Frigos de supermarchés piratés : une attaque annoncée depuis 2022 sur des contrôleurs en fin de vie

Dans la nuit du dimanche 11 au lundi 12 octobre 2026, les responsables de plusieurs centaines de supermarchés français ont découvert que leurs vitrines réfrigérées, chambres froides et congélateurs avaient été placés à distance en dégivrage forcé, avec des consignes relevées jusqu’à 50 °C selon le président des Mousquetaires, Thierry Cotillard. Au matin, les rayons de surgelés et de produits frais partaient à la benne. Le lendemain, le ministre de l’Économie évoquait devant le Parlement environ 700 magasins touchés, et le parquet de Paris avait ouvert une enquête confiée à l’Office anticybercriminalité.

Aucune donnée personnelle n’a été dérobée, et c’est précisément ce qui rend l’épisode instructif : plutôt qu’un fichier clients ou un serveur de messagerie, l’attaque a visé un boîtier de régulation du froid, installé par un frigoriste, administré par une interface web et, dans de nombreux magasins, accessible directement depuis Internet. Ce type d’équipement, que l’on range sous l’étiquette de technologie opérationnelle, échappe le plus souvent aux inventaires et aux audits des équipes informatiques.

Nous avons repris les sources primaires disponibles au 14 octobre (bulletin d’alerte du CERT-FR, avis de sécurité du fabricant, avis des chercheurs, lettre technique du constructeur d’octobre 2025) pour établir ce qui est vérifié, ce qui relève d’une déclaration d’acteur et ce qui reste inconnu, en particulier le vecteur exact de l’intrusion.

Dans cet article, vous découvrirez :

• Ce que l’on sait de l’attaque du 12 octobre et ce que l’enquête n’a pas encore établi
• Ce que pilote un contrôleur AK-SM 800 et qui, dans un magasin, en détient réellement l’accès
• La chronologie des alertes publiées entre 2016 et 2026, et la réponse apportée à chacune
• Combien d’interfaces restent exposées sur Internet, et pourquoi les chiffres divergent
• Les actions à engager pour les DSI, les RSSI et les dirigeants de réseaux de magasins

Ce que l’on sait de la nuit du 11 au 12 octobre

Les premiers signalements sont venus des enseignes elles-mêmes. Le président de Coopérative U, Dominique Schelcher, a confirmé l’attaque sur X le 12 octobre, et chaque groupe a ensuite communiqué ses propres chiffres à l’AFP, à BFM Business ou à franceinfo. Ces décomptes ont évolué d’heure en heure, et ils ne reposent pas tous sur la même définition d’un magasin « touché » (meubles froids réellement dégivrés, ou simplement déconnectés par précaution).

Enseigne	Magasins concernés (déclaration de l’enseigne)	Évolution des chiffres
Intermarché et Netto (Les Mousquetaires)	Au moins 300 points de vente	150 le 12 octobre, 180 puis 300 le 13 octobre
Coopérative U	Moins d’une centaine	« Plusieurs magasins » le 12 octobre
Carrefour	80 supermarchés sur 6 000	Stable
Monoprix (groupe Casino)	Une trentaine, soit 5 % du parc	Stable
E.Leclerc	« Plusieurs magasins », dont un dans le Tarn le 13 octobre	Non chiffré

Le mode opératoire décrit par les distributeurs est le même partout : les attaquants ont modifié les consignes des contrôleurs de froid à distance, déclenché des cycles de dégivrage et, selon Le Monde cité par TIME, allongé dans certains cas la durée de ces cycles d’une heure à huit heures pour retarder les alarmes. Un gérant de Carrefour Market à Rennes a indiqué à France 3 que ses congélateurs affichaient une consigne de 95 °C dans l’application. Le parquet de Paris a précisé à l’AFP que l’enquête devait aussi établir le lien avec les pertes de denrées alimentaires et avec des « équipements ayant commencé à prendre feu ».

Les pertes se chiffrent magasin par magasin : environ 60 000 euros pour un magasin d’Etréchy, dans l’Essonne, 270 000 euros pour deux magasins de Haguenau, de 180 000 à 200 000 euros pour un hypermarché selon Dominique Schelcher. À l’échelle nationale, Thierry Cotillard a évoqué sur BFMTV plusieurs dizaines de millions d’euros en une seule journée, et Intermarché a indiqué à l’AFP que les assurances, qui ne couvrent pas ce type d’incident, seraient l’un des points durs. La Fédération du commerce et de la distribution a demandé au fabricant et aux frigoristes une « transparence totale ».

Ce que l’enquête n’a pas encore établi

Trois éléments restent inconnus au 14 octobre, et il importe de ne pas les combler par des hypothèses. D’abord, le vecteur exact de l’intrusion : ni le CERT-FR ni Danfoss n’ont désigné une vulnérabilité précise, et Claroty, dont les travaux sur ces contrôleurs sont cités partout, écrit elle-même qu’aucun détail n’est disponible sur la façon dont les attaquants ont accédé aux magasins. L’affirmation, entendue sur RMC, selon laquelle « c’était à chaque fois la date du jour qui permettait de se connecter à tous ces équipements » est celle d’un intervenant, le hackeur éthique Clément Domingo, et non une conclusion de l’enquête. Ensuite, l’auteur : aucune revendication, aucune demande de rançon, aucune attribution publique. Enfin, le périmètre européen : Reuters, citant un analyste de Sekoia, mentionne des magasins en Espagne, au Portugal, en Pologne, en Allemagne et en Belgique, sans confirmation officielle de ces pays.

Ce que pilote un AK-SM 800, et qui en détient l’accès

Les boîtiers en cause sont des gestionnaires de système pour installations frigorifiques commerciales : un contrôleur central qui supervise les régulateurs de chaque vitrine, de chaque chambre froide et des groupes de production de froid d’un magasin. Depuis son interface web, un technicien règle les consignes de température, programme les dégivrages, consulte les alarmes et agit sur l’ensemble du parc d’un point de vente. Le fabricant danois Danfoss en commercialise plusieurs générations : l’AK-SC 355, retiré en 2016, l’AK-SM 800, déclaré en fin de vie en mai 2021, et l’AK-SM 800A, génération actuelle qui reçoit encore des mises à jour.

Danfoss a indiqué à franceinfo et à Cooling Post que la majorité des équipements compromis en France étaient des AK-SM 800 et des AK-SC 355, qui ne reçoivent plus aucun correctif, auxquels s’ajoutent des AK-SM 800A dont le micrologiciel n’avait pas été mis à jour. Le CERT-FR a élargi son bulletin le 13 octobre aux systèmes xweb de Copeland et de Dixell, après la compromission d’un E.Leclerc du Tarn équipé de régulateurs Dixell. Le problème concerne donc une catégorie d’équipements plutôt qu’une marque en particulier.

La question de l’accès est centrale pour comprendre la suite. Dans un réseau d’indépendants comme Intermarché, E.Leclerc ou Coopérative U, le magasin est propriétaire de son installation frigorifique et décide de son renouvellement, mais il n’a généralement ni les compétences ni l’outillage pour évaluer la sécurité d’un contrôleur. L’installation, la maintenance et la télésurveillance sont confiées à un frigoriste, qui conserve souvent un accès distant permanent pour intervenir sur alarme. Intermarché a d’ailleurs présenté, dans sa première communication, les systèmes touchés comme ceux d’un prestataire. Les équipes informatiques de l’enseigne, elles, ne voient le plus souvent pas ces équipements, qui relèvent des services techniques du bâtiment. Kévin Tellier, de Synacktiv, résume dans Informatiquenews la « double erreur » à l’origine de l’incident : une interface exposée sur Internet, et une authentification faible derrière cette interface.

Dix ans de signaux, et la réponse apportée à chacun

La chronologie qui suit ne repose que sur des documents publics : les avis de sécurité de Danfoss, les avis de la CISA américaine, l’avis de Synacktiv, les publications de Claroty et la lettre technique de Danfoss d’octobre 2025.

Date	Événement	Source
2016	Retrait des AK-SC 255 et AK-SC 355	Danfoss, Tech Insider d’octobre 2025
Mai 2021	L’AK-SM 800 est déclaré en fin de vie : plus de correctifs de sécurité	Danfoss, Tech Insider d’octobre 2025
2022	Seize supermarchés russes équipés d’AK-SM 800 attaqués « au début de la guerre » ; quarante magasins israéliens piratés, sans pare-feu ni VPN selon le fabricant	Danfoss, Tech Insider d’octobre 2025
Février à mai 2023	Synacktiv signale à Danfoss un contournement d’authentification sur SM800 et SC255 par « code du jour » ; Danfoss répond que seuls des produits en fin de vie sont concernés	Avis Synacktiv, mis à jour le 31 octobre 2023
Août 2023	Trois CVE sur l’AK-SM 800A (dont une exécution de commande à distance notée 9,8), corrigées en version 3.3	Danfoss DSA-2023-08-01
Mars 2025	CVE-2025-41450 : contournement d’authentification sur l’AK-SM 8xxA par mot de passe dérivé de la date et de l’heure, corrigé en version 4.2	Danfoss DSA-2025-03-01, CISA ICSA-25-140-03
Août 2025	CVE-2025-41451 et 41452 : injection de commande et injection de configuration Nginx, corrigées en version 4.3.1	Danfoss DSA-2025-08-01
Octobre 2025	Danfoss annonce une fin de service stricte des produits en fin de vie et invite ses clients à les remplacer	Danfoss, Tech Insider d’octobre 2025
9 août 2026	Claroty publie ses travaux détaillés et compte 2 765 AK-SM 800A exposés sur Internet (relevé Censys)	Claroty Team82
12 octobre 2026	Attaque en France ; alerte CERTFR-2026-ALE-012	CERT-FR

Deux points de cette chronologie méritent d’être précisés, parce que les récits qui circulent les simplifient. Le mécanisme de mot de passe calculé à partir de la date n’a pas été découvert en 2025 : Synacktiv l’a documenté dès février 2023 sur les anciens SM800 et SC255, code décompilé à l’appui, en montrant qu’un attaquant pouvait forger le code du jour puisque la date de l’appareil se lit sans authentification. Danfoss a répondu le 13 mars 2023 que la faille ne concernait que des produits en fin de vie et a défini des contre-mesures réseau avec une notification à ses clients. Ce que Claroty a trouvé en 2025, c’est un mécanisme de même nature sur la génération suivante, l’AK-SM 800A, cette fois corrigé par une mise à jour. Les deux générations ont donc partagé une même faiblesse, documentée publiquement depuis trois ans et demi.

Le second point concerne le fabricant. Danfoss a bien publié ses correctifs et déclaré ses fins de vie, et sa lettre technique d’octobre 2025 ne laisse aucun doute sur sa connaissance du risque, puisqu’elle cite les attaques de 2022 pour justifier le remplacement des anciens boîtiers. Mais un avis de sécurité adressé à des frigoristes, ou une lettre technique publiée sur un site de fabricant, n’atteint pas le gérant d’un supermarché. Claroty rappelle elle-même que ses travaux ont été publiés et présentés à la conférence DEF CON de Las Vegas en août 2026, deux mois avant l’attaque ; Infosecurity Magazine rapporte qu’une démonstration y montrait un contrôleur compromis coupant le froid tout en affichant de fausses températures, détail que Claroty ne reprend pas dans sa propre publication et que nous n’avons pas pu recouper.

Combien d’interfaces restent exposées, et pourquoi les chiffres divergent

Le lendemain de l’attaque, plusieurs équipes ont interrogé les moteurs de recherche d’équipements connectés. Leurs résultats varient du simple au double, ce qui s’explique par la méthode : Shodan compte des bannières de services (un même appareil qui répond sur plusieurs ports est compté plusieurs fois), Censys compte des hôtes uniques, et les requêtes ne ciblent pas toutes le même modèle.

Source	Date	Méthode	Résultat
Claroty Team82	Août 2026	Censys, AK-SM 800A uniquement	2 765 appareils dans le monde
Baptiste Robert (Predicta Lab)	12 octobre 2026	Interfaces Danfoss	2 752 systèmes, dont 1 590 en France (58 %)
Reuters	13 octobre 2026	Shodan, interfaces Danfoss	Au moins 4 500 interfaces
SOCRadar	13 octobre 2026	Shodan puis Censys, page StoreView	2 898 résultats en France sur Shodan, 881 hôtes sur Censys
TIME, citant UK Cyber Defence	13 octobre 2026	Scans mondiaux	Près de 60 % des contrôleurs exposés sont en France

La part française se situe donc entre 55 et 65 % du parc exposé selon l’outil et la date, loin devant l’Afrique du Sud, le Portugal, la Belgique ou la Pologne. Ces chiffres mesurent une exposition et non une compromission, puisqu’un contrôleur visible sur Internet n’est pas nécessairement vulnérable ; la société française Onyphe, citée par Reuters, estime seulement qu’une petite minorité des interfaces visibles semble à jour. Le CERT-FR estime pour sa part que des campagnes d’attaque sont probablement toujours en cours contre ces équipements, ce qui donne à ces décomptes une valeur opérationnelle immédiate.

Une responsabilité répartie entre quatre acteurs

L’épisode illustre une dilution des responsabilités que l’on retrouve dans la plupart des incidents touchant des équipements techniques. Le fabricant a publié des correctifs et déclaré des fins de vie, mais ses produits restent en service bien au-delà. Le frigoriste installe et maintient le boîtier, détient l’accès distant et applique, ou non, les mises à jour, selon ce que prévoit son contrat. L’exploitant du magasin est propriétaire de l’équipement et seul décideur de son remplacement, sans disposer de l’expertise pour en mesurer l’urgence. L’équipe sécurité de l’enseigne, enfin, n’avait souvent pas connaissance de l’existence même de ces interfaces.

Le bulletin du CERT-FR en tient compte de façon très concrète. Il recommande de retirer sans délai toute exposition sur Internet, mais demande de vérifier les conditions d’assurance avant de couper la liaison de données avec le frigoriste, parce que la télésurveillance peut conditionner la couverture des pertes de marchandises. Il précise aussi qu’un équipement en fin de vie remis en service après une simple réinitialisation d’usine sera très probablement compromis à nouveau. Autrement dit, pour un AK-SM 800 ou un AK-SC 355, la seule réponse durable est l’isolement complet du réseau ou le remplacement.

Sur le plan juridique, Informatiquenews relève que la répartition des responsabilités dépendra des versions effectivement compromises, des obligations contractuelles de chacun et de la configuration des accès distants. Le fabricant lui-même invoque, sans la nommer, une « législation européenne récente » en matière de cybersécurité pour justifier sa politique de fin de service. Le règlement sur la cyber-résilience, qui impose aux fabricants une durée de support et une gestion des vulnérabilités, et la directive NIS 2, qui soumet les entreprises du secteur alimentaire à des obligations de gestion des risques au-delà d’une certaine taille, forment le cadre dans lequel ces contrats devront désormais s’écrire.

La technologie opérationnelle, angle mort des équipes sécurité

Ce qui frappe dans cette attaque, c’est qu’aucune des victimes ne considérait un rayon de surgelés comme une cible. La technologie opérationnelle regroupe les systèmes qui agissent sur le monde physique : automates industriels, gestion technique du bâtiment, climatisation, froid, contrôle d’accès. Ces équipements ont été conçus pour la fiabilité et le coût, à une époque où ils n’étaient pas accessibles à distance, comme le rappelle à l’AFP Antoine Hautin, du cabinet Almond. Leur durée de vie se compte en dizaines d’années, alors qu’un contrôleur cesse de recevoir des correctifs au bout de quelques-unes, et ils sont gérés par des services techniques qui ne partagent ni les outils ni les inventaires de la direction informatique.

L’ANSSI consacre à ces systèmes un guide de classification spécifique, et le NIST américain décrit dans sa publication SP 800-82 des principes directement applicables ici : séparer les réseaux industriels des réseaux bureautiques, ne jamais exposer une interface d’administration sur Internet, passer tout accès distant par un point d’entrée maîtrisé. La CISA range d’ailleurs l’usage de logiciels en fin de support, les identifiants par défaut et l’administration à distance sans second facteur parmi ses trois « mauvaises pratiques » les plus dangereuses, « en particulier lorsque l’équipement est accessible depuis Internet ». Les contrôleurs de froid des magasins touchés cumulaient, au moins pour les plus anciens, les trois.

Actions concrètes pour les DSI, RSSI et dirigeants de réseaux

Les consignes du CERT-FR s’adressent aux exploitants de contrôleurs de froid, mais la démarche vaut pour tout équipement technique connecté, d’un portail de parking à une chaudière.

Les actions prioritaires :

• Inventorier les équipements techniques dotés d’une interface d’administration, avec le modèle, la version du micrologiciel, la date de fin de support et le prestataire qui en a la charge. Cet inventaire manque dans la plupart des organisations, et c’est lui qui aurait permis de savoir, avant le 12 octobre, quels magasins exploitaient encore un boîtier en fin de vie.
• Retirer toute exposition directe sur Internet, y compris via des modems cellulaires ou des liaisons installées par le prestataire, et vérifier soi-même le résultat depuis l’extérieur. Un filtrage par adresses IP de confiance n’est, selon le CERT-FR, qu’une mesure transitoire ; la cible est un accès par VPN ou par un bastion d’administration, avec des comptes nommés, un second facteur et une journalisation des connexions.
• Traiter les équipements en fin de vie comme un risque à part : isolement complet du réseau ou remplacement planifié, sans attendre une panne. Pour un contrôleur compromis, le CERT-FR demande une réinitialisation d’usine suivie d’une reconfiguration complète et de l’application des durcissements du fabricant (mise à jour, niveau de sécurité « strict », changement des mots de passe par défaut).
• Réécrire les contrats de maintenance pour préciser qui surveille les avis de sécurité, qui applique les correctifs et dans quel délai, qui contrôle la configuration des accès distants, et qui décide d’arrêter ou de remplacer un équipement. Le principe de moindre privilège s’applique aussi au prestataire, qui n’a pas besoin d’un accès permanent et illimité à tout le parc.
• Rendre les alarmes indépendantes du contrôleur, avec des sondes de température et une remontée d’alerte qui ne passent pas par l’équipement susceptible d’être manipulé. L’allongement des cycles de dégivrage pour retarder les alarmes, rapporté par Le Monde, montre que l’attaquant qui tient le contrôleur tient aussi la supervision qui en dépend.
• Vérifier la couverture d’assurance et ce qu’elle exige en matière de maintenance et de télésurveillance, avant un incident plutôt qu’après : les distributeurs touchés découvrent que leurs polices n’intègrent pas ce type de sinistre.

Cette attaque n’a pas exigé de faille inconnue ni d’outil élaboré, ce qui la rapproche, par ses causes, des fuites de données analysées dans notre lecture des fuites de 2026 à travers l’OWASP Top 10 : un service exposé, une authentification faible, un correctif non appliqué. Elle rappelle aussi, comme la cascade Shipup, qu’un prestataire technique qui détient un accès distant fait partie de la surface d’attaque de l’organisation, qu’il figure ou non dans l’organigramme de la sécurité. Les définitions des termes employés ici sont réunies dans le Lexique.

Sources et références 23 sources

Sources officielles

1. [1] CERT-FR : alerte CERTFR-2026-ALE-012, incident de sécurité ciblant les contrôleurs à distance des installations de réfrigération (12 octobre 2026, mise à jour le 13)
2. [2] CISA : ICSA-25-140-03, Danfoss AK-SM 8xxA Series (mai 2025, mise à jour A du 26 août 2025)
3. [3] CISA : catalogue des mauvaises pratiques (logiciels en fin de support, identifiants par défaut, authentification à facteur unique)
4. [4] ANSSI : la cybersécurité des systèmes industriels, méthode de classification
5. [5] NIST : SP 800-82 Rev. 3, Guide to Operational Technology (OT) Security (septembre 2023)
6. [6] Règlement (UE) 2024/2847 sur la cyber-résilience (Cyber Resilience Act), EUR-Lex
7. [7] Directive (UE) 2022/2555 (NIS 2), EUR-Lex

Fabricant et chercheurs

1. [8] Danfoss : avis DSA-2023-08-01, AK-SM 800A, CVE-2023-25913 à 25915, corrigées en version 3.3
2. [9] Danfoss : avis DSA-2025-03-01, AK-SM 8xxA, CVE-2025-41450, corrigée en version 4.2
3. [10] Danfoss : liste des avis de sécurité (dont DSA-2025-08-01, version 4.3.1)
4. [11] Danfoss : Tech Insider d'octobre 2025, fin de service des produits en fin de vie et attaques de 2022
5. [12] Synacktiv : Authentication bypass in Danfoss System-Managers SM800 et SC255 (mai 2023, mis à jour le 31 octobre 2023)
6. [13] Claroty Team82 : Freeze the Controller, Defrost the Food (9 août 2026)
7. [14] Claroty : France Supermarket Hacks Expose Risks of Internet-Facing Refrigeration Systems (12 octobre 2026)

Presse

1. [15] franceinfo avec AFP : un piratage « pas si sophistiqué que ça », ce que l'on sait de la cyberattaque (13 octobre 2026)
2. [16] France 3 Occitanie : après Danfoss, le fabricant Dixell à son tour visé, un Leclerc du Tarn privé de froid (13 octobre 2026)
3. [17] Informatiquenews : l'attaque des frigos Danfoss expose l'angle mort de l'OT
4. [18] Cooling Post : Danfoss moves to mitigate cyberattack (12 octobre 2026)
5. [19] TIME : 'Unprecedented' Cyberattack Targets French Supermarket Fridges (13 octobre 2026)
6. [20] BleepingComputer : Cyberattack shuts down refrigerators at French supermarkets (12 octobre 2026)
7. [21] Infosecurity Magazine : Major French Supermarket Chains Hit by Cyber-Attack (12 octobre 2026)
8. [22] Nozomi Networks : French Supermarket Fridge Cyberattacks and the Risks of Internet-Connected OT
9. [23] ComplexDiscovery : Refrigeration hack affected about 700 French supermarkets, government says (14 octobre 2026)