Publié le 6 novembre 2026

Cyberattaque des frigos : que faire si votre supervision du froid est exposée à internet

Dans la nuit du 11 au 12 octobre 2026, les consignes de meubles réfrigérés et de congélateurs ont été modifiées à distance dans des supermarchés français. Le Figaro et franceinfo rapportent des rayons entiers détruits chez Intermarché et Système U. Ce n'était pas un vol de données, mais une panne provoquée : selon la presse spécialisée, le dégivrage a été détourné avec des consignes pouvant atteindre 50 °C, et des congélateurs réglés vers −18 °C ont été retrouvés à température positive.

Ces systèmes ne sont pas réservés à la grande distribution. Un boucher, un restaurateur, un traiteur ou un entrepôt peut avoir le même superviseur, installé par son frigoriste pour le surveiller à distance et rarement suivi ensuite par qui que ce soit en informatique. Ce guide indique comment vérifier votre exposition, quoi faire si le mal est fait, et comment garder la télémaintenance sans laisser la porte ouverte. Il ne remplace ni votre frigoriste, seul à pouvoir valider les réglages du froid, ni votre plan de maîtrise sanitaire.

Ce qui s'est passé

Le CERT-FR publie son alerte CERTFR-2026-ALE-012 le 12 octobre 2026. Il l'étend le 13 octobre aux Copeland et Dixell XWEB, après les Danfoss AK-SM et AK-SC, puis revoit ses recommandations le 16 octobre. Le ministre de l'Économie évoque environ 700 magasins touchés le 13 octobre. Les décomptes des enseignes ne se recoupent pas et ne comptent pas tous la même chose.

Les premières estimations parlent de plusieurs centaines de milliers d'euros de pertes par magasin dans les cas les plus graves. L'heure compte autant que la technique : à Grand-Couronne, l'attaque survient à 4 h 44. Selon la presse spécialisée, les alertes de surveillance se déclenchent dans la matinée, sans personne sur place pendant la montée en température.

Le 2 novembre, d'autres incidents sont signalés en Belgique, en Suède, aux Pays-Bas, en Irlande et ailleurs en Europe. La même nuit, trois sites de l'Établissement français du sang sont visés par l'intermédiaire d'un prestataire d'équipements frigorifiques. L'établissement indique que ses alarmes ont détecté rapidement l'anomalie et qu'aucun produit n'a été perdu, après un transfert préventif. Une alarme qui réveille quelqu'un change donc l'issue.

Ce que l'on sait, et ce que l'on ignore

L'exposition est établie. En octobre 2026, Forescout recense 12 976 services de supervision du froid accessibles depuis internet, sur 6 017 adresses dans 99 pays et territoires, dont 7 075 Copeland ou Dixell XWEB et 4 697 Danfoss StoreView. Ces chiffres mondiaux sont une photographie, sans détail pour la France.

Le chemin d'entrée ne l'est pas. Selon SentinelLABS, l'ANSSI a évoqué devant le Sénat, en octobre 2026, des interfaces d'administration exposées et des mots de passe faibles. D'autres pistes restent ouvertes, notamment des identifiants de maintenance volés et des failles connues. Aucune source officielle ne confirme à ce jour l'usage d'une faille précise, ni la compromission d'un prestataire unique.

Les auteurs ne sont pas identifiés. NoName057(16) et Z-Pentest ont revendiqué la campagne le 4 novembre 2026 ; SentinelLABS tient ces revendications pour non vérifiées et l'attribution pour ouverte. Le parquet de Paris a ouvert une enquête. En pratique, quelle que soit l'origine, retirer l'interface d'internet ferme la voie décrite par toutes ces pistes, sauf celle d'un accès passant par le réseau du prestataire, que traite la section 5.

1. Êtes-vous concerné ?

Cherchez la marque sur l'écran ou le boîtier installé dans le local technique, ou demandez à votre frigoriste. Un afficheur de chambre froide seul ne dit rien : c'est le superviseur relié à internet qui ouvre l'accès.

Pour vérifier l'exposition, Copeland propose ce test, valable pour tout superviseur : depuis un téléphone au Wi-Fi coupé, saisissez l'adresse IP publique du site dans un navigateur. La page de connexion ne doit pas s'afficher.

Un résultat rassurant ne suffit pas, car une redirection peut utiliser un autre port que celui testé. Ouvrez aussi l'administration de votre box ou de votre routeur : aucune redirection de port ni DMZ ne doit pointer vers le superviseur, et ce dernier ne doit pas avoir d'adresse publique directe. Testez uniquement votre propre site. Une page qui s'affiche sans mot de passe, ou un mot de passe jamais changé depuis l'installation, doit faire considérer l'équipement comme compromis.

2. Si l'attaque a eu lieu : les premières heures

1. Mesurez la température réelle. Prenez un thermomètre indépendant et contrôlez chaque enceinte : l'afficheur et la supervision dépendent du système qui vient d'être modifié. Une valeur impossible ne prouve rien dans un sens ou dans l'autre. Isolez les denrées, notez les durées hors froid, et appliquez votre plan de maîtrise sanitaire.
2. Isolez le superviseur d'internet. Supprimez la redirection de port ou la DMZ, ou débranchez la liaison internet du routeur. Ne l'éteignez pas : ses journaux serviront à l'enquête. Coupez aussi les autres accès à distance le temps de l'analyse.
3. Avant de couper la remontée de données vers le frigoriste, relisez votre contrat d'assurance, comme le demande le CERT-FR : certaines garanties peuvent dépendre de cette surveillance. Cette précaution ne retarde pas la fermeture de l'interface exposée.
4. Conservez les preuves. Photographiez les écrans avec l'heure, capturez la liste des utilisateurs, les profils et les paramètres avant toute modification, et exportez les journaux si l'appareil le permet. Notez tout compte que vous ne reconnaissez pas.
5. Appelez votre frigoriste et votre assureur. Faites constater les pertes avant de détruire les denrées : les magasins Intermarché touchés ont fait établir un constat d'huissier. La prise en charge reste discutée, une attaque sur le froid ne relevant pas forcément d'une garantie classique.
6. Signalez l'incident. Déposez plainte à la gendarmerie ou au commissariat en citant l'alerte CERTFR-2026-ALE-012 et conservez le récépissé. Le site du CERT-FR propose un formulaire « Déclarer un incident », et une TPE trouve une assistance sur cybermalveillance.gouv.fr.

3. Remettre l'installation en état

Ce travail se fait avec le frigoriste et uniquement depuis le réseau local. Quel que soit le modèle, il faut contrôler toute la configuration, et d'abord les plages de dégivrage, que le CERT-FR cite expressément, les consignes et les seuils d'alarme.

Sur un Danfoss, le CERT-FR demande de redémarrer l'équipement ou, à défaut, de le restaurer en configuration d'usine, puis de le reconfigurer avant sa remise en service. Viennent ensuite la mise à jour du logiciel interne, le niveau de sécurité « Strict » et le changement des mots de passe par défaut.

Sur un XWEB, le bulletin de Copeland déroule la procédure : restaurer une sauvegarde antérieure à l'intrusion ou, à défaut, supprimer les comptes inconnus ; changer tous les mots de passe, avec 12 caractères ou plus recommandés et un mot de passe différent par compte ; installer la dernière version disponible ; vérifier le réseau, la messagerie et les alarmes en déclenchant une alarme de test ; recharger ou relire les paramètres de chaque régulateur ; enfin créer une nouvelle sauvegarde, conservée hors de l'appareil.

Attention à la sauvegarde du XWEB : selon Dixell France, elle couvre le paramétrage du superviseur, mais ni l'historique ni les paramètres des régulateurs. Ceux-ci s'exportent à part. Une remise à zéro seule ne protège pas non plus : selon le CERT-FR, l'équipement reste vulnérable, et un appareil en fin de vie qui reste exposé a une très forte probabilité d'être de nouveau compromis.

4. Rétablir la télémaintenance sans rouvrir la porte

La surveillance à distance a un vrai intérêt : elle évite des déplacements d'astreinte et signale une panne la nuit. Il ne s'agit pas de la supprimer, mais de la faire passer par un tunnel fermé aux inconnus.

• Un VPN et un pare-feu devant le superviseur. Un VPN (réseau privé virtuel) crée un tunnel chiffré : seuls les appareils autorisés atteignent l'interface. Choisissez un pare-feu dont les mises à jour sont suivies, avec une double authentification.
• Un réseau à part. Placez le superviseur sur un segment séparé (VLAN) de la bureautique, de la caisse et du Wi-Fi des clients. Copeland recommande de n'autoriser que le trafic sortant nécessaire et de bloquer le reste.
• Pas de filtrage d'adresses IP comme solution durable. Le CERT-FR ne l'admet qu'en urgence.
• Une preuve écrite. Refaites le test du téléphone après l'installation, faites-le constater, et vérifiez depuis le VPN que chaque technicien autorisé accède bien au superviseur.

Un pare-feu ne corrige pas un appareil en fin de vie : il le met à l'abri d'internet, sans le protéger d'un poste infecté du même réseau ni d'un compte de maintenance volé. Prévoyez le remplacement d'un AK-SM 800, d'un AK-SC 355 ou d'un XWEB EVO, et n'exposez pas davantage le modèle récent.

5. Ce qu'il faut demander à votre frigoriste

Un prestataire qui maintient de nombreux sites est une piste que les enquêteurs n'écartent pas. Ces questions tiennent dans un courriel :

• Quels accès à distance existent sur mon installation, et lesquels puis-je couper ?
• Chaque technicien a-t-il un compte nominatif, avec double authentification ?
• Mon équipement reçoit-il encore des correctifs de sécurité ? Jusqu'à quand ?
• Avez-vous une sauvegarde récente de la configuration et des paramètres de mes régulateurs ?
• Qui reçoit l'alarme à 4 h du matin, et quand a-t-elle été testée pour la dernière fois ?
• Changez-vous les mots de passe après chaque intervention, comme le recommande Copeland ?

6. Ne plus se fier à un seul écran

Le cas de l'Établissement français du sang le montre : l'alarme fait la différence. Ces mesures réduisent la perte quand tout le reste a échoué.

• Des enregistreurs autonomes dans les enceintes sensibles, indépendants du superviseur, avec leur propre alerte. Forescout recommande de telles mesures indépendantes pour vérifier ce que dit le contrôleur.
• Une alarme testée régulièrement, avec un destinataire réellement joignable la nuit et le week-end.
• Des sauvegardes hors de l'appareil, refaites après chaque changement. Sans elles, rien ne permet de savoir quelle était la bonne consigne.
• Une procédure papier : qui appeler, où transférer les denrées, comment passer en conduite manuelle, et où trouver les valeurs saines.
• Le même regard sur les autres équipements : éclairage, étiquettes électroniques, balances, caméras et gestion du bâtiment sont souvent installés par des prestataires et rarement suivis. La question reste la même : qui peut y accéder depuis internet ?

Voir aussi : directive NIS2 : votre entreprise est-elle concernée ? · contrat d'infogérance TPE · la règle 3-2-1 · faille PHP2Shell