Veille La chaîne du froid sous contrôle distant
Supermarchés : la cyberattaque transforme le froid en point de rupture
Le pilotage à distance des installations frigorifiques a ouvert une voie d’attaque contre les stocks alimentaires. L’incident expose la dépendance des magasins à des équipements connectés dont la sécurisation conditionne leur activité.
Un accès informatique peut suffire à rendre inutilisable un stock alimentaire, sans pénétrer dans le magasin ni interrompre son alimentation électrique. La cyberattaque contre les supermarchés survenue en France dans la nuit du 11 au 12 octobre met en évidence cette vulnérabilité : des intrus ont pris le contrôle d’équipements de gestion du froid et modifié leur fonctionnement, provoquant des pertes de marchandises et des perturbations d’exploitation.
Les Mousquetaires déclarent que 300 de leurs magasins ont été compromis, avec des effets allant du dysfonctionnement à l’indisponibilité complète des installations. Coopérative U fait état de 80 magasins ciblés sur un réseau de près de 2 000 établissements, soit environ 4 %. Ces chiffres ne constituent pas un bilan national consolidé. Carrefour, Monoprix et E.Leclerc figurent également parmi les enseignes touchées.
Le parquet de Paris a ouvert une enquête confiée à l’Office anti-cybercriminalité. Elle doit notamment identifier les victimes et établir le lien entre les intrusions et les dommages signalés, qu’il s’agisse de denrées détériorées ou de départs de feu. Les incendies rapportés ne doivent donc pas être présentés comme des conséquences judiciairement établies de l’attaque.
Une cyberattaque contre les supermarchés par leurs équipements de gestion
La cible n’est pas ici la caisse ou le fichier clients. Ce sont les contrôleurs et systèmes de supervision qui permettent de surveiller les températures, de déclencher des alertes et de gérer les installations frigorifiques. Leur fonction est opérationnelle : une commande numérique peut modifier directement les conditions de conservation des produits.
Le mode opératoire décrit consiste à forcer des cycles de dégivrage et à manipuler les réglages jusqu’à 50 °C. Ce chiffre caractérise les paramètres imposés aux équipements ; il ne constitue pas une mesure uniforme de la température atteinte par toutes les marchandises. Le dommage dépend ensuite de la durée de l’incident, des installations concernées et de la rapidité d’intervention du personnel.
Dans son alerte sur les systèmes de gestion du froid, le CERT-FR, centre de réponse aux incidents de l’ANSSI, signale des compromissions concernant les séries Danfoss AK-SM et AK-SC ainsi que les systèmes Copeland XWEB et Dixell XWEB. Le périmètre dépasse donc un seul fabricant. Cela ne signifie pas pour autant que tous ces appareils ont été compromis par une vulnérabilité identique.
Cette distinction importe pour la remise en état. Identifier un équipement touché ne suffit pas : il faut déterminer son exposition, sa version logicielle et les moyens par lesquels un tiers a pu en prendre le contrôle.
Un correctif disponible ne protège pas un parc entier
Le risque avait été documenté avant l’incident. En août 2025, des chercheurs de Claroty avaient présenté des failles de la plateforme Danfoss AK-SM 800A. Elles concernaient notamment un mécanisme d’authentification et une possibilité d’injection de commandes. Danfoss avait publié une mise à jour du micrologiciel pour corriger les défauts identifiés.
La ressemblance entre les possibilités démontrées et les manipulations observées ne suffit cependant pas à établir le chemin technique exact suivi dans chaque magasin. L’enquête et l’analyse des équipements doivent distinguer les failles effectivement exploitées des risques déjà connus.
La cyberattaque contre les supermarchés illustre surtout l’écart entre la publication d’un correctif et la protection effective des installations. Un fabricant peut fournir une nouvelle version sans que tous les appareils en service soient immédiatement mis à jour. Dans un réseau de magasins, la sécurité dépend également du paramétrage des accès, de la maintenance et de la connaissance du parc installé.
Le CERT-FR demande de ne pas exposer les interfaces de gestion à l’internet public et avertit que les campagnes pourraient se poursuivre. Il précise aussi qu’une réinitialisation ne suffit pas pour un équipement non corrigé : si la voie d’entrée reste ouverte, une nouvelle compromission demeure possible. Rétablir le fonctionnement et supprimer la vulnérabilité sont deux opérations différentes.
Des pertes locales, une dépendance commune
Les Mousquetaires évaluent leurs pertes à plusieurs millions d’euros, sans fournir dans les éléments disponibles de ventilation entre stocks détruits, matériel endommagé et interruption d’activité. Ce montant concerne l’incident, pas un programme pluriannuel de sécurisation. Il ne permet ni de calculer un coût moyen fiable par magasin ni d’estimer la facture totale pour la distribution française.
Le groupe prévoit environ une semaine pour retrouver un fonctionnement normal pour les clients, mais deux à trois semaines pour restaurer complètement ses systèmes. Ce décalage montre qu’un magasin peut reprendre une partie de son activité avant que son environnement technique soit entièrement rétabli.
Chez Coopérative U, Dominique Schelcher indique que les interventions des équipes ont évité une rupture de la chaîne du froid dans la grande majorité des magasins ciblés. Dans les autres cas, les produits concernés ont été retirés et détruits. La présence humaine demeure ainsi une protection immédiate lorsque la supervision numérique devient elle-même le vecteur de l’incident.
Ces dommages ne démontrent pas une pénurie alimentaire nationale. Ils révèlent néanmoins une dépendance partagée : plusieurs enseignes peuvent subir simultanément des perturbations parce qu’elles utilisent des familles d’équipements accessibles à distance. Le contrôle des installations devient alors un levier de désorganisation des ventes et de destruction des stocks.
Conserver la télésurveillance sans ouvrir le contrôle
Dominique Schelcher défend le recours aux équipements connectés pour surveiller les températures en continu et réagir rapidement aux anomalies. L’enjeu n’est donc pas simplement de supprimer le pilotage distant. Il est de distinguer un accès de maintenance maîtrisé d’une interface directement accessible depuis l’internet public.
La cyberattaque contre les supermarchés déplace ainsi la question de sécurité vers l’exploitation quotidienne. Qui inventorie les contrôleurs, applique les correctifs et autorise les accès ? La responsabilité ne peut se limiter à la disponibilité d’une mise à jour chez le fabricant. Elle concerne toute la chaîne de gestion de l’équipement, jusqu’au magasin.
L’identité des auteurs et leurs objectifs ne sont pas établis dans les éléments disponibles. Une attribution à un État ou à une stratégie de déstabilisation serait prématurée. Le mécanisme économique, lui, est visible : prendre la main sur quelques fonctions de commande permet de détruire des marchandises et d’immobiliser des installations. La restauration durable exige donc davantage que le retour des températures à la normale : elle suppose de fermer les accès qui ont rendu cette prise de contrôle possible.
