L'essentiel
L'attaque des frigos est un problème d'équipements hérités : des automates qui n'étaient plus maintenus restaient accessibles depuis Internet, et personne n'était responsable de leurs mises à jour. Dans la nuit du 11 au 12 octobre 2026, des attaquants ont imposé de longs cycles de dégivrage à des régulateurs frigorifiques Danfoss, rendant invendables les produits de plusieurs centaines de magasins. Le parquet de Paris et l'ANSSI enquêtent.
Pour les entreprises qui conçoivent ou exploitent des équipements connectés, la leçon porte sur le cycle de vie, pas sur la réfrigération. Un automate vendu il y a dix ans, toujours branché sur le réseau du magasin et toujours pilotable à distance, fait partie de votre surface d'attaque, même si personne n'a touché à son logiciel depuis des années. Les équipes de développement embarqué et firmware pour objets connectés devraient traiter l'accès distant sécurisé, les mises à jour signées et un plan de fin de vie comme des fonctionnalités produit dès la première version.
Que s'est-il passé dans les supermarchés ?
En arrivant lundi matin, les équipes ont trouvé des vitrines réfrigérées et des meubles surgelés tièdes, et des produits perdus. Selon Reuters et TIME, les attaquants n'ont pas éteint les installations. Ils ont déclenché des cycles de dégivrage continus ou prolongés, qui réchauffent volontairement les vitrines et sont conçus pour durer peu de temps sans alarme. Étirer ces cycles sur plusieurs heures pendant la nuit a suffi à gâter les produits frais et surgelés avant que quiconque ne s'en aperçoive.
Les enseignes ont décrit une attaque sans précédent. Le président de Coopérative U a parlé d'une « affaire extrêmement grave », et Intermarché a indiqué que l'incident semblait toucher un prestataire chargé de la réfrigération de ses magasins. Le Premier ministre a demandé à l'ANSSI d'enquêter ; l'agence se coordonne avec d'autres autorités cyber européennes.
Le même lundi, le groupe néerlandais Ahold Delhaize a mis une partie de ses systèmes hors ligne après un incident de sécurité distinct, perturbant les sites et les commandes en ligne d'Albert Heijn en Europe et de Food Lion, Stop & Shop et d'autres enseignes américaines. Les enquêteurs n'ont pas relié les deux affaires, mais elles montrent ensemble à quel point la distribution alimentaire dépend désormais de systèmes connectés.
Comment les attaquants ont-ils atteint les frigos ?
Le point d'entrée exact n'a pas été rendu public. Ce que l'on sait désigne des équipements anciens et exposés. Danfoss a indiqué à la presse française que la plupart des appareils touchés étaient des modèles obsolètes qui « ne reçoivent plus de mises à jour logicielles ni de sécurité », et qu'il aide ses clients avec des mises à jour de firmware lorsqu'elles existent, une meilleure protection réseau et la suppression de l'exposition directe à Internet.
Les chercheurs avaient déjà signalé le risque. En 2025, l'agence américaine CISA a publié des avis sur les automates Danfoss AK-SM 800A, dont CVE-2025-41450, un contournement d'authentification signalé par Team82 de Claroty et corrigé dans le firmware R4.2. Danfoss n'a pas dit si cette faille ou une autre faille connue avait été utilisée. Des scans d'Internet réalisés après l'attaque, cités par BleepingComputer, ont trouvé des milliers d'interfaces d'administration Danfoss encore joignables, dont plus de la moitié en France.
Ce que cela change pour les équipes logicielles aux États-Unis et dans l'UE
D'abord, la fin de vie est un événement de sécurité, pas une simple note commerciale. Les équipements qui ne reçoivent plus de mises à jour tournent encore des années dans les magasins, entrepôts, cabinets et usines. Si vous livrez des produits connectés, publiez clairement les durées de support, proposez une voie de migration et faites en sorte que l'appareil se mette en sécurité quand il ne peut plus être corrigé. Dans l'UE, les obligations de signalement du Cyber Resilience Act pour les vulnérabilités activement exploitées dans les produits comportant des éléments numériques s'appliquent depuis le 11 septembre 2026 ; l'ensemble des exigences, dont une durée de support déclarée, suit en décembre 2027.
Ensuite, télémaintenance ne doit pas vouloir dire interface d'administration sur Internet. L'accès des fabricants et des installateurs aux équipements de terrain doit passer par des passerelles authentifiées ou des VPN, avec des comptes nominatifs et une journalisation, et non par des interfaces web exposées sur des IP publiques. Cela vaut pour le froid, la climatisation, la GTB et les tableaux de bord cloud qui les pilotent.
Enfin, l'OT relève désormais des mêmes règles que l'IT. Dans l'UE, les grands acteurs de la distribution et du commerce alimentaires entrent dans le champ de NIS 2, qui attend une gestion des risques couvrant fournisseurs et systèmes connectés. Aux États-Unis, assureurs et clients demandent de plus en plus aux distributeurs et à leurs fournisseurs d'équipements un inventaire de leurs technologies opérationnelles, pas seulement des postes et des serveurs.
Quelles leçons pour la grande distribution et les industriels français ?
La France n'est pas seulement le lieu de l'attaque, c'est aussi le pays le plus exposé : selon les scans cités par BleepingComputer, plus de la moitié des interfaces Danfoss joignables sur Internet s'y trouvaient. Dans la grande distribution, le froid commercial et la GTB des magasins sont le plus souvent installés et télémaintenus par des frigoristes et des prestataires multitechniques, sous contrat avec l'enseigne ou directement avec le franchisé. C'est ce maillon, celui des accès distants des prestataires et des automates restés en place après leur fin de support, qu'il faut auditer en priorité, en recoupant les relevés de température de la chaîne du froid avec les journaux des régulateurs.
Côté réglementation, le calendrier français reste flou : le projet de loi Résilience, qui transpose NIS 2, a de nouveau été reporté, et l'ANSSI table sur une conformité complète d'ici fin 2028. Attendre le texte serait pourtant une erreur : le guide d'hygiène informatique de l'ANSSI fait déjà de l'inventaire des actifs, du cloisonnement et de la maîtrise des accès distants des mesures de base, et les assureurs regarderont cet incident de près. Pour les industriels français du froid, du CVC et du bâtiment connecté, le Cyber Resilience Act imposera de toute façon des durées de support et des mises à jour de sécurité vérifiables.
Que vérifier dès cette semaine ?
- Rechercher votre propre exposition. Lister vos IP publiques et vérifier quels tableaux de bord d'automates, de GTB ou d'équipements répondent depuis Internet.
- Construire un inventaire OT et IoT. Pour chaque équipement connecté qui pilote un processus physique, noter le modèle, la version de firmware, le statut de support et le responsable.
- Placer l'accès distant derrière une passerelle. Remplacer l'accès web direct par un VPN ou un accès zero trust, avec des comptes individuels, la MFA quand c'est possible et des sessions prestataires journalisées.
- Planifier le remplacement des équipements en fin de vie. Quand un appareil ne peut pas être corrigé, l'isoler sur son propre segment réseau et programmer son retrait.
- Alerter sur les comportements anormaux du processus. Surveiller les changements de consigne, les cycles de dégivrage ou de maintenance anormalement longs et les connexions à des heures inhabituelles, pas seulement les équipements hors ligne.
Questions fréquentes
Que s'est-il passé dans les supermarchés français les 11 et 12 octobre 2026 ?
Dans la nuit du dimanche 11 au lundi 12 octobre, des attaquants ont manipulé à distance les régulateurs frigorifiques de supermarchés français, imposant de longs cycles de dégivrage qui ont porté les vitrines à environ 50 °C. Des enseignes comme Intermarché, Coopérative U, Carrefour, Monoprix et E.Leclerc ont signalé des magasins touchés ; des produits ont dû être détruits et quelques départs de feu ont été rapportés.
Combien de magasins ont été touchés ?
Les chiffres varient selon les sources et sont encore en cours de consolidation. Les décomptes des enseignes et des médias atteignent plusieurs centaines de magasins en France, avec des estimations allant d'environ 250 à plus de 350. Des sites touchés sont également signalés dans d'autres pays européens.
Quels équipements étaient en cause ?
Des régulateurs frigorifiques Danfoss. Danfoss a indiqué à la presse française que la plupart des appareils touchés étaient des systèmes AK-SM800 obsolètes (fin de vie depuis 2021) et AK-SC355 (retirés en 2016), et que certains AK-SM800A actuels tournaient avec un firmware obsolète. Danfoss n'a pas précisé quelle vulnérabilité, le cas échéant, a été exploitée.
Qui enquête ?
Le parquet de Paris a ouvert une enquête pénale, et l'ANSSI enquête avec ses homologues européens. Aucun groupe n'avait revendiqué l'attaque de manière crédible au moment de la rédaction.
Y a-t-il un lien avec l'incident d'Ahold Delhaize ?
Aucun lien n'a été établi. Ahold Delhaize a mis hors ligne une partie de ses systèmes le 12 octobre 2026, perturbant les sites et les commandes en ligne d'enseignes comme Albert Heijn, Stop & Shop et Food Lion, mais les enquêteurs n'ont pas relié les deux incidents.
Sources
NBC News / Reuters — Hackers heat French supermarket fridges, sparking fires and spoiling food
TIME — ‘Unprecedented’ cyberattack targets French supermarket fridges
CNBC — French supermarket fridges get hacked, heating to 122°F and sparking fires
BleepingComputer — Cyberattack shuts down refrigerators at French supermarkets
CISA — ICS advisory ICSA-25-140-03, Danfoss AK-SM 8xxA Series