Frigos piratés : comment des hackers ont dérégulé des centaines de supermarchés ?

« On a ouvert la porte du frigo et c’était un four à l’intérieur. » Ce 12 octobre, un employé d’un supermarché francilien tombe sur un meuble à surgelés, calé d’ordinaire entre -18 et -19 °C, qui dépasse les 40 degrés. Yaourts, viande, glaces : tout part à la benne. À Poitiers, une grande partie des rayons est vidée ; près de Lyon, des salariés évacuent des kilos de marchandises devant des clients médusés. À Issy-les-Moulineaux, la directrice d’un magasin chiffre le préjudice à 55 000 euros, puis débranche elle-même la connexion numérique de ses rayons. À Haguenau, en Alsace, deux magasins évoquent 270 000 euros de pertes à eux seuls.

Le dégivrage, point d’entrée des pirates

Tout s’est joué dans la nuit du dimanche 11 au lundi 12 octobre. Les assaillants n’ont touché ni aux caisses ni aux fichiers clients. Ils se sont glissés dans les contrôleurs de réfrigération du groupe danois Danfoss, qui règlent à distance températures et alarmes. Leur outil : le dégivrage, une fonction censée durer quelques minutes pour chasser le givre. Étiré et réglé jusqu’à 50 °C, il a transformé des meubles frigorifiques en étuves. Le parquet de Paris fait aussi état de départs de feu.

Combien de magasins ? Personne ne le sait encore précisément. TF1 et Le Parisien parlent d’au moins 150 Intermarché ; le groupe Les Mousquetaires, le plus touché, évoque jusqu’à 300 points de vente entre Intermarché et Netto. Leclerc, Système U, Carrefour et Monoprix ont aussi été frappés. Dominique Schelcher, patron de Coopérative U, a confirmé l’attaque tout en précisant que ses magasins ne sont « pas clients directs de Danfoss » mais de frigoristes qui installent la solution. Quant à la facture, elle se chiffre en « plusieurs millions d’euros » selon plusieurs estimations. Aucun bilan consolidé n’existe à ce jour. Aucune revendication non plus.

Des failles connues et des frigos en bout de course

L’attaque n’est pas tombée de nulle part. Le 9 août, les chercheurs de Claroty Team82 avaient publié une étude sur les contrôleurs Danfoss AK-SM 800A, détaillant trois vulnérabilités : un contournement de l’authentification, une injection de commandes, une faiblesse du serveur web. Danfoss assure que des correctifs existaient dès 2025. Mais le fabricant met aussi en avant l’âge du parc : la majorité des unités touchées sont des modèles arrivés en fin de vie, qui ne reçoivent plus de mises à jour de sécurité. Un piratage « pas si sophistiqué que ça », résume la spécialiste Marta Rybczynska, pour qui les attaquants ont exploité des failles déjà connues.

Qui aurait dû faire quoi ? L’enquête, confiée à l’Office anticybercriminalité (OFAC), devra départager fabricant, frigoristes et exploitants. Elle doit aussi établir les modèles compromis, la configuration des accès distants et les failles réellement utilisées. En attendant, l’ANSSI, via un bulletin du CERT-FR, appelle à déconnecter ces contrôleurs d’Internet. Claroty affirme auprès de Tom’s Guide que d’anciens AK-SM 800 restent exposés en ligne. La Fédération du commerce et de la distribution, elle, réclame à Danfoss et aux frigoristes « une transparence totale ».

Pour Antoine Hautin, du cabinet Almond, la cybersécurité des systèmes industriels accuse « une dizaine d’années de retard » : ces équipements ont été conçus quand ils n’étaient pas branchés au réseau. Le Cyber Resilience Act européen impose depuis le 11 septembre 2026 de signaler les failles exploitées ; la directive NIS2, elle, n’est toujours pas transposée en France. Le même 12 octobre, le néerlandais Ahold Delhaize a signalé un incident informatique distinct aux Pays-Bas et en Belgique, sans lien établi avec l’affaire française.