L'équipement au cœur de ces attaques passe facilement inaperçu dans un inventaire informatique. C'est un petit contrôleur qui permet à un frigoriste de vérifier les températures, de régler les cycles de dégivrage et de recevoir les alarmes sans se déplacer en magasin. Beaucoup ont été installés il y a des années, sont entretenus par un prestataire externe et fonctionnent depuis sans que personne n'y prête attention. Les entreprises touchées utilisaient ces équipements comme une grande partie du secteur, et c'est pourquoi les enseignements valent bien au-delà de leur cas. Les failles exploitées sont bien connues, tout comme la plupart des moyens d'y remédier. Ces mesures fonctionnent le mieux quand le magasin, son équipe informatique et le prestataire frigoriste se sont mis d'accord sur qui fait quoi.

Ce qui s'est passé

Nuit du 11 au 12 octobre 2026: la France

Dans la nuit du 11 au 12 octobre 2026, des attaquants ont pris la main sur des contrôleurs de réfrigération de supermarchés français et modifié leurs réglages. Parmi les modifications signalées figurent des cycles de dégivrage forcés avec des consignes d'environ 50 °C. Dans des magasins du groupement Les Mousquetaires (Intermarché et Netto), des installations frigorifiques ont fonctionné pendant six heures à 50 °C, selon Reuters le 12 octobre.

Le 12 octobre, le Premier ministre Sébastien Lecornu a demandé à l'ANSSI de se saisir du dossier, et le CERT-FR, l'équipe de réponse aux incidents de l'ANSSI, a publié l'alerte CERTFR-2026-ALE-012 avec des recommandations, mise à jour les 13 et 16 octobre. La section cybercriminalité du parquet de Paris a ouvert une enquête.

Le ministre de l'Économie et des Finances, Roland Lescure, a indiqué devant le Parlement le 13 octobre qu'environ 700 des quelque 10 000 supermarchés français avaient été touchés (AP, 13 octobre 2026). Des magasins Intermarché, Netto, Coopérative U, Carrefour, Monoprix et E.Leclerc en faisaient partie, et les chiffres par enseigne varient selon les sources. Les Mousquetaires ont estimé à titre provisoire les pertes de leurs magasins à plusieurs millions d'euros (IBTimes UK, 13 octobre 2026).

Nuit du 1er au 2 novembre 2026: dans toute l'Europe

La deuxième vague a commencé dans la nuit du 1er au 2 novembre 2026 et a touché des magasins et des entreprises alimentaires dans au moins neuf pays européens (Toute l'Europe, 3 novembre 2026). Le tableau présente ce que les autorités, les entreprises et les médias nationaux avaient rapporté au 6 novembre 2026, y compris des cas liés en dehors du commerce de détail. Beaucoup de ces chiffres sont provisoires et peuvent évoluer.

Les pertes sont signalées magasin par magasin: de plusieurs dizaines de milliers d'euros dans certains magasins belges à plus de 360 000 euros dans un magasin allemand, selon son propriétaire, et environ 3 millions de couronnes suédoises dans un entrepôt en Suède (VRT, 3 novembre 2026; dpa, 3 novembre 2026; SVT, 3 novembre 2026). Aucune estimation globale n'a été publiée.

En Estonie, l'attaque contre un magasin Selver a été maîtrisée en une dizaine de minutes, et Selver a indiqué que son partenaire l'avait repérée rapidement (ERR, 2 novembre 2026).

Comment les autorités ont réagi

Au niveau européen, Christophe Hansen, commissaire européen à l'agriculture et à l'alimentation, a qualifié la deuxième vague de «tentative délibérée de perturber notre chaîne d'approvisionnement alimentaire et de saper la confiance des consommateurs» (AFP, 2 novembre 2026). Le 3 novembre, la Commission européenne s'est réunie avec Europol et l'ENISA, et les incidents ont été examinés au sein d'EU-CyCLONe, le réseau des autorités nationales de gestion des crises cyber. Le 4 novembre, l'ENISA, la Commission, le Centre européen de lutte contre la cybercriminalité d'Europol (EC3), le réseau des CSIRT et EU-CyCLONe ont publié une déclaration commune qui appelle les organisations à réduire immédiatement l'exposition des systèmes concernés. Elle rappelle aussi que, depuis le 11 septembre 2026, les fabricants doivent signaler les incidents graves et les vulnérabilités activement exploitées au titre du CRA.

Les agences nationales de cybersécurité de Suède, des Pays-Bas et d'Italie ont publié ou mis à jour leurs recommandations entre le 2 et le 4 novembre. En Italie, le gouvernement a indiqué après une réunion au Palazzo Chigi le 3 novembre que, d'après les premières vérifications, l'impact dans le pays restait pour l'instant très limité («fortemente limitato») et qu'aucun risque pour la santé publique lié à la décongélation n'avait été constaté.

Le 5 novembre, l'Agence italienne pour la cybersécurité nationale (ACN) a réuni de grandes entreprises de la distribution et de l'alimentation et proposé de créer pour le secteur alimentaire un ISAC, une structure de partage et d'analyse d'informations (Cyber Security 360, 6 novembre 2026). Le même jour, l'agence américaine de cybersécurité (CISA), le FBI et trois autres agences fédérales américaines ont publié des recommandations communes sur les attaques en cours contre les systèmes de réfrigération industrielle et de surveillance de la chaîne du froid dans le monde. Elles rejoignent largement les recommandations européennes. Le 6 novembre, l'association européenne du commerce EuroCommerce a convoqué une réunion d'urgence de ses membres (ECO, 6 novembre 2026).

Le 3 novembre, deux groupes de hackers prorusses, NoName057(16) et Z-Pentest, ont revendiqué les attaques dans une vidéo publiée sur Telegram. La revendication ne cite ni magasins, ni méthodes, ni dates, et aucun gouvernement ni aucune agence ne l'a confirmée à ce jour. Le BSI allemand a déclaré n'avoir aucun élément qui étaye ces revendications et n'a pas exclu que des imitateurs s'attribuent les attaques (CORRECTIV, 5 novembre 2026). Un responsable de l'ACN a déclaré à Il Post qu'il était encore trop tôt pour dire ce qui s'était réellement passé, car le mode d'intrusion n'avait pas été reconstitué (Il Post, 6 novembre 2026). Le Kremlin a qualifié d'«absurdes» les soupçons d'implication russe (The Moscow Times, 5 novembre 2026). Le Centre pour la Cybersécurité Belgique avait indiqué à The Record qu'il ne serait peut-être jamais possible d'identifier les auteurs.

Comment les attaquants ont procédé

Les équipements concernés sont des unités de gestion à distance pour la réfrigération commerciale. Elles relient les chambres froides, les congélateurs et les meubles frigorifiques d'un magasin à une interface web, afin qu'un technicien puisse surveiller les températures, modifier les consignes et programmer les dégivrages à distance. L'alerte du CERT-FR cite des contrôleurs de Copeland (XWEB), Danfoss (séries AK-SC et AK-SM) et Dixell (XWEB).

Selon l'ANSSI, les attaques n'ont pas nécessité de techniques avancées. Son directeur général, Vincent Strubel, l'a résumé devant le Sénat le 21 octobre 2026: «Notre analyse, c'est que ce sont des défauts de sécurisation élémentaire qui ont été exploités.» Il a cité l'exposition directe d'équipements frigorifiques sur Internet, leur administration sans sécurisation particulière et des mots de passe faibles. Il n'a pas désigné de vulnérabilités déjà publiées comme cause. Le BSI allemand décrit lui aussi les attaques comme non ciblées et opportunistes (CORRECTIV, 5 novembre 2026).

Beaucoup des équipements touchés étaient anciens. Danfoss a indiqué que les unités concernées utilisaient un micrologiciel obsolète, et Copeland a confirmé une vulnérabilité dans des contrôleurs qui ne sont plus commercialisés et sont arrivés en fin de vie. Selon la documentation du fabricant, l'un des modèles cités dans la presse est en fin de vie depuis le 31 octobre 2016. Le CERT-FR avertit que maintenir un équipement en fin de vie connecté à Internet l'expose à un risque de compromission très élevé. Des chercheurs en sécurité avaient par ailleurs publié en 2025 et 2026 des vulnérabilités dans certains de ces contrôleurs, et des correctifs existent pour les modèles encore pris en charge. Aucune autorité n'a confirmé que l'une d'elles ait servi lors de ces attaques.

La responsabilité de ces équipements est souvent partagée. Le magasin ou l'enseigne en est propriétaire, un prestataire frigoriste les installe et les entretient, et le fabricant fournit le micrologiciel. Au Portugal, le Centre national de cybersécurité (CNCS) a indiqué que la cause présumée était un accès non autorisé à un contrôleur de température à distance placé sous la responsabilité d'un fournisseur (Lusa, 3 novembre 2026). Quand la responsabilité est répartie entre trois acteurs, des questions simples peuvent rester sans réponse: qui change le mot de passe par défaut, qui décide si un équipement doit vraiment être en ligne, et qui est informé d'une mise à jour de sécurité?

L'exposition diminue vite quand les propriétaires agissent. Le 11 octobre 2026, la société d'analyse d'Internet Censys a recensé 2 991 hôtes accessibles depuis Internet avec des contrôleurs d'un même fabricant, dont 1 825 en France. Le 14 octobre, le chiffre français était tombé à 537 (Infosecurity Magazine, 15 octobre 2026). En Finlande, le centre national de cybersécurité NCSC-FI a indiqué le 2 novembre que seuls quelques équipements exposés restaient visibles après que les propriétaires avaient été contactés.

Quelles règles européennes s'appliquent

Plusieurs textes européens sont pertinents. Ceux qui s'appliquent à une entreprise dépendent de son activité dans la chaîne alimentaire, de sa taille et des pays où elle opère.

Droit alimentaire: pourquoi les denrées touchées sont jetées

Le droit alimentaire européen interdit de mettre sur le marché des denrées dangereuses, ce qui inclut leur détention en vue de la vente (règlement (CE) n° 178/2002, articles 3, point 8, et 14), et précise quand les denrées qui ne répondent pas aux prescriptions relatives à la sécurité des denrées alimentaires doivent être retirées (article 19). Les règles d'hygiène ajoutent que «la chaîne du froid ne doit pas être interrompue» et n'admettent de courtes périodes hors de ces températures que si elles n'entraînent pas de risque pour la santé (règlement (CE) n° 852/2004, annexe II, chapitre IX). Quand des produits réfrigérés ou surgelés sont restés trop longtemps hors de leur plage de température, un magasin ne peut souvent plus démontrer qu'ils sont sûrs, et ils sont retirés de la vente. Comme le souligne l'ACN, le retour à la bonne température ne prouve pas à lui seul que les conditions de conservation ont été respectées. C'est de là que vient l'essentiel des pertes signalées.

NIS2: le commerce alimentaire de détail en général hors champ

L'annexe II de la directive NIS2 vise les entreprises du secteur alimentaire «qui exercent des activités de distribution en gros ainsi que de production et de transformation industrielles». La vente au détail aux consommateurs n'y figure pas. Les entreprises de taille moyenne ou grande qui exercent ces activités sont concernées, le plus souvent en tant qu'entités importantes. Pour en savoir plus: Qu'est-ce que NIS2?

Trois nuances comptent:

• Entités critiques. Les entreprises désignées comme entités critiques au titre de la directive sur la résilience des entités critiques (directive REC) relèvent de NIS2 quelle que soit leur taille, en tant qu'entités essentielles (directive NIS2, article 2, paragraphe 3, et article 3, paragraphe 1, point f). Dans le secteur alimentaire, la directive REC ne vise que les entreprises qui exercent exclusivement des activités de logistique et de distribution en gros ainsi que de production et de transformation industrielles à grande échelle. Le commerce de détail n'en fait pas partie. Les États membres devaient désigner leurs entités critiques au plus tard le 17 juillet 2026.

• Les règles nationales peuvent aller plus loin. NIS2 fixe un socle minimal. En Allemagne, par exemple, les exploitants d'installations critiques sont des entités essentielles au sens de la loi sur le BSI (§ 28, alinéa 1, BSIG). Les règles sur les installations critiques du commerce alimentaire, fixées à ce jour par le BSI-KritisV, couvrent les installations de mise sur le marché de denrées alimentaires, qui peuvent inclure des points de vente au détail, au-delà d'un seuil de 434 500 tonnes par an. Seules de très grandes structures l'atteignent. Pour la France, voir la section dédiée plus bas.

• Groupes. Un groupe de distribution peut comprendre des sociétés qui entrent dans le champ, par exemple une société de distribution en gros.

Pour les entités concernées, les attaques touchent surtout deux exigences: les mesures de gestion des risques en matière de cybersécurité, qui incluent la sécurité de la chaîne d'approvisionnement (article 21, paragraphe 2, point d), et le signalement des incidents, avec une alerte précoce dans les 24 heures et une notification d'incident dans les 72 heures après avoir pris connaissance d'un incident important, puis un rapport final dans un délai d'un mois après la notification (article 23). Pour une vue d'ensemble: Exigences NIS2: piliers clés et liste de contrôle.

Prestataires frigoristes: peut-être des fournisseurs de services gérés

La directive NIS2 définit le fournisseur de services gérés comme «une entité qui fournit des services liés à l'installation, à la gestion, à l'exploitation ou à l'entretien de produits, de réseaux, d'infrastructures ou d'applications TIC ou d'autres réseaux et systèmes d'information, par l'intermédiaire d'une assistance ou d'une administration active, soit dans les locaux des clients, soit à distance» (article 6, point 39). Un contrôleur connecté qui traite des données numériques peut constituer un réseau et système d'information (article 6, point 1 b). Une entreprise qui gère à distance de tels contrôleurs pour ses clients peut donc répondre à cette définition, et les fournisseurs de services gérés de taille moyenne ou supérieure entrent dans le champ. Nous n'avons trouvé aucune position d'une autorité sur la question de savoir si les entreprises de maintenance frigorifique ou de gestion technique des bâtiments sont concernées: la réponse se détermine au cas par cas selon le droit national.

Règlement sur la cyberrésilience: ce que les fabricants doivent signaler

Depuis le 11 septembre 2026, les fabricants de produits comportant des éléments numériques doivent signaler les vulnérabilités activement exploitées et les incidents graves ayant un impact sur la sécurité de leurs produits (CRA, article 14). Les signalements sont adressés au CSIRT désigné comme coordinateur et à l'ENISA, via la plateforme unique de signalement de l'ENISA: une alerte précoce dans les 24 heures, une notification dans les 72 heures et un rapport final au plus tard 14 jours après la mise à disposition d'une mesure corrective ou d'atténuation (vulnérabilités) ou un mois après la notification (incidents). Les fabricants doivent aussi informer les utilisateurs concernés.

Cela vaut aussi pour les produits déjà sur le marché (article 69, paragraphe 3), mais pas de manière rétroactive pour les exploitations connues avant le 11 septembre 2026. Les principales exigences du CRA, dont les mises à jour de sécurité pendant la période de support, s'appliquent à partir du 11 décembre 2027, et uniquement aux produits mis sur le marché à partir de cette date ou modifiés substantiellement après celle-ci (article 69, paragraphe 2). Pour les contrôleurs déjà installés en magasin, le CRA ne crée donc pas de nouvelle obligation de mise à jour. Si vous utilisez ces équipements, assurez-vous que les fabricants et les installateurs savent qui contacter lorsqu'ils publient un avis de sécurité.

Ce que cela signifie pour la France

Ce que recommandent l'ANSSI et le CERT-FR

Devant la commission des affaires étrangères du Sénat, Vincent Strubel a aussi constaté que, «à l'évidence, nos recommandations ne sont pas systématiquement respectées». L'ANSSI publie et met à jour depuis 2014 un guide sur la sécurisation des systèmes industriels, dont la première recommandation est de ne pas exposer ces systèmes directement sur Internet (Public Sénat, 21 octobre 2026).

L'alerte CERTFR-2026-ALE-012 distingue deux situations. Pour un équipement compromis, le CERT-FR recommande de supprimer son exposition à Internet, de le réinitialiser aux paramètres d'usine, de le reconfigurer, puis de ne rétablir l'accès que par une connexion sécurisée. Pour un équipement en fin de vie qui ne reçoit plus de correctifs, la réinitialisation ne suffit pas: elle supprime les mécanismes de persistance, mais la vulnérabilité demeure et l'équipement peut être compromis à nouveau. Pour les équipements non compromis, le CERT-FR recommande notamment de vérifier toute la configuration, en particulier les programmes de dégivrage, d'activer le mode de sécurité renforcé sur les contrôleurs Danfoss et de vérifier les conditions de son assurance avant de couper la transmission de données vers les prestataires frigoristes.

Le cadre juridique en France

La France n'a pas encore transposé la directive NIS2. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui transpose aussi la directive REC, a été adopté par le Sénat le 12 mars 2025. Après plusieurs reports, il est inscrit à l'ordre du jour de l'Assemblée nationale à partir du lundi 9 novembre 2026, avec des débats prévus jusqu'au 13 novembre (Silicon.fr, 5 novembre 2026). Tant que la loi n'est pas adoptée et que ses textes d'application ne sont pas publiés, les obligations de NIS2 ne s'appliquent pas en droit français, et la liste exacte des entités concernées reste à fixer.

En attendant, l'ANSSI invite les futures entités essentielles et importantes à s'engager dès à présent dans une démarche de sécurisation. Son service MonEspaceNIS2 propose un test pour savoir si une entreprise est concernée. Le Référentiel Cyber France (ReCyF), publié le 17 mars 2026 comme document de travail, correspond au référentiel prévu à l'article 14 du projet de loi. Il n'est pas obligatoire, mais les entités qui l'appliquent peuvent s'en prévaloir en cas de contrôle de l'ANSSI (cyber.gouv.fr). Les vérifications ci-dessous ne dépendent pas de ce calendrier: elles réduisent le risque immédiat et préparent aux exigences à venir.

Ce qu'il faut vérifier maintenant

Les autorités nationales ont publié des conseils pratiques, notamment le CERT-FR en France, l'ACN en Italie, le NCSC-NL aux Pays-Bas et le NCSC suédois. Leurs recommandations se recoupent et se résument en sept vérifications. Elles s'appliquent qu'une entreprise relève de NIS2 ou non. Confiez chaque vérification à une personne nommément désignée et conservez la preuve qu'elle a été faite.

• Recenser tous les équipements connectés. Listez, site par site, les contrôleurs de réfrigération, les systèmes de gestion technique du bâtiment et les autres équipements accessibles à distance: modèle, version du micrologiciel, statut de support, qui l'a installé et qui l'entretient. Preuve: un inventaire à jour.

• Retirer les interfaces d'administration de l'Internet public. Ne rétablissez l'accès à distance que par un VPN sécurisé ou un réseau protégé, comme le recommandent le CERT-FR et l'ACN. L'ACN demande aussi une authentification multifacteur pour les accès à distance, et les deux agences n'acceptent la restriction aux adresses IP de confiance que comme mesure temporaire. Séparez la réfrigération et les autres systèmes opérationnels des réseaux bureautiques et des réseaux invités. Preuve: la configuration réseau et un contrôle de ce qui est visible depuis l'extérieur.

• Encadrer les connexions des prestataires. Demandez à votre prestataire frigoriste comment il accède à chaque site, avec quels comptes et depuis où, et qui en est informé. Inscrivez ces règles dans le contrat de maintenance. L'ACN conseille de limiter l'accès des prestataires aux ressources et aux plages horaires autorisées, de journaliser l'activité et de révoquer l'accès une fois l'intervention terminée. Preuve: les réponses du prestataire et la clause du contrat. Pour aller plus loin: Qu'est-ce que la gestion des risques fournisseurs?

• Remplacer les mots de passe par défaut et partagés. Changez les identifiants d'usine, donnez à chaque technicien un compte individuel quand l'équipement le permet, et activez le niveau de sécurité le plus strict proposé par le fabricant. Preuve: une trace datée du changement.

• Contrôler la configuration, pas seulement les accès. Comparez les consignes, les programmes de dégivrage et les seuils d'alarme avec la configuration validée. Le CERT-FR rappelle qu'une réinitialisation aux paramètres d'usine ne suffit pas à elle seule. Assurez-vous que les alarmes de température parviennent, en dehors des heures d'ouverture, à quelqu'un qui peut agir. Preuve: la configuration validée et le résultat de la comparaison.

• Mettre à jour ou remplacer. Installez le micrologiciel à jour sur les équipements pris en charge. Pour les équipements en fin de vie, planifiez leur remplacement et maintenez-les hors d'Internet d'ici là. Preuve: les versions de micrologiciel et un plan de remplacement.

• Préparer la procédure en cas d'incident. Décidez qui appelle qui, comment mettre un équipement hors ligne en toute sécurité, quels journaux conserver, quand retirer des denrées de la vente et quelle autorité prévenir. En France, le CERT-FR est le point de contact pour signaler un incident; dans les autres pays, c'est le CSIRT national. Preuve: une procédure écrite et une liste de contacts.

Les recommandations d'origine: alerte du CERT-FR CERTFR-2026-ALE-012, bulletin de l'ACN BL01/261013/CSIRT-ITA (en italien), NCSC-NL (en néerlandais) et NCSC suédois (en suédois).

Comment Formalize vous aide

Formalize est une plateforme de gestion de la conformité et des risques. La plateforme ne surveille pas les équipements et ne détecte pas les attaques: cela reste le rôle de vos outils de sécurité réseau et de votre prestataire frigoriste. Formalize vous aide sur la partie qui a tendance à passer au second plan une fois l'actualité retombée: faire en sorte que chaque vérification ait un responsable, une échéance et des preuves, sur tous les sites et pour tous les fournisseurs.

• Un inventaire des équipements connectés. Enregistrez les contrôleurs de réfrigération et les autres équipements connectés comme actifs, reliés aux sites, aux processus et aux fournisseurs qui en dépendent.

• Des accès prestataires que vous pouvez suivre. Avec la Gestion des tiers, envoyez des questionnaires aux prestataires frigoristes et de maintenance, recueillez leurs réponses et leurs preuves, suivez les niveaux de service convenus et planifiez des réévaluations annuelles.

• Les vérifications des autorités sous forme de contrôles. Transformez les sept vérifications en contrôles et en tâches avec des responsables, des rappels et une escalade, et conservez les preuves au même endroit.

• Appréciation des risques. Évaluez le risque lié aux équipements connectés avec une cotation du risque inhérent (risque brut) et du risque résiduel, reliée aux actifs et aux fournisseurs concernés.

• Gestion des incidents. Enregistrez les incidents, suivez un workflow de déclaration et gardez un œil sur les délais, y compris ceux de NIS2.

• Audits internes. Avec le module d'audit, vérifiez que les mesures sont en place, avec des constats qui ont un responsable, une date cible et une validation indépendante.

• NIS2, là où elle s'applique. Pour les entités concernées, le Compliance Blueprint NIS2 relie ces étapes aux exigences applicables.

Cet article reflète les informations publiques disponibles au 6 novembre 2026. Les enquêtes sont en cours et les chiffres peuvent évoluer. Il s'agit d'informations générales, et non d'un conseil juridique. Pour votre situation, vérifiez les règles nationales qui s'appliquent à vous ou consultez un conseil juridique.