part (BleepingComputer, 12 octobre 2026).
- Secteur : commerce alimentaire, installations de froid commercial.
- Date : nuit du dimanche 11 au lundi 12 octobre 2026 (IT-Connect, 12 octobre 2026).
- Type : sabotage d’équipements connectés (OT), sans vol de données connu à ce stade.
- Ampleur : 250 à 350 magasins selon la presse française ; 150 à 200 Intermarché selon l’enseigne (AFP) ; moins d’une centaine de magasins U. Selon Cyberattaque.org, les pertes atteignent plusieurs dizaines de milliers d’euros pour un magasin et plus de 200 000 euros pour un autre, à Haguenau.
- Suites : enquête du parquet de Paris (AFP, citée par BleepingComputer), qui mentionne aussi des départs de feu signalés. Réunion de crise le lundi matin entre Danfoss et des frigoristes (Cyberattaque.org).
- Attaquant : non identifié. Aucune revendication trouvée.
Mode opératoire : ce qui est documenté et ce qui ne l’est pas
| Étape | Ce qui est rapporté | Correspondance MITRE ATT&CK for ICS (notre lecture) |
|---|---|---|
| Cible | Régulateurs et superviseurs de froid Danfoss, versions antérieures à la v4 (BFMTV, cité par IT-Connect). Intermarché évoque un prestataire de gestion du froid touché. | – |
| Accès initial | Non confirmé. Pistes évoquées par Cyberattaque.org : interfaces exposées sur Internet, faille connue, identifiants de maintenance volés, accès à distance d’un frigoriste. | Selon le cas : T0883 Internet Accessible Device, T0866 Exploitation of Remote Services, T0859 Valid Accounts, T0822 External Remote Services |
| Action | Dégivrage déclenché en continu, consigne jusqu’à 50 °C, maintenu plusieurs heures (IT-Connect, Cyberattaque.org). | T0836 Modify Parameter, T0855 Unauthorized Command Message, T0831 Manipulation of Control |
| Impact | Rupture de la chaîne du froid, produits détruits, possibles départs de feu (parquet). | T0879 Damage to Property, T0828 Loss of Productivity and Revenue |
La colonne MITRE est une lecture de notre part, à partir des éléments publiés. Elle sera à revoir quand le vecteur d’entrée sera connu.
Faits techniques connus, sans lien établi avec l’attaque
- CVE-2025-41450 : contournement de l’authentification sur les superviseurs Danfoss AK-SM 8xxA avant la version 4.2. CVE-2025-41451 : injection de commandes après authentification. Les deux sont corrigées dans le firmware R4.3.1 et ont été détaillées par l’équipe de recherche Team82 de Claroty en août 2026 (IT-Connect ; Claroty).
- Exposition : 2 765 contrôleurs AK-SM 800A visibles sur Internet selon Claroty ; 2 752 systèmes Danfoss exposés, dont 1 590 en France, selon le chercheur Baptiste Robert (Predicta Lab) le 12 octobre (BleepingComputer).
- Antécédents : une note technique de Danfoss, citée par Cyberattaque.org, mentionne des attaques en 2022 contre 16 supermarchés en Russie et 40 magasins en Israël. Elles visaient l’ancien AK-SM 800 (en fin de vie depuis 2021), installé sans pare-feu ni VPN suffisant.
Ce qu’on ne sait pas
Le vecteur d’entrée réel, le rôle exact du prestataire évoqué par Intermarché, l’usage ou non d’une des failles citées ci-dessus, l’identité et la motivation des attaquants, une éventuelle falsification des températures affichées. Nous ne spéculons pas sur ces points.
Détection : pourquoi personne n’a rien vu avant le matin
La détection a été physique et tardive : ce sont les équipes de magasin qui ont découvert les meubles chauds au petit matin (IT-Connect). L’attaque, lancée de nuit, a profité de l’absence de personnel.
Plusieurs raisons peuvent l’expliquer (analyse de notre part) :
- Un angle mort de la supervision. Les systèmes de froid sont gérés par des prestataires, hors du périmètre surveillé par la DSI. Un changement de consigne n’est pas traité comme un événement de sécurité.
- Une alarme qui dépend du système attaqué. Quand elles existent, les alarmes de température passent par le superviseur qui a été manipulé. Claroty avait montré qu’un contrôleur compromis peut couper le froid tout en falsifiant l’affichage. Ce point n’est pas confirmé dans ce cas.
- Une fonction normale détournée. Le dégivrage fait partie du fonctionnement courant : même anormalement long, il ne ressemble pas d’emblée à une attaque.
Questions d’audit ISO 27001:2022
- A.5.9 et A.8.1 (inventaire des actifs, terminaux) : « Montrez-moi l’inventaire des équipements techniques connectés (froid, CVC, GTB, contrôle d’accès, vidéo). Pour chacun : version du logiciel, date de fin de support, propriétaire interne. »
- A.5.19 à A.5.22 (relations avec les fournisseurs) : « Quels prestataires de maintenance accèdent à distance à ces équipements ? Par quel moyen (VPN, outil de télémaintenance, interface ouverte) ? Les contrats imposent-ils la mise à jour des firmwares, l’authentification multifacteur et le signalement des incidents dans un délai fixé ? »
- A.8.20 et A.8.22 (sécurité et cloisonnement des réseaux) : « Ces équipements sont-ils sur un réseau séparé ? Pouvez-vous prouver qu’aucune interface d’administration n’est joignable depuis Internet, par exemple avec le résultat d’un scan externe récent ? »
- A.8.16 et A.5.30 (surveillance, continuité) : « Une alerte indépendante du superviseur prévient-elle quelqu’un, la nuit, en cas de dérive de température ou de changement de consigne ? Existe-t-il une procédure de passage en mode manuel ? »
Pistes de sensibilisation
- Atelier « Ce qui est branché chez vous » : faire lister aux responsables de site et aux services généraux tous les équipements qui ont une adresse réseau ou une application de pilotage. Montrer que chacun peut devenir une porte d’entrée.
- Cas pratique pour les acheteurs : à partir de cette attaque, rédiger ensemble cinq clauses minimales de sécurité pour un contrat de maintenance d’équipement connecté (mises à jour, accès distant, journalisation, alerte, fin de vie).
À lire aussi : notre décryptage pour les dirigeants, « Supermarchés : quand des pirates prennent la main sur les frigos », et le bulletin de veille du 13 octobre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.