Piratage des réfrigérateurs de supermarchés français : plus de 1 300 tableaux de bord Web restés accessibles publiquement pendant des mois,

Et 85 % utilisaient des logiciels obsolètes avec des failles connues

Une cyberattaque majeure a compromis les systèmes de réfrigération de centaines de supermarchés en France. Les attaquants ont activé le mode de dégivrage et provoqué d'importantes pertes de denrées alimentaires ainsi que des débuts d'incendie. Les analystes rapportent que la France abritait plus de la moitié des tableaux de bord de contrôle exposés en ligne dans le monde entier, dont la majorité fonctionnait avec des logiciels obsolètes et vulnérables depuis des mois. Cette surreprésentation a aggravé l'impact de l'incident par rapport à d'autres pays. Les exploitants ont déconnecté leurs équipements, et le parquet de Paris a ouvert une enquête.

Durant la nuit du 11 au 12 octobre 2026, des centaines de supermarchés en France ont été victimes d'une cyberattaque visant leurs équipements de réfrigération. Les pirates informatiques ont forcé les systèmes à passer en mode de dégivrage, provoquant une augmentation de la température des réfrigérateurs et congélateurs. Certains équipements ont atteint une température de 50 °C et quelques matériels ont même commencé à prendre feu.

Cet incident a contraint les victimes à jeter l'intégralité de leurs denrées fraîches et surgelées, entraînant des pertes financières estimées à plusieurs millions d'euros. Plus de 400 supermarchés ont été affecté au total, parmi lesquels 80 magasins Carrefour, plus de 300 établissements du groupe Les Mousquetaires comprenant Intermarché et Netto, environ 5 % des enseignes Monoprix, ainsi que plusieurs points de vente Leclerc et Coopérative U.

Une exposition massive et prolongée du parc français

L'entreprise de cybersécurité IPinfo a analysé profondément cette cyberattaque et a récemment publié son rapport. Ce dernier révèle que la France présentait une vulnérabilité particulièrement marquée avant la cyberattaque. Lors d'un balayage du réseau Internet effectué les 6 et 7 octobre 2026, 1 331 tableaux de bord Danfoss StoreView étaient accessibles publiquement en France, ce qui représentait 53 % du total observé sur le plan mondial.


La France comptait davantage de systèmes exposés en ligne « que le reste du monde réuni ». Cette situation n'était pas récente, puisque une large part de ces interfaces françaises étaient déjà ouvertes à la même adresse IP six mois plus tôt, à la fin du mois de mars 2026. Voici l'essentiel des découvertes :

• la France comptait plus de tableaux de bord de réfrigérateurs exposés que le reste du monde réuni : 1 331, contre 1 197 dans les 72 autres pays et territoires pris ensemble ;
• 85 % d’entre eux utilisaient des logiciels présentant des failles de sécurité connues. Ce chiffre inclut 527 anciens contrôleurs que Danfoss ne prend plus en charge. Seuls 195 disposaient de tous les correctifs connus ;
• la plupart étaient exposés depuis au moins six mois. Le 30 mars, 1 019 de ces tableaux de bord français se trouvaient à la même adresse, et la proportion de ceux entièrement mis à jour n’est passée que de 14 % à 24 % au cours de cette période ;
• la France n’a pas fait pire que les autres pays en matière de correctifs. La proportion de systèmes présentant des failles était pratiquement la même ailleurs (84 %). La France comptait simplement beaucoup plus de ces systèmes en ligne ;
• la plupart ont été mis hors ligne après l’attaque. Seuls 316 des 1 331 étaient encore en ligne le 14 octobre.

Leclerc et Coopérative U, deux autres chaînes de supermarchés françaises, ont également confirmé avoir subi des cyberattaques dévastatrice. Le PDG de Coopérative U, Dominique Schelcher, a déclaré à la station de radio RTL que 80 de ses 2 000 magasins avaient été touchés. Il a ajouté que les magasins ne s'approvisionnaient pas directement auprès de Danfoss, mais utilisaient un système Danfoss fourni par leurs prestataires en réfrigération.

Le groupe industriel danois Danfoss a précisé que la plupart des équipements touchés étaient « obsolètes », citant deux anciens modèles de contrôleurs : les modèles AK-SM 800 et AK-SC 355. De son côté, CERT-FR (l’agence française de cybersécurité) a indiqué avoir connaissance de nombreuses compromissions de contrôleurs AK-SM et AK-SC. L'agence a conseillé aux exploitants de les déconnecter ou de restreindre l’accès à leurs équipements.

Elle a mis à jour son alerte pour y inclure les superviseurs XWEB (systèmes de surveillance des réfrigérateurs et congélateurs d’un magasin) de Copeland, un fabricant américain d’équipements de réfrigération, et de Dixell, sa marque italienne. Son alerte indique également que les campagnes d’attaques sont probablement toujours en cours. Personne n’a précisé qui en était l’auteur ni comment les pirates ont réussi à s’introduire dans le système.

L'exposition des contrôleurs industriels sur Internet

Cette cyberattaque a relancé le débat sur les risques de l'Internet des objets. De nombreuses interfaces Web de gestion (StoreView de Danfoss) étaient directement accessibles via des moteurs de recherche spécialisés (comme Shodan ou Censys). Ces appareils sont souvent installés de manière isolée par des prestataires (via des modems 3G/4G), échappant ainsi aux pare-feu et à la surveillance des équipes informatiques centrales des magasins.


L'attaque a principalement ciblé des systèmes dotés de microprogrammes obsolètes ou en fin de vie. Les recherches (notamment celles de l'équipe Team82 de Claroty et de Synacktiv) avaient mis en évidence trois failles majeures au niveau du serveur web embarqué (Nginx) des boîtiers Danfoss :

• contournement d'authentification (CVE-2025-41450) : la présence d'un mécanisme d'authentification caché de type "code du jour" (généré à partir de la date) permettait à un attaquant de contourner totalement le processus d'identification standard et de se connecter à l'interface sans connaître les identifiants de l'administrateur ;
• exécution de code arbitraire à distance (CVE-2025-41451) : une faille d'injection de commandes présente dans la configuration des alertes e-mail (SMTP) permettait à un utilisateur (même avec des privilèges limités ou après contournement) d'exécuter des lignes de code malveillantes directement sur le système d'exploitation du boîtier ;
• injection de configuration Nginx (CVE-2025-41452) : cette vulnérabilité permettait de modifier les directives du serveur Web Nginx afin de manipuler le trafic ou de provoquer un déni de service (crash de l'application de contrôle).

Une fois connectés à l'interface d'administration à distance, les attaquants n'ont pas cherché à voler des données clients ou à chiffrer des fichiers. Ils ont manipulé les consignes physiques de l'installation. Les pirates ont détourné la fonction de maintenance qui permet normalement d'effectuer un dégivrage automatique de courte durée. En forçant ce cycle de manière continue pendant la nuit, les résistances de chauffage sont restées actives.

Des congélateurs programmés à -20 °C sont montés à des températures positives extrêmes (parfois jusqu'à +50 °C). Cela a entraîné la destruction immédiate des marchandises et des risques d'incendie. Les pirates ont également modifié les paramètres du système de supervision pour empêcher le déclenchement des alarmes techniques automatiques, retardant ainsi la découverte de l'incident par les employés jusqu'à l'ouverture des magasins.

À propos de IPinfo

IPinfo est une entreprise spécialisée dans les données Internet qui propose des produits de données précis et fiables, offrant une veille complète en matière de propriété intellectuelle afin de soutenir les innovations de ses clients. L'entreprise se présente comme une équipe d'experts internationaux, de chercheurs et de data scientists convaincus qu'il est possible d'améliorer la gestion des données relatives à la propriété intellectuelle.

Source : IPinfo

Et vous ?

Quel est votre avis sur le sujet ?
Que pensez-vous de l'exposition massive et prolongée du parc français ?

Voir aussi

Une faille de sécurité dans des réfrigérateurs, à l'origine d'incendies et de pertes en millions, trouve son origine dans une omission de mises à jour des appareils. L'incident a touché 700 supermarchés

Des cybercriminels ont dégelé les congélateurs de centaines de supermarchés à travers la France, leur coûtant des millions en prenant le contrôle des équipements connectés pilotables à distance Danfoss

Pour ou contre les appareils connectés à domicile ? Des propriétaires déplorent la perte de leurs aliments suite à une MàJ de micrologiciel qui a rendu leurs réfrigérateurs intelligents Samsung inutilisables