CISA et FBI alertent : cyberattaques sur les chaînes du froid en Europe — sang et supermarchés ciblés

Les faits

Le jeudi 5 novembre 2026, cinq agences fédérales américaines — CISA, FBI, le Département de la Santé et des Services Sociaux (HHS), le Département de l'Agriculture (USDA) et le Département des Transports (DOT) — ont publié conjointement une alerte de sécurité sur une vague de cyberattaques ciblant les systèmes de contrôle de température électroniques utilisés dans la chaîne du froid industrielle et commerciale.

L'alerte, qui fait suite à des incidents observés en Europe depuis octobre 2026, marque une escalade préoccupante : pour la première fois, des attaquants ciblent de manière coordonnée des systèmes de réfrigération qui conditionnent directement la sécurité alimentaire, pharmaceutique et médicale. Les conséquences ne sont plus virtuelles — elles se mesurent en denrées perdues, en équipements surchauffés et, dans les cas les plus graves, en produits biologiques compromis.

La première vague documentée remonte à octobre 2026 et frappe la grande distribution française. Entre 250 et 350 supermarchés ont signalé des anomalies sur leurs systèmes de réfrigération : les contrôleurs électroniques, accessibles via des interfaces de gestion distante, ont été compromis. Les attaquants ont modifié les paramètres de température et activé à distance des cycles de dégivrage prolongés. Les rayons frais, les chambres froides et les vitrines réfrigérées de nombreux magasins ont atteint des températures bien au-dessus des seuils réglementaires pour la conservation des aliments. Les pertes alimentaires ont été substantielles, et plusieurs chaînes ont dû procéder à des rappels de produits.

En novembre 2026, une deuxième vague plus étendue géographiquement a frappé 115 magasins et entrepôts frigorifiques répartis dans six pays européens. Des systèmes ont été portés à des températures allant jusqu'à 50°C, selon les informations rapportées par les opérateurs. L'activation simultanée et coordonnée des cycles de dégivrage dans des délais aussi courts confirme que ces attaques ne sont pas le fait de hacktivistes isolés ou d'opportunistes exploitant des systèmes mal configurés, mais d'acteurs organisés capables de mener des opérations à grande échelle sur des infrastructures industrielles.

L'incident le plus grave de cette vague a été confirmé le 3 novembre 2026 par l'Établissement Français du Sang (EFS). Un prestataire gérant la réfrigération de plusieurs établissements de l'EFS a subi une cyberattaque qui a permis à des attaquants de modifier les paramètres de température et les cycles de dégivrage dans trois établissements de conservation du sang. Les banques de sang sont soumises à des exigences strictes de conservation : les globules rouges doivent être stockés entre 2°C et 6°C, les plaquettes à 20-24°C sous agitation constante, et le plasma congelé en dessous de -18°C. Toute déviation significative peut rendre les produits sanguins inutilisables ou dangereux pour les patients transfusés. L'EFS a indiqué qu'une procédure d'évaluation et de destruction des lots potentiellement compromis avait été engagée.

L'alerte conjointe des agences fédérales américaines décrit les vecteurs techniques exploités : authentification par défaut non changée sur les contrôleurs de température, interfaces de gestion directement exposées sur internet sans VPN ni contrôle d'accès, absence de chiffrement des communications entre les superviseurs et les équipements, et configurations réseau OT plates sans segmentation. Ces lacunes sont loin d'être nouvelles — elles sont documentées depuis des années dans les publications de l'ICS-CERT et des organismes sectoriels — mais elles n'avaient jusqu'à présent généré que des incidents localisés. La coordination observée en 2026 change fondamentalement l'échelle du risque.

Les secteurs visés identifiés dans l'alerte conjointe incluent la grande distribution alimentaire, les entrepôts de stockage frigorifique, les établissements de santé et pharmaceutiques, les installations de stockage de sang et de produits biologiques, les usines agro-alimentaires, les installations de stockage de produits chimiques thermosensibles, et le transport réfrigéré. La diversité des secteurs ciblés suggère une recherche d'opportunités plutôt qu'une cible spécifique : les attaquants cherchent les systèmes les plus faciles d'accès, indépendamment du secteur.

Les autorités n'ont pas attribué publiquement ces attaques à un acteur spécifique. Des sources proches des enquêtes évoquent des indicateurs compatibles avec des groupes à motivation financière cherchant à provoquer des pertes suffisamment importantes pour justifier des demandes de rançon aux opérateurs, ou avec des acteurs étatiques testant leur capacité à perturber des chaînes d'approvisionnement critiques. L'atteinte à l'EFS, qui touche directement des ressources médicales vitales, suggère que certains attaquants sont prêts à franchir la ligne de la mise en danger directe de vies humaines.

En France, l'ANSSI avait publié en septembre 2026 un guide de recommandations pour la cybersécurité des systèmes de contrôle industriels dans le secteur agroalimentaire. Ces incidents montrent que la mise en œuvre de ces recommandations est encore largement insuffisante. Les opérateurs de sites classés OIV (Opérateurs d'Importance Vitale) dans le secteur alimentaire sont soumis à des obligations réglementaires renforcées au titre de la LPM 2024-2030, mais les audits de conformité révèlent régulièrement que la sécurité OT reste le parent pauvre des investissements cybersécurité dans ce secteur.

Impact et exposition

Les secteurs directement exposés en France sont vastes. On estime à plusieurs milliers le nombre de sites disposant de contrôleurs de température électroniques avec une interface de gestion distante. La proportion de ces systèmes directement exposés sur internet, sans contrôle d'accès robuste, reste élevée selon les audits sectoriels. Les petites et moyennes structures — épiceries, boulangeries industrielles, laboratoires locaux — présentent les configurations les plus vulnérables car elles disposent rarement de ressources dédiées à la sécurité OT. Les établissements de transfusion sanguine et les pharmacies hospitalières sont soumis à des réglementations strictes sur la conservation, mais leurs prestataires de maintenance ne le sont pas nécessairement.

Recommandations

• Retirer immédiatement tous les contrôleurs de réfrigération de l'exposition directe sur internet. L'accès à distance doit passer exclusivement par un VPN avec authentification forte.
• Changer tous les mots de passe par défaut des contrôleurs de température et des interfaces de supervision — priorité absolue et immédiate.
• Appliquer les mises à jour firmware disponibles sur tous les contrôleurs électroniques de température.
• Isoler les réseaux OT (systèmes de réfrigération, automates) des réseaux IT d'entreprise par une segmentation physique ou des firewalls industriels.
• Configurer des alertes automatiques sur les déviations de température et les modifications de paramètres, avec notification vers un personnel d'astreinte indépendant du système de supervision informatique.
• Pour les ETS (Établissements de Transfusion Sanguine) et établissements de santé : contacter l'ANSSI et déposer une déclaration d'incident si des anomalies sont constatées sur les systèmes de réfrigération médicale.