Cyberattaque Danfoss : les superviseurs frigorifiques des supermarchés détournés

Une nuit de dégivrage forcé

Dans la nuit du dimanche 11 au lundi 12 octobre 2026, les meubles froids de plusieurs centaines de supermarchés français se sont mis à chauffer. Les attaquants n'ont pas eu à entrer dans les magasins : ils sont passés par le superviseur, le petit serveur qui pilote toute l'installation frigorifique d'un magasin, et ont lancé le dégivrage, encore et encore, avec des consignes absurdes. Au matin, les rayons frais et surgelés partaient à la benne.

Le matériel en cause est signé Danfoss : les superviseurs de la gamme ADAP-KOOL, AK-SM et AK-SC, dont l'interface web était joignable depuis Internet. Le 13 octobre, le CERT-FR a élargi son alerte aux contrôleurs Copeland et Dixell XWEB. Ni chiffrement ni vol de données n'ont été signalés. C'est la chaîne du froid elle-même qui était visée, et l'AFP parle d'une cyberattaque inédite.

Ce qui s'est passé

Le mode opératoire est le même partout où il a été décrit. Les attaquants n'ont pas coupé le froid, ils l'ont retourné : le dégivrage est une fonction normale qui réchauffe brièvement l'évaporateur pour faire fondre le givre. Déclenché en continu, avec une consigne poussée vers le haut, il transforme un meuble froid en étuve.

Selon Les Mousquetaires, cités par Reuters, les températures sont montées jusqu'à 50 °C pendant environ six heures dans la nuit. Un gérant de Carrefour Market à Rennes a raconté à l'AFP avoir vu ses congélateurs réglés à 95 °C dans son application. Le Monde, repris par TIME, rapporte que la durée de dégivrage de certaines chambres froides est passée d'une heure à huit, ce qui a retardé les alarmes.

Ce dernier point mérite qu'on s'y arrête. Un régulateur de froid sait qu'un dégivrage fait monter la température : en général, il temporise ses alarmes pendant le cycle, pour ne pas réveiller l'astreinte à chaque fois. Allonger le dégivrage, c'est allonger d'autant la fenêtre où personne n'est prévenu. On ne sait pas encore si les attaquants l'ont fait exprès. Le résultat, lui, est là.

Les enseignes touchées, d'après leurs propres déclarations et les dépêches :

Les pertes suivent la même incertitude. Thierry Cotillard, patron d'Intermarché, parle de « dizaines de millions d'euros » à l'échelle nationale en une seule journée. Localement, les chiffres publiés donnent l'ordre de grandeur : environ 270 000 euros pour deux Intermarché de Haguenau, 60 000 à Étréchy, 55 000 à Issy-les-Moulineaux. Et les assurances risquent de ne pas suivre : Intermarché en fait « l'un des points durs ».

Le parquet de Paris a ouvert une enquête confiée à l'Office anti-cybercriminalité (OFAC), qui doit recenser les victimes et relier les dégâts à l'attaque, pertes de denrées et « apparition d'incendies » comprises. Le Premier ministre a demandé à l'ANSSI de se saisir du dossier. Selon une source proche de Matignon citée par Reuters et l'AFP, l'agence a identifié une vulnérabilité dans un logiciel de l'éditeur danois et l'a contacté. Aucune CVE n'a été nommée.

Hors de France, le tableau est flou. Félix Aimé, de Sekoia, cité par Reuters, évoque des cas en Espagne, au Portugal, en Pologne, en Allemagne et en Belgique. La fédération belge du commerce Comeos a pour sa part indiqué n'avoir constaté aucun problème en Belgique.

Ce que pilote un superviseur frigorifique

Dans un supermarché, chaque meuble froid et chaque chambre froide a son régulateur. Le superviseur les fédère : c'est lui qui fixe les consignes de température, programme les dégivrages, collecte les alarmes et les renvoie par e-mail ou vers l'astreinte. Chez Danfoss, c'est le rôle des System Managers AK-SM, consultés au travers d'une interface web appelée StoreView. Claroty résume la chose en une phrase : le système devient « le centre de contrôle opérationnel » de l'installation.

Il tient aussi le journal HACCP, ces relevés de température qui prouvent aux services sanitaires que la chaîne du froid n'a pas été rompue. Le règlement européen 852/2004 est clair sur le principe : la chaîne du froid ne doit pas être interrompue. Un attaquant qui contrôle le superviseur contrôle donc à la fois le froid et la preuve du froid. Nous n'avons vu aucun élément indiquant que des relevés aient été falsifiés cette nuit-là, mais c'est cette double emprise qui rend l'équipement si sensible.

Pourquoi est-il sur Internet ? Parce que le magasin ne l'exploite pas seul. L'installateur frigoriste le surveille à distance, intervient la nuit sur une alarme, ajuste un dégivrage sans se déplacer. Le chemin le plus court pour lui donner cet accès a souvent été d'ouvrir l'interface sur l'adresse publique du magasin. L'alerte du CERT-FR le dit à sa façon : avant de couper la remontée de données vers le prestataire, vérifiez votre contrat d'assurance. On devine pourquoi : un contrat peut conditionner sa garantie à cette télésurveillance.

C'est aussi pourquoi ces équipements échappent si souvent aux inventaires. Ils sont achetés par le frigoriste, installés par lui, administrés par lui. Ils n'apparaissent ni dans la CMDB de la DSI, ni dans le périmètre du dernier audit.

Les produits en cause

Danfoss a reconnu, auprès de Reuters, être « au courant d'incidents en France affectant un nombre limité de systèmes ». Auprès de l'AFP comme de Cooling Post, l'éditeur précise que la majorité des appareils concernés sont des produits anciens, plus maintenus, et que les autres sont des produits actuels dont le firmware n'était pas à jour.

Un détail compte pour la suite : en octobre 2025, Danfoss avait annoncé une politique d'arrêt de service complet (« hard End of Service ») pour ses produits historiques, AK-SM 800 et AK-SC 355 compris. Autrement dit, une bonne partie du parc attaqué ne recevra plus jamais de correctif.

Les failles connues, et ce qu'on ignore encore

Ces superviseurs ne sont pas une découverte de cette semaine. Plusieurs équipes de recherche les ont documentés depuis 2023, et l'éditeur a publié des correctifs pour sa gamme actuelle.

Les trois CVE de 2025 ont été trouvées par Claroty Team82 et reprises par la CISA dans son avis ICSA-25-140-03. Claroty a publié son analyse détaillée le 9 août 2026, en recensant 2 765 AK-SM 800A exposés sur Internet d'après Censys.

Reste la question que tout le monde pose : par où sont-ils entrés ? Aucune autorité n'a relié l'attaque à une CVE. Claroty l'écrivait le 12 octobre : aucun détail n'est encore disponible sur la façon dont les attaquants ont accédé aux systèmes. Plusieurs chercheurs, dont Kevin Beaumont et Clément Domingo, pointent un mot de passe qui se déduit de la date du jour.

L'hypothèse est cohérente avec ce que l'on sait. Le mécanisme de « code du jour » documenté par Synacktiv sur l'AK-SM 800 n'a jamais été corrigé, puisque le produit est en fin de vie. La même classe de faille existait sur l'AK-SM 800A avant la version 4.2. Et Danfoss dit lui-même que les appareils touchés sont surtout des AK-SM 800, des AK-SC 355 et des AK-SM 800A à firmware ancien. Cohérent ne veut pas dire établi : nous la traitons comme la piste la plus probable, pas comme un fait.

Chronologie de l'attaque Danfoss

Remise dans l'ordre, l'histoire est surtout celle d'un parc qui a vieilli à découvert. Les signaux étaient publics depuis trois ans.

Timeline

De la fin de vie à l'attaque

Avant l'attaque

1. Mai 2021

   l'AK-SM 800 passe en fin de vie, plus aucune mise à jour de sécurité.

2. Mai 2023

   Synacktiv publie un contournement d'authentification sur l'AK-SM 800, jamais corrigé.

3. Mars 2025

   Danfoss corrige une faille du même type sur l'AK-SM 800A (CVE-2025-41450, version 4.2).

4. Août 2025

   deux autres failles de l'AK-SM 800A sont corrigées en version 4.3.1.

5. Août 2026

   Claroty compte 2 765 AK-SM 800A exposés sur Internet.

L'attaque

1. Nuit du 11 au 12 octobre 2026

   dégivrage forcé dans des centaines de supermarchés, jusqu'à 50 °C.

2. 12 octobre 2026

   enquête du parquet de Paris, ANSSI saisie, alerte du CERT-FR.

3. 13 octobre 2026

   l'alerte s'étend aux contrôleurs Copeland et Dixell XWEB.

Le constat le plus dur tient dans l'intervalle. Entre le premier avis public sur l'AK-SM 800 et l'attaque, il s'est écoulé plus de trois ans. Entre le correctif de l'AK-SM 800A et l'attaque, plus d'un an. Le problème n'était pas l'absence d'information, mais l'absence de quelqu'un pour la recevoir : quand un équipement n'apparaît dans aucun inventaire, l'avis de sécurité qui le concerne n'arrive chez personne.

Êtes-vous concerné ?

La grande distribution est en première ligne, mais elle n'est pas seule. Tout site qui conserve des denrées au froid avec une supervision centralisée peut avoir le même équipement : entrepôts logistiques, plateformes de distribution, cuisines centrales et restauration collective, industrie agroalimentaire.

Les bonnes questions tiennent en peu de lignes, et la plupart se posent au frigoriste :

• Quel superviseur pilote chacun de nos sites, et quelle est sa version de firmware ?
• Son interface est-elle joignable depuis Internet, directement ou par une redirection de port sur la box du magasin ?
• Par quel chemin le prestataire y accède-t-il : VPN, accès distant administré, ou adresse publique ouverte ?
• Les mots de passe de mise en service ont-ils été changés, et par qui ?

Que faire maintenant

Les recommandations du CERT-FR sont nettes, et nous les reprenons dans l'ordre où il faut les appliquer.

1. Retirer l'exposition Internet de tous les superviseurs, y compris ceux qui portent une adresse IP publique sans qu'on le sache. Vérifiez votre contrat d'assurance avant de couper la remontée de données vers le frigoriste, pas après.
2. Vérifier toute la configuration, à commencer par les plages de dégivrage. Une consigne modifiée cette nuit-là peut très bien dormir jusqu'au prochain cycle.
3. Rétablir l'accès distant uniquement par un VPN ou un réseau protégé. Filtrer les adresses du prestataire sur un pare-feu dépanne en urgence, ce n'est pas une solution durable.
4. Appliquer les bonnes pratiques de l'éditeur : mettre à jour le firmware (4.3.1 au minimum pour l'AK-SM 800A, qui corrige les trois CVE de 2025), passer le niveau de sécurité en mode « Strict », changer les mots de passe par défaut.

Si l'équipement a été compromis, le CERT-FR demande de l'isoler, de le restaurer en configuration d'usine, puis de le reconfigurer avant remise en service, accès par VPN uniquement. Mais il ajoute un avertissement à prendre au pied de la lettre.

Profitez de l'arrêt pour relire les journaux HACCP des derniers jours. Si les relevés de la nuit du 11 au 12 octobre semblent normaux alors que la marchandise a souffert, c'est un signal à remonter aux enquêteurs.

Ce que l'incident dit de la surface d'attaque

Combien de superviseurs sont exposés ? La réponse dépend de qui compte et comment. Claroty en recensait 2 765 (des AK-SM 800A uniquement, via Censys) en août. Le 12 octobre, le chercheur Baptiste Robert, de Predicta Lab, en relevait 2 752 de toutes générations, dont 1 590 en France. Shodan en suit plus de 4 500. Ces chiffres ne mesurent pas la même chose, et aucun n'est un recensement complet. Mais le seul décompte par pays publié à ce jour place plus de la moitié du parc exposé en France.

Ce n'est pas une fatalité technique. C'est l'effet d'une habitude d'installation : un équipement posé par un tiers, ouvert sur Internet pour la commodité de la maintenance, puis oublié de tous ceux qui tiennent un inventaire. La DSI ne le voit pas, l'auditeur ne l'a pas dans son périmètre, le frigoriste ne se considère pas comme responsable de sa sécurité. Nous l'avons écrit à propos de l'inventaire de la surface d'attaque externe : on ne corrige que ce qu'on sait exposer.

Côté réglementaire, la directive NIS 2 vise dans le secteur alimentaire la distribution en gros et la production et transformation industrielles. Un supermarché n'y entre pas en tant que tel, une plateforme logistique ou un industriel de l'agroalimentaire peut y entrer. Nous détaillons ce que la transposition française change dans notre article sur la loi Résilience. Mais il serait dommage d'attendre un texte pour retirer d'Internet un équipement qui pilote le froid.

Où Flawfence intervient

Soyons précis sur ce que fait notre outil, et sur ce qu'il ne fait pas. Flawfence part de vos domaines pour reconstituer votre surface externe : sous-domaines, blocs IP rattachés à votre organisation, services exposés et technologies. Une interface d'administration ouverte sur ce périmètre apparaît dans l'inventaire des services exposés, avec la technologie quand elle est lisible, et la surveillance continue signale le jour où un nouveau service apparaît.

La limite est réelle : un superviseur branché sur la ligne Internet d'un magasin, sans nom de domaine et sur une adresse fournie par l'opérateur, n'est rattaché à rien qui vous désigne. Pour ces équipements, le point de départ reste l'inventaire des accès Internet de chaque site, et la question posée au frigoriste.

Questions fréquentes

Quels équipements Danfoss sont visés par l'attaque ?

Les superviseurs de réfrigération des séries AK-SM et AK-SC, d'après l'alerte CERTFR-2026-ALE-012. Danfoss indique que la majorité des appareils touchés sont des AK-SM 800 (en fin de vie depuis 2021) et des AK-SC 355 (retirés en 2016), le reste étant des AK-SM 800A dont le firmware n'était pas à jour. Le CERT-FR a ajouté le 13 octobre les contrôleurs Copeland et Dixell XWEB.

L'attaque exploite-t-elle une CVE connue ?

Ce n'est pas établi officiellement à la date du 13 octobre 2026. Aucune autorité ni l'éditeur n'ont nommé de CVE. Plusieurs chercheurs pointent un mécanisme d'authentification par mot de passe dérivé de la date, documenté sur l'AK-SM 800 par Synacktiv en 2023 et sur l'AK-SM 800A avant la version 4.2 (CVE-2025-41450). C'est l'hypothèse la plus cohérente avec les produits touchés, pas une conclusion d'enquête.

Changer le mot de passe administrateur suffit-il ?

Non. Si l'accès passe par un code calculé à partir de la date, il ne dépend pas du mot de passe que vous choisissez. Sur un AK-SM 800A, la mise à jour (4.3.1 au minimum) retire les failles connues. Sur un AK-SM 800 ou un AK-SC, aucun correctif n'existe : il faut retirer l'équipement d'Internet et prévoir son remplacement.

Comment savoir si mon superviseur est exposé sur Internet ?

Listez les adresses IP publiques de vos sites et vérifiez, depuis une connexion extérieure, si l'une d'elles affiche une page StoreView ou une interface Danfoss. Demandez aussi à votre frigoriste par quel chemin il accède aux installations. Un accès sans VPN est presque toujours une exposition directe.

Une réinitialisation d'usine suffit-elle après une compromission ?

Pas sur un équipement en fin de vie. Le CERT-FR précise qu'une simple remise en configuration d'usine laisse l'équipement vulnérable et qu'il sera certainement compromis de nouveau s'il reste exposé. Il faut le restaurer, le reconfigurer, ne le rendre accessible que par VPN, et remplacer les modèles qui ne reçoivent plus de mises à jour.

Des pays autres que la France sont-ils touchés ?

C'est possible, sans être confirmé. Sekoia, cité par Reuters, évoque l'Espagne, le Portugal, la Pologne, l'Allemagne et la Belgique, tandis que la fédération belge Comeos dit n'avoir constaté aucun problème en Belgique. Le 12 octobre, le chercheur Baptiste Robert situait en France 1 590 des 2 752 systèmes Danfoss qu'il voyait exposés sur Internet, soit plus de la moitié.

Ce qu'il faut retenir

Cette attaque n'a demandé ni exploit inédit, ni logiciel malveillant sophistiqué. Elle a demandé des équipements qui pilotent le froid, joignables depuis Internet, et une authentification qui ne protégeait plus grand-chose. Les correctifs existaient pour la gamme actuelle, les avertissements étaient publics pour l'ancienne. Ce qui manquait, c'était un propriétaire : quelqu'un qui sache que ces interfaces existaient, qu'elles étaient ouvertes, et qui reçoive l'alerte le jour où elle est sortie.

Vérifiez votre exposition sur flawfence.com

Sources

• CERT-FR, CERTFR-2026-ALE-012, Incident de sécurité ciblant les contrôleurs à distance des installations de réfrigération, 12 octobre 2026, mise à jour le 13 octobre 2026
• Danfoss, Tech Insider October 2025, 31 octobre 2025
• Danfoss, avis de sécurité DSA-2025-03-01 et DSA-2025-08-01
• CISA, ICSA-25-140-03, Danfoss AK-SM 8xxA Series, 20 mai 2025, mise à jour le 26 août 2025
• Claroty Team82, Freeze the Controller, Defrost the Food, 9 août 2026, et billet du 12 octobre 2026
• Synacktiv, Authentication bypass in Danfoss System-Managers models SM800 & SC255, mai 2023, mis à jour le 31 octobre 2023
• DIVD, dossier DIVD-2023-00025
• Reuters, via Insurance Journal, 13 octobre 2026
• franceinfo et AFP, Ce que l'on sait de la cyberattaque qui a fait monter en température les frigos de supermarchés, 13 octobre 2026
• Cooling Post, Danfoss moves to mitigate cyberattack, 12 octobre 2026
• BleepingComputer, Cyberattack shuts down refrigerators at French supermarkets, 12 octobre 2026
• LeMagIT, Cyberattaque Danfoss : quand la distribution alimentaire découvre l'hygiène numérique, 12 octobre 2026