Cyberattaque supermarchés : les frigos pilotés à +26 °C en une nuit

La cyberattaque supermarchés qui a frappé la France dans la nuit du 11 au 12 octobre 2026 n'a volé aucun mot de passe, n'a chiffré aucun serveur et n'a réclamé aucune rançon connue. Elle a fait quelque chose de plus bête et de plus spectaculaire : elle a monté le thermostat. Des congélateurs réglés à -18 °C retrouvés au-dessus de 26 °C, des rayons frais entiers partis en benne, des gérants réveillés par leur alarme de température à 4 h 44 du matin. Quelques mois après les attaques classiques par rançongiciel sur la logistique, la grande distribution vient de prendre une leçon d'humilité sur un équipement que personne, dans les organigrammes, ne considérait comme informatique.

Ce qui s'est passé cette nuit-là

Le scénario tient en trois gestes. Les attaquants accèdent aux systèmes de supervision du froid du fabricant danois Danfoss, présents dans des milliers de points de vente européens. Ils ne coupent pas la réfrigération — ce serait trop visible. Ils détournent la fonction de dégivrage, celle qui réchauffe brièvement l'évaporateur pour éviter le givre, et l'imposent en cycle continu avec des consignes délirantes, jusqu'à +50 °C selon les relevés techniques repris par la presse spécialisée.

Un magasin a documenté le début de l'incident à 4 h 44. Les sondes montent lentement, puis franchissent la barre fatidique. À +26 °C dans un bac à surgelés, la question n'est plus de savoir si la marchandise est consommable : elle ne l'est plus. Les protocoles sanitaires imposent la destruction, pas l'arbitrage au doigt mouillé.

Quelques responsables de magasin ont aussi signalé des départs de feu liés à des cycles de dégivrage prolongés. Le parquet de Paris a ouvert une enquête.

Les chiffres connus à ce stade

• Environ 100 à 150 magasins Intermarché touchés, selon les estimations du groupement Les Mousquetaires et des sources sectorielles.
• Moins d'une centaine de magasins du côté de la Coopérative U.
• Des points de vente Carrefour Market, Monoprix et E.Leclerc également concernés ; Netto, Picard et Metro cités comme possiblement affectés.
• Des pertes de plusieurs centaines de milliers d'euros par magasin dans les cas les plus sévères, et une facture globale chiffrée en plusieurs millions d'euros par Les Mousquetaires.
• Un point commun à toutes les installations visées : la supervision Danfoss, avec des versions logicielles antérieures à la 4.0 particulièrement exposées. Une vulnérabilité référencée CVE-2025-41450 figure parmi les pistes techniques évoquées. Le fabricant a publié un correctif.

L'hebdomadaire cyber du MagIT a recensé 24 attaques dans le monde sur la seule semaine du 16 octobre, l'Allemagne en tête avec sept incidents. En France, la même semaine a vu tomber une clinique vétérinaire à Dijon et un opérateur portuaire au Havre. L'affaire du froid se distingue par sa cible : pas des données, de la matière.

Pourquoi un thermostat devient une arme

Un supermarché moderne pilote son froid comme une petite usine. Chaque meuble remonte sa température à un automate, lui-même relié à une supervision centrale, souvent accessible à distance pour que le mainteneur n'ait pas à envoyer un technicien à 300 kilomètres quand un compresseur tousse. C'est pratique. C'est aussi une porte.

Trois faiblesses structurelles se cumulent :

• Du matériel hors d'âge. Une partie des contrôleurs installés dans les rayons français sont des modèles en fin de vie depuis 2021, voire retirés du catalogue dès 2016. Plus de mises à jour, plus de correctifs, mais toujours en service — parce qu'un meuble froid se remplace tous les quinze ans, pas tous les trois.
• Un fournisseur unique = un point de rupture unique. Quand la même marque équipe la moitié des enseignes, compromettre le maillon amont donne accès à des centaines de sites d'un coup. C'est exactement la logique des attaques de chaîne d'approvisionnement, appliquée à la plomberie frigorifique.
• Une détection trop lente. Selon une étude citée par Keeper Security, seules 22 % des organisations françaises se disent capables de repérer en quelques minutes l'usage frauduleux d'identifiants. À 4 h 44 un dimanche, personne ne regarde une courbe de température.

Shane Barney, responsable de la sécurité des systèmes d'information de Keeper Security, résume la bascule sans détour : les cyberattaques ne se contentent plus de voler les mots de passe, elles font pourrir la nourriture. Et il pose la bonne question derrière : si un appareil ne peut plus être corrigé, qui peut encore y accéder ?

Les zones d'ombre

Personne n'a revendiqué. C'est la première anomalie. Un rançongiciel se signe toujours : il faut bien un canal de paiement. Ici, rien — ce qui ouvre plusieurs lectures possibles, du test de capacité à la démonstration de force, en passant par le sabotage opportuniste. Aucune de ces hypothèses n'est aujourd'hui étayée publiquement.

Le périmètre exact reste flou, lui aussi. Les enseignes communiquent par estimations, les chiffres de magasins varient d'une source à l'autre et aucune autorité n'a publié de bilan consolidé. Le directeur général de la Coopérative U a qualifié l'attaque d'inacceptable et d'inédite, ce qui dit l'émotion de la filière plus que l'ampleur technique.

Dernière inconnue, la plus gênante : combien de sites tournent encore, aujourd'hui, avec la version vulnérable ? Un correctif publié n'est pas un correctif déployé. Dans le commerce alimentaire, la mise à jour d'un automate suppose souvent l'intervention d'un prestataire, un créneau de nuit et un bon de commande.

Ce que ça change pour les commerces, y compris les petits

Le réflexe serait de penser que l'affaire ne concerne que les grandes enseignes. Faux. Une boucherie, une épicerie fine, un restaurant ou une pharmacie pilotent les mêmes familles d'équipements connectés — chambre froide, sonde Wi-Fi, supervision accessible depuis le téléphone du gérant. Les quatre gestes utiles sont les mêmes partout :

• Inventorier ce qui est connecté. Beaucoup de commerçants découvrent leur parc le jour de l'incident.
• Couper les accès distants non indispensables, et changer les identifiants par défaut quand ils existent encore.
• Brancher une alarme indépendante de la supervision : une sonde autonome qui envoie un SMS, ça coûte quelques dizaines d'euros.
• Demander au mainteneur, par écrit, la version logicielle installée et son statut de support.

L'assurance, elle, va trancher à sa manière. Une perte de marchandise causée par une intrusion informatique relève des garanties cyber, pas toujours souscrites, souvent plafonnées. Les procès-verbaux de destruction et les relevés de température deviennent dans ce contexte des pièces comptables.

Et maintenant ?

La filière va devoir faire ce qu'elle a toujours repoussé : traiter le froid comme un système d'information critique, avec inventaire, segmentation réseau et plan de mise à jour. Les équipementiers vont de leur côté subir la pression des centrales d'achat, seul levier qui accélère vraiment ce genre de chantier.

En attendant, un détail du dossier mérite d'être gardé en tête. L'attaque n'a demandé ni exploit spectaculaire ni budget d'État : juste un équipement obsolète, joignable à distance, et une consigne de température modifiée. C'est tout.