Peu après minuit, le lundi 12 octobre 2026, les contrôleurs de réfrigération de plusieurs centaines de supermarchés français se sont mis à chauffer au lieu de refroidir. Des attaquants ayant obtenu un accès à distance aux unités de supervision Danfoss ont relevé les consignes de température à environ 50 °C et verrouillé les équipements dans un cycle de dégivrage continu. À l’arrivée des directeurs de magasin, des congélateurs normalement maintenus à -18 °C affichaient des températures positives, un afficheur Danfoss indiquait encore 26 °C et, à l’Intermarché de La Haye (Manche), des meubles s’étaient déformés sous une chaleur que le personnel a estimée à 80 °C. Le parquet de Paris a confirmé des pertes alimentaires et des incendies. Danfoss a confirmé que ses contrôleurs étaient la cible. Le Premier ministre Sébastien Lecornu a saisi l’ANSSI l’après-midi même. La fiche complète de l’incident figure dans la base de données.
Ce que les attaquants ont fait
Dans un supermarché, la réfrigération commerciale est pilotée par un contrôleur de supervision de site qui coordonne les régulateurs de chaque meuble frigorifique, chambre froide et centrale de compresseurs. Danfoss commercialise cette couche sous la gamme de gestionnaires de système ADAP-KOOL, et l’entreprise affirme compter plus de 50 000 installations de ce type dans la distribution alimentaire. Chaque meuble exécute un dégivrage programmé, généralement une à deux heures par jour, pendant lequel des résistances ou des gaz chauds font fondre la glace de l’évaporateur tandis que les produits restent derrière une porte fermée. Les attaquants ont détourné cette fonction. Au lieu d’un court cycle quotidien, le dégivrage a tourné en continu avec une température cible fixée à 50 °C.
L’Intermarché de Grand-Couronne, près de Rouen, a daté la modification sur son propre système à 4 h 44. Le Monde a rapporté que les attaquants avaient aussi allongé la durée de dégivrage d’une heure à huit heures, ce qui a repoussé le moment où les alarmes de température se déclencheraient. Plusieurs employés ont indiqué au site spécialisé Je Bosse en Grande Distribution que la fonction d’alerte elle-même avait été désactivée, de sorte que les frigoristes d’astreinte n’ont jamais été appelés. Les magasins qui ouvraient tôt par hasard, ou dont les responsables recevaient encore une alerte à distance, ont sauvé une partie de leur stock. La plupart n’y sont pas parvenus. Dans un magasin de Gironde, une chambre froide montée à 50 °C a déclenché le système d’extinction automatique. Thomas Lazzaroni, de Cyberattaque.org, a décrit la méthode comme un détournement du mode dégivrage en un cycle prolongé de plusieurs heures, et Antoine Hautin, du cabinet de conseil Almond, a déclaré à l’AFP que frapper des centaines d’unités en même temps dénotait un certain degré de sophistication et une reconnaissance préalable.
L’opération n’a volé aucune donnée et n’a touché aucun système d’encaissement. Selon les règles françaises de la chaîne du froid, un produit sorti de sa plage de température ne peut plus être vendu, de sorte que les magasins touchés ont suivi une procédure établie : relever les températures, photographier chaque unité, obtenir un constat d’huissier pour l’assureur, retirer et compter le stock, puis le détruire.
Les équipements et les vulnérabilités connues
Danfoss a déclaré à l’AFP le 12 octobre que « la majorité des appareils concernés sont des produits obsolètes » qui ne reçoivent plus de mises à jour logicielles ni de correctifs de sécurité. L’entreprise a cité l’AK-SM 800, déclaré en fin de vie en mai 2021, et l’AK-SC 355, retiré de la gamme en 2016, et a reconnu que certaines unités AK-SM 800A de génération actuelle fonctionnaient avec un firmware obsolète. Elle a indiqué être en contact étroit avec ses clients français touchés et déployer « des mises à jour de firmware lorsqu’elles sont disponibles, des protections réseau renforcées et la suppression de l’exposition directe à Internet lorsque cela s’applique ».
L’AK-SM 800A a un historique de sécurité documenté. Début 2025, Tomer Goldschmidt, de Claroty Team82, a signalé à Danfoss un chemin d’authentification caché dans l’interface web embarquée du contrôleur : un compte de support dont le mot de passe est dérivé de la date courante de l’appareil, que les chercheurs ont réussi à reconstituer. Danfoss a publié l’avis DSA-2025-03-01 et la version R4.2 le 24 mars 2025, et la faille est devenue la CVE-2025-41450 (CVSS v3.1 8.2) lorsque la CISA a publié l’avis ICSA-25-140-03 le 20 mai 2025. Deux autres failles, une injection de commandes post-authentification via les paramètres d’envoi d’alarmes par e-mail (CVE-2025-41451) et une injection de configuration nginx (CVE-2025-41452), ont été corrigées dans la version R4.3.1 en août 2025 et ajoutées à l’avis CISA le 26 août 2025. Team82 a présenté publiquement ces travaux le 9 août 2026 sous le titre « Freeze the Controller, Defrost the Food » (Gelez le contrôleur, dégivrez la nourriture), aux côtés de 23 vulnérabilités dans les superviseurs Copeland XWEB Pro, et a rapporté qu’un balayage Censys avait trouvé 2 765 interfaces d’administration AK-SM 800A exposées sur Internet.
Les chiffres d’exposition relevés après l’attaque étaient pires encore. Le 12 octobre, Baptiste Robert, de Predicta Lab, a dénombré 2 752 systèmes Danfoss accessibles depuis Internet, dont 1 590 en France. Valéry Rieß-Marchive, de LeMagIT, a trouvé près de 3 000 adresses IP françaises servant la console Danfoss StoreView, certaines avec des dates de dernière modification comprises entre 2021 et 2024. Shodan a renvoyé plus de 4 500 appareils Danfoss dans le monde. Une note technique de Danfoss datée d’octobre 2025 décrivait déjà deux incidents antérieurs du même type : 16 supermarchés en Russie et 40 magasins en Israël attaqués en 2022 via des unités AK-SM 800 placées sur Internet sans pare-feu ni VPN.
Rien de tout cela ne prouve quel chemin les attaquants ont emprunté le 11 octobre. L’avis de la CISA, dans sa dernière révision, ne mentionnait aucune exploitation connue des trois CVE. Les unités AK-SM 800 et AK-SC 355 qui constituaient la majorité des victimes sont antérieures à l’ensemble des recherches sur l’AK-SM 800A, et un appareil de 2016 exposé sur une adresse publique peut n’avoir besoin d’aucune vulnérabilité. Aucun élément public ne suggère que l’infrastructure hébergée de Danfoss elle-même ait été compromise, même si Les Mousquetaires ont choisi de décrire l’événement comme une attaque « chez Danfoss ». Les enquêteurs n’ont exclu ni des contrôleurs obsolètes exposés, ni l’exploitation des CVE publiées, ni le vol d’identifiants de maintenance, ni le détournement d’une session d’accès à distance chez un installateur frigoriste. Le bulletin du CERT-FR du 12 octobre indique seulement que l’agence a connaissance de nombreuses compromissions d’équipements des séries AK-SM et AK-SC et que l’exposition d’une interface d’administration sur Internet est contraire aux bonnes pratiques.
Ampleur et pertes
Le nombre de magasins touchés a évolué toute la journée et diffère encore selon les sources. Les Mousquetaires, qui exploitent Intermarché et Netto, sont passés d’environ 150 magasins le matin à au moins 300 le soir, dont une centaine ont jeté l’intégralité de leur rayon réfrigéré. Coopérative U a signalé un peu moins de 100 magasins. Carrefour a confirmé 80 magasins sur ses quelque 6 000 en France. Monoprix a avancé le chiffre d’une trentaine, soit 5 % de son réseau. E.Leclerc a indiqué que plusieurs magasins avaient été touchés par l’intermédiaire de l’un de ses fournisseurs d’équipements frigorifiques. Des employés ont également signalé des pertes chez Carrefour Market, Carrefour City, Metro et Picard, ainsi que dans des boucheries indépendantes utilisant la même plateforme de supervision. Les estimations globales allaient de 250 à 350 magasins (BleepingComputer) à plus de 400 (RTS) et environ 500 (Cooling Post). L’observation d’un employé résume le schéma : tous les magasins dont la surveillance de température passait par la plateforme Danfoss ont été touchés, quelle que soit l’enseigne.
Les pertes par magasin ont été rapportées à environ 50 000 euros à l’Intermarché de Haguenau et à l’Intermarché de Guerlédan, à 150 000 à 200 000 euros pour 60 mètres cubes de denrées dans un magasin de Gironde, et à 220 000 euros au Super U de Wasselonne. Les Mousquetaires ont estimé le total national à plusieurs millions d’euros. Intermarché a averti que l’assurance standard des magasins pourrait ne pas couvrir une cyberattaque contre des équipements frigorifiques, et la question de savoir qui paiera au final, l’assureur, l’installateur frigoriste ou Danfoss, reste ouverte. Les rayons frais et surgelés sont restés fermés plusieurs jours, des fournisseurs ont vu leurs commandes annulées et certains magasins ne s’attendaient pas à retrouver leurs rayons surgelés avant la fin de la semaine.
Réponse officielle
Dominique Schelcher, directeur général de Coopérative U, a révélé l’affaire sur X en fin de matinée le 12 octobre : « Je confirme qu’une cyberattaque touche depuis cette nuit les installations de production de froid de plusieurs magasins de notre réseau. » Il a ajouté : « S’attaquer à des équipements essentiels à la conservation des produits frais et à l’approvisionnement alimentaire des Français est d’une extrême gravité et est inédit. C’est inacceptable. » Une note interne d’Intermarché datée du même jour « confirme l’existence d’une cyberattaque survenue dans la nuit chez Danfoss », et une réunion de crise avec Danfoss et l’installateur frigoriste Axima a débuté à 11 h.
La section cybercriminalité (J3) du parquet de Paris s’est saisie d’office à la mi-journée et a ouvert une enquête sur « la cyberattaque de grande ampleur affectant les réfrigérateurs de plusieurs grandes chaînes de distribution alimentaire sur l’ensemble du territoire », confiée à l’Office anti-cybercriminalité (OFAC). Dans l’après-midi, Matignon a indiqué que Lecornu « suit le dossier personnellement » et avait saisi l’ANSSI, laquelle a rapporté avoir « déjà identifié une vulnérabilité dans un logiciel fourni par une société danoise », contacté Danfoss, entamé la recherche d’autres opérateurs français exploitant les mêmes équipements et engagé une coordination avec ses homologues européens, d’autres pays pouvant être touchés. Le commissaire européen à l’Agriculture Christophe Hansen a condamné l’attaque, écrivant que « la sécurité alimentaire exige davantage d’attention à tous les niveaux, car l’utilisation de l’alimentation comme arme est devenue une réalité ». Aucun groupe n’a revendiqué l’attaque et aucune instance officielle n’a proposé d’attribution.
L’incident Ahold Delhaize
Le même week-end a produit un second incident dans le secteur de la grande distribution, sans lien avec le premier en l’état des éléments disponibles. Ahold Delhaize, maison mère d’Albert Heijn, de Delhaize et de cinq enseignes américaines, a commencé à subir ce qu’il a ensuite qualifié d’incident de cybersécurité le dimanche 11 octobre dans l’après-midi et l’a révélé le 12 octobre à 8 h 29 dans un communiqué déposé au titre d’information privilégiée en vertu du règlement européen sur les abus de marché. L’entreprise a mis des systèmes hors ligne par précaution. Aux Pays-Bas, les sites web, les applications et le service client d’Albert Heijn, Etos et Gall & Gall sont tombés, la livraison de courses en ligne s’est arrêtée, toutes les commandes passées ont été annulées, les programmes de fidélité, dont Koopzegels et Air Miles, ont cessé de fonctionner, et l’activité s’est interrompue dans plusieurs centres de distribution d’Albert Heijn. Les étiquettes électroniques de gondole en magasin ont continué d’afficher les prix promotionnels de la semaine précédente, si bien qu’Albert Heijn a demandé à ses clients de conserver leurs tickets de caisse en vue d’un dédommagement. Delhaize, en Belgique, ne pouvait plus accepter de nouvelles commandes en ligne. Aux États-Unis, les sites web de Food Lion, Hannaford, Stop & Shop, Giant Food et The Giant Company sont devenus inaccessibles, et des employés de Stop & Shop ont signalé avoir perdu l’accès à leurs plannings et à leurs bulletins de paie.
Tom’s Hardware et d’autres médias ont traité les deux événements ensemble, comme une cyberattaque contre les supermarchés européens touchant la réfrigération, les livraisons et les prix en magasin. Ahold Delhaize n’a pas précisé ce qui s’est passé, aucun groupe de ransomware n’a revendiqué l’attaque, et ni les autorités françaises ni les autorités néerlandaises ne l’ont reliée à l’attaque Danfoss. Ahold Delhaize avait subi un précédent incident en novembre 2024, qui avait exposé les données de plus de 2 millions de personnes et mis hors ligne le commerce en ligne de Hannaford.
Précédents dans l’archive
La réfrigération a déjà été attaquée, mais jamais à cette échelle. En novembre 2024, l’identité hacktiviste CARR, pilotée par le GRU, a atteint le système de contrôle d’une usine de transformation de viande de Los Angeles via une IHM VNC exposée sur Internet, a gâté des milliers de livres de viande et a provoqué une fuite d’ammoniac. En mai 2026, une identité liée à l’Iran a reconfiguré les contrôleurs de réfrigération industrielle d’un transformateur alimentaire israélien, bloqué des vannes en position ouverte et détruit trois compresseurs. L’attaque par ransomware contre Americold en 2020 et l’attaque contre JBS Foods en 2021 ont perturbé la chaîne du froid depuis le côté IT. Fin août 2026, les congélateurs des magasins d’alimentation (commissaries) de plus d’une douzaine de bases militaires américaines sont tombés en panne en deux jours, Fort Huachuca rapportant que chaque congélateur avait été mis en mode dégivrage ; les enquêteurs de l’Army et de l’Air Force n’ont pas publié de cause.
L’analogue structurel le plus proche est l’exploitation massive d’un même modèle de contrôleur exposé sur Internet chez de nombreux petits opérateurs : la campagne CyberAv3ngers contre les Unitronics en 2023 et les attaques contre les Rockwell MicroLogix des services d’eau du Minnesota en juillet 2026. Dans chaque cas, les victimes partageaient un produit affecté d’une faiblesse publique et une interface d’administration sur une adresse routable, et l’attaquant n’avait besoin d’aucun point d’appui dans un réseau d’entreprise. L’attaque contre les supermarchés français suit le même schéma, la réfrigération commerciale prenant la place du traitement de l’eau.
Ce que les défenseurs doivent en retenir
Dans un supermarché, la réfrigération, l’éclairage, les étiquettes électroniques de gondole, les balances et la gestion technique du bâtiment sont généralement installés et entretenus par des prestataires et échappent à la gouvernance informatique du magasin. L’incident français réunit d’un coup l’ensemble des modes de défaillance : des équipements dépassés de cinq à dix ans leur fin de vie, des unités récentes sans firmware à jour, des interfaces d’administration sur des adresses publiques, une fonction d’alerte pouvant être réduite au silence depuis la même interface que contrôlait l’attaquant, et aucune surveillance de température indépendante sur laquelle se rabattre. Les exploitants d’unités AK-SM 800A doivent vérifier qu’ils sont en version R4.3.1 ou ultérieure ; les exploitants d’unités AK-SM 800 et AK-SC 355 n’ont aucun correctif à appliquer et doivent retirer ces appareils d’Internet et planifier leur remplacement. Des enregistreurs de température indépendants avec alerte hors bande auraient transformé une perte totale en une simple intervention nocturne d’astreinte dans la plupart des magasins touchés.