Cyberattaque des congélateurs : risques et protections
Des congélateurs de supermarchés dérèglés dans dix pays : découvrez les faits, les failles possibles et les mesures concrètes pour sécuriser ces équipements.
Des congélateurs dérèglés en Europe : l'alerte que les responsables IT ne peuvent ignorer
Un congélateur de supermarché ne fait pas, en général, penser à un risque informatique. Pourtant, dans plusieurs pays européens, des équipements frigorifiques pilotés à distance ont été mis en mode dégivrage. En France, environ 700 magasins sur 10 000 auraient été touchés lors d'une première vague. D'autres incidents ont ensuite été signalés en Belgique, en Estonie, en Finlande, en Irlande, en Italie, au Luxembourg, aux Pays-Bas, au Portugal et en Suède.
Les conséquences ne se limitent pas à une panne technique : des marchandises peuvent être perdues, les magasins perturbés, et des départs de feu ont été signalés dans certains cas. Les autorités françaises ont identifié des compromissions de modules de commande à distance Danfoss et Copeland, mais le mode opératoire exact et l'identité des auteurs restent inconnus. À ce stade, tous les incidents signalés ailleurs ne sont pas tous rattachés officiellement à l'épisode français.
Cet événement remet aussi une règle simple sur la table : dès qu'un équipement industriel est connecté à Internet, la sécurité devient un sujet « en continu », tant que l'équipement reste en service. Voici ce qu'on sait, ce qui rend ces systèmes vulnérables, et ce que les exploitants peuvent faire sans se contenter de mesures théoriques.
Que s'est-il passé dans les supermarchés européens ?
Les autorités indiquent que ce n'était pas une panne « banale » et simultanée de compresseurs. Dans plusieurs magasins, des contrôleurs de réfrigération ont été commandés pour déclencher un cycle de dégivrage long. Le dégivrage est normal : il sert à éliminer le givre qui s'accumule sur certains évaporateurs. Le problème vient du moment et de la durée. Si le cycle est imposé en continu ou au mauvais moment, la température peut remonter et les produits peuvent être abîmés.
En France, le ministre chargé des Finances a déclaré au Parlement qu'environ 700 supermarchés avaient été touchés sur un parc d'environ 10 000 magasins. Le Groupement Mousquetaires a recensé 300 magasins concernés ; Coopérative U a signalé 80 boutiques touchées parmi quelque 2 000. Des équipements seraient restés hors service plusieurs jours après les premières perturbations. Les autorités ont aussi mentionné des aliments détériorés et des départs de feu dans certains établissements.
La vague suivante a concerné des enseignes dans neuf autres pays. En Belgique, Carrefour a fait état de perturbations dans une quinzaine de magasins. En Italie, Radenza Group (qui exploite des magasins sous enseigne Coop en Sicile) indique que l'incident a commencé vers 4 heures du matin et qu'il visait le système de commande des rayons surgelés. En Irlande, Musgrave a recensé 13 magasins SuperValu affectés ; au Portugal, Mosqueteiros a confirmé des incidents dans sept magasins Intermarché. En Suède, Coop évoque six magasins touchés, et Ica un nombre limité de points de vente.
Les températures rapportées varient selon les lieux et les systèmes. En Estonie, des unités auraient atteint 50 °C. Ce chiffre traduit un dérèglement important, mais il ne permet pas, à lui seul, de juger l'état sanitaire des produits : tout dépend notamment de la durée d'exposition, de la température réelle « à cœur » et des contrôles appliqués par l'exploitant.
Ce qui est établi et ce qui ne l'est pas
Le CERT-FR a indiqué qu'il y a eu des compromissions de modules de commande à distance fabriqués par Danfoss et Copeland, et qu'il est possible que des campagnes soient restées actives. En revanche, aucune revendication n'a été rapportée, et les autorités n'ont pas présenté publiquement la preuve que tous les incidents européens relèveraient d'une seule et même opération.
Il faut donc distinguer trois choses : ce qui a été observé dans les magasins, quels systèmes sont concernés et, ensuite, si les événements dans différents pays sont réellement liés. Cette prudence n'annule pas le risque ; elle évite de transformer des rapprochements plausibles en certitudes trop tôt.
Pourquoi les systèmes frigorifiques sont-ils vulnérables ?
Dans les commerces, les systèmes de froid rassemblent souvent des capteurs, des contrôleurs, des logiciels de supervision et des connexions pour la maintenance. Ils mesurent la température et pilotent des équipements physiques : compresseurs, ventilateurs, vannes, ou cycles de dégivrage. L'automatisation est utile : elle permet de surveiller plusieurs sites à distance, de détecter des écarts et de réduire les déplacements.
Le point de fragilité arrive quand l'accès distant est exposé à Internet sans protections solides, ou quand les appareils ne reçoivent plus de correctifs. Une interface d'administration accessible publiquement, un mot de passe partagé entre plusieurs sites, un compte prestataire jamais supprimé, ou une segmentation réseau inexistante peuvent suffire à ouvrir une brèche. Une fois un contrôleur compromis, l'attaquant n'a pas forcément besoin de « prendre le contrôle de tout » : un réglage opérationnel modifié peut déjà provoquer une perturbation coûteuse.
Le CERT-FR insiste aussi sur un cas classique : des équipements en fin de vie, connectés à Internet, sans correctifs disponibles. C'est fréquent dans l'industrie. Un contrôleur installé il y a des années peut continuer à fonctionner, tout en n'ayant plus de suivi de sécurité côté logiciel. Or le remplacement n'est pas toujours simple : il peut exiger une intervention physique, une adaptation de l'installation, et une interruption d'exploitation.
Des vulnérabilités connues, sans preuve qu'elles ont été utilisées ici
En août, des chercheurs de Claroty ont publié des vulnérabilités affectant des contrôleurs Danfoss AK-SM 800A, dont un contournement d'authentification. Ils ont aussi identifié 2 765 appareils de cette famille accessibles en ligne. Danfoss a corrigé ces failles dans la version de micrologiciel R4.3.1.
Ces éléments sont importants, mais ils ne suffisent pas à démontrer que ces vulnérabilités ont été exploitées lors des incidents décrits. Les enquêteurs n'ont pas rendu publique la faiblesse exacte, ni le compte, ni le chemin d'accès qui auraient été utilisés en magasin. La bonne approche n'est donc pas de conclure que « tous » les contrôleurs Danfoss seraient compromis, mais de vérifier, pour chaque site : modèles, versions, exposition réseau et mesures de protection réellement en place.
Le problème : les responsabilités ne sont pas toujours au même endroit
Dans un magasin, le responsable IT n'est pas forcément le propriétaire de l'installation frigorifique. Le matériel peut relever d'un exploitant, d'un prestataire de maintenance ou d'un fournisseur. Et, concrètement, les équipes réseau, les responsables du site et les techniciens de froid n'ont pas toujours le même inventaire sous la main.
Cette séparation complique la prévention. Un contrôleur peut être oublié dans une baie, ou relié par une connexion mobile distincte du réseau principal. Il faut donc traiter inventaire et responsabilités comme des sujets de sécurité, pas comme de simples sujets d'exploitation.
Quels risques une commande à distance peut-elle entraîner ?
Le risque immédiat est opérationnel : perte de stock, fermeture temporaire d'un rayon, intervention d'urgence, mobilisation des équipes de maintenance. Pour une enseigne qui gère des centaines de magasins, un incident local peut devenir beaucoup plus large si la même perturbation touche plusieurs sites.
Le coût ne se résume pas au remplacement des produits. Il inclut aussi le diagnostic, la remise en service et des vérifications de l'installation.
Pour la sécurité alimentaire, il faut une évaluation adaptée aux produits et au contexte réel. Une hausse de température ne veut pas automatiquement dire que toute la marchandise est impropre, mais la décision de conserver ou de retirer des produits ne peut pas se baser uniquement sur une estimation informatique. Elle doit suivre les procédures de l'exploitant et les règles sanitaires applicables, en prenant en compte la durée et les températures réellement mesurées. Les journaux de température, les alarmes et les relevés manuels deviennent alors indispensables.
Il y a aussi un risque pour les personnes et les locaux. En France, des incidents ont été associés à des départs de feu. Il ne faut pas en déduire que tout dérèglement d'un contrôleur finira en incendie : les causes précises doivent être établies. Mais dès lors qu'une commande numérique peut agir sur un équipement physique, la réponse à incident doit intégrer des risques électriques et thermiques, pas seulement la remise en état du réseau.
Une cyberattaque peut aussi ressembler à une panne « ordinaire »
Un contrôleur qui envoie une commande anormale peut être perçu comme un dysfonctionnement technique, une erreur de configuration ou une intervention de maintenance. Si les journaux ne sont pas conservés, les équipes peuvent être tentées de réinitialiser et de supprimer des éléments utiles pour l'enquête. À l'inverse, attendre « la certitude totale » avant de sécuriser l'installation peut laisser l'accès ouvert plus longtemps qu'il ne faut.
L'objectif est double : limiter les dommages et conserver ce qui sert au diagnostic. Concrètement, il faut consigner les heures, les températures, les alarmes et les changements de configuration, puis isoler l'équipement selon les consignes du fabricant et les procédures internes. Les techniciens de froid doivent participer à ces décisions : une coupure mal préparée peut, elle aussi, impacter la conservation des produits.
Continuité d'activité, pas seulement conformité
Pour une enseigne, la question ne se limite pas à : « sommes-nous conformes ? ». Il faut plutôt se demander : « combien de temps pouvons-nous fonctionner si la supervision ou les commandes à distance ne sont plus disponibles ? ». Une installation doit permettre une surveillance locale, ou un basculement vers un mode d'exploitation sûr, en fonction de sa conception.
Les exigences réglementaires européennes en cybersécurité, dont celles qui découlent de NIS2, peuvent concerner certaines entités selon leur activité et leur taille. Mais elles ne remplacent pas une analyse concrète de ce qui est branché et de ce qui peut être administré. L'essentiel reste de savoir : quels contrôleurs sont connectés, qui peut les administrer et comment réagissent les magasins si le système distant n'est plus fiable.
Comment protéger des équipements anciens ou connectés ?
La première étape consiste à faire un inventaire exploitable. Pour chaque magasin, il faut recenser le fabricant et le modèle des contrôleurs, leur version logicielle, leur mode de connexion, les comptes d'administration, et le prestataire qui assure la maintenance. Sans inventaire fiable, on finit par oublier des correctifs et par laisser des accès actifs après un changement de fournisseur.
Le CERT-FR recommande de retirer ces contrôleurs de l'Internet public. Dans la plupart des cas, cela veut dire supprimer l'exposition directe et passer par un accès distant contrôlé : réseau privé, passerelle sécurisée ou dispositif de maintenance avec une authentification renforcée. L'idée est simple : permettre l'intervention nécessaire sans offrir une interface de commande à toute personne connectée.
Un plan d'action en quatre étapes
- Identifier l'exposition. Repérez ce qui est accessible depuis Internet : adresses, connexions 4G, accès prestataires, règles de pare-feu. Une liaison mobile peut contourner des protections prévues pour le réseau principal.
- Réduire les accès. Désactivez les comptes inutilisés, supprimez les mots de passe par défaut, et individualisez les comptes quand c'est possible. Limitez les privilèges aux fonctions nécessaires, et conservez une trace des interventions.
- Corriger et isoler. Appliquez les versions de micrologiciel validées par le fabricant, après vérification de la compatibilité avec l'installation. Placez les équipements de froid sur un segment réseau dédié, sans accès direct aux postes de caisse ni aux systèmes bureautiques.
- Préparer le mode dégradé. Définissez qui contrôle les températures, comment les alarmes sont vérifiées et quand un technicien doit intervenir. Gardez des procédures locales accessibles même si les outils distants ne sont pas joignables.
Une mise à jour ne s'applique pas « au hasard ». Sur un site de production, un micrologiciel incompatible ou une procédure mal préparée peut interrompre le service. Il faut confirmer le modèle exact, sauvegarder la configuration, planifier la fenêtre d'intervention et tester avant un déploiement plus large.
Que faire si l'équipement est en fin de vie ?
Les anciens modèles posent un vrai problème : certains ne reçoivent plus de correctifs et nécessitent des modifications physiques pour supprimer ou sécuriser l'accès distant. Sabcobel, un dirigeant de prestataire belge, a indiqué que beaucoup d'installations anciennes demandaient ce type d'intervention, donc un investissement.
Il n'y a pas de « bouton magique » logiciel quand un matériel ne peut plus être corrigé. Il faut comparer le coût d'une adaptation au coût et au risque d'un remplacement, en tenant compte de la criticité du magasin et de l'exposition actuelle de l'appareil. À court terme : retirer l'accès public, limiter les connexions au minimum nécessaire, et renforcer la surveillance locale. À moyen terme : budgéter un renouvellement progressif plutôt que laisser chaque site improviser.
La réponse à incident doit associer IT et exploitation
Un plan utile précise qui isole le contrôleur, qui valide l'état des produits et qui contacte le mainteneur. Il prévoit aussi la conservation des journaux et la remontée des incidents à la direction et aux autorités compétentes, selon les obligations applicables. IT ne doit pas modifier seul une installation frigorifique, et les équipes techniques ne doivent pas non plus rétablir une connexion distante sans validation sécurité.
Conclusion : traiter le froid comme un système critique
Les incidents européens montrent qu'un contrôleur de réfrigération peut devenir un point de fragilité opérationnelle. Il ne s'agit pas de paniquer à chaque panne, ni de remplacer immédiatement tout le parc. Le bon réflexe consiste à identifier les systèmes exposés, ceux qui ne peuvent plus être corrigés, et la manière dont les magasins réagissent quand la commande à distance n'est plus fiable.
Pour les exploitants, le premier chantier est concret : dresser l'inventaire, couper l'accès public, vérifier les versions et clarifier qui fait quoi entre IT, maintenance et équipes magasin. Pour les équipements anciens, une isolation temporaire peut réduire le risque, mais elle ne remplace pas un plan de rénovation. Le froid commercial doit être géré comme un élément essentiel de la continuité d'activité, avec des protections et des procédures adaptées à l'impact réel.