Dans la nuit du 11 au 12 octobre, plusieurs enseignes de la grande distribution française ont été la cible d’une cyberattaque visant leurs systèmes de réfrigération.

Les assaillants ont réussi à prendre le contrôle à distance de ces équipements critiques. Leur mode opératoire n’a pourtant rien d’une prouesse technique : aucune faille inconnue (zero-day) n’a été exploitée. Les pirates ont simplement profité de vulnérabilités anciennes déjà connues, pour lesquelles des correctifs existaient de longue date, mais qui n’avaient jamais été appliqués sur des parcs d’équipements vieillissants et exposés.

Cet incident met en lumière une faille systémique majeure. Voici les enseignements clés à en retenir pour sécuriser les technologies opérationnelles (OT) dispersées sur des sites distants.

Une attaque simple, des pertes lourdes

Le mode opératoire tient en une ligne : forcer un dégivrage continu, avec une consigne affichée à 50 °C. La production de froid s’arrête, la température des armoires réfrigérés monte, et au petit matin les produits ne sont plus vendables. Coopérative U, E.Leclerc et Intermarché ont été touchés. Monoprix est également cité, sans confirmation de toutes les enseignes. Environ 150 magasins Intermarché auraient été concernés. Certains magasins évoquent des pertes de plusieurs dizaines, voire centaines de milliers d’euros : deux magasins alsaciens auraient perdu 270 000 euros à eux seuls. Dominique Schelcher, PDG de la Coopérative U, a qualifié l’attaque d’« inacceptable » et d’une « extrême gravité ».

Aucun rançongiciel ni vol de données n’est en cause, il s’agit d’un sabotage d’équipement physique, déclenché depuis Internet.

Des failles connues, des correctifs disponibles

La cible principale est la supervision frigorifique Danfoss AK-SM 800A, ainsi que les anciens AK-SM 800 et AK-SC 355, qui ne reçoivent plus de mises à jour. La vulnérabilité clé, CVE-2025-41450, est un contournement de l’authentification touchant les versions antérieures à la 4.2. Elle figurait déjà dans une alerte de sécurité Danfoss de mars 2025. Deux autres failles l’accompagnent : CVE-2025-41451, qui permet l’exécution de code à distance, et CVE-2025-41452, qui touche le serveur web Nginx embarqué. Danfoss a corrigé l’ensemble dans la version R4.3.1.

Le problème ne réside donc pas dans l’absence de correctif, mais bien dans son déploiement. L’analyse des interfaces montre que certaines n’ont pas été modifiées depuis 2021. Les consoles mises à jour après l’alerte de mars 2025 restent, quant à elles, minoritaires.

Danfoss n’est pas un cas isolé. Le 13 octobre, un supermarché situé dans le Tarn a lui aussi été privé de froid à la suite du ciblage d’équipements Dixell (marque du groupe Copeland). Cette situation met en lumière l’obsolescence de certains parcs d’équipements de la gamme XWEB-500 qui est en fin de vie depuis 2018 et la série XWEB Evo, elle ne bénéficie plus de support depuis mars 2026. Les versions du système XWEB Pro antérieures à la 1.21 hébergent plusieurs failles critiques. Parmi elles, la CVE-2026-24663 permet à un attaquant non authentifié d’exécuter du code à distance. Une seconde faille, répertoriée sous le code CVE-2026-21718, rend quant à elle les mots de passe de l’administrateur extrêmement prévisibles.

Le vrai sujet : l’exposition directe sur Internet

Ces consoles d’administration web sont accessibles directement depuis Internet. Claroty en avait recensé 2 765 lors de sa publication sur ces failles. LeMagIT en compte près de 3 000 en France. Selon Onyphe, plus de 6 200 adresses IP exposent des interfaces de supervision StoreView dans le monde, dont près de la moitié en France. Plus de la moitié tournent sur des versions anciennes, et une grande partie est servie en HTTP : les identifiants y transitent en clair.

La raison est connue : l’accès web direct est pratique pour la maintenance à distance par les frigoristes. Mais dans l’OT, la continuité d’exploitation prime souvent sur la mise à jour, par crainte qu’un correctif perturbe l’équipement. Et ces contrôleurs se trouvent souvent entre plusieurs responsables : services techniques, IT, prestataires de maintenance. Chacun peut supposer que la sécurité relève d’un autre.

Cinq actions pour les équipes IT, OT et sécurité

• Inventorier. Recenser tous les équipements de supervision connectés dans les sites distants (froid, CVC, énergie, GTB), avec leur version de firmware et leur statut de support. Un équipement en fin de vie doit être isolé ou planifié pour remplacement.
• Couper l’exposition. Aucune console d’administration ne doit être joignable directement depuis Internet. Vérifiez votre surface exposée avec un scan externe ou un moteur comme Onyphe ou Shodan, et passez l’accès par un VPN, un bastion d’administration ou une solution de réseau privé.
• Segmenter. Séparer strictement les réseaux IT et OT, et isoler les contrôleurs dans leur propre segment, comme le recommande aussi Copeland (« segmentation réseau, accès restreint, supervision renforcée »).
• Encadrer la maintenance Auditer la manière dont les prestataires se connectent, imposer des comptes nominatifs, le chiffrement (HTTPS) et la journalisation des accès.
• Prévoir des garde-fous locaux. Quand c’est possible : limites sur les cycles de dégivrage, rejet des consignes aberrantes, alarmes de température indépendantes du réseau. Un sabotage détecté à 2 h du matin limite les pertes.

Pour les DSI : une question de gouvernance

Au-delà de la technique, l’incident pose une question d’organisation : qui est responsable de la sécurité d’un équipement acheté par les services techniques, installé par un frigoriste et branché sur le réseau du magasin ? Tant que cette question n’a pas de réponse claire, les correctifs ne seront pas appliqués, quel que soit le nombre d’alertes publiées. La même situation existe dans l’industrie, la santé, la logistique ou l’immobilier tertiaire, partout où des automates sont pilotés à distance.

Conclusion

L’attaque des supermarchés n’a rien de sophistiqué : des failles publiques, des correctifs disponibles et des consoles visibles depuis Internet. C’est précisément ce qui la rend instructive. Pour les équipes IT et sécurité, la priorité de la semaine est d’identifier ses équipements OT exposés, les retirer d’Internet et désigner un responsable pour chacun d’eux.