Des contrôleurs de réfrigération Danfoss détournés dans des centaines de supermarchés français, forçant un dégivrage continu et des pertes alimentaires massives

Dans la nuit du 11 au 12 octobre 2026, des attaquants ont pris à distance le contrôle des contrôleurs de supervision de réfrigération Danfoss de plusieurs centaines de supermarchés français et ont forcé les meubles frigorifiques, les congélateurs et les chambres froides dans un cycle de dégivrage continu, avec des consignes relevées à environ 50 °C. Les premières manipulations ont été journalisées peu après minuit ; l'Intermarché de Grand-Couronne (Seine-Maritime) a daté la modification sur son propre système à 4 h 44. Le personnel arrivé le lundi matin a trouvé des congélateurs normalement maintenus à -18 °C affichant des températures positives, un afficheur Danfoss indiquant encore 26 °C et, à l'Intermarché de La Haye (Manche), des meubles déformés par une chaleur qui aurait atteint 80 °C. Le parquet de Paris a indiqué que l'attaque avait provoqué des pertes alimentaires et des incendies ; dans un magasin de Gironde, une chambre froide montée à 50 °C a déclenché le système d'extinction automatique. Le Monde a rapporté que les attaquants avaient aussi allongé la durée de dégivrage d'une heure à huit heures, ce qui a retardé les alarmes de température, et plusieurs employés de magasins ont indiqué au site spécialisé Je Bosse en Grande Distribution que la fonction d'alerte avait été désactivée, de sorte que les frigoristes d'astreinte n'ont jamais été appelés. Les équipements compromis étaient des gestionnaires de système Danfoss ADAP-KOOL : l'AK-SM 800 (déclaré en fin de vie en mai 2021), l'AK-SC 355 (retiré de la gamme en 2016) et des unités AK-SM 800A de génération actuelle fonctionnant avec un firmware obsolète. Danfoss a déclaré à l'AFP que « la majorité des appareils concernés sont des produits obsolètes » qui ne reçoivent plus de mises à jour logicielles ni de correctifs de sécurité. L'AK-SM 800A avait fait l'objet de l'avis CISA ICSA-25-140-03 couvrant la CVE-2025-41450, un contournement d'authentification par un compte de support caché dont le mot de passe (« code du jour ») est dérivé de la date (CVSS v3.1 8.2, corrigé dans la version R4.2 en mars 2025), ainsi que la CVE-2025-41451, une injection de commandes post-authentification dans les paramètres d'envoi d'alarmes par e-mail, et la CVE-2025-41452, une injection de configuration nginx, toutes deux corrigées dans la version R4.3.1 en août 2025. Claroty Team82 a publié la recherche sous-jacente sous le titre « Freeze the Controller, Defrost the Food » (Gelez le contrôleur, dégivrez la nourriture) le 9 août 2026 et a recensé 2 765 interfaces web AK-SM 800A accessibles depuis Internet. Le 12 octobre, Predicta Lab a dénombré 2 752 systèmes Danfoss exposés, dont 1 590 en France, et LeMagIT a trouvé près de 3 000 adresses IP françaises servant la console Danfoss StoreView. Une note technique de Danfoss datée d'octobre 2025 décrivait déjà des attaques menées en 2022 contre 16 supermarchés en Russie et 40 magasins en Israël qui exploitaient des unités AK-SM 800 sans pare-feu ni VPN. Ni Danfoss, ni l'ANSSI, ni le parquet n'ont confirmé quelle vulnérabilité ou quel chemin d'accès a été utilisé, et aucun élément public n'indique que l'infrastructure hébergée de Danfoss elle-même ait été compromise. Les enquêteurs n'ont exclu ni des contrôleurs obsolètes exposés, ni l'exploitation des CVE publiées, ni le vol d'identifiants de maintenance, ni le détournement d'une session d'accès à distance chez un installateur frigoriste. Les Mousquetaires (Intermarché et Netto) ont fait état d'au moins 300 magasins touchés, dont une centaine ont jeté la totalité de leur stock réfrigéré. Coopérative U a signalé un peu moins de 100 magasins, Carrefour a confirmé 80 magasins sur ses quelque 6 000, Monoprix une trentaine, et E.Leclerc a indiqué que « plusieurs magasins » avaient été touchés par l'intermédiaire de l'un de ses fournisseurs d'équipements frigorifiques. Des employés ont également signalé des problèmes chez Carrefour Market, Carrefour City, Metro, Picard et dans des boucheries indépendantes, sans confirmation officielle. Une note interne d'Intermarché datée du 12 octobre « confirme l'existence d'une cyberattaque survenue dans la nuit chez Danfoss », et une réunion de crise avec Danfoss et l'installateur frigoriste Axima s'est tenue à 11 h. La section cybercriminalité (J3) du parquet de Paris a ouvert une enquête le jour même et l'a confiée à l'Office anti-cybercriminalité (OFAC). Le Premier ministre Sébastien Lecornu a saisi l'ANSSI, qui a indiqué avoir « déjà identifié une vulnérabilité dans un logiciel fourni par une société danoise », contacté Danfoss, entamé la recherche d'autres opérateurs français exposés et engagé une coordination avec ses homologues européens. Le CERT-FR a publié un bulletin indiquant avoir connaissance de nombreuses compromissions d'équipements Danfoss des séries AK-SM et AK-SC et rappelant que l'exposition d'une interface d'administration sur Internet est contraire aux bonnes pratiques. Le commissaire européen à l'Agriculture Christophe Hansen a déclaré que « l'utilisation de l'alimentation comme arme est devenue une réalité ». Aucun groupe n'a revendiqué l'attaque et aucune attribution n'a été formulée. Le même week-end, Ahold Delhaize a révélé un « incident de cybersécurité » distinct, qui a débuté le dimanche 11 octobre dans l'après-midi. Il a mis hors ligne les sites web, les applications, le service client et les systèmes logistiques d'Albert Heijn, Etos et Gall & Gall aux Pays-Bas, bloqué les commandes en ligne chez Delhaize en Belgique, arrêté l'activité de plusieurs centres de distribution d'Albert Heijn, laissé les étiquettes électroniques de gondole afficher les prix promotionnels de la semaine précédente et rendu inaccessibles les sites web de Food Lion, Hannaford, Stop & Shop et Giant aux États-Unis. Aucun élément ne relie les deux événements.

Stocks frais et surgelés détruits dans plusieurs centaines de magasins à travers la France : au moins 300 points de vente Intermarché et Netto, un peu moins de 100 magasins Coopérative U, 80 magasins Carrefour, une trentaine de magasins Monoprix et plusieurs magasins E.Leclerc. Les pertes rapportées par magasin vont d'environ 50 000 euros (Intermarché Haguenau, Intermarché Guerlédan) à 150 000 à 200 000 euros (60 mètres cubes de denrées dans un magasin de Gironde) et 220 000 euros (Super U Wasselonne). Les Mousquetaires ont estimé les pertes nationales à plusieurs millions d'euros, et Intermarché a averti que les contrats d'assurance des magasins pourraient ne pas couvrir ce type d'événement. Des incendies et des déclenchements de systèmes d'extinction automatique ont été signalés, et des meubles ont été physiquement endommagés à La Haye. Les rayons frais et surgelés sont restés fermés plusieurs jours, des fournisseurs ont vu leurs commandes annulées et certains magasins ne prévoyaient la réouverture de leurs rayons surgelés qu'en fin de semaine. Aucun blessé, aucun vol de données ni aucune perturbation des systèmes d'encaissement n'ont été signalés en France. L'incident concomitant chez Ahold Delhaize a suspendu la livraison de courses en ligne aux Pays-Bas et en Belgique, annulé toutes les commandes déjà passées, arrêté plusieurs centres de distribution et laissé les étiquettes électroniques de gondole afficher des prix périmés.