Le Mardi 03 novembre 2026, par Benjamin lepeltier
Autre
Dans la nuit du dimanche 11 au lundi 12 octobre 2026, les frigos de centaines de supermarchés français ont soudainement grimpé à 50 degrés. Au moins 300 magasins Intermarché et Netto, plusieurs établissements E.Leclerc, environ 80 supermarchés Carrefour, 80 magasins U et une trentaine de Monoprix. Des dizaines de kilos de produits frais et surgelés jetés à la benne. Des rayons vides le lundi matin. Des clients face à des réfrigérateurs éteints avec des messages d'excuse collés dessus.
Pas de données volées. Pas de rançon exigée. Juste des frigos qui chauffent, des yaourts à jeter et des pertes sèches pour des centaines de commerçants.
Et pourtant, Dominique Schelcher, président de Coopérative U, a qualifié l'attaque d'"inédite" et d'"une extrême gravité". Il a raison. Pas parce que l'attaque était sophistiquée. Parce qu'elle ne l'était pas du tout.
La cible n'était pas un système bancaire, un réseau gouvernemental ou une infrastructure critique au sens classique du terme. C'était le système manager Danfoss, un gestionnaire central qui coordonne les contrôleurs de réfrigération d'un point de vente et propose une interface web pour voir les circuits et fixer les seuils de température.
Ce boîtier connecté, fabriqué par le danois Danfoss, permet à des techniciens de surveiller et régler à distance les installations frigorifiques des magasins. Une fonctionnalité parfaitement légitime et pratique. Sauf que ces systèmes de réfrigération étaient exposés sur Internet en raison d'une mauvaise configuration opérée par les enseignes pour des raisons de praticité.
Exposés sur Internet. Sans protection suffisante. Accessibles à quiconque sait chercher.
Certains contrôleurs Danfoss présentaient aussi une faille dans leur « code du jour », un code de secours calculé à partir de la date. Un attaquant pouvait le retrouver et l'utiliser pour obtenir un accès administrateur.
Les attaquants n'ont pas eu besoin de pirater quoi que ce soit au sens sophistiqué du terme. Ils ont trouvé les interfaces, ils y ont accédé, et ils ont monté les températures. À distance, les cybercriminels ont réussi à prendre le contrôle des thermostats et à changer les températures des frigos et congélateurs connectés. C'est tout. C'est suffisant.
Pour se protéger de ces failles, la première mesure était d'installer les correctifs publiés par Danfoss, en mettant à jour le logiciel interne (firmware) des contrôleurs concernés. Encore fallait-il que ces mises à jour soient effectivement installées.
Le timing est d'une ironie parfaite. L'attaque a eu lieu le 12 octobre 2026. Le Cyber Resilience Act avait imposé sa première obligation majeure le 11 septembre précédent : tout fabricant de produit numérique doit notifier toute vulnérabilité activement exploitée à l'ENISA sous 24 heures.
Mais surtout, le CRA impose aux fabricants d'intégrer la sécurité dès la conception de leurs produits numériques. Pas d'interface d'administration exposée sans authentification robuste. Pas de mot de passe par défaut universel. Pas de fonctionnalité d'accès distant sans chiffrement. Ce sont précisément les failles qui ont rendu cette attaque possible.
Le problème : les obligations principales du CRA n'entrent pleinement en vigueur qu'en décembre 2027. Le gestionnaire Danfoss a été conçu et commercialisé bien avant. Et même après décembre 2027, les équipements déjà installés dans les sous-sols des supermarchés ne seront pas automatiquement mis à niveau.
La réglementation arrive. L'attaque était là d'abord.
Ce qui frappe dans cet incident, au-delà du spectacle des rayons vides, c'est sa banalité technique. Des experts en cybersécurité alertent depuis des années sur les systèmes de réfrigération exposés sur Internet. Des moteurs de recherche spécialisés comme Shodan permettent à n'importe qui de trouver en quelques clics des équipements industriels connectés sans protection. Ce n'est pas une information secrète. C'est documenté, public, et ignoré.
La même logique s'applique aux systèmes de gestion des bâtiments de bureaux, aux équipements industriels des usines, aux automates des chaînes de production. Tout ce qui a été connecté à Internet pour la praticité des équipes de maintenance est une surface d'attaque potentielle. Et dans la grande majorité des cas, personne n'a pensé à sécuriser l'accès au moment de l'installation.
C'est exactement le problème que le CRA tente de résoudre en imposant la sécurité by design aux fabricants. Mais pour les équipements déjà en place, la responsabilité revient aux opérateurs. Aux enseignes. Aux directions informatiques. À ceux qui ont branché ces boîtiers sur leur réseau et les ont laissés accessibles depuis n'importe où dans le monde.
Cette attaque ne visait pas vos données. Elle visait vos yaourts. Et c'est précisément pour ça qu'elle est importante.
Elle illustre mieux que n'importe quel rapport de cybersécurité ce que signifie concrètement l'extension de la surface d'attaque numérique au monde physique. Un frigo piraté, c'est de la marchandise perdue, des équipes mobilisées en urgence un lundi matin, et des clients qui ne comprennent pas pourquoi leurs rayons sont vides.
Si vous gérez des locaux avec des équipements connectés, quels qu'ils soient : climatisation, contrôle d'accès, ascenseurs, systèmes de réfrigération, la question à poser à votre prestataire aujourd'hui n'est pas "est-ce que ça marche ?". C'est "est-ce que c'est accessible depuis Internet, et si oui, qui peut y accéder et comment ?"
Le CRA impose ces questions aux fabricants à partir de décembre 2027. Vous pouvez les poser à vos prestataires dès maintenant.
Sources : France Info · Public Sénat · Pasquale Pillitteri · AssurUp · CyberResilienceAct.eu · Solutions Numériques · IT Social · Claroty – analyse des vulnérabilités Danfoss · Danfoss – avis de sécurité CVE-2025-41450 · Danfoss – avis de sécurité CVE-2025-41451 et CVE-2025-41452
