Quand la chaîne du froid devient la surface d'attaque

Ce qui s'est passé

Dans la nuit du 11-12 octobre 2026, des acteurs malveillants ont atteint les contrôleurs de réfrigération qui maintiennent le froid dans les rayons de centaines de magasins français, et les ont transformés en fours. Ils ont déclenché le cycle de dégivrage intégré des contrôleurs et poussé la consigne de température à +50°C. Des meubles réfrigérés habituellement autour de -20°C sont montés en température, faisant fondre la marchandise et, dans certains magasins, provoquant des départs de feu.

Environ 300 magasins Intermarché et Netto (Groupement Les Mousquetaires) ont été touchés, ainsi que des points de vente de Coopérative U, Carrefour Market, Monoprix, Leclerc et Super U, soit un total compris entre 250 et 350 magasins. Les magasins concernés ont dû jeter tous les produits frais et surgelés. Les pertes se chiffrent en dizaines de millions d'euros. Aucune donnée client n'a été touchée ; l'impact a été entièrement physique.

Une cible connue, corrigée et exposée

Les appareils détournés étaient des contrôleurs de réfrigération Danfoss AK-SM en firmware obsolète. Ce n'était pas une faille inconnue. Début 2025, les chercheurs de Team82 (Claroty) ont révélé des vulnérabilités sérieuses dans la plateforme Danfoss AK-SM 800A, et la CISA américaine a publié des avis pour CVE-2025-41450 (contournement d'authentification) et CVE-2025-41451 (injection de commande). Danfoss a diffusé des correctifs et rappelé à plusieurs reprises de maintenir les systèmes à jour. Beaucoup ne l'ont pas fait.

Et ces contrôleurs sont joignables. Des scans ont trouvé environ 2 752 systèmes Danfoss exposés directement sur Internet, Shodan en recensant plus de 4 500. Des bugs connus, des correctifs publics, des milliers d'appareils exposés en vieux firmware : l'attaque tenait moins de l'exploit que du résultat prévisible.

Pas seulement les supermarchés

La panne française n'est pas sortie de nulle part. Quelques semaines plus tôt, fin août 2026, au moins six commissaries de l'armée américaine ont signalé des pannes de réfrigération inexpliquées et des denrées perdues sur plus de quatorze sites de l'Air Force, de la Navy et de l'Army. Ces incidents sont toujours sous enquête et n'ont été attribués à personne. Mais ils ont frappé la même catégorie d'équipement, et l'attaque française en a reproduit le schéma. Le constat est inconfortable et simple : la surface d'attaque était un produit, pas une entreprise.

C'est une attaque supply-chain

Posé correctement, le problème se clarifie. C'est une attaque supply-chain, tierce partie, sur une plateforme OT partagée. Intermarché n'a pas fabriqué ces contrôleurs. Les autres enseignes non plus, ni les commissaries militaires. Tous ont acheté, et dépendent souvent à distance, du même produit fournisseur. Compromettez une plateforme de contrôleurs largement déployée et vous ne frappez pas une victime, mais tous ceux qui l'utilisent, dans la distribution, la logistique et la défense, en même temps. La dépendance à un fournisseur unique est le risque, et elle se loge dans une partie du parc que la plupart des programmes de sécurité ne regardent jamais.

Disponibilité et intégrité, pas confidentialité

La plupart des registres de risques sont construits autour de la donnée. Ils demandent si quelqu'un pourrait lire, copier ou divulguer une information qu'il ne devrait pas. Ce prisme est nécessaire, mais il est aveugle à toute cette catégorie d'attaques. Ici, l'actif ne contient quasiment aucune donnée sensible. Sa criticité tient à la disponibilité (les frigos doivent fonctionner) et à l'intégrité (les consignes doivent être dignes de confiance). Une évaluation centrée confidentialité classe un contrôleur de réfrigération en risque faible et passe à autre chose. La nuit du 11-12 octobre, c'est le prix de cet angle mort.

Que faire

• Inventorier chaque contrôleur OT et de bâtiment (réfrigération, CVC, GTB) avec un propriétaire nommé, pas seulement les actifs IT.
• Noter la criticité sur la disponibilité et l'intégrité, pas uniquement sur la confidentialité.
• Repérer et retirer les firmwares obsolètes ; confronter votre parc aux avis CVE Danfoss.
• Sortir les contrôleurs d'Internet ; vérifier vos propres plages sur Shodan avant qu'un attaquant ne le fasse.
• Segmenter l'OT loin des caisses et de l'IT bureautique ; le pare-feu et la supervision.
• Gouverner l'accès distant des fournisseurs et intégrateurs comme un risque tierce partie : qui se connecte, comment, quand, avec quelle authentification, et classer les fournisseurs selon l'impact qu'ils peuvent causer.
• Alerter sur les changements de consigne inattendus, les cycles de dégivrage forcés et les accès hors heures.
• Écrire le playbook d'une rupture de chaîne du froid : détection, repli manuel, triage du stock, continuité du magasin.

Ce que ça change pour votre registre

Modélisez l'impact métier, pas seulement la donnée. Un contrôleur de réfrigération est proche de zéro en confidentialité et critique en disponibilité et intégrité, et l'événement de perte est du stock gâché, des rayons fermés, de la nourriture jetée et une atteinte à la marque, pas une amende pour violation de données. Mettez l'actif au référentiel, consignez la dépendance au fournisseur unique derrière lui, menez un bilan d'impact métier qui capture la vraie conséquence, cartographiez l'accès fournisseur qui l'atteint, et ensuite évaluez le risque. L'attaque n'est jamais la surprise. La surprise, c'est l'actif, et le fournisseur, que vous n'avez jamais évalués.

D'après les informations publiques sur l'incident du 11-12 octobre 2026 (BleepingComputer) et les avis CISA et Claroty Team82 sur la plateforme Danfoss AK-SM 800A (CVE-2025-41450, CVE-2025-41451). Les détails peuvent évoluer avec les enquêtes ; l'analyse et les recommandations sont celles de Synapse Consulting.