Cyberattaque dans les supermarchés : comment des pirates ont fait monter les réfrigérateurs à 50 °C et exposé les vulnérabilités de l'approvisionnement alimentaire en Europe

L'incident a commencé aux premières heures de lundi.

Des vitrines réfrigérées et des unités de stockage de centaines de supermarchés français ont reçu des commandes à distance pour élever les températures. Des cycles de dégivrage forcé ont fonctionné en continu pendant environ six heures, faisant fondre les stocks congelés, avarier la viande et grimper les températures d'affichage. En plusieurs endroits, les moteurs des compresseurs ont surchauffé et provoqué des incendies localisés.

Mardi, le personnel des magasins évacuait les produits avariés tandis que les directions des entreprises évaluaient les pertes financières.

Le parquet de Paris a ouvert une enquête pénale nationale sur ce qu'il a décrit comme une « cyberattaque à grande échelle affectant les réfrigérateurs connectés de plusieurs grands distributeurs alimentaires à travers la France ». Le Premier ministre Sébastien Lecornu a demandé aux agences de l'État de coordonner une réponse technique nationale, tandis que le ministre de l'Économie Roland Lescure a qualifié la perturbation de « signal d'alarme pour tout le monde » dans le secteur de la distribution.

Plusieurs grands groupes de distribution ont signalé des impacts, notamment Carrefour, Monoprix, Coopérative U, Auchan, E Leclerc et Les Mousquetaires.

Pour sa seule enseigne Intermarché, Les Mousquetaires a fait état de pertes atteignant « des dizaines de millions d'euros » en une seule journée dans environ 150 magasins touchés, les estimations nationales suggérant que 350 à 700 points de vente auraient été compromis. Parallèlement, l'opérateur néerlandais Ahold Delhaize a isolé son réseau informatique lors d'un « incident de cybersécurité » affectant son enseigne Albert Heijn aux Pays-Bas et en Belgique, perturbant les commandes en ligne, la livraison à domicile et les étiquettes de prix numériques.

Les autorités néerlandaises de cybersécurité ont déclaré qu'il n'existait aucune preuve technique reliant les événements en France à la perturbation aux Pays-Bas. Europol a confirmé qu'elle consultait les enquêteurs nationaux des États membres.

Contrairement aux cyberattaques classiques visant les bases de données d'entreprises, l'intrusion n'a impliqué ni exfiltration de données ni extorsion financière.

Les auteurs ont contourné les cibles traditionnelles pour manipuler des équipements de refroidissement physiques, démontrant comment des machines industrielles peuvent être utilisées à des fins de perturbation opérationnelle.

Hors service

Les distributeurs alimentaires européens ont passé des décennies à centraliser la gestion de leur chaîne d'approvisionnement afin d'optimiser leur efficacité opérationnelle.

Les équipements, des vitrines aux systèmes de CVC, sont régulièrement connectés à des portails de gestion à distance, permettant à des prestataires externes de gestion des installations d'ajuster les températures ou de lancer des diagnostics sans se rendre dans chaque magasin.

Les mesures de sécurité des matériels périphériques ont toutefois souvent pris du retard par rapport à la connectivité réseau.

Les intrusions françaises ont compromis des contrôleurs numériques fabriqués par la société danoise Danfoss et par l'américaine Copeland, qui détient la marque Dixell.

Les acteurs ont utilisé des protocoles de maintenance intégrés — en particulier les fonctions de dégivrage conçues pour éliminer l'accumulation de glace — et ont supprimé les limites de température de fonctionnement sans déployer d'exploits zero-day sur mesure.

Des chercheurs en sécurité avaient déjà documenté ces risques.

En août, la société de recherche en sécurité Claroty a publié les détails d'une faille de contournement d'authentification dans les contrôleurs Danfoss AK-SM 800A, notant des mécanismes qui « pourraient être exploités » pour « contourner l'authentification normale » et modifier à distance les réglages de température.

Des mois plus tard, des milliers de ces interfaces restaient indexées sur les moteurs de recherche publics.

Des installateurs et des prestataires de maintenance tiers avaient connecté le matériel directement au web ouvert, sans pare-feu, sans VPN d'entreprise ni mises à jour de micrologiciel récentes.

Cette situation reflète un problème structurel plus large dans la cybersécurité commerciale.

Les budgets des entreprises sont souvent alloués à la protection des données de paiement des clients et des logiciels d'entreprise, tandis que le matériel périphérique est géré par des sous-traitants tiers exploitant des contrôleurs hérités sous des logiciels en fin de vie.

Comme l'a observé Ken Munro, associé du cabinet de sécurité britannique Pen Test Partners : « This is about basic cyber hygiene. Get it wrong and you get a smelly mess of defrosted food. » Munro a ajouté qu'il n'y avait « no business need for the fridge controllers to be accessible on the public internet », notant que « it doesn’t take much for one blind spot in a business to lead to tonnes of trashed food. »

Plutôt que de subir une violation de données classique, les distributeurs ont été confrontés à des avaries physiques, des interruptions d'activité et des dommages matériels.

Pas de rançon, pas de revendication

Les enquêteurs ont noté que l'absence de mobile clair ou de demande de rançon reste une énigme centrale.

La plupart des intrusions informatiques commerciales suivent des schémas établis : des syndicats criminels chiffrent des réseaux sensibles pour exiger des paiements en cryptomonnaies, ou des acteurs étatiques mènent une collecte de renseignements à long terme. En l'espèce, aucune rançon n'a été demandée, aucun portail d'extorsion n'a été mis en place et aucun groupe n'a revendiqué la responsabilité.

L'analyse de sécurité a identifié des milliers de contrôleurs similaires opérant ouvertement en ligne en Espagne, au Portugal, en Pologne, en Allemagne et en Belgique.

Comme l'exploit nécessitait une complexité technique limitée, l'éventail des acteurs potentiels reste large, allant d'entités parrainées par des États testant la résilience des infrastructures à des acteurs cherchant à perturber.

Félix Aimé, chercheur principal sur les menaces au sein de la société française de cybersécurité Sekoia, a déclaré qu'« une opération visant à déstabiliser certaines activités économiques, ou infrastructures, pourrait aussi être envisagée », tout en notant que les auteurs ne semblaient pas avoir utilisé de code malveillant sur les contrôleurs.

L'événement s'inscrit dans des préoccupations plus larges concernant les menaces hybrides à travers l'Europe.

En septembre, le président français Emmanuel Macron a averti les dirigeants politiques que la « menace hybride russe à laquelle font face les Européens et la France » s'était intensifiée ces dernières semaines, nécessitant des plans de protection renforcés pour les infrastructures critiques.

Alors que la planification de défense se concentre souvent sur les réseaux électriques, les câbles sous-marins ou les installations de traitement des eaux, l'incident en France indique que des réseaux commerciaux privés peuvent servir de vecteurs de perturbation publique.

Marges minces, réserves plus minces encore

Les réseaux physiques d'approvisionnement alimentaire fonctionnent selon des modèles logistiques tendus.

Des recherches de l'Institut Clingendael et de l'université Erasmus indiquent que les réseaux d'épicerie européens modernes reposent sur une logistique juste-à-temps, les magasins et les centres de distribution détenant environ six jours de stocks alimentaires.

Lorsque les systèmes de réfrigération centraux tombent en panne simultanément en plusieurs endroits, les réserves locales ne peuvent absorber la perte, créant immédiatement des goulets d'étranglement logistiques.

La réaction officielle a reflété la gravité du risque opérationnel.

Dominique Schelcher, directeur général de Coopérative U, a souligné : « Targetting equipment essential to the preservation of fresh products and to the food supply of the French people is of extreme gravity and is unprecedented. » Le commissaire européen à l'Agriculture, Christophe Hansen, a fait écho à ces évaluations sur les réseaux sociaux, écrivant que la sécurité alimentaire exige une plus grande attention à tous les niveaux car « the weaponisation of food has become a reality ».

Pour les distributeurs, les impacts financiers s'étendent au-delà des stocks jetés pour inclure la désinfection d'urgence, les réparations d'équipements, les réclamations en responsabilité et les pertes de chiffre d'affaires. Les fabricants d'équipements font l'objet d'un examen accru concernant la poursuite de l'exploitation de matériels hérités, non corrigeables, dans des environnements commerciaux sans mises à niveau de sécurité obligatoires.

En réponse, Danfoss a reconnu que de nombreuses unités touchées avaient « reached end of life and no longer receive software or security updates » ou étaient « running outdated firmware », soulignant qu'elle avait « long advised customers to keep supported systems updated with the latest firmware and to migrate legacy systems to current-generation solutions ».

Copeland a de même identifié la vulnérabilité dans une « discontinued, end-of-life generation of controllers », confirmant qu'elle travaillait avec les clients touchés pour atténuer les risques persistants.

Les autorités de régulation ont historiquement considéré les équipements des commerces comme une propriété privée hors du champ de la politique de sécurité nationale.

Cette distinction est en cours de réexamen.

Des agences d'État comme l'ANSSI devraient poursuivre des mandats plus larges pour imposer des normes de sécurité de base aux réseaux IoT commerciaux, exigeant des opérateurs privés qu'ils gèrent le matériel périphérique selon des standards comparables à ceux des infrastructures critiques.