Cyberattaque OT : 700 supermarchés français victimes d'un sabotage de réfrigération Danfoss

Les faits

Dans la nuit du 12 au 13 octobre 2026, des attaquants ont pris le contrôle à distance des systèmes de gestion de réfrigération de centaines de supermarchés français. L'opération, qualifiée d'inédite par le gouvernement français, a provoqué des hausses de température jusqu'à 50°C à l'intérieur des équipements frigorifiques, entraînant des départs d'incendie, une destruction massive de denrées alimentaires et des interruptions d'activité prolongées dans l'ensemble des magasins touchés.

Les enseignes officiellement confirmées sont Intermarché et sa filiale Netto (au moins 300 magasins impactés), Coopérative U (plus de 100 points de vente) et Carrefour (environ 80 sites). Au total, le gouvernement français a confirmé que 700 des 10 000 supermarchés du territoire ont subi des perturbations directes. D'autres enseignes n'ont pas encore communiqué publiquement, et le bilan réel pourrait être plus élevé.

Sur le plan technique, les enquêteurs de l'ANSSI et les premières analyses des équipes OT pointent vers les contrôleurs de réfrigération du fabricant danois Danfoss. Ces équipements sont classifiés legacy car ils ne reçoivent plus de mises à jour de sécurité. Ils étaient connectés à internet via des interfaces de gestion destinées à permettre l'accès à distance des prestataires de maintenance — c'est cette exposition directe sur le réseau public qui constitue le vecteur d'entrée exploité par les attaquants, contrairement aux recommandations de l'ANSSI depuis 2019.

La méthode employée révèle une sophistication opérationnelle notable. Plutôt que de déployer un ransomware traditionnel ou simplement d'arrêter les systèmes, les attaquants ont manipulé les cycles de dégivrage automatique. Normalement fixé à une heure, ce cycle a été étendu à huit heures dans certains équipements, ce qui a permis de retarder significativement le déclenchement des alarmes thermiques. Quand les alertes ont commencé à remonter vers les responsables et les prestataires de maintenance, les températures avaient déjà atteint des niveaux critiques dans les chambres froides et rayons surgelés.

La montée en température jusqu'à 50°C a eu des conséquences immédiates et concrètes : destruction de stocks de produits frais, surgelés et ultra-frais, déclenchement de systèmes anti-incendie dans plusieurs magasins, et évacuations préventives de personnel. Le coût économique total reste incertain, mais les premières estimations de la grande distribution française évoquent des dizaines de millions d'euros entre marchandises détruites, travaux d'urgence, indemnisations et manque à gagner lié aux fermetures forcées.

Le gouvernement français a réagi rapidement. Le secrétariat général de la cyberdéfense (SGDSN) a confirmé l'incident, rappelant que l'exposition d'interfaces de gestion industrielle directement sur internet est contraire aux bonnes pratiques. L'ANSSI a ouvert une investigation et mobilise son équipe CERT-FR pour coordonner la réponse avec les enseignes impactées, les prestataires de maintenance et les autorités judiciaires.

Danfoss a publié un avis de sécurité indiquant sa coopération avec les autorités françaises. Le fabricant a rappelé que les produits concernés sont en fin de vie et qu'aucun correctif de sécurité ne sera publié — la seule mitigation efficace étant l'isolation totale du réseau internet ou le remplacement par des modèles supportés. Cette déclaration a alimenté le débat sur la responsabilité des fabricants OT vis-à-vis de la fin de vie sécuritaire de leurs équipements.

À ce stade, aucun groupe n'a officiellement revendiqué l'attaque. Les enquêteurs n'ont pas encore établi de lien avec un acteur étatique ou un groupe cybercriminel connu. La rapidité et la coordination de l'opération — cibler simultanément plusieurs enseignes utilisant le même équipement sur un territoire étendu — suggèrent une préparation avancée, une reconnaissance longue durée, et une connaissance fine des architectures OT de la grande distribution française.

Impact et exposition

L'attaque frappe un secteur particulièrement vulnérable aux risques OT : la grande distribution, qui opère des milliers d'équipements industriels (chaîne du froid, climatisation, gestion énergétique) souvent gérés par des prestataires externes via des accès internet directs. Les contrôleurs Danfoss en fin de vie sont présents dans de nombreux pays européens. Tout acteur de la distribution utilisant des équipements Danfoss de génération ancienne connectés directement à internet doit considérer qu'il est potentiellement exposé au même vecteur d'attaque. L'incident démontre que les attaques OT ne sont plus l'apanage des secteurs critiques traditionnels — le commerce de détail est désormais dans le viseur, avec des impacts directs sur la sécurité alimentaire et physique.

Recommandations

• Isolation immédiate : tout contrôleur Danfoss legacy ou équipement OT de réfrigération connecté directement à internet doit être isolé derrière un VPN d'accès sécurisé ou un jump server avec MFA — aucun accès internet direct toléré
• Audit de l'inventaire OT : recenser tous les équipements de gestion industrielle (chaîne du froid, HVAC, comptage énergétique) avec version firmware et date de fin de support officiel
• Segmentation réseau : les réseaux OT ne doivent jamais être directement exposés sur internet — mettre en place une DMZ OT ou un accès via bastion dédié
• Supervision indépendante des cycles thermiques : déployer des sondes de température autonomes avec alertes indépendantes du contrôleur OT pour détecter les anomalies même en cas de compromission du système de gestion
• Plan de continuité OT : définir un plan de réponse incluant les contacts prestataires, les procédures de bascule manuelle et les protocoles d'escalade vers l'ANSSI et le CERT-FR