Cyberattaque des frigos de supermarchés : ce qui s'est passé, et pourquoi c'est le moment de reprendre la régulation

Lundi 12 octobre, avant l'ouverture, des alarmes de température ont sonné dans des supermarchés de toute la France. Des congélateurs réglés à −18 °C affichaient des valeurs positives, et des rayons entiers de frais et de surgelés ont dû être vidés. La cyberattaque des frigos de supermarchés n'a touché ni les caisses ni les données clients : elle a visé la régulation du froid elle-même.

Voici ce qui est établi au soir du 12 octobre, ce qui ne l'est pas encore et les mesures que publient fabricants et autorités. Reste la question que chaque direction technique va se poser : puisqu'il faut rouvrir la régulation, que faut-il en profiter pour y changer ?

Ce qui s'est passé dans la nuit du 11 au 12 octobre

L'attaque a eu lieu dans la nuit du dimanche 11 au lundi 12 octobre 2026. Selon BFMTV, les pirates ont déclenché à distance le dégivrage forcé des installations, avec des consignes portées jusqu'à 50 °C. Dans l'Intermarché de Grand-Couronne, près de Rouen, l'attaque est datée de 4 h 44.

Le dégivrage est une fonction normale : il chauffe brièvement l'évaporateur pour faire fondre le givre. Maintenu en continu à une consigne aussi haute, il transforme un meuble surgelé en étuve. La nuit, personne n'est en rayon pour le voir : les alarmes partent vers des astreintes téléphoniques.

Les Mousquetaires ont indiqué à franceinfo que Danfoss, l'entreprise qui gère leurs meubles réfrigérés, avait été victime de l'attaque. Ce groupe danois fabrique des régulateurs et des systèmes de supervision pour le froid commercial.

Les enseignes touchées

• Intermarché : 150 à 200 magasins visés selon l'enseigne, interrogée par l'AFP. Un premier décompte des Mousquetaires parlait d'une centaine de magasins, sur environ 3 600 en France.
• Coopérative U : moins d'une centaine de magasins. Son président, Dominique Schelcher, a jugé l'attaque « inédite », « d'une extrême gravité » et « inacceptable ».
• E.Leclerc : l'enseigne confirme que « l'un de ses fournisseurs de matériel frigorifique » a été affecté.
• Carrefour Market et Monoprix : cités par des salariés et par le site Je bosse en grande distribution, sans confirmation des enseignes.

D'après une salariée citée par ce site, les magasins touchés seraient ceux dont les températures sont supervisées par la plateforme Danfoss, quelle que soit l'enseigne.

Ce qui est établi, ce qui ne l'est pas

Rayons vidés, assurance, enquête : les conséquences pour les magasins

Intermarché a indiqué à l'AFP que les magasins touchés devraient « jeter l'ensemble des produits » frais et surgelés concernés. La procédure décrite par franceinfo est lourde : vider les meubles, faire établir un constat d'huissier, puis détruire les denrées.

L'ampleur varie d'un magasin à l'autre. À La Haye, dans la Manche, le frais et les surgelés sont perdus. À Port-Sainte-Foy, seuls les surgelés ont été détruits, par précaution, et le magasin est resté ouvert.

Reste la facture. Intermarché prévient que les assurances ne couvrent pas ce type d'incident en magasin, et en fait « l'un des points durs ». Les premières estimations de presse évoquent plusieurs millions d'euros de pertes à l'échelle nationale.

Le parquet de Paris s'est saisi de l'affaire, selon l'AFP, et a confié l'enquête à l'Office anticybercriminalité (OFAC). Celle-ci doit recenser les victimes et relier l'attaque aux pertes alimentaires et aux départs de feu signalés.

Pourquoi la régulation du froid est devenue une cible

Un superviseur de froid est l'ordinateur de magasin qui centralise les régulateurs des meubles, des chambres froides et des centrales. Selon Claroty, le superviseur AK-SM 800A de Danfoss sert à suivre les circuits, régler les seuils de température, consulter les alarmes, ajuster les horaires et intervenir à distance.

Cette télégestion rend un vrai service : elle évite au frigoriste d'astreinte de se déplacer pour une alarme sans gravité. Mais un superviseur joignable depuis Internet l'est aussi pour un attaquant, s'il est mal protégé ou pas à jour. Notre page sur la régulation et supervision d'un groupe froid détaille son rôle dans l'installation.

Des failles connues, et corrigées

Plusieurs failles des superviseurs Danfoss AK-SM 8xxA sont documentées. En mai 2025, l'agence américaine CISA a publié un avis sur la CVE-2025-41450 : un mot de passe généré à partir de la date et de l'heure permettait de contourner l'authentification. Notée 8,2 sur 10, elle est corrigée par la version R4.2.

Le 9 août 2026, les chercheurs de Claroty Team82 ont détaillé ce « code du jour » et deux autres failles, corrigées par le firmware R4.3.1. Leur relevé comptait 2 765 superviseurs AK-SM 800A accessibles depuis Internet. Le sujet dépasse un seul fabricant : Claroty a aussi signalé 23 failles chez Copeland, corrigées en février 2026.

Rien ne prouve à ce stade que l'attaque du 12 octobre ait exploité l'une de ces failles. Selon ZATAZ, d'anciennes versions du logiciel de régulation, antérieures à la version 4, auraient été visées. Le point d'entrée et les accès utilisés restent inconnus, et la présence d'un équipement Danfoss ne suffit pas à conclure qu'un magasin est compromis.

Les mesures à prendre dès cette semaine

Les recommandations publiées par Danfoss, la CISA, Claroty et l'ANSSI convergent. Elles ne remplacent pas le diagnostic de votre frigoriste et de votre service informatique.

1. Inventorier : pour chaque magasin, le modèle et la version logicielle du superviseur et des régulateurs de centrale.
2. Mettre à jour : les AK-SM 8xxA en R4.3.1 ou plus récent, comme le recommandent Danfoss et Claroty ; les autres marques selon les avis de leur fabricant.
3. Retirer les interfaces d'Internet : la CISA demande que les systèmes de contrôle ne soient pas joignables depuis Internet, placés derrière un pare-feu et isolés du réseau bureautique.
4. Encadrer les accès à distance : VPN tenu à jour, double authentification pour les prestataires, mots de passe d'usine remplacés.
5. Conserver les traces : journaux de connexion et historique des paramètres. L'enquête devra reconstituer les connexions, les modifications et leur chronologie.
6. Documenter les pertes : constat, photos des afficheurs, relevés de température. Ces pièces relient un magasin à l'enquête et à une éventuelle indemnisation.

Une question mérite d'être posée au frigoriste : si le superviseur est compromis, les alarmes de température arrivent-elles encore ? Pour aller plus loin, l'ANSSI publie un guide de mesures détaillées pour la cybersécurité des systèmes industriels.

Réseau-CEE n'est pas un prestataire de cybersécurité : ces mesures relèvent de votre frigoriste, de votre DSI et du fabricant.

Le superviseur pilote aussi votre facture d'électricité

La chaîne de régulation qu'il faut auditer ne fixe pas seulement la température des meubles. Elle fixe aussi la consigne de condensation, c'est-à-dire la pression à laquelle la centrale rejette sa chaleur à l'extérieur. Plus cette consigne est haute, plus les compresseurs travaillent pour produire le même froid.

Une consigne fixe est réglée pour les jours les plus chauds de l'année et fait travailler les compresseurs plus que nécessaire le reste du temps. La HP flottante est une régulation qui calcule en continu la consigne optimale de pression de condensation en fonction de la température extérieure mesurée, selon la fiche CEE BAT-TH-134.

Le principe et les conditions d'une régulation en HP flottante sont détaillés sur notre page dédiée. Ces leviers sont ceux des groupes froids de la grande distribution, où le froid pèse lourd dans la consommation d'un magasin.

La chaleur rejetée, une ressource

La même centrale rejette en continu de la chaleur au condenseur. Une partie peut chauffer de l'eau : eau chaude sanitaire, boucle de chauffage des locaux. C'est la récupération de chaleur sur groupe froid, que la fiche BAT-TH-139 finance dans le tertiaire existant.

Les deux leviers se disputent pourtant la même ressource. Abaisser la pression de condensation abaisse aussi la température de la chaleur disponible, alors que la désurchauffe des gaz de refoulement échappe en partie à cet arbitrage. Le détail figure dans notre analyse de l'arbitrage entre HP flottante et récupération de chaleur.

Après la cyberattaque des frigos de supermarchés, un seul chantier sur la régulation

Rouvrir la régulation deux fois, une pour la sécurité et une pour l'énergie, double les interventions en magasin. Un chantier groupé confie au même frigoriste quatre étapes :

• l'inventaire des superviseurs et des régulateurs de centrale ;
• la mise à jour et la fermeture des accès à distance ;
• le paramétrage de la HP flottante, après l'étude technique préalable ;
• une seule mise en service, avec ses essais.

Ce que la fiche BAT-TH-134 exige

Selon la fiche officielle BAT-TH-134, l'opération doit réunir trois conditions :

• une mise en place réalisée par un professionnel ;
• une étude technique préalable, qui précise les besoins en froid, la puissance électrique nominale et le type de groupe, mono ou multi-compresseurs ;
• une preuve de réalisation qui mentionne un système de régulation sur un groupe de production de froid, ou la marque et la référence de l'équipement avec un document du fabricant.

Le montant se calcule en kWh cumac par kW de puissance électrique nominale du groupe, sur une durée de vie conventionnelle de 14 ans. Un condenseur à air, adiabatique ou évaporatif compte comme une condensation par rapport à l'atmosphère.

Les conditions complètes et les pièces du dossier figurent sur notre page consacrée à la fiche CEE BAT-TH-134. Pour la récupération de chaleur, la fiche BAT-TH-139 impose une étude de dimensionnement datée et signée, qui tient compte a minima des deux dernières années. Elle exclut le chauffage direct de l'air : la chaleur doit passer par un fluide caloporteur, de l'eau par exemple.

La cyberattaque des frigos de supermarchés rappelle que la régulation du froid est un équipement critique. Sécuriser le superviseur est l'urgence. Reprogrammer la condensation en HP flottante et étudier la récupération de chaleur dans le même chantier permet d'en tirer aussi des économies durables.