Cyberattaque contre les supermarchés français : des régulateurs de froid Danfoss détournés
Dans la nuit du 11 au 12 octobre 2026, des centaines de supermarchés français ont vu leurs installations frigorifiques piratées à distance. Ni caisses bloquées, ni vol de données clients : les attaquants ont visé le froid commercial. Cet article fait le point sur ce qui est confirmé, sur la brèche (que l'on ne connaît pas encore), sur les remèdes recommandés et sur ce que cet incident change pour votre entreprise. Il sera mis à jour à mesure que l'enquête avance.
Information en cours d'évolution. Les chiffres proviennent de la presse (AFP, Reuters, médias spécialisés) et des déclarations des distributeurs ; ils sont provisoires et divergent selon les sources. Nous n'avons pas pu consulter les communiqués officiels de Danfoss ni de l'ANSSI : leurs déclarations sont rapportées par la presse.
Ce qui est confirmé
| Date | Nuit du 11 au 12 octobre 2026 |
|---|---|
| Cible | Régulateurs frigorifiques du fabricant danois Danfoss (séries AK-SM et AK-SC) installés dans les supermarchés |
| Effet | Mise en dégivrage à distance des meubles froids, avec montée en température jusqu'à 50 °C selon Mousquetaires ; élévation d'environ six heures |
| Conséquence | Rupture de la chaîne du froid : produits frais et surgelés détruits |
| Enseignes touchées | Intermarché/Netto (Mousquetaires), Coopérative U, E.Leclerc (plusieurs magasins), Carrefour, Monoprix |
| Nombre de magasins (provisoire) | Plus de 400 selon les premières estimations, environ 500 selon certains médias. AFP : au moins 300 Intermarché/Netto, moins de 100 Coopérative U, 80 Carrefour, une trentaine de Monoprix. Reuters : environ 150 pour Intermarché |
| Données volées | Aucune annoncée à ce jour |
| Revendication | Aucune connue ; les auteurs ne sont pas identifiés |
| Enquête | Parquet de Paris, confiée à l'Office anticybercriminalité (OFAC) ; ANSSI mobilisée ; alerte CERT-FR CERTFR-2026-ALE-012 du 12 octobre |
| Préjudice | Plusieurs millions d'euros, selon le parquet |
Comment l'attaque a fonctionné
D'après les informations disponibles, les attaquants n'ont pas « cassé » les équipements : ils ont détourné une fonction légitime, le dégivrage. Déclenché sur tous les meubles en même temps, il fait monter la température dans les vitrines et les chambres froides.
Le CERT-FR fait état de « nombreuses compromissions » touchant deux séries de contrôleurs Danfoss, les AK-SM et AK-SC. Danfoss indique que la majorité des unités touchées sont obsolètes (notamment les AK-SM 800 et AK-SC 355) et ne reçoivent plus de mises à jour logicielles ni de sécurité.
La brèche : ce que l'on sait, et ce que l'on ignore
Le point d'entrée n'a pas été identifié publiquement. Ni Danfoss ni les autorités n'ont précisé comment les attaquants ont pris la main, et l'alerte du CERT-FR ne nomme ni vulnérabilité, ni version de firmware, ni CVE. Voici les éléments factuels et les hypothèses des chercheurs :
- Exposition sur internet (établie par scans, pas liée à l'attaque). Le chercheur Baptiste Robert (Predicta Lab) a recensé 2 752 systèmes Danfoss exposés en ligne, dont 1 590 en France ; Shodan en référence plus de 4 500. Ces chiffres viennent de scans passifs et ne prouvent pas que ces machines ont été attaquées. Le CERT-FR rappelle qu'exposer une interface d'administration sur internet est contraire aux bonnes pratiques.
- Failles connues avant l'attaque (hypothèse). Les chercheurs de Claroty (Team82) avaient documenté en août des failles sur les AK-SM 800A, dont un contournement d'authentification. Danfoss a corrigé en 2025 les CVE-2025-41450 (contournement d'authentification, version 4.2), CVE-2025-41451 (injection de commande après authentification) et CVE-2025-41452 (déni de service après authentification), ces deux dernières en version 4.3.1. Aucune source officielle ne relie ces CVE à l'attaque ; la faille exploitée pourrait ne pas avoir été publiée.
- Autres scénarios évoqués (hypothèses) : identifiants faibles ou par défaut sur des interfaces exposées, identifiants de maintenance compromis, ou détournement d'un accès distant chez un frigoriste.
Les remèdes recommandés
Ce sont les mesures indiquées par le CERT-FR/l'ANSSI et par Danfoss, telles que rapportées par la presse :
- Déconnecter d'internet ou filtrer strictement l'accès à tous les contrôleurs AK-SM et AK-SC. Si l'administration à distance est indispensable, la restreindre à des adresses IP de confiance (le CERT-FR présente cela comme une mesure temporaire).
- Remplacer les modèles en fin de vie (AK-SM 800, AK-SC 355) : ils ne reçoivent plus aucun correctif. À défaut, les isoler sur un réseau segmenté.
- Mettre à jour le firmware des AK-SM 800A, modèle toujours supporté.
- Équipement soupçonné compromis : la mise à jour seule ne suffit pas. Le CERT-FR prévoit une remise en état plus complète ; consultez l'alerte CERTFR-2026-ALE-012 sur cert.ssi.gouv.fr.
- Mesures générales : changer les mots de passe par défaut, supprimer la télémaintenance non indispensable, segmenter le réseau OT et journaliser les accès.
Ce qui n'est pas établi
- Les auteurs et leurs motivations : aucune revendication, aucune attribution officielle.
- Le vecteur d'accès exact : aucun lien officiel avec les CVE citées ; contrôleurs exposés, identifiants compromis ou accès distant d'un prestataire restent des hypothèses.
- Le bilan définitif : le nombre de magasins varie selon les sources et les enseignes.
- Une atteinte aux caisses ou aux données clients : plusieurs sources indiquent qu'il n'y en a pas eu. Les informations évoquant des caisses paralysées ne sont pas confirmées.
Les enseignements pour votre entreprise
- Les équipements connectés en fin de vie sont une dette de sécurité. Un matériel qui ne reçoit plus de correctifs et reste joignable depuis internet est une cible. Inventoriez ce qui est connecté (froid, climatisation, caméras, imprimantes, bornes, objets industriels).
- Une faille connue reste exploitable longtemps. Le délai entre la publication d'un correctif et son déploiement est la vraie fenêtre d'attaque. Suivre les CVE touchant vos équipements et vos plugins est la mesure la plus rentable.
- Un incident sans vol de données peut coûter très cher. Ici, la perte est matérielle : stocks détruits, magasins perturbés. Selon la presse, les distributeurs supportent ces pertes sans couverture d'assurance. Vérifiez ce que votre contrat cyber couvre réellement.
- NIS2. Si votre entité relève des secteurs concernés (dont la distribution alimentaire selon sa taille), vérifiez vos obligations de gestion des risques et de notification d'incident.
🔍 Quelle est votre surface d'attaque exposée ?
Notre audit analyse ce qu'un attaquant voit de votre site : versions exposées, en-têtes de sécurité manquants, services accessibles et signaux de compromission, avec un rapport et un plan d'action priorisé livré par email.
🔍 Auditer mon site maintenantSources
Article publié le 13 octobre 2026 à partir d'informations de presse encore provisoires. Dernière vérification : 13 octobre 2026.