CISA et le FBI alertent sur les attaques contre les contrôleurs de réfrigération, vecteurs d’incendies et de pertes de stock

5 novembre 2026. La CISA, le FBI, le HHS, l’USDA et le DOT publient une fiche conjointe alertant sur des acteurs malveillants qui ciblent les systèmes de réfrigération industrielle et de surveillance de la chaîne du froid dans le monde entier. 50 °C. C’est la température jusqu’à laquelle des attaquants ont poussé les chambres froides de centaines de supermarchés européens ces dernières semaines. 708. C’est le nombre d’instances Danfoss StoreView encore exposées sur Internet au 5 novembre, contre 3 004 un mois plus tôt. Pourquoi c’est important : la chaîne du froid est devenue une surface d’attaque capable de provoquer des incendies et des pertes de stock, et elle se compte en milliers de contrôleurs branchés directement sur Internet.

Un objectif qui va au-delà du vol de données

Le constat des agences est sans ambiguïté. Les attaquants exploitent des contournements d’authentification, des injections de code arbitraire et des configurations faibles pour prendre la main sur des contrôleurs électroniques de température et des contrôleurs de réfrigération commerciale dans les installations de vente au détail et d’entreposage frigorifique. Le but n’est pas d’exfiltrer des données, mais de modifier à distance les réglages pour forcer les unités dans des cycles continus de chauffage et de dégivrage.

Les effets documentés sont de trois ordres. Une modification de la température peut réduire la durée de vie du système, créer un risque d’incendie, causer des pertes de stock, ou nuire aux consommateurs qui achètent des produits stockés dans de mauvaises conditions. Une perte de visibilité sur les températures, par déni de service, prive l’exploitant du seul signal d’alarme qui lui permettait de réagir à temps.

Brett Leatherman, directeur de la branche cyber du FBI, le formule sans détour : ces systèmes « protègent la nourriture, les médicaments et d’autres produits sensibles à la température, ce qui en fait des cibles attrayantes pour les acteurs malveillants ». Et il ajoute : « nous voyons ces systèmes ciblés dans tous les secteurs d’infrastructures critiques, ce qui met les stocks et les équipements en danger. »

Une vague européenne qui a déjà frappé la santé française

L’alerte fédérale est la partie visible d’une campagne bien réelle. Ces dernières semaines, des acteurs ont ciblé des centaines de supermarchés en Europe en exploitant les faiblesses de contrôleurs de réfrigération accessibles sur Internet, élevant les températures jusqu’à 50 °C (122 °F) ou forçant les unités de refroidissement en mode dégivrage. Résultat : des aliments avariés et des pertes financières, dans treize pays — de la Belgique à l’Estonie, en passant par la Finlande, la France, l’Allemagne, l’Irlande, l’Italie, le Luxembourg, les Pays-Bas, le Portugal, la Suède et le Royaume-Uni.

Parmi les victimes figure l’Établissement français du sang (EFS). L’établissement a confirmé qu’un incident de cybersécurité touchant un fournisseur d’équipements de réfrigération avait fait monter les réglages de température et de dégivrage à des « niveaux extrêmement élevés » dans trois sites de stockage de plasma sanguin. L’identité du ou des groupes à l’origine de cette vague n’est pas établie.

Ce cas change la gravité de l’équation. Détruire du yaourt est coûteux ; altérer du plasma sanguin est une atteinte à la santé publique. La chaîne du froid n’est pas un simple actif logistique — c’est un maillon de sécurité sanitaire que la numérisation a rendu pilotable, et donc attaquable, à distance.

Une exposition qui se compte en milliers de contrôleurs

Les données de Censys donnent l’échelle du problème. Au 5 novembre 2026, il restait des centaines d’instances Danfoss StoreView exposées dans le monde, majoritairement en France, même si leur nombre a chuté de 3 004 à 708 entre le 9 octobre et le 5 novembre. L’exposition des Copeland/Dixell XWEB a suivi la même pente, de 3 708 à 2 420.

La plateforme de gestion de surface d’attaque replace cette vague dans une série plus large d’incidents récents visant les infrastructures critiques : jauges de réservoirs de carburant, systèmes d’alerte aérienne, châteaux d’eau. Et elle livre un chiffre structurel : l’Amérique du Nord représente environ 38 % de l’exposition mondiale des systèmes de contrôle industriels (ICS). La part de l’Asie est passée de 22 % en 2024 à 25 % en 2026, celle de l’Europe de 36,5 % à 32 % — des bascules qui n’ont produit aucun déclin global. « L’exposition ICS est un problème signalé et alerté depuis des années », conclut Censys : elle demeure un risque critique pour le public.

Une convergence IT/OT qui change la nature du risque

L’alerte fédérale est d’abord un signal sur la convergence IT/OT. Pendant des décennies, les systèmes de contrôle industriels ont vécu dans des réseaux physiquement isolés, protégés par leur obscurité. La numérisation de la chaîne du froid — capteurs connectés, télémétrie, supervision à distance — a aboli cet isolement sans toujours le remplacer par un périmètre. Résultat : un contrôleur de réfrigération conçu pour une armoire technique se retrouve joignable depuis Internet, avec des identifiants par défaut et un firmware jamais mis à jour.

Les chiffres de Censys montrent que la prise de conscience est réelle mais insuffisante. La baisse des instances Danfoss StoreView de 3 004 à 708 en un mois prouve que des exploitants ont réagi — probablement en fermant l’exposition à la suite des incidents européens. Mais 708 instances encore exposées, c’est toujours 708 points d’entrée vers des équipements capables de chauffer jusqu’à l’incendie. Et le glissement des parts régionales — l’Asie qui grimpe, l’Europe qui descend — suggère que le problème migre plus qu’il ne disparaît.

La recommandation des agences mérite d’être lue comme une stratégie de défense en profondeur, pas comme une liste à cocher. L’authentification forte et les mots de passe par défaut répondent au vecteur le plus courant. L’identification des systèmes accessibles depuis Internet répond au vecteur le plus oublié — l’exposition involontaire d’un port de supervision laissé ouvert par un intégrateur. Et la mise hors service des équipements en fin de vie répond au risque le plus sournois : un contrôleur que plus personne ne corrige, mais que plus personne n’a débranché.

Verdict

Si vous exploitez un entrepôt frigorifique, un magasin ou un site de santé doté de contrôleurs de température, traitez cette fiche CISA comme un ordre de marche, pas comme une information. Commencez par identifier tous les systèmes accessibles depuis Internet — l’exposition des Danfoss StoreView et des Copeland/Dixell XWEB montre que c’est là que l’attaque entre — puis supprimez tout accès distant inutile et sécurisez l’accès nécessaire par VPN ou bastion. Isolez les équipements OT du réseau d’entreprise, changez les mots de passe par défaut, mettez à jour les firmwares et retirez les appareils en fin de vie que l’éditeur ne corrige plus. Si vous êtes intégrateur, la recommandation vaut pour vos clients : un contrôleur de réfrigération n’a aucune raison légitime d’être joignable depuis Internet, et sa présence en ligne est aujourd’hui un indicateur de compromission probable, pas un réglage de confort. La leçon tient en une ligne : quand un thermostat devient pilotable à distance, il devient aussi une arme — et la défense commence par le débrancher du réseau public.

Références

• CISA — « US Government Partners Urge Hardening Industrial Refrigeration and Cold Chain Monitoring Systems » (fiche conjointe CISA/FBI/HHS/USDA/DOT, 5 novembre 2026)
• The Hacker News — « U.S. Agencies Warn Refrigeration Controller Attacks Could Cause Fires and Inventory Losses » (Ravie Lakshmanan, 9 novembre 2026)