Trois jours après la cyberattaque qui a fait chauffer les frigos de centaines de supermarchés en France, un ingénieur en cybersécurité et un avocat reviennent sur l’affaire Danfoss, symbolisée par des mises à jour en souffrance, des responsabilités floues et la loi NIS 2 toujours en attente.

La cyberattaque contre les frigos de centaines de supermarchés Intermarché, Leclerc et Super U, survenue dans la nuit du 11 au 12 octobre, n'a pas seulement vidé des rayons entiers de surgelés. Elle a aussi et surtout révélé la fragilité des boîtiers Danfoss, qui pilotent le froid de nombreux magasins. Comment des pirates ont-ils pu y accéder, qui aurait dû les mettre à jour, et que dit la loi ? Un ingénieur de HarfangLab et un avocat du cabinet August Debouzy livrent à Clubic leur analyse, et le constat n'est pas très rassurant.

Dans la nuit du 11 au 12 octobre, des cybercriminels bien inspirés ont forcé à distance le dégivrage des frigos de centaines de supermarchés, consigne réglée sur 50 °C. Selon le groupement Les Mousquetaires, les meubles froids de ses magasins touchés ont chauffé pendant six heures. Au moins 300 Intermarché et Netto, moins d'une centaine de Coopérative U, 80 Carrefour, une trentaine de Monoprix et plusieurs Leclerc sont concernés, selon les enseignes, pour des pertes qui se chiffreraient au total en millions d'euros. Le parquet de Paris, qui évoque aussi des départs de feu, a ouvert une enquête. « Sous réserve de la qualification exacte des faits », Marc Mossé, avocat au barreau de Paris, envisage l'article 323-2 du Code pénal pour les auteurs, avec des peines pouvant aller jusqu'à cinq ans de prison et 150 000 euros d'amende.

Alors, pourquoi ces frigos étaient-ils « joignables » ? Les régulateurs, sortes de thermostats centraux connectés qui pilotent la température et le dégivrage, sont accessibles à distance pour faciliter le travail des frigoristes, une évolution que Pierre-Henry Poret, ingénieur solutions chez HarfangLab, compare à « l'arrivée de la domotique chez n'importe qui ». Le danger naît quand l'interface d'administration est exposée sur Internet ou mal protégée, ce qui était « a priori » le cas ici. Lundi, le chercheur cyber et spécialiste de l'OSINT, Baptiste Robert, recensait 2 752 systèmes Danfoss en ligne, dont 1 590 rien qu'en France. Selon l'entourage de Sébastien Lecornu, l'ANSSI, saisie du dossier, a identifié une vulnérabilité dans un logiciel Danfoss, et son directeur général, Vincent Strubel, juge urgent de déconnecter ces contrôleurs d'Internet, ou au minimum d'en filtrer très strictement l'accès. Maintenant que le mal est fait…

Plutôt que de couper le froid, les pirates ont détourné une fonction légitime. « Les impacts réels ainsi qu'émotionnels peuvent être encore plus grands que s'ils les avaient simplement coupés », note Pierre-Henry Poret. L'opération n'exigeait d'ailleurs pas d'être un génie du code, puisqu'« une fois connecté à l'interface d'administration, ça ne demande pas forcément de technicité supplémentaire », ajoute notre expert. Son ampleur, son éventuelle automatisation et son lancement nocturne suggèrent en revanche, selon lui, une préparation importante. Quant aux alarmes de température, en principe, elles auraient dû donner l'alerte, mais l'attaquant a pu les désactiver, d'où l'intérêt de sondes indépendantes. Et les auteurs, eux, n'ont pas encore officiellement été identifiés.

Frigos Danfoss : qui devait faire la mise à jour ?

Le groupe danois Danfoss assure que les appareils touchés tournaient avec un firmware obsolète et dit conseiller depuis longtemps à ses clients de les mettre à jour ou de les remplacer. Des failles sur ses contrôleurs avaient d'ailleurs été dévoilées en août par les chercheurs de Claroty, et Danfoss avait publié des correctifs. Mais sur le terrain, la responsabilité peut se diluer entre un fabricant qui ne contrôle pas les machines une fois installées et « le magasin qui n'a légitimement pas la compétence pour anticiper les dangers », relève Pierre-Henry Poret.

Il est comme souvent très vite question d'argent. Mettre à jour un régulateur, c’est souvent mettre l’installation à l’arrêt le temps de l’intervention et payer des frais supplémentaires, une dépense difficile à justifier quand les frigos tournent sans souci. Pire, certains logiciels finissent par ne plus être suivis par personne, donc si une faille y est découverte, aucun correctif n’arrivera. « Des équipements peuvent encore fonctionner parfaitement sur le plan mécanique tout en étant devenus à risque sur le plan informatique », ajoute Pierre-Henry Poret, qui conseille alors de les remplacer, ou au moins de les isoler et d’en verrouiller fortement l’accès. Pour les magasins, la note risque d’être salée, sans mauvais jeu de mots. Intermarché prévient par exemple que certains contrats d’assurance pourraient ne pas couvrir ce type d’incident. La Fédération du commerce et de la distribution réclame déjà une transparence totale à Danfoss.

Le droit européen aurait-il pu changer quelque chose ? Il y a bien le Cyber Resilience Act, qui oblige les fabricants à fournir leurs correctifs « sans retard injustifié et gratuitement ». Mais, l'ancien directeur des affaires juridiques et publiques de Microsoft Europe (2016-2022), Marc Mossé, nous rappelle qu'il ne s'appliquera pleinement qu'aux produits mis sur le marché, ou substantiellement modifiés, à partir de décembre 2027. Aujourd'hui, seule l'obligation de signaler les failles est en vigueur. « Il est difficile de dire si le CRA aurait permis d'empêcher précisément cette attaque », admet-il, jugeant toutefois que sa rigueur « aurait sans doute été très utile pour la prévenir ».

Une cyberattaque inédite, mais pas sans précédent

La directive NIS 2, qui durcit les règles de cybersécurité dans de nombreux secteurs, est un autre problème, pour diverses raisons. L'alimentaire y figure bien, mais seulement pour la distribution en gros et la production ou la transformation industrielles. « La seule activité de vente au détail n'est donc pas concernée », tranche Marc Mossé. Et la France ne l'a toujours pas transposée, puisque le projet de loi devait passer à l'Assemblée nationale le 7 octobre, quelques jours avant l'attaque d'ailleurs, avant d'être retiré de l'ordre du jour. Il devrait être reprogrammé avant la fin de l'année, si tout va bien. Nous avons beaucoup discuté avec l'écosystème cyber ces derniers jours, et nombreux sont ceux qui murmurent qu'il faudrait peut-être déjà « penser à NIS 3 », tant le retard pris avec NIS 2 est important.

Mais revenons à nos supermarchés. Côté déclarations, aucune notification à la CNIL (la Commission nationale de l'informatique et des libertés) n'est a priori requise. Aucune donnée personnelle ne semble touchée, mais les enseignes classées opérateurs d'importance vitale ou de services essentiels peuvent devoir alerter l'ANSSI.

Pour Pierre-Henry Poret, « à cette échelle, en France et dans la grande distribution, cela semble inédit ». Les cyberattaques aux conséquences physiques ont pourtant des précédents, de Stuxnet, qui sabotait des centrifugeuses iraniennes, aux attaques contre des systèmes de chauffage en Ukraine. En 2025, les aéroports de Bruxelles, Londres-Heathrow ou Berlin avaient été perturbés par l'attaque d'un logiciel partagé. La leçon est toujours la même, une dépendance commune peut provoquer des dégâts en cascade. Et le risque ne s'arrête pas aux supermarchés, prévient l'ingénieur, car les pharmacies, hôpitaux, entrepôts, mais aussi chauffage et climatisation des bâtiments reposent sur des équipements comparables.

En attendant, l'ingénieur Pierre-Henry Poret conseille aux commerçants de vérifier avec leur frigoriste que leurs régulateurs ne sont pas exposés sur Internet, de changer les identifiants et de remplacer les modèles qui ne sont plus maintenus. En cas de compromission suspectée, mieux vaut préserver les journaux de connexion et contacter son prestataire ou les autorités, sans réinitialiser complètement l'équipement. Il n'est pas question d'abandonner la télémaintenance, mais « il va falloir revoir l'encadrement de cette pratique », avec VPN, double authentification et accès limités au temps des interventions. Marc Mossé, lui, sonne tout simplement la fin des excuses : « Le niveau de la menace est connu et personne ne peut sérieusement l'ignorer. » D'où l'urgence, insiste-t-il, de transposer NIS 2, avant qu'il ne soit de nouveau trop tard.