Une cyberattaque coupe le froid des frigos dans des centaines de supermarchés : Intermarché, U, Leclerc et d’autres enseignes touchés
Date 12-10-2026 15:09:50 | Sujet : Cyber-Sécurité
| Dans la nuit du 11 au 12 octobre 2026, des pirates ont pris le contrôle à distance de régulateurs frigorifiques Danfoss installés dans des centaines de supermarchés français comme Intermarché, Coopérative U ou E.Leclerc. En imposant un dégivrage continu poussé à 50 °C, ils ont détruit des tonnes de marchandises fraîches et surgelées, causant des millions d’euros de dégâts. Pourtant, ce sabotage ne reposait pas sur une faille inédite : le correctif existait depuis cet été. Retour sur un fiasco industriel où l’absence de mises à jour s’est payée cash.
L’attaque confirmée et d’une ampleur inédite
Tout a commencé au petit matin du 12 octobre, quand le président de Coopérative U, Dominique Schelcher, a pris la parole sur X pour alerter sur la situation. « Une cyberattaque touche depuis cette nuit les installations de production de froid de plusieurs magasins de notre réseau », a-t-il expliqué en dénonçant un acte d’une « extrême gravité ». Sur le moment, la déclaration a surpris beaucoup de monde. On a l’habitude d’entendre parler de demandes de rançon qui bloquent des serveurs ou d’emails volés, mais beaucoup moins de chambres froides qui surchauffent mystérieusement pendant la nuit.
D’après les retours compilés auprès des enseignes et relayés par plusieurs médias, l’impact touche un périmètre considérable. Intermarché et Netto décomptent jusqu’à 300 points de vente affectés, tandis que Coopérative U en signale une centaine. Dans les allées des supermarchés au petit matin, le constat était rude pour les équipes : des bacs entiers de glaces, de légumes surgelés, de plats cuisinés ou de viandes entièrement perdus. À Haguenau, par exemple, la facture grimpait déjà à 270 000 euros pour seulement deux établissements touchés. À l’échelle nationale, l’addition va très vite dépasser plusieurs millions d’euros, sans compter les pertes d’exploitation liées aux rayons vidés en début de semaine.
Le mode opératoire montre que les attaquants savaient exactement où frapper pour provoquer le plus de dégâts possibles. Plutôt que de simplement couper l’électricité ou d’éteindre les compresseurs, ce qui aurait pu déclencher des alertes basiques de perte de tension, ils ont détourné une fonction parfaitement normale du matériel : le cycle de dégivrage automatique. D’ordinaire, cette procédure tourne brièvement pour éliminer la glace qui s’accumule sur les serpentins. Là, les cybercriminels ont réglé le système pour qu’il chauffe en continu en envoyant une consigne à 50 °C. Résultat, les congélateurs se sont changés en véritables fours pendant des heures. Au réveil, certains bacs affichaient encore plus de 26 °C.
Une faille connue et corrigée depuis des mois
Ce qui agace le plus dans cette affaire, c’est que l’attaque n’a pas nécessité de découvertes techniques révolutionnaires de la part des pirates. On ne parle pas ici d’une vulnérabilité « zero-day », c’est-à-dire une faille secrète contre laquelle personne ne pouvait se protéger. En réalité, le problème ciblait spécifiquement des régulateurs Danfoss fonctionnant avec des versions logicielles antérieures à la version 4. Et le constructeur avait déjà publié ce qu’il fallait pour colmater le trou d’air.
Durant l’été 2026, l’entreprise de cybersécurité Claroty, via son équipe de recherche Team82, avait travaillé en étroite collaboration avec la marque pour analyser ces boîtiers intelligents. Leurs conclusions avaient donné lieu à la sortie d’un correctif officiel, le firmware R4.3.1. Danfoss avait d’ailleurs accompagné cette sortie de consignes très claires : installer la mise à jour sans tarder et surtout, couper tous les accès directs depuis l’Internet public.
Ce constat met en lumière un décalage flagrant dans la gestion des équipements informatiques industriels. La mise à jour était disponible, la communication avait été faite du côté de l’équipementier, mais sur le terrain, le message ne s’est pas concrétisé. Dans les supermarchés touchés lors de cette fameuse nuit d’octobre, les boîtiers tournaient toujours sur des versions périmées. Les pirates n’ont eu qu’à exploiter une porte laissée déverrouillée alors que les clés de la sécurité avaient été fournies deux mois plus tôt.
Comment les attaquants ont probablement contourné la sécurité
Pour comprendre comment une telle action a pu être orchestrée à distance sur autant de sites simultanément, il faut regarder d’un peu plus près la façon dont ces équipements sont installés dans les magasins. La gamme AK-SM 800A de Danfoss permet aux techniciens frigoristes de surveiller les températures et de régler les paramètres sans devoir traverser toute la France pour chaque petite anomalie. Le problème, c’est que pour se simplifier la vie, ces interfaces de gestion web sont souvent directement branchées sur le réseau Internet global, sans passer par un tunnel sécurisé.
En effectuant de simples analyses sur des moteurs de recherche spécialisés comme Censys ou Shodan, les chercheurs de Claroty avaient comptabilisé plus de 2 760 boîtiers Danfoss directement visibles en ligne. Pour un attaquant, pas besoin d’infecter le poste de travail du directeur du magasin ou d’envoyer un mail d’hameçonnage à l’accueil. Il lui suffisait de scanner le Web, de repérer ces adresses publiques et d’arriver sur la page de connexion du régulateur.
Une fois devant la porte d’entrée, les pirates ont tiré parti de failles documentées dans les anciennes versions. L’une des plus flagrantes repose sur le mécanisme dit du « code-of-the-day » (référencé CVE-2025-41450). Ce système générait un passe-partout quotidien basé simplement sur la date du jour, ce qui permettait de contourner l’authentification classique. Associé à d’autres failles d’injection de commandes que l'on voyait déjà sur des versions antérieures, l’accès administrateur devenait un jeu d’enfant. Une fois connecté avec tous les privilèges, le pirate avait exactement la même interface qu’un technicien et pouvait modifier les valeurs de consigne pour forcer la montée en température. Même si l’enquête officielle doit encore confirmer les détails précis du mode opératoire, ces vulnérabilités bien connues offrent une explication toute trouvée.
Quels risques pour les autres magasins ?
La fin de cette vague d’attaques ne signifie pas que le danger est écarté pour l’ensemble des réseaux de distribution. Danfoss est un géant du secteur et ses équipements équipent une part considérable des supermarchés en France comme ailleurs en Europe. Tous les établissements qui tournent encore avec un firmware antérieur à la version 4 et dont la console de gestion donne sur le Web restent des cibles faciles.
Le périmètre ne se limite d’ailleurs pas aux seules grandes surfaces alimentaires déjà mentionnées. Les enseignes comme Metro, la grande distribution spécialisée, les commerces de gros, mais également les boucheries artisanales ou les magasins de proximité équipés d’une centrale du même type encourent exactement les mêmes ennuis. Si un boîtier est accessible sans protection, la manipulation reste identique.
Ce type d’action peut d’ailleurs avoir des répercussions encore plus pernicieuses. Un pirate qui prend la main sur ces passerelles peut modifier les seuils de déclenchement des alarmes pour qu’aucun appel ne soit passé au frigoriste de garde, laissant les chambres froides monter doucement en température pendant tout un week-end. Les attaquants ayant désormais constaté l’efficacité de cette méthode et le retentissement médiatique qu’elle génère, il est fort probable que d’autres balayages du réseau soient actuellement en cours pour repérer les cibles restantes.
Enseignements et actions prioritaires
Cet incident est un cas d’école de ce qu’on observe trop souvent dans la cybersécurité des systèmes industriels et des technologies opérationnelles (OT). On combine du matériel prévu pour durer dix ou quinze ans avec des accès à distance rapides, mais sans toujours appliquer la discipline élémentaire qu’exige un réseau connecté. Le fait qu’un correctif existe ne sert à rien si personne ne prend le temps de planifier son installation sur le terrain.
La priorité absolue pour l’ensemble des exploitants, des franchisés et des entreprises de maintenance frigorifique se résume à trois démarches urgentes :
- Appliquer immédiatement la mise à jour vers le firmware R4.3.1 (ou toute version plus récente) ainsi que le paquet Danux associé sur tous les contrôleurs de la gamme.
- Couper sans attendre l’accès direct aux interfaces web depuis l’Internet ouvert. L’administration à distance doit impérativement passer par un réseau privé virtuel (VPN) ou un réseau d’administration cloisonné.
- Revoir la politique de mots de passe, désactiver les accès par défaut et mettre en place une surveillance sur les consignes de température pour réagir dès le moindre changement suspect.
En attendant les conclusions finales de l’enquête judiciaire, cette attaque rappelle brutalement que la sécurité de notre chaîne alimentaire ne dépend pas seulement de camions frigorifiques ou de contrôles sanitaires. Elle repose aussi sur la rigueur avec laquelle nous mettons à jour de petits boîtiers d’automatisation accrochés au mur d’un local technique.
|
|