Cyberattaque Danfoss : les frigos de supermarchés visés

Une cyberattaque Danfoss a visé dans la nuit du 11 au 12 octobre 2026 les systèmes de réfrigération de plusieurs grandes enseignes de supermarchés françaises, provoquant le dégivrage forcé et le réchauffement d'armoires frigorifiques jusqu'à 50 °C dans des centaines de magasins. Les enseignes concernées et le CERT-FR désignent les contrôleurs de la société danoise Danfoss comme point d'entrée probable, sans qu'une vulnérabilité précise n'ait été confirmée publiquement à ce jour. Le parquet de Paris a ouvert une enquête, confiée à l'office anti-cybercriminalité (OFAC).

Quelles enseignes ont été touchées ?

Plusieurs enseignes ont confirmé des perturbations, avec des décomptes de magasins qui varient selon la source et ne concordent pas toujours entre elles.

À retenir : les chiffres d'Intermarché divergent déjà entre l'AFP et Reuters (300 contre 150 magasins), signe que le décompte définitif n'est pas encore stabilisé. Coopérative U précise que la chaîne du froid a tenu dans la majorité de ses magasins touchés, contrairement à Intermarché qui indique avoir dû jeter l'ensemble des produits concernés dans les magasins affectés.

Le dirigeant des Mousquetaires, Thierry Cotillard, a évoqué des pertes de plusieurs dizaines de millions d'euros, propos rapportés par Reuters en citant BFMTV. Le commissaire européen Christophe Hansen a par ailleurs condamné publiquement l'attaque et cité E.Leclerc parmi les victimes.

Cyberattaque Danfoss : comment l'attaque a-t-elle fonctionné ?

Les enseignes et le CERT-FR évoquent une prise de contrôle à distance des contrôleurs de réfrigération Danfoss, qui pilotent le dégivrage et la régulation de température des armoires frigorifiques des magasins et peuvent être administrés à distance par des prestataires de maintenance. Trois séries de contrôleurs sont citées :

• AK-SM 800 : en fin de vie depuis mai 2021, sans mise à jour logicielle ni correctif de sécurité.
• AK-SC 355 : abandonné dès 2016, également sans mise à jour.
• AK-SM 800A : modèle actuel, dont certaines unités touchées faisaient tourner un micrologiciel ancien selon les informations disponibles ; Danfoss n'a précisé aucune version concernée.

Danfoss indique que la majorité des équipements touchés sont des modèles plus anciens. Le mode d'intrusion exact n'est pas établi : au 13 octobre 2026, ni le CERT-FR ni Danfoss n'ont publié de vulnérabilité, de version de micrologiciel ou de voie d'accès précises, et aucun indicateur de compromission n'a été rendu public.

Que recommande le CERT-FR ?

Le CERT-FR a publié l'alerte CERTFR-2026-ALE-012 le 12 octobre 2026, couvrant les séries AK-SM et AK-SC. Les recommandations, reprises par The Hacker News, sont les suivantes :

1. Déconnecter les contrôleurs d'internet ou, à défaut, filtrer strictement les accès : exposer une interface d'administration directement sur internet va à l'encontre des bonnes pratiques élémentaires.
2. Si l'administration à distance est indispensable, la restreindre à une liste d'adresses IP de confiance.
3. Appliquer à moyen terme le guide de durcissement CERTFR-2025-DUR-003, rédigé pour le secteur de l'énergie et de l'eau mais transposable aux équipements industriels connectés du commerce de détail.
4. Pour un équipement potentiellement compromis, suivre dans l'ordre : limiter l'accès réseau aux seuls prestataires de service, réinitialiser l'appareil aux réglages d'usine, appliquer tous les correctifs de sécurité disponibles, changer les secrets (mots de passe), vérifier les comptes existants, puis reconfigurer intégralement l'appareil.

Le directeur général de l'ANSSI, Vincent Strubel, a qualifié d'urgent le fait de retirer ces séries d'internet ou d'en filtrer étroitement l'accès.

Quel impact, confirmé et non confirmé ?

À retenir, ce qui est confirmé : des armoires frigorifiques ont bien été réchauffées à distance dans plusieurs enseignes ; le CERT-FR rapporte de nombreuses compromissions de contrôleurs AK-SM et AK-SC ; le parquet de Paris a ouvert une enquête.

Ce qui ne l'est pas : l'identité des attaquants n'a été révélée ni par les autorités françaises ni par Danfoss. Une personne proche du Premier ministre a indiqué à l'AFP que l'ANSSI avait identifié une vulnérabilité dans le logiciel d'une entreprise danoise, sans qu'aucun identifiant CVE ne soit cité ni qu'un lien avec le vecteur d'attaque soit établi. Un analyste de Sekoia a par ailleurs indiqué à Reuters que l'Espagne, le Portugal, la Pologne, l'Allemagne et la Belgique auraient aussi été touchés, sans détail supplémentaire à ce stade.

Trois vulnérabilités distinctes affectant l'AK-SM 800A avaient été corrigées par Danfoss en 2025 (CVE-2025-41450, CVE-2025-41451, CVE-2025-41452), documentées par les chercheurs de Claroty Team82 qui avaient aussi recensé plusieurs milliers d'interfaces exposées sur internet. Ni les autorités ni Danfoss n'ont établi de lien entre ces failles de 2025 et l'attaque d'octobre 2026. De même, un incident distinct ayant conduit le distributeur Ahold Delhaize à couper certains systèmes le même lundi n'est, à ce jour, relié à aucune preuve à cette attaque.

Comment se protéger ? Le cas des équipements industriels connectés

Au-delà du secteur de la distribution alimentaire, cet incident rappelle des règles valables pour tout équipement opérationnel (OT) piloté à distance :

1. Cartographier les équipements industriels exposés sur internet (contrôleurs de réfrigération, automates, passerelles IoT) : un moteur comme Shodan permettait déjà de recenser plusieurs milliers d'interfaces Danfoss accessibles publiquement avant cet incident, dont une partie importante en France.
2. Ne jamais exposer une interface d'administration OT directement sur internet : un VPN dédié ou une passerelle d'accès distant contrôlée doit s'interposer entre le prestataire de maintenance et l'équipement.
3. Segmenter le réseau OT du réseau informatique de gestion, pour qu'une compromission d'un contrôleur de réfrigération ne puisse pas rebondir vers les systèmes de caisse ou les données clients, et inversement.
4. Tenir l'inventaire des micrologiciels à jour et retirer ou isoler les équipements en fin de vie comme l'AK-SM 800 ou l'AK-SC 355, qui ne recevront plus aucun correctif.
5. Activer les fonctions de sécurité disponibles par défaut sur les modèles récents, comme le contrôle de session strict imposant le HTTPS sur l'AK-SM 800A.
6. Préparer un plan de réponse à incident dédié aux équipements OT, distinct du plan informatique classique, avec des procédures de reconfiguration et de vérification des comptes comme celles recommandées par le CERT-FR.

Pour resituer les obligations qui pèsent sur les secteurs les plus critiques face à ce type d'attaque, notre glossaire OIV, LPM, SIIV, PASSI et PDIS détaille les régimes de protection applicables aux opérateurs essentiels, même si la distribution alimentaire n'entre pas automatiquement dans ce périmètre. Les principes de durcissement détaillés dans notre guide des CIS Benchmarks restent par ailleurs transposables à la configuration de ce type de contrôleur industriel.

Points clés

• Une cyberattaque a réchauffé à distance des armoires frigorifiques dans des centaines de supermarchés français (Intermarché, Netto, Carrefour, Coopérative U, Monoprix, E.Leclerc) dans la nuit du 11 au 12 octobre 2026.
• Les contrôleurs de réfrigération Danfoss (séries AK-SM 800, AK-SC 355 et AK-SM 800A) sont désignés comme point d'entrée probable, sans vulnérabilité ni vecteur d'intrusion confirmés à ce jour.
• Le CERT-FR a publié l'alerte CERTFR-2026-ALE-012 recommandant de déconnecter ou de filtrer strictement l'accès à ces contrôleurs.
• L'identité des attaquants n'est pas connue publiquement ; un possible lien avec des failles Danfoss corrigées en 2025 n'a été confirmé ni par les autorités ni par l'éditeur.
• Le parquet de Paris a ouvert une enquête confiée à l'office anti-cybercriminalité (OFAC) pour établir le périmètre exact des victimes et des pertes.

Sources : The Hacker News, BleepingComputer, alerte CERT-FR CERTFR-2026-ALE-012.