Des cyberattaques frappent les réfrigérateurs de supermarchés à travers l'Europe malgré les avertissements

Dans un supermarché ICA de Stockholm, le personnel a découvert lundi matin que les congélateurs avaient atteint 50 °C. Engla Ingwall, directrice des ventes du magasin, a déclaré à Reuters que l'attaque avait commencé vers 2 heures du matin le 2 novembre.

Au moment où les employés l'ont découverte, les produits surgelés ont dû être jetés.

Des signalements d'interférences sont venus de Belgique, du Luxembourg, d'Irlande, d'Estonie et des Pays-Bas. Les détaillants ont fait état de variations de température, de dégivrages prolongés et de perturbations des systèmes qui gèrent les réfrigérateurs et congélateurs commerciaux.

Les enquêteurs n'ont pas identifié les responsables des incidents de novembre. Ils n'ont pas non plus établi si les attaques étaient liées à l'opération d'octobre en France.

Comment les attaques se sont propagées à travers l'Europe

En Belgique, une quarantaine de magasins Delhaize ont connu des problèmes de réfrigération, principalement des points de vente plus petits Proxy Delhaize et Shop & Go. Carrefour a signalé des incidents dans 15 de ses quelque 700 magasins belges, tandis que cinq magasins Spar associés au groupe Colruyt ont été touchés. Un magasin IKEA belge a également signalé des perturbations.

En Suède, Coop a indiqué que sept de ses quelque 800 magasins avaient subi des interférences non autorisées. ICA a confirmé des problèmes dans un nombre limité de sites. Dans son supermarché de Sjöbo, dans le sud de la Suède, les employés ont vidé les congélateurs après que les réglages de température ont été portés à 50 °C.

En Irlande, le groupe Musgrave a signalé un incident impliquant des équipements de réfrigération dans 13 supermarchés SuperValu. Ses systèmes de surveillance ont détecté des anomalies et le personnel a retiré de la vente les produits réfrigérés et surgelés par précaution. L'entreprise a indiqué que le problème avait été résolu lundi après-midi et que le réapprovisionnement avait commencé.

Dans un supermarché Selver en Estonie, les attaquants ont accédé à un ordinateur contrôlant des équipements de réfrigération et modifié le réglage de température à 50 °C. Jann Mutso, directeur général du fournisseur Kitman Coldtech, a déclaré à la radiodiffusion publique ERR que les techniciens avaient stoppé l'interférence en quelques minutes. Aucun dommage significatif n'a été signalé.

Danfoss, un fabricant danois de technologies de réfrigération, a indiqué qu'au moins 17 entreprises aux Pays-Bas avaient été touchées. Il s'agissait principalement de boucheries et de petits détaillants alimentaires, plutôt que de grandes chaînes de supermarchés.

Le coût total des perturbations de novembre n'avait pas été établi à la fin du 2 novembre. Delhaize a indiqué que ses centres de distribution continuaient de fonctionner et que les livraisons aux magasins n'avaient pas été interrompues. Son porte-parole a déclaré que les clients pourraient trouver une gamme temporairement réduite de produits frais et surgelés dans les succursales touchées. L'entreprise n'a pas signalé d'interruption plus large des approvisionnements.

L'attaque d'octobre en France : des centaines de magasins touchés

La vague précédente a commencé dans la nuit du 11 au 12 octobre.

Les systèmes de réfrigération ont été manipulés dans des magasins appartenant à Intermarché, Carrefour, Coopérative U, E.Leclerc, Monoprix et d'autres détaillants.

Le Monde a initialement identifié environ 300 magasins Intermarché et Netto, une centaine de points de vente Coopérative U, 80 supermarchés Carrefour et 30 magasins Monoprix. Le parquet de Paris a ensuite fait état d'environ 700 victimes de l'attaque.

Dans un Intermarché de Gradignan, près de Bordeaux, le propriétaire Charles Dezon a déclaré qu'un chauffeur-livreur avait découvert de l'eau dans la réserve vers 4 heures du matin. L'attaque avait apparemment commencé vers 23 heures. La température d'une chambre froide était montée à 50 °C, déclenchant un système d'extinction automatique.

Charles Dezon a déclaré au Monde que le magasin avait perdu pour 21 000 € de marchandises, valorisées au prix d'achat. Dans un autre Intermarché, à La Haye en Normandie, des équipements auraient fondu après que les températures ont atteint environ 80 °C.

Deux supermarchés en Alsace ont signalé des pertes cumulées de 270 000 €. D'autres magasins ont fermé temporairement pour vider les congélateurs, évaluer les équipements endommagés et organiser de nouvelles livraisons. Les pertes à l'échelle nationale ont été estimées à plusieurs millions d'euros, voire potentiellement à des dizaines de millions, bien qu'aucun total définitif n'ait été disponible.

Le parquet de Paris a confirmé des pertes alimentaires et des incendies. Le Premier ministre français Sébastien Lecornu a demandé à l'agence nationale de cybersécurité ANSSI d'enquêter. Les incidents ont également touché des entreprises extérieures aux chaînes de supermarchés. Le Monde a rapporté des problèmes dans des entreprises de transformation de viande et de commerce de gros, tandis que le grossiste alimentaire Metro a indiqué qu'un prestataire de services avait été ciblé et qu'il avait vérifié les conditions de stockage de ses marchandises.

D'autres incidents ont été signalés le 13 octobre. Dans un magasin près de Bordeaux, des techniciens ont découvert qu'un réglage de commande de congélateur avait été modifié de -22 °C à 150 °C. Il s'agissait du réglage programmé, et non d'une température mesurée des aliments. Le personnel est intervenu avant que des stocks ne soient perdus.

Comment les systèmes de réfrigération des supermarchés sont devenus vulnérables

Les réfrigérateurs commerciaux sont couramment reliés à des contrôleurs centraux. Ces dispositifs gèrent le refroidissement, programment le dégivrage automatique et envoient des alertes lorsque les températures changent. Les entreprises de maintenance peuvent souvent les ajuster à distance au lieu de se rendre dans chaque magasin.

Certaines interfaces de gestion sont connectées directement à l'internet public. Si un attaquant obtient l'accès, il peut modifier les réglages de fonctionnement sans entrer dans les locaux ni compromettre les systèmes de paiement du détaillant.

Dans les incidents français, les attaquants auraient allongé les cycles de dégivrage d'une heure à huit heures. Certains réglages d'alarme ont également été modifiés, retardant les avertissements pendant que les aliments se réchauffaient.

En août, la société de cybersécurité Claroty a publié des recherches sur le contrôleur Danfoss AK-SM 800A. Ses chercheurs ont découvert des faiblesses dans le logiciel de gestion web, notamment un moyen de contourner les contrôles de connexion normaux et une faille pouvant permettre des commandes non autorisées. Ils ont identifié des milliers d'interfaces de gestion exposées.

Danfoss a publié un logiciel pour corriger les vulnérabilités. Claroty a recommandé la version de firmware R4.3.1 ou ultérieure et la restriction de l'accès à distance. Les chercheurs n'ont pas enquêté sur des intrusions individuelles dans des supermarchés. Les enquêteurs n'ont pas établi que ces faiblesses particulières ont été exploitées lors de l'une ou l'autre vague d'attaques.

Danfoss a indiqué que certains locaux français utilisaient des contrôleurs plus anciens qui ne recevaient plus de mises à jour de sécurité régulières. D'autres disposaient d'équipements pris en charge mais n'avaient pas installé les derniers logiciels. Les autorités françaises de cybersécurité ont également identifié des compromissions impliquant des équipements fournis sous les noms Copeland et Dixell.

Un contrôleur de réfrigération peut rester en fonctionnement après la fin du support logiciel. Son remplacement peut nécessiter l'intervention d'entreprises spécialisées et des modifications de l'installation existante. Dans les réseaux de franchise, les décisions de maintenance peuvent également relever d'exploitants individuels plutôt que d'un service technologique central.

Aliments avariés, équipements endommagés et pertes financières

Les défaillances de réfrigération obligent les magasins à établir à quel point les produits se sont réchauffés et pendant combien de temps ils ont été exposés à des conditions inadaptées.

L'Agence britannique des normes alimentaires recommande de conserver les aliments réfrigérés à 5 °C ou moins. En Angleterre, au Pays de Galles et en Irlande du Nord, de nombreux aliments réfrigérés doivent légalement être stockés en dessous de 8 °C. Les produits surgelés sont généralement conservés à -18 °C.

Un contrôleur réglé à 50 °C ne signifie pas que chaque produit atteint immédiatement cette température. Les détaillants doivent évaluer les conditions de stockage réelles avant de décider si un aliment peut être vendu sans danger. Le rétablissement du réglage normal de refroidissement ne résout pas les questions concernant des aliments qui ont pu déjà se réchauffer. Cette évaluation nécessite des informations sur le temps et la température, et non simplement la confirmation qu'un congélateur fonctionne à nouveau.

En Belgique, Luc De Laet, propriétaire de la boucherie De Laet & Van Haver, a déclaré à Reuters avoir été appelé vers 3 h 30. Dans ses locaux au sud d'Anvers, les températures de réfrigération étaient montées à 18 °C. Il a estimé que 15 000 € de viande avaient été avariés.

Les conséquences financières incluent également des machines endommagées, des réparations d'urgence, le nettoyage, le temps du personnel et des livraisons de remplacement. Les incidents français ont impliqué des incendies sur certains sites, selon les procureurs.

Aucune interruption de la distribution des supermarchés à l'échelle européenne n'avait été signalée le 2 novembre. Les dommages documentés étaient concentrés dans des magasins et des entreprises individuels. Le commissaire européen à l'Agriculture, Christophe Hansen, a décrit les attaques comme des tentatives de perturber les approvisionnements alimentaires et d'ébranler la confiance des consommateurs ; les conséquences complètes étaient encore en cours d'évaluation.

Pourquoi les avertissements antérieurs n'ont pas empêché de nouvelles attaques

L'équipe française de réponse aux urgences informatiques, CERT-FR, a émis une alerte le 12 octobre et l'a mise à jour les 13 et 16 octobre. Elle a identifié des contrôleurs de réfrigération Danfoss, Copeland et Dixell compromis et a demandé aux opérateurs de retirer leurs interfaces de gestion de l'accès direct à internet.

L'agence a recommandé de vérifier les configurations, en particulier les programmes de dégivrage ; d'installer les mises à jour logicielles ; de remplacer les mots de passe par défaut ; et d'autoriser la maintenance à distance uniquement via des connexions protégées.

Un réseau privé virtuel, ou VPN, est un moyen de donner aux techniciens autorisés un accès sans exposer publiquement le contrôleur.

Le CERT-FR s'est également penché sur les équipements compromis. Redémarrer un contrôleur ou restaurer les paramètres d'usine pourrait supprimer des modifications malveillantes, mais ne réparerait pas les vulnérabilités d'un produit non pris en charge. Un équipement reconnecté directement à internet pourrait rester accessible aux attaquants.

Le Centre national britannique de cybersécurité conseille également aux organisations d'identifier les équipements de contrôle connectés à internet, de restreindre l'accès et de maintenir à jour les logiciels pris en charge. Une surveillance distincte des températures peut fournir un avertissement supplémentaire si le contrôleur principal ou ses alarmes sont compromis. Elle ne remplace pas la nécessité de sécuriser l'accès au contrôleur lui-même.

En Estonie, les techniciens ont stoppé l'interférence de novembre en quelques minutes. En Irlande, Musgrave a indiqué que des équipements de surveillance avaient alerté le personnel, bien que certains produits aient dû être retirés de la vente.

En Belgique, l'entreprise de réfrigération Sabcobel a commencé à mobiliser des ingénieurs pendant la nuit ; son directeur général a indiqué que certaines installations nécessitaient des modifications physiques.

Aucun groupe n'a revendiqué l'une ou l'autre vague. Le Centre belge de cybersécurité a indiqué que les auteurs n'avaient pas été identifiés. Les enquêteurs n'ont pas établi publiquement la méthode d'accès précise utilisée dans chaque entreprise touchée.

Les nouvelles règles de l'UE ne sécuriseront pas les équipements anciens

Le règlement européen sur la cyberrésilience introduit des obligations de sécurité pour les fabricants de produits contenant des composants numériques.

Depuis le 11 septembre 2026, les fabricants doivent signaler certaines vulnérabilités activement exploitées et incidents de sécurité graves. Les principales exigences, portant sur la sécurité des produits et la gestion des vulnérabilités, doivent s'appliquer à partir du 11 décembre 2027.

Ces règles ne mettent pas automatiquement à jour les contrôleurs de réfrigération déjà en fonctionnement dans les magasins. Les propriétaires et les prestataires de maintenance doivent encore identifier les équipements non pris en charge et organiser leur protection ou leur remplacement.

Les Pays-Bas offrent un exemple des avertissements qui ont précédé les incidents de novembre. Danfoss a déclaré à la radiodiffusion néerlandaise NOS avoir contacté des clients le 13 octobre, après l'attaque en France. L'entreprise leur a conseillé de déconnecter d'internet les contrôleurs vulnérables et de ne les reconnecter que via des réseaux sécurisés.

Au 2 novembre, au moins 17 entreprises néerlandaises avaient signalé des interférences. Un porte-parole de Danfoss a indiqué que la plupart des clients avaient suivi les conseils antérieurs, mais qu'un plus petit nombre ne l'avait pas fait. Selon le fabricant, les systèmes touchés se trouvaient toujours hors des réseaux sécurisés et continuaient d'utiliser des mots de passe par défaut.