Dans la nuit du dimanche 11 au lundi 12 octobre 2026, les installations frigorifiques de centaines de supermarchés français ont été forcées à distance en dégivrage continu. Dans certains magasins, la température des meubles a atteint 50 degrés, et les produits frais et surgelés ont dû être jetés, selon l’AFP. Au moins 300 magasins Intermarché et Netto, moins d’une centaine de magasins du réseau de Coopérative U, 80 Carrefour, une trentaine de Monoprix et plusieurs E.Leclerc sont concernés, d’après les chiffres que chaque enseigne a confirmés à l’agence. Ces décomptes proviennent de déclarations distinctes : ils ne forment pas un total consolidé.
Le parquet de Paris s’est saisi d’office. Son enquête, confiée à l’Office anticybercriminalité, doit selon lui « recenser les victimes et établir le lien avec les dégâts rapportés par celles-ci en termes de pertes de denrées alimentaires et de départs de feu », a-t-il indiqué à l’AFP. L’attaque n’a été revendiquée par personne, et aucune source publique ne permet de l’attribuer.
Derrière le mot « faille », 3 situations différentes se cachent, qui n’appellent pas les mêmes décisions : un équipement qu’un correctif aurait protégé, un équipement que plus aucun correctif ne protège, et un équipement compromis par une voie que personne ne connaît encore.
Ce que l’alerte du CERT-FR établit
Le 12 octobre, le centre gouvernemental de veille et de réponse aux attaques informatiques a publié l’alerte CERTFR-2026-ALE-012. Il y indique avoir « connaissance de nombreuses compromissions » des contrôleurs Danfoss des séries AK-SM et AK-SC, utilisés pour piloter la réfrigération des magasins. Le texte tient en quelques lignes, et l’une d’elles compte plus que les autres : « L’exposition d’une interface de gestion sur Internet est contraire aux bonnes pratiques. »
Les recommandations suivent : déconnecter ou filtrer l’accès aux équipements, puis, en cas de compromission, limiter les accès réseau « uniquement aux prestataires », réaliser une remise en état d’usine, appliquer « tous les correctifs de sécurité disponibles », changer les secrets d’authentification et vérifier les comptes existants. L’alerte ne décrit pas la manière dont les attaquants sont entrés. Le cabinet du Premier ministre a fait savoir que l’Agence nationale de la sécurité des systèmes d’information avait identifié une vulnérabilité dans un logiciel fourni par une entreprise danoise, sans la nommer.
Sous un même mot, 3 situations
Le fabricant a apporté la précision la plus utile. Dans une déclaration à la revue spécialisée Cooling Post, Danfoss indique que la majorité des unités touchées étaient des produits anciens, ou des produits actuels fonctionnant avec un micrologiciel dépassé. Il cite l’AK-SM800, déclaré en fin de vie en 2021, et l’AK-SC355, retiré progressivement depuis 2016, qui « ne reçoivent plus de mises à jour logicielles ni de sécurité ». Les AK-SM800A touchés, encore pris en charge, n’avaient pas reçu les dernières versions.
Cette distinction sépare 3 cas. Pour l’AK-SM800A, Danfoss avait publié des avis de sécurité et des correctifs en août 2023, en mars 2025 et en août 2025, et l’agence américaine de cybersécurité avait diffusé un avis sur ces failles en mai 2025. Pour un équipement de cette génération, un correctif existait. Pour l’AK-SM800 et l’AK-SC355, il n’en existe plus : la seule réponse possible est l’isolement du réseau ou le remplacement. Et pour l’ensemble, la voie d’entrée reste inconnue. Des chercheurs de la société Claroty avaient décrit en août 2026 des failles de ces contrôleurs, mais aucune source publique consultée ne démontre qu’elles ont servi dans la nuit du 11 octobre.
Confondre ces 3 cas conduit à des réponses fausses. Appliquer un correctif ne sert à rien sur un équipement qui n’en reçoit plus. Remplacer un parc entier ne règle rien si l’accès a été obtenu avec des identifiants légitimes, ceux d’un prestataire par exemple. Et désigner une faille avant de connaître le vecteur expose à corriger la mauvaise.
Une machine qui fonctionne n’est pas une machine protégée
Un groupe frigorifique dure longtemps. L’AK-SC355 a cessé d’être commercialisé il y a 10 ans, et il pilotait encore, dimanche soir, la chaîne du froid de magasins français. Mécaniquement, rien n’imposait de le remplacer : il refroidissait. Sa sécurité numérique, elle, avait cessé d’être entretenue. Entre les 2, aucune alarme ne sonne, parce que la fin du support logiciel ne produit aucun symptôme visible tant que personne ne s’en sert.
Ces équipements ont longtemps été isolés d’Internet. Ils sont désormais reliés à des systèmes de supervision à distance, notamment pour permettre aux frigoristes d’intervenir sans se déplacer, a expliqué à l’AFP un spécialiste du cabinet Almond. C’est cette connexion, utile pour la maintenance, que le CERT-FR demande de couper ou de restreindre. La recommandation de réserver l’accès « aux prestataires » dit en creux qui se connecte d’ordinaire à ces machines.
Qui décide du remplacement ?
L’incident met en lumière une chaîne de responsabilités que le client ne voit pas. Le fabricant déclare la fin de vie d’un produit et le fait savoir. Le prestataire de maintenance l’installe, le configure et s’y connecte. Le magasin l’exploite et décide, ou non, de le remplacer. Dans les groupements d’indépendants, comme Les Mousquetaires, E.Leclerc ou Coopérative U, chaque magasin appartient à un commerçant associé : la décision d’investir dans un nouveau contrôleur se prend souvent au niveau de chaque point de vente, loin des équipes qui suivent les alertes de sécurité.
Le jour de l’attaque, pourtant, c’est l’enseigne qui répond devant les clients, devant les rayons vides et devant la presse. Une décision technique dispersée entre des centaines de propriétaires produit une crise commerciale centralisée, et elle touche à la même heure des enseignes concurrentes qui partagent le même fournisseur. Le commissaire européen à l’agriculture, Christophe Hansen, a parlé d’une alimentation devenue une arme.
Nous écrivions en août, à propos des cyberattaques visant l’État, que la réputation d’une organisation ne dépend plus de la promesse d’inviolabilité, mais du temps qu’elle met à reprendre la maîtrise et de sa capacité à le prouver. L’attaque des supermarchés ajoute une condition préalable : on ne reprend pas la maîtrise d’un équipement dont personne n’est chargé de suivre la sécurité, et qu’aucun correctif ne peut plus protéger.
Ce que l’enquête devra établir
Le premier élément attendu est le vecteur. Si l’enquête montre que des AK-SM800A à jour ont eux aussi été compromis, l’obsolescence ne sera plus la clé du dossier : la question deviendra celle des accès, identifiants de prestataires ou interfaces exposées. Si seuls des équipements anciens ou non mis à jour ont été touchés, le débat portera sur la gestion des parcs et la fin de vie des produits. Tant que la voie d’entrée n’est pas publiée, toute réponse qui se limite à « appliquer les correctifs » risque de traiter une partie du problème seulement.
Le second élément est le temps. Entre l’intrusion, la modification des températures, la première alerte en magasin et l’isolement des équipements, les durées ne sont pas publiées. Magasin par magasin, elles diront quelles organisations avaient une surveillance indépendante des températures et lesquelles ont découvert l’incident en ouvrant les portes.
Pour les directions, la leçon déborde la grande distribution. Elle vaut pour un hôpital, une collectivité, un site industriel ou une plateforme logistique. Elle tient en 4 questions concrètes : quels équipements connectés pilotent une fonction physique essentielle, à quelle date leur support logiciel prend fin, qui peut s’y connecter à distance et par quel chemin, et quelle alerte indépendante préviendrait d’une dérive avant qu’elle ne devienne une perte. La réponse à la deuxième question figure souvent dans un courrier du fabricant que personne n’a transmis à celui qui décide des investissements.
Aucune revendication n’a été publiée et aucune source consultée ne permet d’attribuer l’attaque à un groupe ou à un État. Les chiffres de magasins touchés sont ceux communiqués par chaque enseigne et ne constituent pas un décompte consolidé. La vulnérabilité exploitée n’a pas été publiquement identifiée.
