Le 4 novembre 2026, la divulgation d’une cyberattaque visant 1 prestataire de l’Établissement français du sang (EFS) a mis en lumière la vulnérabilité physique des infrastructures de santé face aux défaillances de leur chaîne d’approvisionnement numérique. Selon les éléments rapportés le 4 novembre 2026 par UnderNews et l’analyste Benoit Grunemwald d’ESET, puis détaillés le 5 novembre 2026 par ZATAZ, cet incident survenu chez ce sous-traitant a directement affecté 3 sites de l’EFS. La compromission informatique a entraîné l’arrêt de systèmes de régulation thermique et provoqué le réchauffement de chambres froides contenant des poches de sang, du plasma ainsi que des échantillons de biobanque destinés à la recherche médicale. Si l’EFS a précisé qu’aucun impact sanitaire n’a été constaté pour les patients grâce au déclenchement des procédures de secours et au transfert des stocks, l’événement démontre la porosité entre le réseau d’un fournisseur tiers et le maintien en condition opérationnelle d’actifs vitaux.
Cet incident français s’inscrit dans une séquence européenne beaucoup plus large visant les équipements de gestion thermique. Dès le 3 novembre 2026, les analystes de Filigran cités par UnderNews ont confirmé que la campagne de sabotage informatique ciblant les réfrigérateurs industriels de supermarchés, initialement détectée sur le territoire français, s’est désormais propagée à 7 autres pays européens. En parallèle, le 9 novembre 2026, ZATAZ a relevé une salve d’attaques revendiquée par le collectif pro-russe NoName contre le fabricant danois d’équipements thermiques Danfoss, aux côtés des opérateurs français Free et La Poste Mobile. Ces offensives prolongent l’alerte CERTFR-2026-ALE-012 émise le 12 octobre 2026 par le CERT-FR, qui avertissait de l’exploitation active de contrôleurs de réfrigération Danfoss AK-SM et AK-SC, Copeland xweb et Dixell xweb exposés directement sur Internet.
Le rapprochement entre l’incident subi par l’EFS et la campagne européenne visant la grande distribution met en évidence un vecteur technique identique : la délégation complète de la gestion thermique à des prestataires externes. Dans les hôpitaux, les laboratoires pharmaceutiques, les entrepôts logistiques ou les hypermarchés, les centrales de froid et les systèmes de gestion technique du bâtiment (GTB) sont rarement administrés par la direction des systèmes d’information. Leur exploitation repose sur des contrats de maintenance confiés à des frigoristes ou à des intégrateurs spécialisés en chauffage, ventilation et climatisation (CVC).
Pour garantir une intervention rapide en cas de dérive thermique, ces sous-traitants installent des passerelles d’accès distant ou connectent directement les automates programmables au réseau public. Comme l’a documenté le CERT-FR dans son alerte CERTFR-2026-ALE-012 du 12 octobre 2026, de nombreux contrôleurs Danfoss, Copeland et Dixell demeurent accessibles via des interfaces d’administration web dépourvues d’authentification multifacteur, voire configurées avec les mots de passe d’usine. Lorsqu’un attaquant compromet le réseau informatique du prestataire de maintenance ou scanne les plages d’adresses IP à la recherche de ces contrôleurs exposés, il obtient la capacité de modifier à distance les consignes de température, de désactiver les alarmes sonores locales ou de forcer le dégivrage continu des enceintes frigorifiques.
Dans le cas des 3 sites de l’EFS touchés début novembre 2026, la défaillance du prestataire a directement impacté la conservation de produits biologiques thermosensibles. Les poches de plasma et les réactifs de biobanque exigent un maintien strict dans des plages de température négatives ou proches de 4 degrés Celsius. Une interruption de quelques heures, si elle n’est pas détectée par une sonde indépendante du système informatique compromis, suffit à détruire des lots entiers dont la reconstitution prend plusieurs mois de collecte.
L’extension des attaques sur les systèmes de réfrigération à 7 nouveaux pays européens, relevée le 3 novembre 2026 par Filigran, prouve que ce mode opératoire ne relève plus de l’acte isolé. Les groupes cybercriminels et hacktivistes ont compris que le sabotage d’équipements physiques génère une pression immédiate sur les dirigeants, bien supérieure à l’indisponibilité temporaire d’un serveur bureautique. Pour un distributeur alimentaire ou un acteur de la santé, la rupture de la chaîne du froid se traduit en quelques heures par une perte sèche de marchandise, une obligation de déclaration aux autorités sanitaires et un arrêt d’activité en magasin ou en centre de soins.
Cette pression sur les prestataires techniques dépasse le seul secteur du froid industriel et touche désormais l’ensemble des opérateurs de contrôle et d’exploitation. Le 9 novembre 2026, ZATAZ a ainsi révélé qu’un pirate revendique l’exfiltration d’une base de données de 259 millions de lignes appartenant à SGS France, maison mère des réseaux de contrôle technique automobile Sécuritest, Auto Sécurité et Vérif’Autos. Selon les affirmations de l’attaquant, qui n’ont pas fait l’objet d’une confirmation officielle par l’entreprise à cette date, les données concerneraient 22 millions d’automobilistes français, incluant les identités, coordonnées, plaques d’immatriculation et numéros de série VIN des véhicules. Le jour précédent, le 8 novembre 2026, ZATAZ rapportait également la publication par le groupe Emperador de données clients et bancaires de l’enseigne Alain Afflelou après l’échec d’une négociation de rançon, ainsi que la revendication du vol de 18 téraoctets de codes sources et de sauvegardes chez l’intégrateur Kensium.
Qu’il s’agisse d’un intégrateur e-commerce détenant 18 téraoctets de sauvegardes, d’un réseau de contrôle technique ou d’un mainteneur de chambres froides pour l’EFS, le mécanisme d’exposition demeure identique. Les entreprises clientes concentrent leurs investissements de cybersécurité sur leur périmètre interne tout en accordant une confiance technique aveugle aux outils déployés par leurs fournisseurs industriels et logiciels.
Sur le plan juridique et réglementaire, l’argument consistant à imputer l’incident à la négligence d’un sous-traitant ne protège plus les dirigeants. La directive NIS 2, applicable aux entités essentielles et importantes des secteurs de la santé, de l’agroalimentaire, de la logistique et de la fabrication industrielle, impose une maîtrise formelle de la sécurité de la chaîne d’approvisionnement. Les autorités de contrôle exigent que les donneurs d’ordre évaluent les pratiques de leurs prestataires ayant accès aux systèmes critiques, y compris lorsque ces systèmes relèvent des technologies opérationnelles (OT) ou de l’immotique.
De plus, l’entrée en vigueur progressive du Cyber Resilience Act (CRA) européen renforce les obligations pesant sur les fabricants d’équipements connectés comme les automates de régulation thermique. Le ciblage récurrent de fabricants tels que Danfoss, visé le 9 novembre 2026 par NoName après l’alerte CERTFR-2026-ALE-012 d’octobre 2026, rappelle toutefois que le parc installé en France comporte des milliers de contrôleurs déployés il y a plus de 5 ou 10 ans. Ces boîtiers ne recevront jamais de mise à jour automatique de sécurité et continueront de fonctionner avec des protocoles non chiffrés tant que les directions générales et techniques n’imposeront pas leur isolation réseau.
Pour les DSI, RSSI et directeurs des opérations industrielles, la protection des infrastructures thermiques et des systèmes pilotés par des tiers exige une reprise en main rapide des architectures de télémaintenance. Les actions prioritaires se déclinent sur les volets techniques et contractuels :
Le 5 novembre 2026, l’alerte CERTFR-2026-ALE-015 sur OpenSSH (bibliothèque musl sans PAM), la découverte de 5 CVE sur le robot Reachy Mini et la Task Force CRA de STMicroelectronics révèlent ...
1-3 Rue d’Enghien
75010, Paris
France
Recevez les actualités du site Cyberdian.
