Des pirates informatiques auraient manipulé les systèmes de réfrigération de supermarchés dans toute la France, faisant monter les températures et entraînant la détérioration de denrées, tandis que les autorités enquêtent sur des signalements d'incendies et d'autres dégâts liés à l'attaque.
La cyberattaque du 12 octobre a ciblé les systèmes de réfrigération de centaines d'épiceries françaises, notamment dans des magasins exploités par Intermarché, Netto, Coopérative U et E. Leclerc. Selon AFP, les attaquants auraient déclenché des cycles de dégivrage, contraignant les distributeurs touchés à jeter leurs stocks de produits frais et surgelés.
« Il s'agit de la même catégorie de systèmes dont le secteur de la sécurité met en garde contre le fait qu'elle constitue la prochaine frontière des attaques de sabotage », a déclaré à eSecurityPlanet Muhammad Yahya Patel, vCISO et conseiller en cybersécurité pour la région EMEA chez Huntress, en référence aux systèmes de réfrigération et autres systèmes de technologie opérationnelle.
Pour les équipes de cybersécurité, cet incident montre comment des équipements connectés compromis peuvent perturber les opérations physiques, détruire des stocks et présenter des risques pour la sécurité sans nécessiter de rançongiciel ni de vol de données.
Des pirates informatiques manipulent des systèmes de réfrigération dans toute la France
L'attaque s'est déroulée dans la nuit du 11 au 12 octobre et a touché les systèmes de réfrigération de plusieurs grandes chaînes de supermarchés françaises.
Les premiers signalements indiquaient qu'environ 150 à 200 magasins Intermarché avaient été ciblés. Plus tard, un article de l'AFP a estimé à au moins 300 le nombre de magasins Intermarché et Netto ciblés. Selon les informations disponibles, environ 100 magasins de Coopérative U auraient été touchés, même si les estimations publiées divergeaient.
Le Monde a rapporté qu'environ 80 magasins Carrefour avaient été touchés. Par ailleurs, un article de l'AFP en français indiquait que Monoprix avait confirmé qu'environ 30 de ses magasins étaient concernés.
E. Leclerc a confirmé qu'une cyberattaque visant l'un de ses fournisseurs d'équipements de réfrigération avait perturbé les systèmes de plusieurs magasins. Le nombre total de magasins ayant subi des dégâts matériels ou des pertes de stocks reste incertain.
Les Mousquetaires, qui exploite Intermarché et Netto, a indiqué que les attaquants avaient manipulé les commandes de réfrigération. Le propriétaire d'un magasin Intermarché à Gradignan a déclaré au Monde que sa chambre froide avait atteint 50 °C (122 °F), déclenchant un système automatique d'extinction par sprinklers.
Le Monde a également rapporté que les attaquants avaient prolongé les cycles de dégivrage, qui étaient passés d'une heure à huit heures, retardant les alarmes et aggravant les dégâts. La perturbation a contraint les magasins touchés à jeter leurs stocks pour des raisons de sécurité alimentaire.
Le parquet de Paris a ouvert une enquête sur cette cyberattaque de grande ampleur. Selon Reuters, les procureurs ont déclaré que les dégâts signalés comprenaient des pertes de denrées et des incendies, tandis que les enquêteurs s'efforçaient d'identifier les victimes et de déterminer l'ampleur totale de l'incident.
Le Premier ministre français Sébastien Lecornu a également demandé à l'agence nationale de cybersécurité du pays, l'ANSSI, d'enquêter sur l'incident et de déterminer si d'autres organisations avaient pu être exposées.
L'attention s'est portée sur les logiciels de gestion de la réfrigération fournis par le fabricant danois Danfoss.
Danfoss a identifié ses contrôleurs de réfrigération AK-SM800 et AK-SC355 comme faisant partie des systèmes touchés et a indiqué qu'une version de l'AK-SM800 fonctionnait avec un micrologiciel obsolète. Le fabricant a conseillé à ses clients de remplacer les équipements hérités qui ne sont plus pris en charge et de mettre à jour les systèmes compatibles.
Une source proche du Premier ministre français Sébastien Lecornu a déclaré que l'ANSSI avait identifié une vulnérabilité dans un logiciel fourni par Danfoss. Toutefois, les enquêteurs n'ont pas rendu publics les détails techniques et n'ont pas confirmé la méthode d'accès initiale des attaquants.
L'incident soulève également des questions sur des vulnérabilités précédemment divulguées qui affectent les contrôleurs de réfrigération Danfoss.
En 2025, Danfoss a divulgué CVE-2025-41450, une vulnérabilité d'authentification de gravité élevée affectant les contrôleurs AK-SM 8xxA exécutant des versions logicielles antérieures à 4,2.
Cette vulnérabilité présente un score CVSS de 8,2 et peut permettre de contourner l'authentification dans certaines conditions. Toutefois, les enquêteurs n'ont pas établi si elle avait joué un rôle quelconque dans l'attaque visant les supermarchés français.
Ce que l'attaque contre la réfrigération révèle sur la sécurité des technologies opérationnelles
Plutôt que de viser le vol de données ou le chiffrement par rançongiciel, cette attaque aurait consisté à manipuler des équipements physiques au moyen de systèmes de contrôle connectés, démontrant ainsi comment un incident de cybersécurité peut perturber directement les opérations d'une entreprise.
Les systèmes de réfrigération commerciaux dépendent de plus en plus de contrôleurs connectés, de plateformes de surveillance à distance et de logiciels permettant aux opérateurs d'ajuster les paramètres sur plusieurs sites.
Ces fonctionnalités améliorent l'efficacité et simplifient la maintenance, mais elles introduisent également des risques de sécurité lorsque les contrôles d'accès, les micrologiciels ou les protections réseau sont insuffisants. Un attaquant qui compromettrait une interface de gestion pourrait potentiellement modifier les paramètres des équipements, interrompre les opérations ou provoquer des dégâts matériels.
Patel a averti que les conséquences financières d'une attaque contre une infrastructure de réfrigération pouvaient largement dépasser la seule défaillance immédiate des équipements.
« Les conséquences financières immédiates sont importantes et visibles », a-t-il souligné, évoquant la perte potentielle de stocks de denrées périssables dans les sites touchés.
La perturbation des opérations peut rapidement s'aggraver. Les magasins peuvent être incapables de vendre ou de réapprovisionner les produits sensibles à la température tant que les systèmes de réfrigération n'ont pas été restaurés et déclarés sûrs, transformant un contrôleur compromis en un problème plus vaste de continuité d'activité.
L'incident français soulève également des questions sur la sécurité des anciens systèmes industriels. Comme eSecurityPlanet l'a expliqué précédemment dans son article consacré aux risques de sécurité des appareils intégrés, de nombreux appareils OT et de l'Internet des objets (IoT) restent en service pendant des années, voire des décennies, souvent longtemps après que leur logiciel d'origine est devenu difficile à maintenir.
Le remplacement de ces systèmes peut être coûteux, tandis que l'installation de mises à jour peut nécessiter un arrêt planifié. Cela crée un défi de sécurité pour les organisations qui dépendent d'infrastructures connectées, mais ne peuvent pas remplacer facilement les équipements vulnérables.
Les conséquences dépassent le cadre des supermarchés. Des risques similaires peuvent affecter les entrepôts, les installations de stockage pharmaceutique, les usines de transformation alimentaire et d'autres environnements où des équipements connectés maintiennent des conditions d'exploitation essentielles.
Ce que les équipes de sécurité doivent faire pour protéger les équipements connectés
L'attaque contre les supermarchés français constitue un avertissement pour les organisations qui gèrent la réfrigération, les systèmes de contrôle industriels et autres systèmes opérationnels connectés.
« Le secteur de la distribution alimentaire en Europe devrait considérer cela comme le signal qu'il est activement pris pour cible », a déclaré Patel.
Les équipes de sécurité devraient vérifier si les équipements qui ont une incidence directe sur les opérations physiques bénéficient de la même attention que les infrastructures informatiques traditionnelles.
Cinq priorités de sécurité méritent une attention immédiate :
- Identifier les équipements exposés. Dresser un inventaire des contrôleurs de réfrigération connectés, des appareils industriels, des versions de micrologiciels et des interfaces de gestion à distance. Déterminer quels systèmes sont accessibles via des réseaux externes ou des services tiers.
- Mettre à jour les micrologiciels obsolètes. Examiner les avis de sécurité des fabricants et identifier les équipements qui ne sont plus pris en charge. Les administrateurs d'AK-SM 8xxA de Danfoss doivent évaluer leurs systèmes au regard des vulnérabilités précédemment divulguées, notamment CVE-2025-41450, CVE-2025-41451 et CVE-2025-41452, et suivre les dernières recommandations correctives du fabricant. Lorsque des mises à jour immédiates sont impraticables, appliquer des mesures compensatoires et établir un plan de remplacement.
- Restreindre l'accès à distance. Limiter l'accès administratif au personnel et aux fournisseurs autorisés. Utiliser une authentification forte, notamment l'authentification multifacteur lorsqu'elle est prise en charge, et désactiver les services de gestion à distance inutiles.
- Segmenter les réseaux opérationnels. Séparer les contrôleurs de réfrigération et autres équipements OT des systèmes informatiques de l'entreprise et des appareils sans lien. Restreindre les communications aux systèmes et services approuvés.
- Surveiller les conditions d'exploitation physiques. Mettre en place des alertes de température indépendantes, enquêter sur les modifications de configuration non autorisées et veiller à ce que les employés puissent reconnaître les comportements anormaux des équipements et y réagir.
L'isolation du réseau est particulièrement importante, car une intrusion impliquant un système connecté ne devrait pas exposer automatiquement le reste de l'infrastructure d'une organisation.
Les organisations devraient également établir des procédures de réponse aux incidents spécifiques aux perturbations opérationnelles. Comme l'explique l' analyse des enseignements de sécurité des infrastructures critiques publiée par eSecurityPlanet, la visibilité sur les réseaux, la sécurisation des accès à distance et la planification d'une réponse aux incidents propre aux environnements OT restent des protections essentielles.
Pour les distributeurs alimentaires, cela signifie se préparer à autre chose qu'à une simple déconnexion du réseau. Les plans d'intervention doivent couvrir la sécurité alimentaire, la remise en état des équipements, la mise au rebut des stocks, la coordination avec les fournisseurs et la capacité à faire fonctionner manuellement les systèmes critiques lorsque cela est possible.
Les équipes de sécurité devraient également se coordonner avec les responsables des installations afin de déterminer si la surveillance de la température et les mécanismes d'arrêt d'urgence peuvent fonctionner indépendamment d'un logiciel de gestion compromis.
Les organisations qui utilisent des contrôleurs de réfrigération Danfoss doivent identifier leurs modèles exacts, vérifier les versions des micrologiciels et consulter les avis de sécurité du fabricant. La CVE-2025-41450 précédemment divulguée affecte spécifiquement les versions logicielles d'AK-SM 8xxA antérieures à 4,2 et ne doit pas être automatiquement considérée comme affectant les autres contrôleurs Danfoss.
Danfoss a également publié des avis de sécurité couvrant deux vulnérabilités supplémentaires d'AK-SM 8xxA : CVE-2025-41451, une faille d'injection de commandes après authentification pouvant permettre l'exécution de code à distance, et CVE-2025-41452, une vulnérabilité de configuration de l'interface web après authentification pouvant provoquer un déni de service. Toutes deux affectent les versions logicielles antérieures à 4.3.1 et présentent des scores CVSS respectifs de 8,7 et 6,8.
Les équipes de sécurité qui gèrent ces systèmes doivent suivre les dernières recommandations correctives du fabricant plutôt que de supposer que tous les contrôleurs Danfoss présentent la même exposition.
L'enquête française est toujours en cours et l'ampleur exacte des vulnérabilités impliquées n'a pas été établie publiquement.
Pour les organisations qui exploitent des infrastructures connectées, la leçon immédiate est claire : un contrôleur compromis peut se transformer en urgence à l'échelle de l'entreprise. Les équipes de sécurité qui identifient les équipements vulnérables, restreignent les accès à distance et testent leurs procédures de reprise opérationnelle seront mieux à même de contenir les dégâts avant qu'une cyberattaque ne se transforme en crise physique.
À lire aussi : l'attaque contre les supermarchés français fait écho à une autre menace récente visant les infrastructures critiques : « Des pirates informatiques ciblent plus de 100 systèmes hydrauliques américains en un seul mois », qui examine comment des attaquants ont exploité des systèmes de contrôle industriels exposés pour perturber les opérations.