Cyberattaque des supermarchés : ce que révèle le piratage du froid

Réponse immédiate

La cyberattaque des supermarchés français d’octobre 2026 n’exploite pas une faille inconnue : elle vise des contrôleurs de froid joignables depuis Internet. Le CERT-FR cite les séries Danfoss AK-SM et AK-SC, Copeland xweb et Dixell xweb. Sur le modèle Danfoss encore maintenu, les failles publiques sont corrigées depuis 2025. La leçon relève de l’intelligence économique : la sécurité du froid dépend d’une chaîne fabricant, frigoriste, assureur et magasin, dans laquelle personne ne surveillait l’exposition.

Ce que disent les sources primaires de la cyberattaque des supermarchés

Trois sources primaires permettent d’établir les faits sans passer par la presse : l’alerte du CERT-FR, centre gouvernemental de veille et de réponse aux attaques informatiques rattaché à l’ANSSI ; les avis de sécurité publiés par Danfoss, le fabricant danois des contrôleurs les plus cités ; les fiches du registre international des vulnérabilités CVE (Common Vulnerabilities and Exposures).

L’alerte CERTFR-2026-ALE-012, intitulée « Incident de sécurité ciblant les contrôleurs à distance des installations de réfrigération », a été publiée le 12 octobre 2026 et mise à jour le 13 octobre pour « ajout d’autres équipements ciblés ». Elle vise quatre familles de produits : Danfoss série AK-SC, Danfoss série AK-SM, Copeland xweb et Dixell xweb. Elle ne cite aucun identifiant CVE et ne décrit pas le vecteur d’attaque. Sa phrase centrale tient en une ligne : « l’exposition d’une interface de gestion sur Internet est contraire aux bonnes pratiques ».

Ces contrôleurs pilotent les meubles réfrigérés, les chambres froides et les centrales de production de froid. Ils déclenchent aussi les cycles de dégivrage, ce qui explique que l’alerte demande de vérifier « notamment les plages de dégivrage » : modifier une consigne de dégivrage est une fonction normale d’administration, et non une faille en soi. Un attaquant qui obtient un accès administrateur n’a donc besoin d’aucun code malveillant pour faire monter la température.

Notre relevé : ce que les sources taisent au 15 octobre 2026

Pour cet article, nous avons relevé le 15 octobre 2026 la page officielle des avis de sécurité de Danfoss, la page logicielle du contrôleur AK-SM 800A et les fiches CVE correspondantes. Trois constats en ressortent.

Aucun avis du fabricant sur l’incident. La liste des avis de sécurité de Danfoss compte six entrées identifiées (DSA-2023-05-01, DSA-2023-08-01, DSA-2025-03-01, DSA-2025-08-01, DSA-2025-12-01, DSA-2026-08-01). Trois concernent l’AK-SM 8xxA. Aucune ne concerne la série AK-SC ni l’ancien AK-SM 800, et aucune n’est postérieure à l’alerte. La déclaration de Danfoss selon laquelle les équipements touchés étaient obsolètes ou non mis à jour circule par la presse ; nous ne l’avons trouvée sur aucune page du fabricant. Elle doit donc être lue comme la position d’une partie, pas comme un fait établi.

Des délais de correction longs. Entre la publication de CVE-2023-25915 et l’alerte du CERT-FR, 1 148 jours se sont écoulés. Entre l’avis DSA-2025-08-01 et l’alerte, 437 jours. Aucune source officielle n’établit à ce jour que ces failles précises ont servi à l’attaque : ces délais mesurent l’ancienneté des correctifs disponibles, pas la cause de l’incident.

Une exposition mesurée, mais non datée. L’équipe de recherche Team82 de Claroty, qui a signalé les failles de 2025, indique avoir trouvé 2 765 interfaces AK-SM 800A exposées sur Internet grâce au moteur de recherche Censys. La page ne précise pas la date du relevé : le chiffre prouve que l’exposition existait, pas son ampleur en octobre 2026.

Lecture intelligence économique : une dépendance de chaîne de sous-traitance

L’intelligence économique repose sur trois piliers : la veille, la protection et l’influence. Cet incident relève du deuxième, celui de la sécurité économique, et il montre que la protection d’un actif dépend souvent d’acteurs qui ne figurent dans aucun organigramme de sécurité.

L’alerte du CERT-FR le dit sans détour. Avant de couper la liaison Internet d’un contrôleur, elle demande de « vérifier les conditions contractuelles d’assurance avant de couper la remontée des données Internet vers le prestataire frigoriste ». Autrement dit, la connexion qui expose l’équipement peut être une obligation contractuelle. Quatre acteurs se partagent alors la décision : le fabricant, qui publie les correctifs ; le frigoriste, qui installe et télésurveille ; l’assureur, qui peut exiger la remontée des données ; le magasin, qui paie et subit. Chacun peut estimer que la mise à jour relève d’un autre.

Notre lecture, qui reste une hypothèse : le modèle des groupements de commerçants indépendants accentue cette dispersion, car chaque point de vente choisit ou hérite de son prestataire frigoriste. Une enseigne peut imposer une politique, elle ne gère pas forcément le parc d’équipements de chaque magasin. Seule une enquête auprès des enseignes permettrait de le vérifier.

Le sujet n’est pas une question de souveraineté numérique au sens habituel. Danfoss est un groupe danois, donc européen, et l’alerte vise aussi des produits Copeland et Dixell. Ce qui manque, c’est la maîtrise de la maintenance : savoir quel équipement est connecté, par qui, avec quelle version et pour quelle raison contractuelle.

Ce que voient les sources ouvertes, et ce qu’elles ne permettent pas

L’exposition d’un équipement sur Internet se mesure en sources ouvertes (OSINT). Des moteurs comme Shodan ou Censys indexent en permanence les services accessibles publiquement et leurs bannières, c’est-à-dire les informations qu’un service affiche à toute connexion. Claroty indique avoir cherché la signature de l’interface web StoreView de Danfoss sur ces plateformes. Un attaquant peut faire la même recherche : la veille d’exposition est symétrique.

Pour une entreprise, cette symétrie est une occasion. Vérifier ses propres adresses IP publiques dans ces moteurs fait partie d’une veille stratégique tenable, au même titre que la surveillance des avis de sécurité de ses fournisseurs. La limite est juridique : consulter un index public est une recherche en sources ouvertes ; tenter de se connecter à l’interface d’un équipement qui ne nous appartient pas relève de l’accès frauduleux à un système, réprimé par l’article 323-1 du Code pénal, dont le cadre est détaillé dans notre article sur l’OSINT.

Méthode : vérifier ses équipements de froid connectés en 7 étapes

Cette méthode suit l’ordre des recommandations de l’alerte du CERT-FR, cohérentes avec celles qu’il publiait dès janvier 2026 pour les installations industrielles connectées (filtrage des adresses sources, VPN, changement des mots de passe par défaut, correctifs rapides). Elle s’adresse au responsable d’un magasin, d’un entrepôt ou de tout site doté d’une installation frigorifique pilotée à distance.

1. Inventorier. Lister les contrôleurs de froid, leur marque, leur modèle et leur version logicielle. Pour un AK-SM 800A, la version installée se compare directement aux avis Danfoss (4.2 pour CVE-2025-41450, 4.3.1 pour les failles d’août 2025).
2. Mesurer l’exposition. Rechercher les adresses IP publiques du site dans Shodan ou Censys, ou faire tester l’accès depuis l’extérieur par son prestataire réseau. Toute interface de gestion visible doit être coupée d’Internet, comme le demande l’alerte.
3. Lire le contrat avant de couper. Vérifier les clauses d’assurance et le contrat de télésurveillance du frigoriste, puis prévenir l’un et l’autre de la coupure.
4. Vérifier la configuration. Contrôler les consignes de température et les plages de dégivrage, puis comparer avec la configuration attendue.
5. Rétablir l’accès proprement. Passer par un VPN ou un réseau protégé. Le filtrage par adresse IP des prestataires est admis dans l’urgence, mais le CERT-FR précise qu’il « ne doit pas être considéré comme pérenne ».
6. Durcir l’équipement. Appliquer le dernier logiciel du fabricant, changer les mots de passe par défaut et, pour Danfoss, régler le niveau de sécurité sur le mode Strict, comme le recommande l’alerte.
7. Exiger des preuves du prestataire. Demander par écrit la version installée, le mode de connexion et la date de la dernière mise à jour. C’est une question de due diligence fournisseur comme une autre, et elle se pose avant la signature du contrat.

Limites et précautions

La mise à jour ne suffit pas si l’on rouvre la porte. La page logicielle de Danfoss pour l’AK-SM 800A décrit trois niveaux de contrôle de session. Le mode Strict est activé par défaut après l’installation de la version 4.0.x : il impose le HTTPS et une authentification par jeton de session. Le mode « Backward Compatible », que Danfoss déclare non recommandé, rétablit le HTTP sans jeton. Un prestataire qui repasse dans ce mode pour garder une intégration ancienne annule une partie du bénéfice de la mise à jour.

La réinitialisation seule est insuffisante. Pour un équipement compromis, le CERT-FR recommande une remise aux paramètres d’usine, mais il prévient qu’un équipement en fin de vie, sans correctif, restera vulnérable « et sera certainement de nouveau compromis » s’il reste exposé. Pour un modèle qui ne reçoit plus de mises à jour, la seule protection durable est de ne plus l’exposer, puis de le remplacer.

L’attribution n’est pas établie. Au 15 octobre 2026, aucune source officielle consultée ne désigne d’auteur ni de vecteur d’attaque. Toute analyse qui relie l’incident à un groupe précis ou à une faille précise reste une hypothèse.

Les chiffres de l’incident ne sont pas consolidés. Les nombres de magasins touchés qui circulent proviennent de déclarations rapportées par la presse. Aucun décompte officiel écrit n’était consultable à la date de cet article ; nous n’en reprenons donc aucun.

Questions fréquentes

Quels équipements sont visés par la cyberattaque des supermarchés ?

L’alerte du CERT-FR du 12 octobre 2026, mise à jour le 13, vise les contrôleurs à distance des installations de réfrigération Danfoss séries AK-SM et AK-SC, Copeland xweb et Dixell xweb.

Les failles des contrôleurs Danfoss étaient-elles connues ?

Oui pour l’AK-SM 800A : trois failles publiées le 21 août 2023, une le 8 mai 2025 et deux autres corrigées par la version 4.3.1 selon l’avis du 1er août 2025. Aucune source officielle n’établit toutefois que ces failles ont servi à l’attaque.

Que recommande le CERT-FR ?

Supprimer l’exposition sur Internet après avoir vérifié son contrat d’assurance, puis contrôler la configuration et les plages de dégivrage. Rétablir ensuite l’accès par VPN ou réseau protégé, mettre à jour le logiciel et changer les mots de passe par défaut. En cas de compromission, réinitialiser puis reconfigurer l’équipement.

Une simple mise à jour protège-t-elle un contrôleur exposé ?

Non. Elle corrige les failles connues, mais l’interface reste attaquable par d’autres moyens, par exemple un mot de passe faible. Le CERT-FR considère l’exposition elle-même comme contraire aux bonnes pratiques.

Peut-on vérifier soi-même l’exposition de ses équipements ?

Oui, en cherchant ses propres adresses IP publiques dans un moteur comme Shodan ou Censys. La recherche dans un index public est légale ; se connecter à un équipement qui ne vous appartient pas ne l’est pas.

Sources

1. « CERTFR-2026-ALE-012 : Incident de sécurité ciblant les contrôleurs à distance des installations de réfrigération », CERT-FR (ANSSI), cert.cyber.gouv.fr, 12/10/2026, mise à jour du 13/10/2026, consulté le 15/10/2026.
2. « Danfoss security advisories », Danfoss, danfoss.com, consulté le 15/10/2026.
3. « DSA-2023-08-01 », Danfoss, danfoss.com, août 2023, consulté le 15/10/2026.
4. « DSA-2025-03-01 », Danfoss, danfoss.com, mis à jour le 01/09/2025, consulté le 15/10/2026.
5. « DSA-2025-08-01 », Danfoss, danfoss.com, 01/08/2025, consulté le 15/10/2026.
6. « AK-SM 800A Series », page logicielle et sécurité produit, Danfoss, danfoss.com, consulté le 15/10/2026.
7. « CVE-2023-25915 », CVE Program, cve.org, publiée le 21/08/2023, consultée le 15/10/2026.
8. « CVE-2025-41450 », CVE Program, cve.org, publiée le 08/05/2025, consultée le 15/10/2026.
9. « CVE-2025-41451 », CVE Program, cve.org, publiée le 22/08/2025, consultée le 15/10/2026.
10. « Freeze the Controller, Defrost the Food: Uncovering Vulnerabilities in Danfoss Refrigeration Controllers », Claroty Team82, claroty.com, consulté le 15/10/2026.
11. « CERTFR-2025-DUR-003 : Recommandations à destination des acteurs du secteur de l’énergie et de l’eau », CERT-FR (ANSSI), cert.cyber.gouv.fr, 22/01/2026, consulté le 15/10/2026.

À jour au 15/10/2026.

PUBLIÉ LE 16.10.2026 · UNE ERREUR ? SIGNALEZ-LA