Le CERT-FR alerte sur des attaques contre les contrôleurs frigorifiques

Le CERT-FR a publié le 12 octobre une alerte (mise à jour le 13) sur des attaques visant les contrôleurs à distance d'installations de réfrigération. L'agence dit avoir connaissance de « nombreuses compromissions » et estime que des campagnes sont « probablement toujours en cours ». Déclencheur : dans la nuit du 11 au 12 octobre, des opérateurs ont saboté les systèmes de froid de plusieurs enseignes françaises. Si vous exploitez ces équipements, coupez leur exposition Internet aujourd'hui.

Source primaire : l'avis CERTFR-2026-ALE-012. Reporting détaillé chez IT-Connect.

Équipements concernés

Le CERT-FR liste :

• Danfoss, séries AK-SC et AK-SM
• Copeland xweb
• Dixell xweb

L'avis ne précise ni le nombre d'installations touchées ni le niveau de risque, « non spécifié par l'éditeur ». Il ne fournit aucun CVE, aucun IOC et aucun détail technique sur le mode opératoire.

Ce qui s'est passé

Selon IT-Connect, les attaquants ont déclenché à distance un dégivrage continu avec une consigne de 50 °C : les meubles et chambres froides chauffaient au lieu de refroidir. L'article cite, via l'AFP, 150 à 200 magasins Intermarché touchés — l'enseigne la plus affectée — moins d'une centaine de magasins de la coopérative U, et des magasins Leclerc, Carrefour Market et Monoprix. L'Intermarché de Mur-de-Bretagne a dû jeter l'ensemble de ses produits frais. « Les pirates n'ont pas ciblé les données, mais bien les équipements eux-mêmes », écrit IT-Connect.

Sur le volet vulnérabilités, prudence. Les chercheurs de Claroty (Team82) ont présenté en août 2026, à la DEF CON, trois failles du Danfoss AK-SM 800A — CVE-2025-41450 (contournement d'authentification par mot de passe « du jour » dérivé de la date), CVE-2025-41451 (injection de commande menant à une RCE post-authentification) et CVE-2025-41452 (déni de service) — corrigées par Danfoss dans le firmware R4.3.1 (avis CISA ICSA-25-140-03). Le CERT-FR n'attribue l'attaque à aucune de ces failles, et IT-Connect ne confirme pas de lien direct. À retenir surtout : des milliers d'interfaces de gestion restent exposées publiquement (2 765 appareils selon le scan Censys de Claroty).

Que faire

Recommandations du CERT-FR, par ordre de priorité :

1. Supprimer l'exposition Internet des unités concernées. Vérifiez auparavant les clauses de votre contrat d'assurance avant de couper la remontée de données vers le prestataire frigoriste.
2. Rétablir l'accès uniquement via un VPN sécurisé ou un réseau protégé. Un filtrage des IP sources des prestataires peut dépanner, mais n'est pas pérenne.
3. Vérifier toute la configuration, en particulier les plages de dégivrage.
4. Appliquer les bonnes pratiques constructeur. Pour Danfoss : mise à jour du firmware, passage du niveau de sécurité en mode Strict, changement des mots de passe par défaut.
5. Si l'équipement est compromis : reset usine, reconfiguration complète avant remise en service, puis les mesures ci-dessus. Le CERT-FR prévient qu'« n'effectuer qu'un Reset Factory est dans ce cas insuffisant » : les persistances partent, mais un équipement en fin de vie sans correctif reste fortement exposé.

Lecture entre les lignes

Le CERT-FR ne nomme pas d'acteur et ne lie pas l'attaque à un CVE précis. Ce qui est factuel : des contrôleurs OT exposés à Internet, des mots de passe par défaut et du firmware ancien ont transformé un système de froid en cible triviale. Le sabotage physique — gâcher des stocks plutôt que voler des données — reste rare en France ; c'est le signal qui mérite d'être suivi.