Dans la nuit du 11 au 12 octobre 2026, des attaquants ont pris le contrôle à distance de systèmes chargés de piloter les installations frigorifiques de centaines de supermarchés français.
Ces contrôleurs permettent normalement aux exploitants ou aux sociétés de maintenance de surveiller et de modifier à distance le fonctionnement des réfrigérateurs et congélateurs d'un magasin. Cette possibilité d'administration à distance est précisément celle qui a été détournée lors de l'attaque.
Dans les magasins touchés, les attaquants ont modifié les paramètres de température des installations. Certains équipements ont ainsi été poussés jusqu'à environ 50 °C pendant plusieurs heures, au lieu de maintenir les températures nécessaires à la conservation des aliments.
Une cyberattaque avec des conséquences physiques
L'incident ne s'est donc pas limité à rendre un logiciel indisponible ou à perturber un service numérique. En agissant sur les contrôleurs, les attaquants ont directement modifié le comportement d'équipements présents dans les magasins.
Dans les premiers jours suivant l'attaque, Intermarché avait indiqué qu'environ 150 de ses magasins avaient été touchés. Carrefour avait fait état de 80 magasins concernés et Monoprix d'environ 5 % de son parc, tandis que Coopérative U avait également confirmé avoir été ciblée. Le bilan consolidé disponible depuis porte désormais à plus de 700 le nombre de supermarchés français touchés par la cyberattaque. Ce chiffre désigne les points de vente concernés par l'incident et n'implique pas nécessairement que chacun d'entre eux ait subi une rupture de la chaîne du froid ou la destruction de marchandises.
Les conséquences ont été immédiates : rupture de la chaîne du froid, destruction de produits frais et surgelés et, dans certains établissements, départs de feu. Intermarché a notamment indiqué avoir éliminé l'ensemble des denrées concernées afin d'écarter tout risque sanitaire.
La méthode précise utilisée pour compromettre l'ensemble de ces systèmes n'a toutefois pas été rendue publique. Plusieurs équipements fonctionnaient avec des logiciels anciens ou des versions de firmware qui n'étaient plus à jour, tandis que certaines interfaces de gestion restaient directement accessibles depuis Internet.
Quels équipements sont concernés ?
L'attaque ne concerne plus uniquement les contrôleurs Danfoss identifiés lors des premiers signalements. Le CERT-FR recense désormais plusieurs familles d'équipements parmi les systèmes compromis observés en France.
Sont notamment concernés les contrôleurs Danfoss des séries AK-SM et AK-SC, ainsi que les systèmes Copeland XWEB et Dixell XWEB. Ces équipements permettent de superviser et de piloter à distance des installations frigorifiques.
Du côté de Danfoss, une partie importante des appareils touchés appartient à d'anciennes générations. Le constructeur a notamment indiqué que les modèles AK-SM 800 et AK-SC 355, désormais en fin de vie, figuraient parmi les systèmes affectés. Des contrôleurs AK-SM 800A plus récents utilisant des versions de firmware obsolètes ont également été concernés.
Vulnérable, exposé ou compromis : trois situations différentes
La présence d'un modèle dans une alerte de sécurité ne signifie pas que tous les équipements de cette gamme ont été piratés. Un équipement peut présenter une vulnérabilité sans être directement accessible depuis Internet, ou être exposé sans qu'une compromission ait été constatée.
À l'inverse, lorsqu'une interface de gestion est directement accessible depuis une adresse IP publique, le risque augmente fortement. Le CERT-FR rappelle que l'exposition d'une interface d'administration sur Internet est contraire aux bonnes pratiques et recommande de supprimer cet accès direct.
Pour les équipements arrivés en fin de vie et ne disposant plus de correctifs de sécurité, le risque est encore plus important. Le CERT-FR avertit qu'un simple retour aux paramètres d'usine ne suffit pas : si l'équipement reste exposé et vulnérable, il peut être compromis à nouveau.
Quels impacts ont réellement été observés ?
Les conséquences les plus visibles de l'attaque concernent les produits conservés dans les installations frigorifiques touchées. Lorsque les températures ont été modifiées à distance, les magasins concernés ont dû retirer et détruire des produits frais ou surgelés dont la chaîne du froid ne pouvait plus être garantie.
Les pertes peuvent rapidement devenir importantes. Thierry Cotillard, président du Groupement Les Mousquetaires, a évoqué un coût moyen d'environ 50 000 euros pour un Intermarché de taille moyenne et estimé que l'impact économique pourrait atteindre plusieurs dizaines de millions d'euros à l'échelle de l'attaque.
L'incident a également provoqué des perturbations dans les magasins : rayons vidés, équipements temporairement indisponibles et opérations nécessaires pour contrôler, réinitialiser et sécuriser les installations. Des départs de feu ont également été signalés dans plusieurs établissements.
Des pertes qui ne sont pas nécessairement couvertes par les assurances cyber
La nature de l'attaque soulève également une difficulté moins visible : un incident informatique peut provoquer un dommage physique sans que celui-ci soit automatiquement couvert par une assurance cyber.
Les contrats cyber peuvent prendre en charge certains coûts liés à l'incident, comme l'investigation informatique, la gestion de crise ou certaines dépenses de réponse. En revanche, les pertes physiques provoquées par l'attaque, notamment la destruction des marchandises, sont généralement exclues des couvertures cyber classiques.
Intermarché a indiqué que ce type d'incident n'était pas couvert par son assurance. Coopérative U a également fait savoir que le risque correspondant aux marchandises détruites n'était pas couvert, ouvrant désormais la question de la répartition des responsabilités entre magasins, installateurs, prestataires et fabricants des équipements.
La situation peut encore varier selon les contrats. L'absence de mises à jour de sécurité, les engagements pris lors de la souscription ou l'existence de garanties spécifiques couvrant les dommages physiques et les marchandises périssables peuvent modifier la prise en charge d'un sinistre.
Pas de pénurie alimentaire généralisée
Malgré l'ampleur inhabituelle de l'attaque, les éléments disponibles ne permettent pas de parler d'une pénurie alimentaire à l'échelle nationale. Les conséquences documentées restent concentrées sur les magasins et les installations effectivement touchés.
Il faut donc distinguer deux niveaux : l'attaque a provoqué de véritables pertes matérielles et financières dans plusieurs centaines de magasins, mais cela ne signifie pas que l'approvisionnement alimentaire français dans son ensemble a été interrompu.
Chronologie et évolution de la situation
Les premières compromissions massivement visibles en France apparaissent dans la nuit du 11 au 12 octobre 2026. Plusieurs enseignes constatent alors des modifications anormales des paramètres de leurs installations frigorifiques et commencent à isoler les équipements concernés.
Le 12 octobre, le CERT-FR publie une première alerte consacrée aux compromissions de systèmes de gestion de réfrigération. Les premiers éléments portent principalement sur des équipements Danfoss et sur l'exposition de leurs interfaces d'administration sur Internet.
Le 13 octobre, l'alerte est élargie. D'autres familles d'équipements, notamment Copeland XWEB et Dixell XWEB, sont ajoutées aux systèmes concernés par les compromissions observées. L'incident ne peut alors plus être considéré comme limité à une seule gamme de contrôleurs.
Dans les jours suivants, les opérations de sécurisation se poursuivent tandis que de nombreux équipements de contrôle frigorifique restent accessibles depuis Internet. Le CERT-FR considère que des campagnes d'attaque visant ces systèmes sont probablement toujours en cours.
Ce que nous surveillons maintenant
Plusieurs questions restent ouvertes : l'identité et les motivations des attaquants, la méthode exacte utilisée pour compromettre l'ensemble des équipements, l'apparition éventuelle de nouvelles victimes et l'extension de la campagne à d'autres pays ou à d'autres systèmes de contrôle frigorifique.
L'évolution des conséquences économiques sera également à suivre, notamment les pertes supportées par les enseignes, la prise en charge par les assurances et les éventuelles responsabilités des différents acteurs impliqués dans l'installation, la maintenance et la sécurisation de ces équipements.
Pour aller plus loin : données et suivi
Les incidents étudiés dans ce dossier s'inscrivent dans un environnement cyber plus large, dont certains indicateurs peuvent évoluer rapidement : nouvelles vulnérabilités exploitées, activité malveillante observée ou évolution du niveau d'exposition.
Ces données font l'objet d'un suivi séparé afin de distinguer les événements analysés dans ce dossier des tendances observables plus largement dans le temps.
Le Radar cyber permet ainsi de compléter cette analyse en suivant régulièrement plusieurs indicateurs issus de données publiques.
Suivre les évolutions plus directement
Pour suivre plus directement les évolutions importantes, vous pouvez également retrouver L'Actu sans le Bruit sur Telegram. Le canal permet de suivre les nouveaux événements au fil de l'actualité, tandis que ce dossier n'est mis à jour que lorsque ces évolutions modifient réellement l'état de la situation.