Dans la nuit du 11 au 12 octobre 2026, des congélateurs de supermarchés français se sont mis à chauffer au lieu de refroidir. Aucune donnée volée cette fois : des rayons entiers de produits frais à jeter. Derrière cette attaque, des équipements techniques connectés, souvent oubliés dans la sécurité informatique.
Ce qui s’est passé
Au petit matin du lundi 12 octobre, des équipes de magasins ont découvert des meubles réfrigérés et des congélateurs à des températures positives. Plusieurs enseignes ont confirmé une cyberattaque visant leurs installations de froid. Intermarché indique que l’attaque toucherait un prestataire qui gère les systèmes de réfrigération de ses magasins. Le président de Coopérative U a confirmé l’incident et l’a jugé « d’une extrême gravité » (BleepingComputer, 12 octobre 2026).
L’ampleur exacte reste à préciser : 150 à 200 magasins Intermarché selon l’enseigne, moins d’une centaine de magasins U, et entre 250 et 350 magasins au total selon la presse française (IT-Connect, 12 octobre 2026). D’autres enseignes sont citées. Le parquet de Paris a ouvert une enquête. Pour un magasin de Haguenau, les pertes dépasseraient 200 000 euros, selon Cyberattaque.org.
Comment l’attaque a fonctionné
Dans un supermarché, les meubles froids sont pilotés par un petit ordinateur appelé régulateur. Il maintient la bonne température et programme le dégivrage : une courte phase où l’équipement chauffe pour faire fondre le givre. Ces régulateurs sont souvent reliés à un superviseur, accessible à distance pour que le frigoriste puisse intervenir sans se déplacer.
Selon les premiers éléments, les attaquants auraient pris la main sur ces systèmes, fournis par le fabricant danois Danfoss, et lancé un dégivrage en continu avec une consigne pouvant atteindre 50 °C. L’attaque a eu lieu de nuit, quand personne n’était là pour réagir. Les systèmes visés seraient des versions anciennes du logiciel de régulation, selon BFMTV cité par IT-Connect.
Ce risque était connu. Des failles permettant de contourner le mot de passe de certains superviseurs Danfoss avaient été signalées et corrigées, puis détaillées par des chercheurs en août 2026. Ces chercheurs avaient aussi repéré des milliers d’interfaces de pilotage accessibles directement depuis Internet. Le 12 octobre, un chercheur français en comptait encore plus de 2 700, dont près de 1 600 en France.
Ce qu’on ne sait pas encore
- La porte d’entrée. Interfaces laissées ouvertes sur Internet, faille non corrigée, identifiants de maintenance volés, accès d’un prestataire détourné : aucune piste n’est confirmée à ce stade.
- Le rôle exact du prestataire évoqué par Intermarché, et le fait que Danfoss lui-même ait été piraté ou non. Rien ne l’indique pour l’instant.
- Les auteurs et leur motivation. Aucune revendication n’a été trouvée.
Ce que ça change pour une PME
Vous n’avez pas de chambre froide ? Vous avez sans doute un chauffage piloté à distance, une alarme, des caméras, un contrôle d’accès ou une machine de production connectée. Ces équipements sont souvent installés par un prestataire, rarement mis à jour, et peuvent causer des dégâts bien réels.
- Faites la liste de vos équipements techniques connectés : qui les a installés, qui y accède à distance, et avec quelle version du logiciel.
- Ne laissez aucune interface de pilotage ouverte sur Internet. Demandez à votre prestataire de passer par un accès sécurisé (VPN, accès de maintenance ouvert seulement quand il intervient).
- Inscrivez la sécurité dans le contrat de maintenance : mises à jour régulières, mot de passe unique et robuste, double authentification pour l’accès distant, remplacement des équipements en fin de vie.
- Prévoyez une alerte indépendante (sonde de température, alarme sur un autre circuit) qui prévient quelqu’un la nuit en cas de dérive.
Le regard de l’auditeur
Quatre questions à vous poser, ou à poser à votre prestataire. Elles s’inspirent de ce que vérifie un auditeur ISO 27001 :
- Avons-nous la liste de nos équipements techniques connectés, avec leur version et leur date de fin de support ?
- Quels prestataires y accèdent à distance, par quel moyen, et que leur impose le contrat (mises à jour, double authentification, délai pour nous signaler un incident) ?
- Pouvons-nous prouver qu’aucune interface de pilotage n’est visible depuis Internet, par exemple avec un test récent fait depuis l’extérieur ?
- Qui est prévenu, et comment, si une température dérive ou si une consigne change en pleine nuit ?
Pour les pros : notre analyse technique (mode opératoire, MITRE ATT&CK, questions d’audit ISO 27001).
Dossiers : Équipements exposés et correctifs · Fournisseurs et sous-traitants
Cet article prolonge notre bulletin de veille du 13 octobre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.