Des contrôleurs de réfrigération exposés en France ont semé le chaos dans les supermarchés

Dans la nuit du 11 au 12 octobre 2026, des cyberattaquants ont forcé les systèmes de réfrigération de centaines de supermarchés français à passer en mode dégivrage, faisant grimper les températures jusqu'à 50 °C. L'incident, qui a touché de grandes enseignes telles que Carrefour et Intermarché, a entraîné des incendies d'équipements et la perte massive de produits périssables. Les enquêtes désignent comme point d'entrée de la perturbation des contrôleurs vulnérables et connectés à Internet fabriqués par l'entreprise industrielle danoise Danfoss.

Ce qui s'est passé

L'attaque visait les tableaux de bord basés sur le Web utilisés par les techniciens pour surveiller et gérer la réfrigération des magasins. Ces interfaces, connues sous le nom de StoreView, étaient accessibles directement depuis Internet public sans protection adéquate. Les attaquants ont lancé des cycles de dégivrage, qui chauffent les composants de refroidissement pour faire fondre la glace accumulée. Dans de nombreux cas, cela a conduit à une surchauffe dangereuse, certains appareils prenant feu et d'autres détériorant leur contenu. Le parquet de Paris a ouvert une enquête, bien qu'aucun groupe spécifique n'ait été identifié comme responsable.

Les grands groupes de distribution ont confirmé l'ampleur des dégâts. Carrefour a signalé des impacts dans 80 magasins, tandis que Les Mousquetaires, propriétaire d'Intermarché et de Netto, a vu plus de 300 sites affectés. Monoprix a indiqué qu'environ 5 % de ses magasins avaient été touchés, et Coopérative U a confirmé des attaques sur 80 de ses 2 000 sites. Danfoss a identifié le matériel compromis comme étant des modèles hérités (legacy), spécifiquement les contrôleurs AK-SM 800 et AK-SC 355, dont la fin de vie avait été déclarée par l'entreprise en 2023.

Détails clés

• La France comptait 1 331 tableaux de bord Danfoss exposés en ligne avant l'attaque, soit plus que le reste du monde combiné.
• 85 % de ces systèmes français utilisaient un logiciel présentant des failles de sécurité connues, dont 527 contrôleurs hérités non pris en charge.
• La plupart des appareils vulnérables étaient exposés à Internet depuis au moins six mois avant l'incident.
• Seuls 195 des 1 331 tableaux de bord français disposaient de toutes les corrections de sécurité connues appliquées.
• Après l'attaque, 76 % des tableaux de bord français précédemment exposés sont passés hors ligne en deux jours.
• CERT-FR a également alerté sur des vulnérabilités dans les superviseurs XWEB de Copeland et Dixell, avec 70 de ces appareils trouvés en ligne en France.

Contexte

Les dispositifs de l'Internet industriel des objets (IIoT) font souvent le pont entre les machines physiques et la gestion numérique. Dans ce cas, les contrôleurs Danfoss permettent la surveillance à distance de la température et de l'état du système. Cependant, lorsque ces appareils sont connectés directement à Internet public plutôt qu'à un réseau interne sécurisé ou à un réseau privé virtuel (VPN), ils deviennent visibles par quiconque scanne les adresses IP. Beaucoup de ces unités fonctionnent sur un micrologiciel (firmware) ancien dépourvu de protections de sécurité modernes, les rendant sensibles aux exploits connus tels que les contournements de connexion.

Le terme « legacy » (hérité) fait ici référence à un matériel que le fabricant ne prend plus activement en charge avec des mises à jour de sécurité. Pour l'AK-SM 800, Danfoss a mis fin au support en 2023, mais des centaines d'unités restaient en ligne et accessibles. Sans correctifs réguliers ou isolation réseau, ces appareils conservent des configurations par défaut ou des vulnérabilités non corrigées que les attaquants peuvent exploiter pour prendre le contrôle d'infrastructures critiques.

Pourquoi c'est important

Pour les équipes gérant des logiciels auto-hébergés ou des périphériques edge, cet incident met en évidence les risques graves liés à l'exposition des interfaces d'administration sur Internet public. Il ne suffit pas de supposer que du matériel obscur ou spécialisé restera inaperçu. Des scanners automatisés sondent constamment l'espace IPv4 entier, identifiant tout appareil répondant sur des ports standards. Si votre infrastructure comprend des contrôleurs IoT similaires, des systèmes de gestion de bâtiment ou d'autres matériels edge, les laisser publiquement accessibles revient à laisser la porte de service ouverte.

Le rythme lent de la mise à jour observé dans les données est une autre leçon critique. Entre mars et octobre 2026, le pourcentage de contrôleurs entièrement mis à jour en France n'a augmenté que de 14 % à 24 %. Cela suggère que de nombreuses organisations manquent de processus automatisés pour mettre à jour les micrologiciels embarqués. Dans un environnement auto-hébergé, négliger ces mises à jour laisse les systèmes vulnérables à des exploits connus du public depuis des années, transformant des tâches de maintenance gérables en échecs potentiellement catastrophiques.

Ce que vous pouvez faire

• Auditez votre réseau pour repérer tout dispositif IoT ou edge possédant une adresse IP publique et restreignez immédiatement l'accès.
• Placez les interfaces d'administration derrière un VPN ou utilisez des règles de pare-feu strictes pour autoriser l'accès uniquement depuis des adresses IP de confiance spécifiques.
• Identifiez tout matériel hérité ne recevant plus de mises à jour de sécurité et créez un plan pour le remplacer ou l'isoler.
• Mettez en place une surveillance automatisée des versions de micrologiciel et configurez des alertes lorsqu'une mise à jour est disponible.
• Modifiez tous les mots de passe par défaut et activez des niveaux de sécurité stricts sur les contrôleurs exposés restants.
• Revoyez vos polices d'assurance et vos contrats avec les prestataires pour vous assurer que les méthodes d'accès à distance respectent les bonnes pratiques de sécurité.