Cyberattaque des frigos : ce que les PME du Nord doivent vérifier

Dans la nuit du dimanche 11 au lundi 12 octobre 2026, des attaquants ont pris la main à distance sur les régulateurs de froid de centaines de supermarchés français, et fait grimper la température de certains meubles et chambres froides jusqu'à 50 °C. En Picardie, des supermarchés de l'Oise et de la Somme figurent parmi les magasins touchés, et un Intermarché de l'Oise a dû jeter l'ensemble de ses produits frais et surgelés concernés. Le CERT-FR a publié une alerte dès le 12 octobre. Derrière l'événement spectaculaire, une question concrète pour les PME des Hauts-de-France : le boîtier qui supervise votre froid est-il, lui aussi, visible depuis Internet ?

L'essentiel au 15 octobre 2026

Les faits : au moins 300 magasins Intermarché/Netto, moins d'une centaine de Coopérative U, plusieurs E.Leclerc et une trentaine de Monoprix touchés, selon les enseignes interrogées par l'AFP le 12 octobre.
Les équipements visés : télécommandes de supervision du froid Danfoss (séries AK-SC et AK-SM), Copeland xweb et Dixell xweb, selon l'alerte CERTFR-2026-ALE-012.
Ce qui n'est pas établi : les auteurs et la méthode d'intrusion. Aucune faille précise n'est officiellement reliée à l'attaque.
L'angle PME : la consigne du CERT-FR (ne pas exposer l'interface de gestion sur Internet) vaut pour tout commerce ou toute entreprise dont un frigoriste supervise le froid à distance. Nous n'avons aucun chiffre sur le parc des Hauts-de-France et n'en inventons pas.

Ce qui s'est passé, et ce que les sources confirment

Selon France 3 Hauts-de-France, qui relaie l'AFP le 12 octobre, les systèmes de régulation du fabricant danois Danfoss étaient visés d'après une source proche du dossier, et la température de congélateurs et de réfrigérateurs a atteint 50 °C. Les quatre distributeurs ont confirmé à l'AFP le périmètre cité plus haut : au moins 300 points de vente Intermarché et Netto, moins d'une centaine du réseau Coopérative U, « plusieurs magasins » du groupement E.Leclerc et une trentaine de Monoprix. Le lendemain, The Star rapporte que Coopérative U chiffre à 80 le nombre de ses magasins touchés, sur environ 2 000. Le parquet de Paris a ouvert une enquête de sa propre initiative, confiée à l'Office anticybercriminalité (OFAC), pour recenser les victimes et établir le lien avec les dégâts rapportés, notamment des pertes de denrées et, selon le parquet, des départs de feu. Le 14 octobre, une dépêche de l'agence AP reprise par VINnews indique que l'autorité française de cybersécurité juge les attaques « probablement toujours en cours », et que le ministre des Finances, Roland Lescure, évoque environ 700 supermarchés touchés sur 10 000, avec « aucun risque » pour l'approvisionnement. Ce chiffre de 700 est cité par une seule source parmi celles que nous avons lues ; il diffère des décomptes des enseignes.

Reportage de France 24 sur la cyberattaque visant les réfrigérateurs des supermarchés (titre : « Une cyberattaque « sans précédent » vise les réfrigérateurs des supermarchés »). Nous citons le titre et la chaîne ; les chiffres de cet article viennent des sources écrites ci-dessus.

En Picardie : des magasins de l'Oise et de la Somme à l'arrêt

France 3 Hauts-de-France cite plusieurs magasins picards touchés, dont Roye (Somme) et Marseille-en-Beauvaisis (Oise). Un directeur d'Intermarché dans l'Oise décrit une arrivée du personnel au petit matin dans un magasin dont les températures étaient « trop élevées » ; la chaîne du froid ayant été rompue, l'ensemble des aliments frais et surgelés concernés a été retiré et jeté. Il précise qu'un huissier de justice était déjà passé constater les dégâts, que des frigoristes ont repris la main sur la supervision, et que la remise en route s'est faite mécaniquement plutôt que par le système informatique visé. Une employée d'un autre magasin de l'Oise indique qu'il n'y aurait « pas de pain demain », la réserve de boulangerie étant particulièrement touchée. Un point doit retenir l'attention de toute PME : Intermarché a dit à l'AFP que « l'un des points durs » serait celui des assurances, qui, selon l'enseigne, ne « couvrent pas ce type » d'incident en magasin. Nous n'avons pas lu les contrats concernés, et la situation d'un indépendant varie selon sa police ; mais la question du contrat se pose avant le sinistre, pas après.

Ce que dit l'alerte du CERT-FR, et ce qu'elle ne dit pas

L'alerte CERTFR-2026-ALE-012, publiée le 12 octobre et mise à jour le 13, est titrée « Incident de sécurité ciblant les contrôleurs à distance des installations de réfrigération ». Elle déclare que le CERT-FR a connaissance de « nombreuses compromissions » de ces contrôleurs, sur les séries Danfoss AK-SC et AK-SM, Copeland xweb et Dixell xweb, et rappelle qu'exposer directement une interface de gestion sur Internet va à l'encontre des bonnes pratiques. Elle avertit que les campagnes d'attaque sont probablement toujours en cours.

Votre situation	Ce que recommande le CERT-FR	Ce qu'il faut savoir
Équipement non compromis	Retirer l'exposition à Internet, y compris toute adresse IP publique ; revoir toute la configuration, dont les cycles de dégivrage ; rétablir l'accès à distance uniquement par VPN sécurisé ou réseau protégé ; appliquer le durcissement du constructeur	Pour Danfoss : niveau de sécurité « Strict » et mots de passe par défaut changés. Le filtrage des IP du frigoriste est toléré en urgence, pas une solution durable.
Équipement compromis	Même retrait d'exposition ; réinitialisation d'usine ; accès rétabli seulement via VPN ou réseau protégé ; reconfiguration avant remise en service	Une réinitialisation seule ne suffit pas : elle efface la persistance mais laisse l'appareil vulnérable à une nouvelle infection.
Équipement en fin de vie sans correctif	Ne pas le laisser exposé : le risque de compromission est jugé « très élevé »	Danfoss recommande le remplacement des AK-SM 800 et AK-SC 355, d'après les sources secondaires que nous avons lues.

Source : alerte CERTFR-2026-ALE-012 (versions des 12 et 13 octobre 2026). Le CERT-FR ajoute de vérifier son contrat d'assurance avant de couper la liaison de données avec le prestataire de froid.

Ce que l'alerte ne dit pas : qui est derrière l'attaque, ni par quel chemin exact les contrôleurs ont été compromis. Les sources que nous avons lues ne relient aucune vulnérabilité précise à cet incident, et le CERT-FR n'y publie pas d'indicateurs de compromission.

La piste des failles publiées en août, à manier avec prudence

Le 9 août 2026, l'équipe Team82 de Claroty a publié une analyse de contrôleurs Danfoss AK-SM 800A (page de l'étude). Elle décrit un contournement d'authentification fondé sur un « code du jour » caché (CVE-2025-41450, score 8,2), une injection de commandes après authentification (CVE-2025-41451) et une injection de configuration Nginx (CVE-2025-41452). Le firmware R4.3.1 corrige les trois, selon l'étude. Claroty compte 2 765 appareils de ce modèle joignables depuis Internet d'après un scan Censys. Faut-il en conclure que ces failles ont servi lundi ? Rien ne l'établit dans les sources lues. D'autre part, Tom's Guide rapporte qu'un fil du chercheur Baptiste Robert, daté du 12 octobre, compterait 2 752 systèmes Danfoss en ligne dont 1 590 en France ; le média ne précise pas l'outil de scan utilisé, et nous donnons ce chiffre comme indicatif. Ce qu'il montre, en tout cas, c'est que le sujet de l'exposition n'est pas théorique.

Extrait de BFMTV avec le PDG d'Intermarché (titre : « Frigos piratés : Thierry Cotillard, PDG d'Intermarché, évoque « 3 à 4 cyberattaques par jour » »). Nous n'en reprenons que le titre.

L'angle Hauts-de-France : le froid de votre entreprise est-il visible depuis Internet ?

Aucune source lue ne chiffre le nombre de commerces, restaurants, boulangeries, poissonneries, ateliers de transformation ou entrepôts frigorifiques des Hauts-de-France dont le froid est supervisé à distance, ni ceux qui utilisent les marques visées. Nous ne présentons donc aucun décompte régional. Le raisonnement, lui, est direct : la consigne du CERT-FR porte sur un type d'accès (une interface de supervision joignable depuis Internet), pas sur une taille d'entreprise. Un indépendant dont le frigoriste surveille le froid à distance est, sur ce point, dans la même situation qu'un magasin de groupe, avec moins de monde pour réagir à 4 heures du matin. Le cas du magasin parisien rapporté par l'AP illustre l'enjeu : un Intermarché y a sauvé l'essentiel de ses fruits et légumes frais grâce à une alerte reçue à 4 heures du matin, mais a perdu ses surgelés. Une alerte de température indépendante du système attaqué a donc une vraie valeur. Cette observation est la nôtre, tirée de ce cas ; aucune source ne chiffre l'efficacité d'un dispositif précis. Les précédents récents de ce site vont dans le même sens : ce sont souvent des prestataires et des accès distants que les PME oublient d'inventorier. Voir l'alerte Metabase du CERT-FR, la fuite de la Région Hauts-de-France via un prestataire et la fiche CNIL du Cybermois sur les sous-traitants. Le Cyber Resilience Act, qui vise les fabricants de produits connectés, est traité dans notre article sur la plateforme de signalement.

Sept vérifications à faire cette semaine

Dresser la liste de ce qui est connecté. Demandez à votre frigoriste, par écrit, la marque et le modèle du superviseur de chaque installation, et s'il existe un accès à distance.
Savoir si l'interface a une adresse IP publique. C'est exactement le critère du CERT-FR. Si votre prestataire ne sait pas répondre, c'est déjà une réponse.
Lire votre contrat d'assurance avant de couper quoi que ce soit. Le CERT-FR le recommande explicitement ; vérifiez aussi si la perte de marchandise par incident informatique est couverte (Intermarché indique que non, pour ses magasins).
Changer les mots de passe par défaut et durcir. Pour Danfoss, le CERT-FR cite le niveau de sécurité « Strict ». Confiez-le au frigoriste, mais faites-vous confirmer la date.
Imposer un VPN ou un réseau protégé pour la maintenance à distance, et si besoin, en attendant, filtrer sur le pare-feu les adresses IP du prestataire.
Prévoir une alerte de température indépendante et une procédure papier : qui est prévenu, qui décide de jeter, quels relevés conserver pour l'assurance et le contrôle sanitaire.
Remplacer ce qui est en fin de vie. Un contrôleur sans correctif ne se « sécurise » pas par un mot de passe : demandez un devis de remplacement et un calendrier.

En cas de sinistre : conservez les relevés de température, faites constater les pertes (le magasin de l'Oise a eu recours à un huissier), prévenez votre assureur et déposez plainte. Pour une assistance aux victimes, le dispositif national est Cybermalveillance.gouv.fr. Pour une vue d'ensemble de la protection d'une PME, voir notre guide sur les ransomwares.

Ce qu'on ne sait pas encore

Les auteurs et la méthode d'intrusion : non établis ; le CERT-FR ne publie pas d'indicateurs de compromission.
Le nombre exact de magasins touchés : les chiffres varient entre les enseignes (300 + 80 + plusieurs + une trentaine) et la déclaration ministérielle rapportée par l'AP (environ 700).
Le coût total pour les enseignes et la couverture d'assurance : Intermarché n'a pas chiffré ses pertes.
La part des commerces indépendants et des PME touchée : aucun décompte lu, en particulier dans les Hauts-de-France.
La fin de la campagne : l'autorité française la juge probablement toujours en cours.

Nous complétons cet article si le CERT-FR publie des indicateurs, si le parquet ou Danfoss précisent la voie d'accès, ou si un décompte régional apparaît. Les pages citées ont été lues le jeudi 15 octobre 2026.

FAQ : cyberattaque des frigos de supermarchés

Mon commerce ou mon restaurant est-il concerné par la cyberattaque des frigos ?

Seulement si votre froid est supervisé à distance par l'un des équipements cités par le CERT-FR (Danfoss AK-SC ou AK-SM, Copeland xweb, Dixell xweb) et que son interface est joignable depuis Internet. Demandez à votre frigoriste la marque, le modèle et l'existence d'un accès distant. Nous n'avons aucun décompte régional.

Une réinitialisation d'usine suffit-elle après une compromission ?

Non, selon le CERT-FR : elle supprime la persistance mais laisse l'appareil vulnérable, donc exposé à une nouvelle infection. Il faut aussi retirer l'exposition à Internet, rétablir l'accès par VPN ou réseau protégé, reconfigurer l'appareil et appliquer le durcissement du constructeur.

Mon assurance couvre-t-elle la perte de marchandises après une telle attaque ?

Cela dépend de votre contrat, que nous n'avons pas lu. Intermarché a déclaré à l'AFP que ses assurances ne couvrent pas ce type d'incident en magasin. Le CERT-FR recommande de vérifier son contrat avant de couper la liaison de données avec le prestataire de froid. Demandez une réponse écrite à votre assureur.

Les failles de Claroty publiées en août expliquent-elles l'attaque ?

Rien dans les sources lues ne l'établit. Claroty a décrit en août trois vulnérabilités du Danfoss AK-SM 800A, corrigées par le firmware R4.3.1, mais le CERT-FR n'a publié aucun indicateur de compromission et la méthode d'intrusion n'est pas confirmée.

Que faire en cas de sinistre dans mon entreprise ?

Conservez les relevés de température, faites constater les pertes, prévenez votre assureur, déposez plainte et contactez Cybermalveillance.gouv.fr pour être orienté. Un directeur d'Intermarché dans l'Oise a fait venir un huissier le jour même.