Frigos de supermarchés à +50 °C : la supervision ne doit pas dépendre de l'équipement attaqué
Publié le 14 octobre 2026 — Analyse d'actualité, côté infrastructure
Ce qui est établi au 14 octobre. Dans la nuit du 11 au 12 octobre 2026, des gestionnaires de froid Danfoss, puis Dixell, ont été pris en main à distance dans des magasins Intermarché/Netto, Système U, E.Leclerc, Carrefour et Monoprix : dégivrage déclenché à distance, consignes portées à +50 °C (95 °C affichés dans un magasin de Rennes), stocks frais et surgelés détruits. Le ministre de l'Économie a avancé le chiffre d'environ 700 supermarchés touchés sur 10 000 en France. Danfoss indique que la majorité de ses appareils concernés sont des produits obsolètes (AK-SM800, AK-SC355) qui ne reçoivent plus de mises à jour de sécurité. Le bulletin d'alerte CERTFR-2026-ALE-012 vise les Danfoss AK-SM et AK-SC, les Dixell xweb et les Copeland xweb, et estime que des campagnes sont probablement toujours en cours. L'enquête du parquet de Paris est confiée à l'Ofac, l'office anti-cybercriminalité.
Ce qui ne l'est pas. Le vecteur d'entrée n'est pas confirmé officiellement, pas plus qu'un attaquant unique derrière les trois marques. Les décomptes de magasins et le montant total des pertes varient selon les sources.
Pourquoi un régulateur de froid est-il joignable depuis Internet ?
Le CERT-FR le rappelle sans détour : « de manière générale l'exposition d'une interface de gestion sur Internet est contraire aux bonnes pratiques ». Elles sont pourtant nombreuses : le 9 août, l'équipe Team82 de Claroty comptait 2 765 contrôleurs AK-SM 800A exposés via Censys. Le jour de l'attaque, Baptiste Robert (Predicta Lab) en recensait 2 752 côté Danfoss, dont 1 590 en France, et Shodan en indexait plus de 4 500 — des comptages aux méthodes différentes, à ne pas additionner. Côté mot de passe, le hacker éthique Clément « SaxX » Domingo évoque un mot de passe qui était simplement la date du jour, et Claroty avait justement documenté un mot de passe caché, généré chaque jour à partir de la seule date de l'appareil — faille référencée CVE-2025-41450 dans l'avis ICSA-25-140-03 de la CISA : le lien entre les deux n'est pas confirmé officiellement. Cette faille était publiée par la CISA dès mai 2025, avec un correctif à partir de la version R4.2 : si c'est bien elle qui a servi, les appareils touchés n'étaient pas à jour, ou ne pouvaient plus l'être. Le problème n'est pas la faille, c'est un équipement exposé que personne ne met à jour. Sans préjuger de l'enquête, la raison de cette exposition est connue de quiconque a déjà ouvert la box d'un commerce :
- C'est le plus simple pour le frigoriste. Son contrat prévoit l'astreinte, les alarmes et les relevés de température. Une redirection de port vers l'interface web du gestionnaire, et c'est réglé en cinq minutes, sans VPN ni informaticien.
- Le froid n'est pas dans le périmètre informatique. Posé par le frigoriste, payé sur le budget technique, il n'apparaît ni dans l'inventaire ni dans les scans de vulnérabilité.
- Le matériel survit à son support logiciel. Une installation de froid n'est pas renouvelée au rythme de l'informatique : les AK-SM800 et AK-SC355 touchés, selon Danfoss, ne reçoivent plus de mises à jour de sécurité mais tournaient toujours.
- Les enseignes coopératives sont des magasins indépendants. Chaque point de vente a sa box, son installateur et ses habitudes.
Mettre à jour ou remplacer ces firmwares est l'affaire du fabricant et du frigoriste. Ce billet reste volontairement sur ce qu'on peut faire côté infrastructure, sans toucher à un équipement dont on n'a pas la main.
Le vrai problème : l'équipement attaqué est aussi celui qui surveille
Dans une installation classique, le gestionnaire de froid porte trois rôles à la fois : il pilote (consignes, dégivrages), il mesure (sondes des meubles et chambres froides) et il alerte. Celui qui prend la main sur la première fonction peut, par construction, agir sur les deux autres. Une alarme qui vit dans la même boîte que la consigne ne protège pas contre une modification de la consigne.
Résultat observé le 12 octobre : des équipes qui découvrent les congélateurs en train de se réchauffer au petit matin, après des heures de dérive. Selon franceinfo, les pertes sont estimées à environ 270 000 € pour deux supermarchés de Haguenau, et Intermarché indique que son assurance ne couvre pas ce type d'incident.
Et contrairement à une panne informatique, dont le coût croît à peu près avec la durée — c'est ce que mesure notre calculateur de coût d'indisponibilité pour l'informatique —, la chaîne du froid fonctionne par effet de seuil. Une fois la limite franchie trop longtemps, qu'on s'en aperçoive au bout d'une heure ou de cinq, le constat est le même : la marchandise part à la poubelle. Tout se joue dans les minutes qui suivent le début de la dérive, pas dans les heures.
Un second réseau de sondes, des règles métier absolues
La réponse côté infrastructure tient en une phrase : poser des sondes qui n'appartiennent pas au système de froid, et juger leurs mesures avec des règles de bon sens qui ne lisent jamais la consigne. Si un pirate passe la consigne à +50 °C, le gestionnaire trouve ça normal. La sonde indépendante, elle, sait qu'un congélateur n'a rien à faire à -15 °C.
| Équipement | Fonctionnement normal | Anomalie |
|---|---|---|
| Congélateur / chambre négative | -24 °C | Au-dessus de -20 °C, pour garder de la marge avant la limite réglementaire de -18 °C |
| Meuble ou chambre positive (périssables) | +5 °C | Sous 0 °C ou au-dessus de +7 °C, avant la limite de +8 °C |
| Onduleur | Sur secteur | Perte secteur, passage sur batterie |
| Toute sonde | Une mesure par minute | Plus de mesure depuis 10 minutes (le silence est une alerte) |
| Toute sonde | Variations lentes | Pente anormale, par exemple +3 °C en 30 minutes hors dégivrage |
| Plusieurs meubles, plusieurs magasins | Pannes isolées | Dérive simultanée : ce n'est plus un compresseur, c'est un incident systémique |
| La chaîne d'alerte elle-même | Alertes du prestataire de froid | Une seule source d'alerte : faire confiance à un prestataire unique, ou mettre des alertes complémentaires ? |
Les seuils ci-dessus ne sont pas arbitraires. La réglementation fixe des températures maximales par famille de produits — tableau du ministère de l'Agriculture (arrêté du 21 décembre 2009) : -18 °C pour les glaces, viandes hachées et produits de la pêche congelés, +4 °C pour les denrées très périssables, +8 °C pour les périssables. Le seuil d'alerte doit tomber avant la limite réglementaire du produit le plus sensible du meuble, pas dessus : alerter à -18 °C, c'est alerter sans plus aucune marge, la limite réglementaire est atteinte. On l'ajuste meuble par meuble, et un meuble de produits très périssables (limite +4 °C) se règle plus bas que l'exemple du tableau.
La ligne « dérive simultanée » est celle qui aurait le plus compté le 12 octobre. Des centaines de magasins qui voient leurs négatifs remonter ensemble en pleine nuit, aucun frigoriste ne l'interprète comme une panne. Mais pour un point de vente pris seul, c'est impossible à voir : le gérant n'a que ses propres sondes, et rien ne lui permet de distinguer une attaque globale d'une panne de son contrôleur. Cette corrélation n'existe qu'un étage au-dessus, à l'échelle de l'enseigne, du groupement ou du prestataire de supervision, à condition que les mesures remontent vers une plateforme commune, indépendante de celle du fabricant.
La dernière ligne pose la question de fond. Le jour où le système du prestataire de froid est lui-même compromis, ses alertes le sont aussi. Une seconde chaîne d'alerte, qui ne partage ni les sondes, ni le réseau, ni le prestataire, coûte peu à côté d'un magasin entier à vider.
L'architecture qu'on préconise
Des sondes qui n'appartiennent pas au frigoriste
Sondes autonomes, sur batterie, posées dans chaque meuble et chambre froide, sans aucune liaison avec le gestionnaire de froid. Elles ne savent rien des consignes et ne peuvent rien piloter : elles mesurent, c'est tout. Bonus pratique : le CERT-FR demande de vérifier ses conditions d'assurance avant de couper la remontée de données vers le prestataire. Avec des sondes à soi, on peut isoler le gestionnaire de froid sans devenir aveugle.
Une passerelle en flux sortant uniquement
La passerelle du magasin, sur un réseau isolé du froid comme de la caisse, pousse ses mesures vers la plateforme de supervision. Aucun port entrant ouvert, aucune commande possible depuis l'extérieur : lecture seule par construction. Si le frigoriste a besoin d'un accès distant au gestionnaire, il passe par un tunnel sortant dédié, comme dans notre cas VPN inter-sites, jamais par une redirection de port.
Un onduleur supervisé et un lien de secours
Passerelle, routeur et lien 4G de secours sur un petit onduleur dont l'état est lui-même supervisé : une coupure secteur devient une alerte, et l'alerte part même si la box est tombée. Pour dimensionner l'autonomie, notre calculateur de puissance et d'onduleur suffit.
Des alertes qui réveillent quelqu'un
Une alerte à 3 h du matin ne sert que si quelqu'un la reçoit et sait quoi faire. Paliers définis à l'avance, temporisation pour ne pas sonner à chaque dégivrage normal, escalade si personne n'acquitte — les principes de notre article sur les KPI de monitoring essentiels s'appliquent tels quels. La chaîne d'appel elle-même peut être confiée à une astreinte 24/7.
Des relevés horodatés qui tiennent devant un tiers
Après l'attaque, les magasins ont dû vider leurs meubles et faire constater les pertes. Un historique de températures indépendant, horodaté sur une source de temps fiable comme notre service NTP/NTS public, dit à quelle minute chaque meuble a franchi le seuil. C'est utile pour l'assureur, pour l'enquête, et pour le plan de maîtrise sanitaire. Pourquoi l'heure compte autant : les menaces liées à la désynchronisation temporelle.
Le même principe dans les salles informatiques que nous exploitons
Nos équipements sont hébergés chez des opérateurs de datacenter reconnus, qui prennent des engagements de SLA sur la température comme sur l'électricité. Nous y appliquons quand même nos propres mesures et nos propres actions proactives : un SLA indemnise après coup, il ne protège pas les machines pendant l'incident. En juin 2026, le refroidissement de l'une des salles Equinix où nous sommes hébergés a perdu son alimentation en eau. Ce qui a fait la différence, ce sont des paliers d'alarme thermique définis à l'avance, avec une décision prise avant le seuil critique et non subie. Un supermarché n'est pas un datacenter, mais la logique est la même : savoir avant que le froid ne lâche, et savoir sans dépendre de celui qui produit le froid.
La plateforme qui reçoit les mesures doit elle-même survivre à une panne de site — c'est ce que permet une infrastructure répartie sur plusieurs datacenters.
Ce que ça ne fait pas
- Ça n'empêche pas l'attaque. Avec une mesure par minute et une alerte au bout de quelques minutes d'écart, le délai de détection peut passer de plusieurs heures à quelques minutes. C'est ce délai qui fait la différence entre quelques meubles à vider et un magasin entier.
- Ça ne remplace pas le cloisonnement. Retirer les interfaces de gestion d'Internet, mettre à jour ou remplacer les équipements en fin de vie reste indispensable — et c'est le chantier du fabricant et du frigoriste.
- Ça demande un réglage initial. Les dégivrages normaux, les réassorts portes ouvertes et les meubles mal placés produisent des faux positifs les premières semaines. Il faut ajuster temporisations et seuils avant de faire confiance au système.
- Ça suppose quelqu'un au bout de la chaîne. Le gérant d'un Carrefour Market de Rennes a reçu des alertes sur son application dans la nuit, avec des congélateurs programmés à 95 °C, et a d'abord cru à un bug. Une alerte sans procédure ni escalade ne sert à rien ; d'où l'intérêt de définir les délais d'intervention (GTI/GTR) dès le départ.
Le même schéma, chez vous
Un équipement en fin de vie, une interface d'administration ouverte sur Internet, un mot de passe trop simple : la recette du 12 octobre est exactement celle qui touche les particuliers depuis des années. Elle fait juste moins de bruit, parce qu'aucun rayon surgelés ne fond.
Le routeur qui trahit tous les PC de la maison
D'anciens modems-routeurs D-Link DSL, déclarés en fin de vie en 2020 et sans correctif prévu, sont activement exploités via la faille CVE-2026-0625, avec des premières traces relevées par la Shadowserver Foundation dès novembre 2025. La faille touche la configuration DNS du routeur.
Pour le foyer, l'effet est direct : un routeur dont on détourne le DNS envoie chaque PC, téléphone et télévision du réseau vers les serveurs de l'attaquant. Faux site de banque, fausse mise à jour qui installe un logiciel malveillant sur le PC familial : l'antivirus du PC ne surveille pas le routeur. D'autres routeurs D-Link en fin de vie (DIR-823X, faille CVE-2025-29635) servent, eux, à recruter des variantes du botnet Mirai, qui utilisent la connexion du foyer pour attaquer des tiers.
Le NAS familial pris en otage
En février 2019, le rançongiciel Cr1ptT0r chiffrait des NAS D-Link ShareCenter (DNS-320, DNS-320L) dont le dernier firmware datait de 2016 : la clé de déchiffrement se vendait environ 0,3 bitcoin (« environ 1 200 $ au cours actuel », écrivait alors BleepingComputer), ou 19,99 $ par fichier. L'avis D-Link SAP10110 renvoyait déjà les victimes vers leurs sauvegardes. Plus de six ans après, aucun déchiffreur gratuit n'a été publié, aucune fuite de clés n'a été signalée, et en mai 2025 le modérateur du fil d'assistance aux victimes répondait encore qu'il n'y avait « rien de nouveau ». Les seules récupérations rapportées dans ce fil sont celles de victimes qui ont payé. En 2022, DeadBolt a refait la même chose aux NAS QNAP exposés, page de connexion remplacée par une demande de 0,03 bitcoin par victime. Et fin 2024, D-Link a annoncé qu'une faille critique (CVE-2024-10914) touchant plus de 61 000 de ses NAS en fin de vie ne serait pas corrigée, en conseillant de les remplacer. Le piège est double : c'est souvent sur ce NAS que les PC de la maison font leur sauvegarde. Quand il est chiffré, les photos de famille et la sauvegarde des PC disparaissent ensemble — d'où l'intérêt d'une copie externalisée du NAS, idéalement immuable face aux rançongiciels.
Les cinq gestes qui couvrent l'essentiel à la maison
- Remplacer ce qui n'est plus mis à jour : routeur acheté à part, NAS, caméra. Une box d'opérateur est en général mise à jour par l'opérateur ; un routeur de 2015 ne l'est plus par personne.
- Fermer l'administration à distance de la box et du routeur, et désactiver l'UPnP, qui laisse les appareils ouvrir eux-mêmes des ports.
- Ne jamais exposer un NAS directement : passer par un VPN ou par le service de relais du fabricant.
- Changer tous les mots de passe par défaut, et ne pas en réutiliser un d'un appareil à l'autre.
- Garder une sauvegarde hors du réseau domestique, que le rançongiciel ne peut pas atteindre.
Pour aller plus loin
- → Connecter plusieurs sites sans ouvrir de port — le tunnel sortant qui remplace la redirection de port du mainteneur.
- → Audit de synchronisation NTP — pour que l'horodatage de vos relevés soit cohérent sur tout le parc.
- → Comment fonctionne notre astreinte — de l'alerte au premier geste, la nuit et le week-end.
- → Tous nos use cases Managed Services
Vous voulez savoir avant que le froid ne lâche ?
On conçoit et on opère la supervision indépendante de vos sites : réseau isolé, flux sortant uniquement, onduleur supervisé, règles métier et astreinte 24/7 au bout de la chaîne. Sans toucher à vos équipements de froid.
01 77 62 42 42