Une cyberattaque déclenche le dégivrage des frigos de 250 à 350 supermarchés français

Nuit du 11 au 12 octobre 2026. Des attaquants déclenchent à distance le dégivrage automatique des réfrigérateurs de plusieurs enseignes françaises, faisant monter la température jusqu’à 50 °C dans des rayons frais et surgelés. 250 à 350 magasins. Selon BFMTV, l’attaque a touché 250 à 350 magasins — Intermarché, Super U, Leclerc, Monoprix, Carrefour Market, Coopérative U — avec des pertes alimentaires massives. Danfoss. La cible est précise : des contrôleurs de réfrigération Danfoss AK-SM 800A tournant sous d’anciennes versions du logiciel de supervision. Pourquoi c’est important : c’est la première fois qu’une cyberattaque contre l’informatique industrielle provoque une destruction physique de nourriture à cette échelle en France.

Un dégivrage qui n’a rien d’un accident

Un contrôleur de réfrigération gère le froid d’un magasin en pilotant compresseurs, vannes et résistances. Le dégivrage est une fonction légitime : périodiquement, le contrôleur coupe le froid et fait fondre le givre des évaporateurs. Les attaquants n’ont pas « cassé » le froid en neutralisant le compresseur — ils ont simplement déclenché la fonction de dégivrage intégrée sur des contrôleurs qu’ils contrôlaient, poussant la température des vitrines bien au-delà de la zone de sécurité sanitaire.

Le porte-parole d’Intermarché confirme l’angle : « à la suite d’une cyberattaque touchant visiblement un prestataire qui gère les systèmes de réfrigération des magasins, certaines vitrines de produits frais et surgelés sont hors service ». Intermarché et Netto ont retiré les produits des vitrines « le plus rapidement possible ». Le président de Coopérative U, Dominique Schelcher, évoque « une cyberattaque » visant « les systèmes de réfrigération de plusieurs magasins » de son réseau, qualifiant l’opération d’« inacceptable ». Le parquet de Paris a ouvert une enquête sur cette « cyberattaque de grande ampleur ».

Des contrôleurs connus vulnérables, et massivement exposés

Le point le plus frappant n’est pas la sophistication de l’attaque, mais son évidence. La CISA avait alerté dès mai 2025 sur une faille de contournement d’authentification (CVE-2025-41450) puis, en août 2025, sur une faille d’injection de commandes (CVE-2025-41451) dans la gamme Danfoss AK-SM 8xxA, le matériel précis qui pilote les systèmes de réfrigération et de CVC du secteur de la distribution alimentaire. Claroty Team82, l’équipe de recherche qui a découvert les deux failles, a publié en août 2025 un descriptif détaillé montrant comment les enchaîner pour obtenir une exécution de code à distance sur les interfaces de gestion AK-SM 800A exposées publiquement.

L’exposition, elle, n’a jamais été résorbée. Baptiste Robert, fondateur de Predicta Lab, a dénombré 2 752 systèmes Danfoss exposés en ligne lundi, dont 1 590 rien qu’en France. Shodan recense plus de 4 500 équipements Danfoss joignables depuis Internet. Autrement dit : des contrôleurs qui pilotent physiquement des températures de conservation alimentaire sont joignables depuis n’importe où, plusieurs mois après la publication de failles permettant de les commander à distance.

Pour savoir si vous êtes exposé, la vérification tient en une recherche : interroger Shodan ou Censys sur la marque du contrôleur et le produit, puis croiser le résultat avec votre liste d’équipements de froid. Les 2 752 systèmes repérés par Baptiste Robert donnent l’ordre de grandeur ; la question n’est pas de savoir si votre parc contient des contrôleurs exposés, mais combien. Un contrôleur qui répond sur Internet doit être traité comme déjà ciblé : les scanners automatiques l’indexent en continu, et cette attaque vient de démontrer un usage opérationnel en conditions réelles.

Le lien entre ces failles et l’attaque n’est pas encore établi officiellement — ni Danfoss ni les enseignes n’ont précisé le vecteur d’intrusion. Mais la coïncidence entre le matériel visé, ses failles documentées et son exposition massive rend la piste la plus probable évidente : un contrôleur AK-SM 800A non corrigé, joignable sur Internet, a été retourné contre sa propre fonction de dégivrage.

Ce que ça dit de l’informatique industrielle

L’épisode révèle un angle mort du OT (operational technology) : on continue de traiter les équipements de froid, de CVC et de bâtiment comme des objets « non informatiques », alors qu’ils sont des ordinateurs Linux ou RTOS complets, dotés d’interfaces web et de piles réseau, branchés sur le même Internet que le reste. Un contrôleur de froid n’est pas moins critique qu’un automate de production : il garde la chaîne du froid, un enjeu sanitaire réglementé. Sa compromission ne vole pas des données — elle détruit de la marchandise et peut, en cas de dérive de température non détectée, exposer des consommateurs.

La chaîne de responsabilité est aussi en cause. Les magasins achètent le froid comme un service, via des prestataires qui installent des contrôleurs et les laissent souvent joignables pour la télémaintenance. Le porte-parole d’Intermarché le reconnaît implicitement : l’attaque passe par « un prestataire qui gère les systèmes de réfrigération ». Quand le prestataire expose le contrôleur pour son propre confort d’exploitation, le magasin porte la perte, et personne n’avait cartographié l’exposition.

La chaîne du froid, un enjeu sanitaire autant que commercial

Le froid alimentaire est une contrainte réglementée, pas un simple confort de conservation. Les produits frais se conservent entre 0 et 4 °C, les surgelés à -18 °C ; au-delà, la prolifération bactérienne reprend et le produit devient impropre à la vente. Une température montée à 50 °C — le chiffre cité par BFMTV — ne se contente pas de « décongeler » : elle cuit la viande et le poisson dans leur emballage, transforme les produits laitiers en perte sèche et force le retrait de rayons entiers par précaution sanitaire. La chaîne du froid obéit par ailleurs à des obligations de traçabilité (HACCP) que les enseignes ne peuvent pas improviser après coup : quand un contrôleur est compromis, le magasin ne sait pas, pour chaque vitrine, combien de temps la température est restée hors zone.

L’épisode rejoint une liste qui ne cesse de s’allonger. En mai 2021, Colonial Pipeline a fermé un oléoduc de la côte Est américaine après un rançongiciel ; en février 2022, la compromission des modems satellitaires KA-SAT de Viasat a coupé des milliers d’éoliennes au début de l’invasion de l’Ukraine. Le point commun : des équipements industriels traités comme « non critiques » jusqu’au jour où leur arrêt produit un effet physique immédiat. Le froid des supermarchés français s’inscrit exactement dans cette lignée — à ceci près que le vecteur n’est pas un rançongiciel, mais l’exploitation directe d’une fonction légitime d’un contrôleur exposé.

Verdict

Si vous exploitez du froid industriel ou de la CVC — magasin, entrepôt, laboratoire, cuisine centrale — recensez immédiatement vos contrôleurs Danfoss AK-SM 8xxA et leurs équivalents, vérifiez leur version, et appliquez les correctifs des CVE-2025-41450 et CVE-2025-41451 : c’est l’unique parade contre le vecteur le plus probable. Quel que soit votre métier, interrogez-vous sur tout équipement OT joignable depuis Internet : le retirer derrière un VPN ou une passerelle de télémaintenance dédiée, et le cloisonner du réseau de gestion, coûte moins cher qu’une perte de stock. Si vous êtes prestataire de froid, l’exposition que vous laissez sur les vitrines de vos clients est votre responsabilité : cartographiez-la, fermez-la, et traitez chaque contrôleur comme une surface d’attaque à part entière. La leçon tient en une phrase : un dégivrage déclenché à distance détruit plus vite qu’un ransomware ne chiffre.

Références

• BleepingComputer — Cyberattack shuts down refrigerators at French supermarkets (12 octobre 2026)
• The Record — Cyberattack disrupts refrigeration at hundreds of French supermarkets (11 octobre 2026)
• CISA — ICS Advisory ICSA-25-132 (mai 2025), CVE-2025-41450
• CISA — ICS Advisory ICSA-25-237 (août 2025), CVE-2025-41451
• Claroty Team82 — Freeze the Controller, Defrost the Food: Danfoss Refrigeration Controller Vulnerabilities (août 2025)