Des centaines de supermarchés français ont été touchés par une cyberattaque visant directement leurs systèmes de réfrigération. Après Danfoss, d’autres équipements sont désormais concernés, faisant basculer l’incident dans une nouvelle dimension.

Ce n'est plus seulement une cyberattaque contre Intermarché.

Depuis la nuit du dimanche 11 au lundi 12 octobre 2026, plusieurs centaines de supermarchés français ont vu leurs installations frigorifiques perturbées à distance. Intermarché, Netto, Coopérative U, Carrefour, Monoprix et plusieurs magasins E.Leclerc font partie des enseignes concernées.

Les attaquants ne se sont pas contentés de bloquer un site internet ou de chercher à dérober des données : ils ont pris pour cible les systèmes permettant de piloter le froid dans les magasins.

Températures modifiées, cycles de dégivrage perturbés, marchandises détruites et, dans certains cas, départs de feu : l'attaque illustre une évolution beaucoup plus préoccupante de la menace cyber.

Car derrière les réfrigérateurs des supermarchés se cache un sujet stratégique pour toutes les entreprises : la multiplication des équipements industriels et techniques connectés à Internet transforme désormais une cyberattaque en risque opérationnel et physique.

Et l'affaire a connu un nouveau développement ce mardi 13 octobre. Après des systèmes Danfoss, des installations utilisant notamment des équipements Dixell et Copeland figurent désormais parmi les systèmes compromis signalés par le CERT-FR.

Des centaines de supermarchés concernés en France

L'ampleur exacte de l'attaque continue d'évoluer à mesure que les distributeurs remontent les incidents.

Les chiffres communiqués par les enseignes et rapportés par plusieurs médias font notamment état d'environ :

  • 300 points de vente Intermarché et Netto concernés ;
  • 80 magasins du réseau Coopérative U ;
  • 80 magasins Carrefour ;
  • une trentaine de Monoprix ;
  • plusieurs magasins E.Leclerc.

Ces chiffres doivent être considérés comme évolutifs et ne signifient pas nécessairement que tous les points de vente ont subi les mêmes dégâts.

Chez Coopérative U, par exemple, Dominique Schelcher a indiqué que 80 magasins avaient été touchés sur environ 2 000 points de vente.

Dans la majorité de ces établissements, l'intervention des équipes et des frigoristes aurait permis d'empêcher une rupture effective de la chaîne du froid.

Pour les magasins qui n'ont pas pu réagir suffisamment rapidement, les conséquences sont en revanche beaucoup plus importantes.

Des produits frais et surgelés ont dû être détruits lorsque leur conservation ne pouvait plus être garantie.

Comment les pirates ont-ils attaqué les réfrigérateurs ?

Le fonctionnement de l'attaque explique son caractère particulièrement inhabituel.

Les grandes surfaces utilisent des systèmes de supervision permettant de contrôler leurs équipements frigorifiques à distance.

Ces contrôleurs peuvent notamment servir à surveiller les températures, programmer certains cycles de fonctionnement, gérer le dégivrage ou déclencher des alertes lorsqu'une anomalie est détectée.

Ce sont précisément ces interfaces de contrôle qui ont été compromises.

Les attaquants ont pu modifier à distance différents paramètres des équipements.

Dans certains magasins, les températures des réfrigérateurs ou congélateurs ont ainsi fortement augmenté. Reuters rapporte que certains équipements ont atteint environ 50 °C.

Des paramètres de dégivrage ont également été modifiés, provoquant une remontée de température suffisamment longue pour compromettre des produits frais ou surgelés.

Le problème dépasse donc très largement la simple indisponibilité informatique.

L'ordinateur n'est ici que le point de contrôle.

La conséquence se matérialise directement dans le monde physique.

Après Danfoss, les systèmes Dixell et Copeland également concernés

C'est probablement le développement le plus important intervenu depuis le début de l'affaire.

Les premières informations disponibles concentraient l'attention sur certains contrôleurs frigorifiques du fabricant danois Danfoss.

Mais le 13 octobre, le CERT-FR a actualisé son bulletin consacré à l'incident.

L'organisme français indique désormais avoir connaissance de nombreuses compromissions concernant plusieurs familles d'équipements :

  • Danfoss série AK-SM ;
  • Danfoss série AK-SC ;
  • Copeland xweb ;
  • Dixell xweb.

Cette évolution change la lecture de l'événement.

L'hypothèse d'un incident uniquement associé à une gamme spécifique de produits devient insuffisante.

D'autres systèmes de gestion du froid sont eux aussi ciblés.

Le Monde rapporte notamment qu'un supermarché de la région bordelaise utilisant du matériel Dixell a été attaqué dans la nuit du 12 au 13 octobre.

Les paramètres de dégivrage et de régulation auraient été modifiés à distance. L'intervention rapide des équipes aurait cependant permis d'éviter la destruction des marchandises dans cet établissement.

D'autres commerces auraient été moins chanceux.

Le CERT-FR alerte sur l'exposition des interfaces de gestion à Internet

L'alerte publiée par le CERT-FR contient surtout un avertissement qui dépasse largement le secteur de la grande distribution.

L'organisme rappelle que l'exposition directe sur Internet d'une interface servant à administrer un équipement est contraire aux bonnes pratiques de cybersécurité.

Dans le cas de systèmes industriels ou techniques, le problème devient particulièrement critique.

Une interface vulnérable ne donne pas nécessairement accès à une base de données.

Elle peut donner accès à une machine.

Un système frigorifique.

Une installation énergétique.

Un automate.

Un système de ventilation.

Un équipement industriel.

Ou potentiellement toute infrastructure dont le fonctionnement peut être piloté à distance.

Le CERT-FR recommande notamment aux organisations concernées de filtrer les accès réseau, d'appliquer les correctifs de sécurité disponibles et, lorsqu'une compromission est suspectée, de procéder à une remise en état complète des équipements concernés.

Des équipements Danfoss utilisaient des logiciels obsolètes

Danfoss a indiqué que des unités touchées en France fonctionnaient avec des versions anciennes de ses logiciels.

L'entreprise appelle ses clients à utiliser des systèmes à jour et à appliquer les mesures de protection appropriées.

Mais un point reste essentiel : à ce stade, l'existence de vulnérabilités ou de logiciels non mis à jour ne permet pas, à elle seule, d'affirmer précisément quelle faille a été exploitée pendant chaque attaque.

L'enquête devra déterminer les méthodes effectivement utilisées par les attaquants.

Le problème des logiciels industriels anciens n'est néanmoins pas nouveau.

Dans de nombreuses entreprises, certains équipements restent exploités pendant dix, quinze ou vingt ans.

Leur cycle de vie est très différent de celui d'un ordinateur ou d'un smartphone.

Remplacer un automate industriel, un système de réfrigération ou une infrastructure technique peut être coûteux, complexe et nécessiter l'arrêt temporaire d'une activité.

Cette longévité crée un décalage : les équipements physiques restent en production pendant que leur environnement informatique et les menaces cyber évoluent beaucoup plus rapidement.

Jusqu'à 200 000 euros de pertes potentielles pour un magasin U

Les conséquences économiques peuvent rapidement devenir importantes.

Dominique Schelcher, président de Coopérative U, expliquait le 13 octobre que les pertes pouvaient atteindre plusieurs dizaines de milliers d'euros dans un petit magasin.

Pour un hypermarché, elles pourraient monter jusqu'à environ 180 000 ou 200 000 euros.

Ces montants ne correspondent pas nécessairement aux pertes de chacun des établissements touchés, mais permettent de mesurer le risque financier associé à une rupture de la chaîne du froid.

Un magasin peut perdre en quelques heures une part importante de son stock de viande, poisson, produits laitiers, produits frais et surgelés.

À ces pertes peuvent ensuite s'ajouter :

  • l'intervention des frigoristes ;
  • les opérations informatiques ;
  • le remplacement éventuel d'équipements ;
  • l'interruption ou la réduction de l'activité ;
  • la remise en état des rayons ;
  • les conséquences assurantielles ;
  • la gestion et la destruction des marchandises ;
  • le réapprovisionnement.

À l'échelle de plusieurs centaines de magasins, la facture peut donc rapidement devenir considérable.

Une cyberattaque capable de provoquer des dégâts physiques

L'affaire des supermarchés français marque surtout une rupture importante dans la perception du risque cyber.

Pendant longtemps, les conséquences les plus visibles d'une cyberattaque pour une entreprise étaient principalement numériques.

Vol de données.

Ransomware.

Ordinateurs bloqués.

Messageries indisponibles.

Sites internet coupés.

Comptes clients compromis.

Cette fois, le scénario est différent.

La cyberattaque agit directement sur une infrastructure physique.

Le logiciel devient le moyen de modifier le comportement d'une machine réelle.

Dans le vocabulaire de la cybersécurité, ce type d'environnement est généralement associé aux technologies opérationnelles, ou OT pour Operational Technology.

Contrairement aux systèmes IT traditionnels centrés sur les données et les applications, les environnements OT contrôlent ou supervisent des processus physiques.

Leur compromission peut donc avoir des conséquences très concrètes.

Du risque informatique au risque opérationnel

Cette frontière entre informatique et équipements physiques devient de plus en plus difficile à distinguer.

Les entreprises connectent progressivement l'ensemble de leurs infrastructures :

  • vidéosurveillance ;
  • climatisation ;
  • chauffage ;
  • portes et contrôles d'accès ;
  • machines de production ;
  • capteurs ;
  • chaînes logistiques ;
  • installations énergétiques ;
  • systèmes de froid ;
  • bornes ;
  • automates ;
  • bâtiments intelligents.

Cette transformation améliore considérablement la supervision et la productivité.

Un technicien peut détecter une panne à distance.

Une entreprise peut optimiser sa consommation énergétique.

Une température anormale peut déclencher automatiquement une alerte.

Des centaines d'équipements peuvent être pilotés depuis une seule interface.

Mais chaque connexion supplémentaire augmente également la surface d'attaque.

La question n'est donc plus uniquement de savoir si le système informatique d'une entreprise est sécurisé.

Il faut désormais déterminer si l'ensemble des équipements connectés capables d'agir sur son activité physique le sont également.

Les PME sont elles aussi concernées

Le problème ne se limite pas aux grands distributeurs.

Une boulangerie utilisant une chambre froide connectée, un hôtel pilotant son chauffage à distance, une PME industrielle utilisant des automates, une exploitation agricole connectant ses équipements ou un entrepôt supervisant ses installations depuis Internet peuvent rencontrer la même problématique.

Plus l'entreprise numérise son infrastructure, plus elle crée une convergence entre informatique et exploitation.

Cette évolution oblige également les dirigeants à élargir leur définition de la cybersécurité.

Sécuriser Microsoft 365 ou installer un antivirus ne suffit plus lorsque les équipements techniques possèdent eux-mêmes des interfaces réseau.

Il devient nécessaire de cartographier les appareils connectés, leurs accès distants, les logiciels utilisés, leur niveau de mise à jour et les entreprises externes autorisées à les administrer.

Qui se trouve derrière la cyberattaque des supermarchés ?

À ce stade, la réponse reste inconnue.

Le parquet de Paris a ouvert une enquête et les investigations se poursuivent pour identifier les auteurs et comprendre précisément le mode opératoire.

Un élément intrigue particulièrement les enquêteurs : aucune revendication publique majeure ni demande de rançon n'avait été identifiée mardi 13 octobre.

Cette situation ne correspond pas au scénario classique d'un ransomware, dans lequel les cybercriminels cherchent généralement à obtenir rapidement un paiement.

Elle ne correspond pas non plus totalement au fonctionnement habituel de groupes hacktivistes cherchant à maximiser la visibilité politique ou médiatique de leur opération.

L'absence de revendication ne permet cependant pas d'en déduire le mobile.

Sabotage, démonstration technique, opportunisme, extorsion différée ou autre objectif : plusieurs hypothèses restent possibles tant que l'enquête n'a pas avancé.

Une deuxième nuit d'attaques change la nature de l'incident

L'apparition de nouveaux incidents sur des équipements différents constitue néanmoins un signal particulièrement important.

L'attaque du 11 au 12 octobre aurait pu être interprétée comme une opération ponctuelle visant certaines installations vulnérables.

Les incidents observés dans la nuit suivante montrent que la menace n'était pas nécessairement terminée.

Surtout, les équipements concernés ne se limitent désormais plus aux seuls systèmes Danfoss initialement identifiés.

Le CERT-FR mentionne explicitement plusieurs familles de contrôleurs.

Pour les entreprises utilisant des équipements similaires, l'événement doit donc être considéré comme une alerte opérationnelle, et pas seulement comme une actualité touchant la grande distribution.

Ce que cette cyberattaque change pour les entreprises

L'affaire met en évidence trois évolutions fondamentales de la cybersécurité.

1. La surface d'attaque dépasse désormais le système informatique

Une entreprise peut disposer d'ordinateurs correctement sécurisés tout en restant vulnérable via une caméra, un automate, un système de chauffage ou un contrôleur frigorifique.

La cartographie des actifs numériques doit donc intégrer les équipements techniques.

2. Une cyberattaque peut directement interrompre la production

Lorsque les systèmes numériques pilotent les opérations physiques, leur compromission peut entraîner des pertes de marchandises, une interruption de production ou même des dommages matériels.

La cybersécurité devient alors directement liée à la continuité d'activité.

3. Les anciens équipements constituent un risque durable

Les infrastructures industrielles sont souvent conservées beaucoup plus longtemps que les équipements informatiques classiques.

La maintenance logicielle et la capacité à appliquer les correctifs de sécurité doivent donc devenir des critères d'achat et d'exploitation à part entière.

La cyberattaque des supermarchés pourrait devenir un cas d'école

L'attaque contre les systèmes frigorifiques français pourrait finalement dépasser largement le secteur de la distribution.

Elle montre de manière particulièrement spectaculaire ce que signifie réellement la convergence entre monde numérique et monde physique.

Une interface web mal protégée n'est plus uniquement une porte vers des données.

Elle peut devenir une porte vers une installation industrielle.

Pour les dirigeants, responsables informatiques et responsables de production, l'enjeu est désormais de considérer chaque infrastructure connectée comme un élément du système d'information de l'entreprise.

Les réfrigérateurs piratés d'Intermarché, Coopérative U, Carrefour ou Monoprix pourraient ainsi devenir l'un des exemples les plus concrets d'une nouvelle génération de risques cyber.

Des attaques dans lesquelles la cible finale n'est plus nécessairement l'information.

Mais l'activité elle-même.