Comprendre

Des frigos transformés en four : comment les pirates ont déréglé les frigos de centaines de supermarchés

Dans la nuit du 11 au 12 octobre 2026, des pirates ont pris la main sur les systèmes qui pilotent le froid de centaines de supermarchés Intermarché, Leclerc et U. Ils n'ont pas coupé les frigos : ils les ont fait chauffer, jusqu'à 50 °C, en détournant une fonction banale, le dégivrage. Ce que l'on sait des régulateurs Danfoss visés, des failles connues depuis 2025 et des pistes d'intrusion.

Par la rédaction · Mis à jour le · 10 min de lecture

Lundi 12 octobre au petit matin, des employés de supermarchés découvrent des vitrines tièdes, des glaces fondues et des surgelés ramollis. Dans un rayon, le thermomètre affiche encore 26 °C en pleine journée. Dans plusieurs magasins, tout le frais et le surgelé part à la benne.

Les pirates n'ont visé ni les caisses ni les fichiers clients. Ils se sont attaqués à un petit boîtier gris installé dans le local technique : le superviseur de froid, qui pilote toutes les vitrines et chambres froides du magasin. Plusieurs médias désignent le fabricant danois Danfoss, et une note interne d'Intermarché évoque une attaque « chez Danfoss ». Le fabricant ne s'est pas exprimé publiquement à ce stade.

Ce dossier explique comment fonctionne ce matériel, comment un réglage de routine a pu transformer des frigos en étuves, quelles failles étaient déjà connues et ce que l'enquête devra encore établir. Pour le bilan de l'attaque, magasin par magasin, lisez notre article d'actualité.

Ce qui s'est passé cette nuit-là

L'attaque a eu lieu dans la nuit du dimanche 11 au lundi 12 octobre 2026, magasins fermés. Les enseignes touchées :

  • Intermarché, la plus touchée : environ 150 magasins concernés selon une note interne citée par BFM Business, dont au moins six dans la Manche d'après actu.fr ;
  • Magasins U, dont le président de Coopérative U, Dominique Schelcher, a confirmé l'attaque sur X, la jugeant « inédite » et « inacceptable » ;
  • Leclerc, cité par plusieurs médias, dont Clubic et Numerama.

D'autres noms circulent (Metro, Carrefour Market, Monoprix, des boucheries indépendantes), sans confirmation à ce stade.

L'heure à laquelle chaque magasin a été touché a tout changé. D'après Clubic, dans les points de vente atteints vers minuit, tous les produits concernés ont été détruits ; ceux touchés plus tard ont pu en sauver une partie. À Haguenau (Alsace), l'Intermarché aurait perdu l'ensemble de ses surgelés, environ 50 000 euros, et le Leclerc ses produits frais, estimés à 220 000 euros. À l'échelle nationale, la facture pourrait atteindre plusieurs millions d'euros.

Point commun de ces enseignes pourtant concurrentes : elles ne partagent aucun système informatique, mais leurs magasins sont nombreux à utiliser le même fournisseur de régulation du froid. C'est ce qui explique qu'elles aient été frappées la même nuit.

Le chef d'orchestre du froid : le superviseur

Un supermarché compte des dizaines de meubles réfrigérés, de vitrines et de chambres froides. Chacun possède son propre régulateur électronique (chez Danfoss, la gamme AK-CC), qui gère la consigne de température, les ventilateurs, les vannes et le dégivrage.

Au-dessus de ces régulateurs, un superviseur centralise tout. Chez Danfoss, c'est la gamme AK-SM, dont le modèle AK-SM 800A. Ce boîtier :

  • affiche l'état de chaque meuble et chaque chambre froide ;
  • permet de modifier les consignes et les plages horaires ;
  • enregistre l'historique des températures, exigé pour la traçabilité sanitaire ;
  • envoie les alarmes par e-mail ou SMS au magasin et au frigoriste ;
  • dispose d'une interface Web accessible depuis un navigateur.

Ce boîtier est presque toujours connecté à distance. Le frigoriste chargé de la maintenance surveille ainsi des dizaines de magasins sans se déplacer, intervient la nuit et optimise la consommation d'énergie, le froid étant l'un des premiers postes de dépense électrique d'un supermarché. Cette télésurveillance est un vrai service. C'est aussi une porte d'entrée.

L'arme : le dégivrage détourné

Pour comprendre l'attaque, il faut comprendre le dégivrage. Dans un meuble froid, l'humidité de l'air se transforme en givre sur l'évaporateur, la pièce qui produit le froid. Si on ne fait rien, le givre bouche l'évaporateur et le froid ne passe plus.

Le régulateur lance donc plusieurs fois par jour un cycle de dégivrage : il coupe le froid et chauffe l'évaporateur, avec des résistances électriques ou du gaz chaud, jusqu'à ce qu'une sonde atteigne une température de fin de dégivrage, de l'ordre de quelques degrés au-dessus de zéro. En cumulé, cela représente environ deux heures par 24 heures, puis le froid reprend.

Selon BFMTV, repris par Clubic, les pirates ont forcé ce cycle et l'ont maintenu en continu, avec une consigne poussée à 50 °C. L'évaporateur ne s'arrête plus de chauffer et ses ventilateurs soufflent de l'air chaud dans la vitrine. Le meuble devient un four à basse température.

Le procédé est redoutable pour trois raisons :

  • aucune panne n'est simulée : la machine fait exactement ce qu'on lui demande, avec des paramètres qui existent pour un usage normal ;
  • les alarmes peuvent rester muettes : les régulateurs prévoient généralement une temporisation des alarmes de température pendant et après le dégivrage, pour éviter les fausses alertes. Un dégivrage permanent peut donc retarder, voire empêcher, l'alerte. Ce point reste à confirmer pour cette attaque ;
  • la nuit joue pour l'attaquant : magasin fermé, personne devant les vitrines, des heures avant que quelqu'un ne remarque la hausse.

Des failles connues et corrigées depuis 2025

Le matériel en cause n'était pas inconnu des chercheurs en sécurité. L'équipe Team82 de l'entreprise de cybersécurité Claroty a découvert trois failles dans le superviseur Danfoss AK-SM 800A, détaillées dans une étude intitulée « Freeze the controller, defrost the food » (« Gelez le contrôleur, décongelez la nourriture ») et largement relayée en août 2026 :

Faille Nature Gravité (CVSS) Conséquence
CVE-2025-41450 Contournement de l'authentification 8,2 Un « code du jour » caché, calculé à partir de la date de l'appareil, ouvre une session administrateur sans mot de passe
CVE-2025-41451 Injection de commandes 7,6 Exécution de code sur le boîtier via le champ du mot de passe du compte e-mail des alarmes
CVE-2025-41452 Configuration externe 5,4 Détournement ou plantage de l'interface Web

Avec un accès administrateur, un attaquant dispose de toutes les fonctions de gestion : consignes de température, plages horaires, alarmes, comptes utilisateurs et maintenance. Autrement dit, de tout ce qu'il faut pour le scénario du dégivrage forcé.

Danfoss a corrigé ces failles dès 2025 avec le firmware R4.3.1. Mais un an plus tard, beaucoup de boîtiers restaient vulnérables : un comptage du moteur Censys cité par les chercheurs recensait 2 765 interfaces AK-SM 800A accessibles depuis Internet dans le monde, et l'éditeur de sécurité Zscaler en dénombrait 3 726 sur le moteur Shodan le 19 août 2026. Selon BFMTV et Clubic, les pirates ont justement visé des versions du logiciel de régulation antérieures à la version 4, ce qui serait cohérent avec un parc non mis à jour.

Danfoss n'est pas un cas isolé. Les mêmes chercheurs ont trouvé 23 failles dans le contrôleur Copeland XWEB Pro, un concurrent, et sont parvenus lors de leurs essais à fausser l'affichage de température et à couper les ventilateurs. Cinq autres failles ont été corrigées chez Trane, rapporte le média spécialisé Refindustry.

Prudence : à ce stade, aucun lien n'est établi entre ces failles et l'attaque du 12 octobre. Elles font des superviseurs exposés les premiers suspects, pas une preuve.

Trois scénarios d'intrusion

L'enquête devra trancher entre plusieurs hypothèses, qui ne s'excluent pas.

1. Des boîtiers attaqués un par un sur Internet. Les pirates repèrent les superviseurs accessibles en ligne grâce à des moteurs comme Shodan ou Censys, puis entrent grâce à une faille connue ou à des mots de passe par défaut. Un script automatisé peut toucher des centaines de magasins en une nuit. Ce scénario colle avec la piste des versions anciennes.

2. Une plateforme de télésurveillance compromise. Un prestataire ou un frigoriste supervise des centaines de magasins depuis un même outil. Le piratage d'un seul compte suffirait alors à agir partout à la fois, quelle que soit l'enseigne.

3. Une attaque chez le fabricant. Un service en ligne ou un outil de maintenance de Danfoss aurait été compromis. La note interne d'Intermarché évoque une attaque « chez Danfoss », mais la formulation ne permet pas de dire si l'entreprise elle-même a été piratée ou si ce sont ses équipements installés en magasin.

Plusieurs indices permettront de départager ces pistes : la carte des magasins touchés, l'heure exacte de chaque attaque, les versions du logiciel concernées, et surtout l'existence de magasins équipés en Danfoss mais épargnés.

Les heures qui ont suivi

Des cellules de crise ont été ouvertes dans les enseignes. D'après Clubic, une réunion se tenait lundi entre Danfoss, le spécialiste des installations frigorifiques Axima et d'autres frigoristes. Coopérative U indique que ses équipes sont « pleinement mobilisées, en lien avec les frigoristes ». Intermarché a promis à ses magasins de traiter en priorité leurs commandes exceptionnelles pour regarnir les rayons.

Sur le terrain, la remise en état passe en général par les mêmes étapes : déconnecter les superviseurs du réseau, repasser les meubles en régulation locale, contrôler les températures à la main, réinitialiser les paramètres puis mettre à jour le logiciel avant de rétablir la télésurveillance.

Côté sanitaire, la règle est simple : un produit frais ou surgelé qui a dépassé sa température de conservation ne peut pas rester en vente. Les rayons vides constatés lundi en sont la conséquence directe.

Ce que l'attaque révèle

Cette attaque met en lumière un angle mort : l'informatique industrielle des commerces, que les spécialistes appellent « OT » (operational technology). Contrairement aux ordinateurs de bureau, ces équipements :

  • restent en service dix ou quinze ans ;
  • sont rarement mis à jour, parce qu'une mise à jour impose d'intervenir sur une installation qui doit fonctionner jour et nuit ;
  • sont installés et gérés par des frigoristes, souvent hors du périmètre de l'équipe informatique ;
  • sont accessibles à distance pour la maintenance, parfois directement depuis Internet.

Les recommandations des chercheurs et des fabricants sont connues : ne jamais exposer une interface de gestion directement sur Internet, passer par un VPN, séparer le réseau du froid du reste du réseau, mettre à jour le firmware (R4.3.1 ou plus pour l'AK-SM 800A) et changer les mots de passe par défaut.

Fait notable : à ce stade, aucune fuite de données n'est annoncée. L'attaque vise des équipements physiques, et son coût se compte en marchandises détruites.

Ce que l'on ne sait pas encore

  • Le vecteur d'entrée : faille logicielle, identifiants volés ou prestataire compromis.
  • Les auteurs et leur mobile : aucune revendication ni demande de rançon n'a été rendue publique. Sabotage, démonstration de force ou essai grandeur nature : rien n'est établi.
  • L'ampleur exacte : il n'existe pas de bilan officiel consolidé du nombre de magasins touchés ni des pertes.
  • Une dimension internationale : Danfoss équipe des magasins dans le monde entier, et rien n'indique pour l'instant si d'autres pays sont touchés.
  • La position de Danfoss et des autorités : ni le fabricant ni l'ANSSI n'ont communiqué publiquement à ce stade.

Nous mettrons ce dossier à jour au fil de l'enquête.

Questions fréquentes

Pourquoi les frigos ont-ils chauffé au lieu de simplement s'arrêter ?

Les pirates auraient forcé le cycle de dégivrage en continu avec une consigne de 50 °C. Pendant un dégivrage, le meuble chauffe volontairement son évaporateur. Maintenu en permanence, ce cycle transforme la vitrine en étuve, sans que la machine soit en panne.

Danfoss est-il responsable ?

Rien ne permet de le dire. Plusieurs médias et une note interne d'Intermarché désignent des équipements Danfoss, mais le vecteur de l'attaque n'est pas connu. Des failles corrigées en 2025 existaient sur certains superviseurs, sans lien établi avec l'attaque.

Mes données personnelles sont-elles concernées ?

Aucune fuite de données n'est annoncée. L'attaque vise les systèmes de froid, pas les fichiers clients. Méfiez-vous en revanche des faux messages de « remboursement » ou de « bon d'achat » qui pourraient exploiter l'actualité.

Puis-je consommer des produits achetés lundi ?

Les produits qui ont dépassé leur température de conservation doivent être retirés de la vente. En cas de doute sur un produit frais ou surgelé acheté dans un magasin concerné, renseignez-vous auprès du magasin avant de le consommer.

Sources

Les dernières fuites recensées

Toute la base des fuites

À lire aussi