Une cyberattaque contre les réfrigérateurs fragilise la distribution alimentaire

Dans un supermarché, le contrôle informatique du froid commande aussi la conservation des marchandises. Une cyberattaque contre les réfrigérateurs peut donc provoquer des pertes physiques sans toucher aux caisses ni aux systèmes de paiement. Plusieurs enseignes françaises font face à cette situation : des installations frigorifiques ont été perturbées et des denrées doivent être éliminées.

Intermarché et Coopérative U ont confirmé être concernés. Dominique Schelcher, dirigeant de Coopérative U, a indiqué que des installations de production de froid de plusieurs magasins du réseau avaient été touchées depuis la nuit de dimanche à lundi. Intermarché a précisé que les points de vente affectés devraient jeter les produits frais et surgelés concernés.

Selon les services du Premier ministre Sébastien Lecornu, celui-ci suit personnellement la situation et a demandé à l’Agence nationale de la sécurité des systèmes d’information de l’examiner. L’enjeu dépasse la disponibilité d’un logiciel : il porte sur la capacité des distributeurs à maintenir leurs stocks dans des conditions compatibles avec leur commercialisation.

Une cyberattaque contre les réfrigérateurs aux effets matériels

Le froid constitue une infrastructure de la distribution alimentaire. Sa continuité conditionne la conservation des produits, leur durée de vie et leur disponibilité en rayon. Lorsqu’une installation ne remplit plus cette fonction, le rétablissement du système informatique ne suffit pas nécessairement à remettre les marchandises en vente. Les produits devenus impropres à la commercialisation restent perdus après la réparation.

Cette différence est centrale. Dans certains incidents informatiques, la reprise permet de rattraper une partie du travail interrompu. Pour des denrées périssables, le temps écoulé peut produire une perte irréversible. L’attaque transforme ainsi une dépendance logicielle en destruction de stocks, puis en besoin de réapprovisionnement.

Les informations disponibles ne permettent toutefois pas de chiffrer les pertes, de déterminer le nombre exact de magasins touchés ou d’établir la durée des perturbations. Elles ne démontrent pas non plus une pénurie alimentaire à l’échelle nationale. Des destructions de produits sont signalées ; une rupture générale de l’approvisionnement ne l’est pas. Cette distinction doit guider l’évaluation de l’incident.

Une vulnérabilité logicielle suivie par l’ANSSI

Matignon indique que l’ANSSI a identifié une faille dans un logiciel fourni par une entreprise danoise et pris contact avec celle-ci. Cette information situe un point de l’enquête technique. Elle ne constitue pas, à elle seule, une description complète de la manière dont les attaquants ont accédé aux installations ni des opérations qu’ils y ont effectuées.

L’intervention de l’ANSSI, l’autorité nationale en matière de cybersécurité et de cyberdéfense, donne à l’incident une dimension qui dépasse chaque magasin. L’agence peut contribuer à l’analyse technique et à la coordination de la réponse. Les éléments transmis par Matignon ne précisent cependant ni les mesures correctives engagées ni le calendrier de remise en service.

La cyberattaque contre les réfrigérateurs pose surtout la question d’une dépendance commune. Lorsqu’un même logiciel équipe plusieurs installations, une vulnérabilité peut exposer des exploitants distincts. Il reste à établir dans quelle mesure ce mécanisme explique l’étendue de l’incident actuel. La présence de plusieurs enseignes parmi les victimes ne suffit pas à reconstituer toute la chaîne technique.

Aucun élément communiqué ne permet d’attribuer l’opération à un groupe identifié ou à un État. Les informations disponibles ne permettent pas davantage de qualifier son objectif : extorsion, sabotage ou autre finalité. Le constat matériel est plus solide que toute hypothèse sur l’intention des auteurs.

Une coordination européenne, sans bilan continental établi

Les services du Premier ministre précisent que l’ANSSI échange avec ses homologues européens, d’autres pays pouvant être concernés. Cette coordination répond à la possibilité qu’un fournisseur équipe des installations dans plusieurs marchés nationaux. Elle ne signifie pas que des perturbations ont déjà été confirmées dans chacun de ces pays.

Christophe Hansen, commissaire européen à l’agriculture et à l’alimentation, a condamné l’attaque. Il a également mentionné E.Leclerc. En l’absence de confirmation publique de l’enseigne dans les éléments disponibles, celle-ci ne peut toutefois pas être présentée comme une victime établie. La portée européenne de la réponse et le périmètre des magasins effectivement touchés restent deux questions distinctes.

La continuité du froid comme enjeu de sécurité

Pour les distributeurs, une cyberattaque contre les réfrigérateurs oblige à examiner ensemble sécurité informatique et continuité d’exploitation. Les points à vérifier sont concrets : détection d’une anomalie de température, possibilité de reprendre la commande des équipements, isolement d’une installation compromise et capacité à conserver les produits ailleurs. Rien ne permet, à ce stade, de dire lesquels de ces moyens étaient disponibles dans les magasins concernés.

Le bilan utile devra donc mesurer davantage que le rétablissement des logiciels. Il devra distinguer les installations remises en service, les denrées détruites et les délais de retour à un fonctionnement normal. C’est sur ces éléments que se jugera la résilience d’une chaîne alimentaire dont une partie des infrastructures physiques dépend désormais de commandes numériques.