Cyberattaque sur le froid des supermarchés : régulateurs Danfoss détournés
Dans la nuit du 11 au 12 octobre, des régulateurs de froid Danfoss d'Intermarché, Coopérative U et E.Leclerc ont été pilotés à distance en dégivrage forcé. Enquête du parquet de Paris.
Dans la nuit du 11 au 12 octobre 2026, des installations frigorifiques de plusieurs enseignes de la grande distribution ont été dérégulées à distance. Intermarché, Coopérative U (Système U) et E.Leclerc confirment avoir été touchés. Le parquet de Paris a ouvert une enquête, confiée à la section anticybercriminalité ; l'Office anticybercriminalité (OFAC) recense les victimes.
Il n'existe à ce stade ni avis CERT-FR ni CVE : ce qui suit s'appuie sur le reportage de Silicon.fr et de ZATAZ.
Ce qui s'est passé
Les attaquants ont détourné la fonction de dégivrage automatique des régulateurs. Au lieu d'un cycle borné (de l'ordre de deux heures sur vingt-quatre), le dégivrage a été forcé en continu, avec une consigne relevée à 50 °C. Dans certains magasins, la bascule a eu lieu vers minuit : les températures sont montées plusieurs heures avant l'arrivée des équipes. ZATAZ rapporte aussi des départs de feu signalés.
Le constat chiffré reste partiel. ZATAZ cite environ 270 000 € de pertes pour deux magasins alsaciens ; l'estimation nationale de « plusieurs millions d'euros » n'est qu'une projection. Denrées fraîches et surgelées ont dû être jetées.
Les magasins touchés
Les bilans sont déclaratifs et évoluent :
- Intermarché : le groupement Les Mousquetaires a revu son estimation à 300 magasins Intermarché et Netto (d'abord 150 à 200).
- Coopérative U : « moins d'une centaine » de magasins ; le PDG Dominique Schelcher a confirmé l'attaque.
- E.Leclerc : « plusieurs magasins » touchés sur le fonctionnement du froid, sans chiffre communiqué.
Carrefour Market, Monoprix, Metro et des commerces indépendants (notamment des boucheries) sont cités mais non confirmés.
L'équipement en cause
Le point commun pointé par les sources : les régulateurs de froid Danfoss, en particulier d'anciennes versions logicielles antérieures à la v4. Danfoss indique que les unités concernées sont surtout des modèles anciens — AK-SM800 et AK-SC355 (fin de vie), ou AK-SM800A sous firmware obsolète — et dit accompagner ses clients sur les mises à jour firmware, la protection réseau et la suppression de l'exposition directe à Internet. L'ANSSI est également impliquée.
Le point d'entrée, la faille exploitée et l'accès utilisé ne sont pas identifiés. ZATAZ juge un bug logiciel probable, sans preuve. Aucune revendication n'a été publiée.
Que faire
- Inventoriez vos régulateurs de froid Danfoss (AK-SM800, AK-SC355, AK-SM800A) et relevez la version firmware.
- Retirez d'Internet toute interface d'automate de froid : pas d'exposition directe, accès uniquement via VPN et réseau d'administration cloisonné.
- Mettez à jour le firmware vers une version prise en charge ; isolez les modèles en fin de vie qui ne peuvent plus l'être.
- Surveillez les consignes anormales (dégivrage forcé, points de consigne aberrants) et journalisez les commandes distantes.
- Préparez un plan de repli denrées en cas de perte de pilotage, et un canal d'alerte hors bande vers l'exploitant du site.
Contexte
L'attaque illustre un angle mort : des automates OT exposés, souvent en fin de vie, pilotant un process physique coûteux à l'arrêt. Cyberattaque.org rappelle une note Danfoss d'octobre 2025 évoquant 16 supermarchés russes attaqués en 2022 via des contrôleurs AK-SM 800, modèle déclaré en fin de vie dès mai 2021. Le schéma se répète : l'équipement n'a pas changé, l'exposition non plus.