Le 12 octobre 2026, le CERT-FR a publié l’alerte CERTFR-2026-ALE-012 consacrée à la compromission d’équipements de télégestion du froid exposés directement sur Internet. Dans les jours qui ont précédé et suivi cette publication, plusieurs enseignes de la grande distribution en France et en Europe ont subi des sabotages à distance de leurs centrales frigorifiques. Au sein du groupement Les Mousquetaires, environ 150 magasins Intermarché ont vu les consignes de leurs meubles réfrigérés et chambres froides modifiées pendant la nuit pour atteindre jusqu’à 50 °C durant 6 heures. Au réveil des équipes, la rupture de la chaîne du froid imposait la destruction immédiate des denrées fraîches et surgelées.
D’autres acteurs de la distribution alimentaire, parmi lesquels Coopérative U, E.Leclerc et le groupe européen Ahold Delhaize, ont également été confrontés à des tentatives ou à des intrusions similaires sur des équipements de régulation thermique en octobre 2026. L’alerte du CERT-FR désigne précisément les contrôleurs visés : les gammes Danfoss AK-SM et AK-SC ainsi que les boîtiers Copeland xweb et Dixell xweb. Ces automates pilotent la température des vitrines, déclenchent les dégivrages et transmettent les alertes techniques aux prestataires chargés de la maintenance frigorifique.
Contrairement à une attaque par rançongiciel classique qui cherche à chiffrer des serveurs Active Directory ou des bases comptables, les intrusions observées en octobre 2026 sur les centrales de froid n’avaient aucun besoin de traverser le système d’information central des enseignes. Les attaquants ont pris le contrôle d’interfaces web d’administration laissées accessibles depuis Internet par les installateurs ou les mainteneurs techniques.
Le mode opératoire décrit par le CERT-FR dans son alerte du 12 octobre 2026 repose sur des faiblesses élémentaires mais massivement répandues dans la gestion technique du bâtiment. De nombreux contrôleurs Danfoss AK-SM, AK-SC et Copeland ou Dixell xweb disposent d’une interface web permettant au frigoriste d’ajuster à distance les courbes de température, de forcer un dégivrage ou d’acquitter une panne sans déplacer un technicien sur site. Pour simplifier cette télémaintenance, le prestataire demande régulièrement une redirection de port sur le routeur du site ou installe son propre boîtier 4G relié directement à l’automate.
Une fois l’interface exposée sur une adresse IP publique, l’attaquant exploite soit des identifiants par défaut jamais modifiés depuis la mise en service, soit des vulnérabilités connues sur des micrologiciels qui n’ont reçu aucun correctif depuis plusieurs années. En modifiant simultanément les seuils de température et les paramètres de remontée d’alerte en pleine nuit, l’intrus transforme un équipement de régulation en résistance chauffante pendant plusieurs heures, tout en empêchant l’astreinte technique de recevoir le signal d’anomalie à temps.
Cet épisode dépasse largement le seul secteur des supermarchés. Dans une PME industrielle, une clinique, un entrepôt logistique, une collectivité territoriale ou un laboratoire pharmaceutique, les équipements connectés qui pilotent le bâtiment relèvent rarement de la direction informatique. Ils sont achetés, déployés et maintenus dans le cadre de contrats gérés par les services généraux, la direction immobilière ou la direction de site.
Cette séparation organisationnelle crée un angle mort récurrent. Lorsque le RSSI cartographie la surface d’exposition externe de l’entreprise, il audite les noms de domaine officiels, les passerelles VPN, les serveurs de messagerie et les adresses IP attribuées à la DSI. Il ignore souvent l’existence d’un abonnement opérateur souscrit pour la chaufferie, la climatisation de la salle serveur, les bornes de recharge électrique, le contrôle d’accès des parkings ou les chambres froides.
Les chiffres publiés le 13 octobre 2026 dans le rapport annuel de Fortinet sur la sécurité des technologies opérationnelles confirment l’ampleur du phénomène : 71 % des entreprises industrielles interrogées ont détecté au moins 1 intrusion sur leurs environnements opérationnels au cours de l’année 2026, contre 49 % en 2024. L’exposition directe de boîtiers de télémaintenance et le manque de cloisonnement entre réseaux techniques et accès distants figurent au premier rang des vecteurs d’entrée constatés.
Pour un dirigeant, la différence financière et opérationnelle avec une cyberattaque bureautique est immédiate. Lorsqu’un serveur de fichiers est chiffré, une sauvegarde saine et isolée permet de restaurer les données et de reprendre l’activité. Lorsque 150 points de vente subissent une montée à 50 °C de leurs meubles frigorifiques pendant 6 heures, aucune sauvegarde informatique ne remplace les tonnes de marchandises devenues impropres à la consommation.
Aux pertes directes de stocks s’ajoutent les coûts de nettoyage, de mise en benne sécurisée, de réapprovisionnement en urgence et de fermeture temporaire des rayons concernés. Dans les secteurs soumis à des règles sanitaires strictes, comme l’agroalimentaire, la restauration collective ou la santé, la compromission de l’automate qui enregistre la traçabilité des températures pose en outre un problème de preuve réglementaire : si l’attaquant falsifie l’historique des sondes, l’exploitant ne peut plus démontrer la continuité de la chaîne du froid devant les autorités de contrôle, même si la température réelle n’a pas varié.
Le CERT-FR souligne d’ailleurs dans son alerte du 12 octobre 2026 que la remise en conformité d’un contrôleur compromis ne se limite pas à changer un mot de passe. Les équipes doivent vérifier manuellement l’intégralité des paramètres métiers : consignes de température, horaires de dégivrage, seuils de déclenchement des alarmes, comptes utilisateurs locaux et adresses de destination des notifications.
La sécurisation de ces équipements ne demande pas des budgets de cybersécurité industrielle complexes, mais une discipline contractuelle et technique appliquée à chaque prestataire intervenant sur les infrastructures physiques de l’entreprise. Plusieurs actions concrètes permettent de fermer cette porte d’entrée dès les prochains jours :
Les incidents d’octobre 2026 rappellent que la frontière entre informatique de gestion et équipements techniques n’existe plus dès lors qu’une prise réseau ou un modem cellulaire est branché sur un automate. Pour les organisations soumises à la directive NIS 2, qui couvre notamment la production, la transformation et la distribution de denrées alimentaires ainsi que l’industrie manufacturière et la santé, la maîtrise de la sécurité de la chaîne d’approvisionnement inclut explicitement les prestataires de maintenance physique disposant d’un accès numérique aux installations.
Inscrire une clause de sécurité obligatoire dans les contrats des frigoristes, chauffagistes et intégrateurs GTB coûte infiniment moins cher que de jeter le contenu de ses chambres froides après une intrusion nocturne sur un boîtier laissé avec son mot de passe d’usine.
Le piratage d’automates de froid dans 150 magasins en octobre 2026 expose le risque des accès de télémaintenance ouverts hors du contrôle de la DSI.
1-3 Rue d’Enghien
75010, Paris
France
Recevez les actualités du site Cyberdian.
