Une cyberattaque d'envergure a récemment secoué le secteur de la grande distribution alimentaire en France, ciblant spécifiquement les systèmes de froid. Cette attaque, qui a conduit à la perte de centaines de milliers d'euros de marchandises et à une mise à mal de la chaîne du froid, met en lumière des problématiques cruciales en matière de sécurité informatique dans les environnements industriels et connectés. Le nom de la cyberattaque Danfoss résonne désormais dans les chaînes de supermarchés, rappelant la fragilité des infrastructures critiques face aux menaces cyber. Nous allons décrypter ensemble les enjeux et les implications de cet incident.
L'attaque : Perturber le Froid pour Provoquer la Perte
Dans la nuit du dimanche 11 au lundi 12 octobre 2026, un scénario cauchemardesque s'est déroulé dans de nombreux supermarchés français. Des pirates informatiques ont pris le contrôle des systèmes de régulation des installations frigorifiques, notamment ceux du fabricant Danfoss, répandus dans l'Hexagone. L'objectif n'était pas de voler des données, mais de causer des dommages physiques : forcer le dégivrage continu des congélateurs et des chambres froides, et ce, en réglant la température à des niveaux excessifs, pouvant atteindre 50°C.
Les conséquences ont été immédiates et dévastatrices :
- Perte massive de denrées alimentaires : Les produits frais et surgelés, incapables de supporter de telles températures, ont été rendus impropres à la consommation. Des rayons entiers ont dû être jetés, entraînant des pertes financières estimées à des centaines de milliers, voire des dizaines de millions d'euros pour certaines enseignes comme Intermarché.
- Dégâts matériels potentiels : Bien que moins documentés dans les sources, certains rapports évoquent la possibilité de départs de feu, signe des contraintes extrêmes imposées aux équipements.
- Impact sur l'approvisionnement : L'interruption de la chaîne du froid a directement affecté la capacité des enseignes à approvisionner leurs clients, soulignant l'importance de ces systèmes pour la sécurité alimentaire nationale.
Les enseignes les plus touchées incluent Intermarché (avec 150 à 300 magasins concernés), Coopérative U (moins de 100 magasins), E.Leclerc, Carrefour Market et Monoprix.
L'Origine : Des Systèmes Vulnérables et Obsoètes
L'ampleur de cette cyberattaque Danfoss s'explique par plusieurs facteurs interdépendants. Au cœur du problème, l'utilisation de systèmes de régulation Danfoss, souvent des versions anciennes ou non mises à jour.
Les vulnérabilités exploitées
Des chercheurs, notamment de la Team82 de Claroty, avaient déjà, en août 2026, mis en lumière plusieurs vulnérabilités affectant le système Danfoss AK-SM 800A. Parmi elles :
- CVE-2025-41450 : Un contournement de l'authentification via un mot de passe basé sur la date du jour.
- CVE-2025-41451 : Une injection de commandes permettant l'exécution de code à distance après authentification.
- CVE-2025-41452 : Une injection de directives de configuration Nginx, pouvant mener à un déni de service.
Bien que Danfoss ait réagi en publiant des correctifs (firmware R4.3.1) et en recommandant la mise à jour vers des versions plus récentes, il semble que de nombreux équipements soient restés sur des versions vulnérables. La cyberattaque Danfoss a ainsi exploité ces failles, rendues d'autant plus accessibles que ces interfaces de gestion étaient parfois exposées publiquement sur Internet.
L'exposition sur Internet : Une mauvaise pratique persistante
L'exposition directe des interfaces d'administration sur Internet est un écueil majeur. Des analyses ont révélé des milliers de consoles Danfoss accessibles publiquement, certaines avec des dates de dernière modification anciennes, mais d'autres mises à jour après la divulgation des failles. Cette exposition, bien que contraire aux bonnes pratiques de sécurité IT et OT (Operational Technology), persiste dans le monde de la distribution alimentaire, où la priorité est souvent donnée à la continuité opérationnelle plutôt qu'à la sécurisation des accès.
Danfoss, conscient de ces difficultés, travaille à des solutions comme le système StoreView Web, qui vise à offrir une couche d'abstraction pour l'administration à distance, évitant ainsi la connexion directe aux équipements. Cependant, même cette solution peut impliquer l'exposition de certains services. L'adoption de technologies VPN ou de tunnels sécurisés (comme Tailscale, ZeroTier) pourrait offrir des alternatives plus robustes.
Les Implications pour les Professionnels de l'IT
Cette attaque est un cas d'école pour tout administrateur système, responsable IT ou RSSI. Elle démontre que la sécurité ne s'arrête pas aux serveurs et aux postes de travail ; elle s'étend aux systèmes industriels et connectés qui soutiennent les opérations quotidiennes.
Mettre à jour les systèmes OT : Une priorité absolue
- Inventaire précis : Vous devez avoir une connaissance parfaite de tous les équipements connectés dans votre infrastructure, y compris ceux relevant de l'OT. L'identifiant Danfoss AK-SM 800 et AK-SC 355 doit alerter.
- Politique de mise à jour : Établissez une politique claire pour la gestion des mises à jour des firmwares et logiciels des équipements OT. Privilégiez les versions supportées et planifiez la migration des systèmes obsolètes. L'obsolescence des logiciels obsolètes est une porte ouverte aux cyber threats.
- Gestion des vulnérabilités : Mettez en place un processus de veille et de gestion des vulnérabilités spécifiques aux systèmes OT, comme celles documentées sous les identifiants CVE-2025-41450 et CVE-2025-41451.
Sécuriser les accès réseau
- Segmenter les réseaux : Séparez impérativement les réseaux IT et OT. L'accès aux systèmes de contrôle industriel doit être strictement limité.
- Filtrer les accès externes : Les interfaces d'administration ne doivent JAMAIS être exposées directement sur Internet. Utilisez des VPN, des pare-feux robustes et des listes de contrôle d'accès (ACL) pour n'autoriser que les connexions légitimes.
- Authentification forte : Si l'accès à distance est indispensable, imposez une authentification forte (multi-facteurs) et des mots de passe complexes et régulièrement renouvelés.
Sensibilisation et Plan de Reprise d'Activité
- Former vos équipes : Sensibilisez vos équipes IT et OT aux risques spécifiques de la cybercriminalité ciblant les environnements connectés.
- Planifier l'incident : Avoir un plan de réponse aux incidents clair et testé est essentiel. Qui contacter en cas de compromission ? Comment isoler les systèmes affectés ? Comment rétablir les opérations ?
FAQ : Les Questions Essentielles
Pourquoi cette attaque a-t-elle eu un tel impact sur les supermarchés ?
L'impact est dû à la convergence de plusieurs facteurs : la large diffusion des systèmes Danfoss dans la grande distribution, l'utilisation de versions obsolètes et vulnérables de ces systèmes, et leur exposition potentielle sur Internet, facilitant l'exploitation des failles de sécurité par les attaquants.
Comment les pirates ont-ils pu contrôler les systèmes de froid ?
Ils ont exploité des vulnérabilités connues dans les logiciels de gestion des contrôleurs frigorifiques Danfoss, permettant notamment de contourner l'authentification et d'exécuter des commandes à distance pour modifier les paramètres de fonctionnement, comme déclencher un dégivrage forcé.
Quelle est la différence entre la sécurité IT et la sécurité OT dans ce contexte ?
La sécurité IT protège les systèmes d'information traditionnels (serveurs, postes de travail, données). La sécurité OT se concentre sur la protection des systèmes de contrôle industriel (SCADA, PLC, systèmes de régulation comme ceux de Danfoss) qui pilotent les processus physiques. Les priorités et les contraintes techniques diffèrent, mais l'interconnexion croissante rend la convergence des deux indispensable.
Qu'est-ce que le "dégivrage forcé" et pourquoi est-ce dangereux ?
Le dégivrage est une fonction normale des systèmes frigorifiques, conçue pour faire fondre le givre accumulé. Le "dégivrage forcé" signifie que cette fonction est activée de manière répétée ou prolongée, avec une température élevée. Ceci empêche le système de refroidir et, au contraire, fait monter la température à un niveau incompatible avec la conservation des produits, provoquant leur détérioration.
Quelles mesures Danfoss recommande-t-il ?
Danfoss recommande fortement de maintenir les systèmes encore pris en charge à jour avec les dernières versions de logiciel et de migrer les anciens systèmes vers des solutions de nouvelle génération. Ils insistent également sur la nécessité de ne pas exposer les contrôleurs directement sur Internet.
Ce que j'en retiens
Cette cyberattaque Danfoss n'est pas juste un incident isolé ; c'est un signal d'alarme retentissant pour tous les professionnels de l'IT. Elle met en lumière la vulnérabilité de nos infrastructures connectées, y compris celles de l'Operational Technology (OT), souvent négligées. L'exploitation de failles connues sur des systèmes obsolètes et mal protégés a eu des conséquences désastreuses, bien réelles, sur l'économie et l'approvisionnement alimentaire. Pour nous, administrateurs, c'est la preuve qu'une approche holistique de la sécurité est indispensable. Ignorer l'OT, c'est laisser une porte grande ouverte aux cybercriminels. La vigilance, la mise à jour constante et la segmentation réseau sont vos meilleures armes.