Dans la nuit du 11 au 12 octobre, vers 4 h 45, les meubles réfrigérés et les chambres froides de centaines de supermarchés français se sont mis à chauffer. Quelqu’un avait pris la main, à distance, sur les régulateurs qui pilotent le froid, forcé les dégivrages et poussé les consignes jusqu’à 50 °C. Au matin, des rayons entiers de produits frais et de surgelés partaient à la benne. Au moins 300 Intermarché et Netto, 80 Carrefour, une trentaine de Monoprix, des dizaines de magasins U et plusieurs Leclerc sont touchés, selon des bilans encore provisoires. Le parquet de Paris a ouvert une enquête, le Premier ministre a saisi l’ANSSI. Et la question qui monte, comme à chaque fois, est : qui a fait ça, et avec quelle arme sophistiquée ? La réponse la plus probable est décevante. Il n’a pas fallu d’intelligence artificielle. Il a suffi de boîtiers vieux de dix ans, branchés sur Internet, que personne ne mettait à jour.
Des automates en fin de vie, visibles depuis Internet
Les équipements visés sont des régulateurs du fabricant danois Danfoss, des modèles déclarés en fin de vie depuis plusieurs années et qui ne reçoivent plus de mises à jour. Leurs failles ne sont pas un secret. Des chercheurs de la société française Synacktiv avaient montré dès 2023 qu’on pouvait contourner leur authentification ; d’autres, de Claroty, ont publié en août une faille notée 8,2 sur 10 permettant d’ouvrir une session administrateur sans mot de passe, et ont compté 2 765 de ces boîtiers directement accessibles depuis Internet. Danfoss a reconnu auprès de Reuters que des micrologiciels obsolètes étaient en cause. L’ANSSI dit avoir identifié une vulnérabilité dans un logiciel de l’éditeur et cherche les autres entreprises exposées. Rien n’indique encore quelle porte exacte a servi, ni qui l’a franchie : au moment où nous écrivons, personne ne revendique l’attaque et aucune rançon n’a été demandée.
Kévin Tellier, de Synacktiv, résume l’affaire à une « double erreur » : des équipements exposés sur Internet, ce qui n’aurait jamais dû être le cas, et une authentification faible. Le mode opératoire typique, explique-t-il, consiste à repérer les appareils avec un moteur de recherche spécialisé comme Shodan, puis à utiliser une faille connue. Une attaque « prévisible ». Et une responsabilité partagée entre les magasins et leurs prestataires de maintenance, qui installent ces boîtiers, parfois les mettent à jour par clé USB, et souvent les oublient.
Le réflexe du coupable high-tech
Dès dimanche, les hypothèses ont fusé : une opération étrangère, un sabotage coordonné, des outils de nouvelle génération. Olivier Laurelli, alias Bluetouff, figure de la sécurité informatique française, a mis en garde contre le réflexe d’accuser la Russie avant d’avoir le moindre élément. On pourrait ajouter : avant d’accuser l’intelligence artificielle. Aucune des sources disponibles, ni la presse, ni les chercheurs, ni l’ANSSI, ne relie cette attaque à l’IA. Le seul lien évoqué est hypothétique : l’IA pourrait, à l’avenir, abaisser le niveau de compétence nécessaire pour repérer des équipements exposés. Mais pour régler des frigos à 50 °C, un navigateur et une faille vieille de deux ans suffisaient.
Cette banalité est précisément la leçon. En 2013, les pirates de l’enseigne américaine Target étaient entrés par les identifiants de son prestataire de climatisation. En 2025, l’ANSSI décrivait des hacktivistes qui s’étaient introduits sur des interfaces industrielles françaises sans mot de passe, allant jusqu’à arrêter un parc éolien quelques heures. Les attaques les plus spectaculaires ne sont presque jamais les plus sophistiquées : elles exploitent la dette technique, ces machines qu’on a connectées un jour pour la commodité et qu’on n’a plus jamais regardées.
Une loi retirée de l’ordre du jour cinq jours avant
Il y a une ironie dans le calendrier. La directive européenne NIS 2, qui impose des mesures de cybersécurité à des milliers d’entreprises supplémentaires, dont la distribution alimentaire, aurait dû être transposée en France depuis octobre 2024. Le projet de loi « Résilience » qui s’en charge a été voté au Sénat en mars 2025, adopté à l’unanimité en commission à l’Assemblée en septembre dernier, puis retiré de l’ordre du jour des séances des 7 et 9 octobre, le 6 octobre, cinq jours avant l’attaque. Il n’est toujours pas voté, et la France fait l’objet d’une procédure européenne pour ce retard. Une loi n’aurait pas mis à jour les régulateurs de Danfoss. Mais elle aurait obligé les enseignes à savoir ce qu’elles ont de branché sur Internet, ce qui est le début de tout.
Pour une PME alsacienne, la question est la même que pour un hypermarché : qu’est-ce qui, chez vous, est relié au réseau sans que personne n’y pense ? La chaudière, les caméras, l’automate de la chaîne, le frigo du laboratoire, la pompe à chaleur. Trois gestes suffisent souvent : les recenser, les couper d’Internet quand rien ne justifie qu’ils y soient, et les mettre à jour ou les remplacer quand le fabricant ne les suit plus. Ce n’est pas de l’intelligence artificielle. C’est de l’entretien.
Sources
- franceinfo — Des magasins Système U et Intermarché touchés par une cyberattaque contre leurs installations frigorifiques (12 octobre 2026)
- AFP via France 24 — Des supermarchés français victimes d’une cyberattaque contre leurs installations frigorifiques
- InformatiqueNews — Magasins Système U, Intermarché, Leclerc et Monoprix touchés par une cyberattaque (13 octobre 2026)
- Silicon — Une cyberattaque paralyse le froid de centaines de magasins
- MacGeneration — Des frigos réglés à 50 °C : une cyberattaque frappe des centaines de supermarchés
- Le Club des juristes — Le parquet de Paris ouvre une enquête
- Claroty Team82 — Vulnérabilités des régulateurs de réfrigération Danfoss (août 2026)
- Synacktiv — Contournement d’authentification Danfoss AK-SM 800 / SC255 / SC355 (2023)
- Danfoss — Avis de sécurité DSA-2025-03-01
- Krebs on Security — Target hackers broke in via HVAC company (2014)
- ANSSI — Panorama de la cybermenace 2025
- Leto — Le projet de loi Résilience (NIS 2) reporté à l’Assemblée (octobre 2026)
