Pourquoi des pirates ont pu chauffer les frigos d’Intermarché, Carrefour et U à 50 °C

Dans la nuit du 11 au 12 octobre 2026, plus de 400 supermarchés français ont vu leurs frigos passer en dégivrage forcé à 50 °C après une cyberattaque. Les pirates ont pris la main à distance sur les boîtiers Danfoss qui pilotent le froid : des modèles pour la plupart anciens ou non mis à jour, restés accessibles depuis Internet malgré une faille publiée dès mai 2025.

La dépêche de l’AFP recense au moins 300 Intermarché et Netto, 80 Carrefour, une trentaine de Monoprix, moins d’une centaine de magasins U et plusieurs E.Leclerc. Thierry Cotillard, patron d’Intermarché, y décrit des meubles froids tous mis en dégivrage et chauffés à 50 degrés. Le lundi 12 octobre au matin, viandes, laitages et surgelés sont partis à la benne.

Comment des pirates ont-ils pu commander des frigos ?

En passant par le poste de pilotage du magasin. Chez Danfoss, un boîtier de supervision, l’AK-SM 800A, coordonne tous les régulateurs de l’installation et offre une interface web pour régler températures, alarmes et dégivrages. Deux mois avant l’attaque, en août 2026, les chercheurs de l’équipe Team82 de Claroty avaient recensé 2 765 de ces interfaces accessibles publiquement en ligne.

Le dégivrage, fonction de routine des régulateurs Danfoss, a été retourné contre les rayons en six temps.

Ces failles étaient publiques : l’avis de l’agence américaine CISA, publié en mai 2025, décrit celle du mot de passe du jour, que la version R4.2 supprime. Les deux autres, détaillées par Claroty en août 2026, sont corrigées par la R4.3.1. Danfoss, cité par l’AFP, souligne que la majorité des unités touchées sont des produits anciens, privés de mises à jour de sécurité. Danfoss a déclaré l’AK-SM 800, prédécesseur du 800A, en fin de vie en mai 2021, selon InformatiqueNews. Le scénario n’était pas inédit : une note technique du fabricant d’octobre 2025 cite 16 supermarchés russes attaqués via ces contrôleurs en 2022, selon InformatiqueNews. Côté français, les services du Premier ministre évoquent, d’après la radio-télévision suisse RTS, une vulnérabilité dans un logiciel fourni par une société danoise, identifiée par l’Agence nationale de la sécurité des systèmes d’information (ANSSI).

Pour fermer cette porte, Vincent Strubel, directeur général de l’ANSSI, juge « urgent de les déconnecter d’internet, ou d’adopter a minima une politique de filtrage réseau très restrictive ». Il vise les contrôleurs Danfoss des séries AK-SM et AK-SC, rapporte l’AFP.

Le reportage de TF1 Info revient sur la façon dont l’attaque a pu atteindre les magasins.

Pourquoi tout part-il à la benne ?

Parce qu’au-delà d’un certain seuil, la vente est interdite. L’arrêté du 21 décembre 2009 fixe une température maximale par famille de produits : +2 °C pour la viande hachée, −18 °C pour les glaces. Un produit qui l’a dépassée n’offre plus de garantie sanitaire. Les distributeurs ont dû jeter tous les produits exposés pour respecter la chaîne du froid, rapporte l’AFP.

Qui paie la casse ?

Les commerçants, pour l’instant : Intermarché prévient, auprès de l’AFP, que les assurances ne « couvrent pas ce type » d’incident. À Haguenau, dans le Bas-Rhin, deux magasins auraient subi à eux seuls 270 000 euros de pertes, selon La Dépêche citée par MacGeneration.

Thierry Cotillard voit bien plus grand : des dizaines de millions d’euros au niveau national, « en une seule matinée », a-t-il déclaré à l’AFP.

Qui est derrière l’attaque ?

Aucun auteur n’était identifié ni aucune revendication connue, selon InformatiqueNews. Dominique Schelcher, président de Coopérative U, a jugé sur X l’attaque « d’une extrême gravité ».

Le même week-end, Ahold Delhaize a subi un incident informatique aux Pays-Bas : sites d’Albert Heijn, Etos et Gall & Gall hors ligne, livraisons arrêtées, prix de la semaine précédente encore en rayon, rapporte RetailDetail. Rien ne permet à ce stade de le relier à l’attaque des frigos français, note Tom’s Hardware.

L’enquête, ouverte par le parquet de Paris, est confiée à l’Office anti-cybercriminalité (OFAC).

Article créé en collaboration avec l’IA.