11 min de lectureInfrastructures critiques
Les 10 et 11 octobre 2026, des attaques coordonnées ont visé les systèmes de réfrigération de supermarchés en France. Le 12 octobre, le CERT-FR a publié une alerte (CERTFR-2026-ALE-012). Elle signale de « nombreuses compromissions » de contrôleurs à distance d’installations frigorifiques : les Danfoss AK-SM et AK-SC, ainsi que les Copeland et Dixell xweb. Trois semaines plus tard, une seconde vague a atteint des magasins dans plusieurs pays européens. Le 5 novembre, le FBI, la CISA et d’autres agences fédérales américaines ont publié un avis. Ils y demandent aux opérateurs d’infrastructures critiques de protéger leurs systèmes de refroidissement.
En apparence, c’est une affaire de congélateurs dans la grande distribution. En réalité, c’est une affaire de gouvernance. Les équipements compromis relèvent des installations techniques : ils régulent la température, enregistrent les relevés et pilotent les cycles de dégivrage. Dans beaucoup d’organisations, ils échappent à l’inventaire informatique, au périmètre de l’équipe sécurité et au regard du comité exécutif. Pourtant, quand un tiers en prend le contrôle, les conséquences sont concrètes : des stocks perdus, des rayons fermés et, dans des secteurs comme la santé, une menace directe sur la continuité d’un service essentiel.
Cet article ne revient pas sur le problème général des connexions réseau non maîtrisées. Il se concentre sur trois questions auxquelles les instances dirigeantes et les responsables sécurité doivent désormais répondre. Qui est propriétaire des contrôleurs techniques gérés par des installateurs ? Quelle preuve d’exposition la direction doit-elle exiger ? Comment ces actifs entrent-ils dans la gouvernance de la continuité et des tiers ?
La chronologie est courte et bien documentée.
L’ampleur dépend de la source. BleepingComputer recense plus de 115 magasins touchés en Belgique, aux Pays-Bas, en Suède, au Luxembourg, en Irlande et en Estonie. Selon les déclarations des enseignes, il s’agit notamment d’environ 40 magasins Ahold Delhaize en Belgique et au Luxembourg, de 15 magasins Carrefour en Belgique et de 13 magasins SuperValu en Irlande. S’y ajoutent 7 magasins Coop en Suède, sur plus de 800, et au moins 4 magasins ICA en Suède. The Register dresse un autre tableau. Selon le média, depuis la mi-octobre, des « malfaiteurs inconnus » ont piraté des milliers de systèmes de réfrigération pilotés à distance, dans des centaines d’épiceries en France, en Belgique, en Irlande, au Luxembourg et en Suède. Les deux décomptes ne mesurent pas la même chose : il ne faut pas les additionner.
Les attaquants ont modifié les consignes de température à distance. D’après Infosecurity Magazine, certains systèmes auraient été programmés pour atteindre jusqu’à 50 °C. The Record rapporte par ailleurs que des congélateurs et des unités de réfrigération de plusieurs magasins militaires américains ont changé de mode de manière inattendue.
Aucune revendication n’a été publiée. The Record souligne que les autorités sont en alerte face aux menaces hybrides visant les infrastructures, sur fond de tensions avec la Russie. C’est un élément de contexte, pas une attribution, et il ne doit pas être lu comme tel.
Point clé : les systèmes visés n’avaient rien d’exotique. Censys désigne comme cible principale les contrôleurs Danfoss StoreView dont l’interface d’administration était exposée sur internet. La porte d’entrée était une simple fonction de télégestion, accessible depuis internet.
L’avis américain souligne que les organisations de la santé, des transports, de l’agroalimentaire et de la chimie utilisent « largement » des systèmes de refroidissement. Ces systèmes assurent automatiquement et à distance la surveillance des températures, leur enregistrement et la gestion des cycles de dégivrage. Ces fonctions font l’utilité de l’équipement, et ce sont aussi elles qui attirent l’attaquant. Un contrôleur capable de programmer un dégivrage et d’ajuster une consigne à distance peut aussi recevoir l’ordre de réchauffer une chambre froide.
Chris Butera, de la CISA, estime que toute organisation qui dépend de systèmes de réfrigération et de surveillance « doit partir du principe qu’elle pourrait être une cible ». Brett Leatherman, de la division cyber du FBI, ajoute : « Nous constatons que ces systèmes sont ciblés dans tous les secteurs d’infrastructures critiques, partout dans le monde. »
Pour les organisations régulées, la conséquence est claire : la chaîne du froid fait partie du service, ce n’est pas un détail immobilier. Une chaîne de pharmacies, un hôpital, un distributeur alimentaire ou un site chimique qui perd la maîtrise de ses températures peut perdre ses produits. Il peut aussi manquer à ses exigences réglementaires de qualité ou cesser de servir ses clients. Or l’équipement qui pilote ce processus est souvent acheté par les services généraux, installé par un frigoriste, puis maintenu à distance par ce même prestataire. Dans ce schéma, la fonction sécurité peut ne jamais le voir.
À retenir pour la direction : dès qu’un équipement technique peut interrompre une activité essentielle, c’est un actif critique pour l’entreprise, quels que soient l’acheteur et le mainteneur. Son risque doit figurer dans le même registre que les systèmes déjà suivis par le comité exécutif.
La faiblesse est moins technique qu’organisationnelle. Trois situations se combinent souvent.
D’abord, l’achat se fait hors de la DSI. La réfrigération, la climatisation et la gestion technique du bâtiment sont souvent achetées dans le cadre d’un contrat de services généraux ou immobilier. On évalue l’achat sur la performance frigorifique, la consommation d’énergie et le coût de maintenance. L’accès à distance y est présenté comme une fonctionnalité du service, pas comme un risque à évaluer.
Ensuite, la maintenance revient à l’installateur. Quand un prestataire configure un contrôleur et conserve un accès à distance pour le dépanner, l’organisation ignore parfois quelle interface est exposée et quels identifiants sont utilisés. Elle ne sait pas toujours non plus si le micrologiciel a déjà été mis à jour. Les recommandations du CERT-FR visent précisément ces angles morts : mettre à jour le micrologiciel, régler le niveau de sécurité Danfoss sur « Strict », vérifier que les mots de passe par défaut ont été changés. Ce sont des mesures d’hygiène élémentaires. Elles ne sont appliquées que si quelqu’un en a la charge.
Enfin, le cycle de vie s’achève sans décision. Les équipements techniques restent souvent en service pendant de longues années. Un contrôleur qui ne reçoit plus de mises à jour, ou dont le support éditeur a pris fin, peut rester connecté longtemps après sa dernière revue. Rien dans les informations publiées sur cette campagne n’indique que les équipements visés étaient en fin de vie. Mais toute organisation qui passe son parc en revue doit s’attendre à trouver d’anciens contrôleurs. Personne n’a formellement accepté leur risque, ni décidé de les remplacer ou de les isoler.
Le résultat : un actif qui a un exploitant, un fournisseur et un utilisateur, mais aucun propriétaire responsable. Les services généraux le font fonctionner, le prestataire l’entretient, le métier en dépend, et le RSSI ignore son existence.
Implication de sécurité : un actif sans propriétaire est un actif sans correctif. L’exposition persiste non parce que la correction est difficile, mais parce que personne n’a le mandat de l’appliquer.
Les données de Censys sont les plus utiles pour la direction, car elles mesurent la réponse plutôt que l’attaque.
Entre le 9 octobre et le 5 novembre, l’exposition mondiale des deux familles de produits citées dans l’alerte du CERT-FR a reculé de 53 %, passant de 6 695 à 3 124 hôtes distincts. Pour Danfoss StoreView, la baisse atteint 76 %, de 3 004 à 708 hôtes. Pour Copeland et Dixell XWEB, elle est de 35 %, de 3 708 à 2 420 hôtes.
Deux enseignements s’en dégagent.
Le premier est encourageant. Une alerte publique d’une autorité nationale, relayée par la presse et par les fabricants, peut réduire fortement l’exposition en moins d’un mois. Là où un propriétaire existait et pouvait agir, il a agi.
Le second l’est moins. Le 5 novembre, plus de 3 100 hôtes restaient exposés, malgré une alerte nationale, deux vagues d’attaques et une large couverture médiatique. La seconde vague a frappé alors que cette exposition résiduelle était toujours là. L’écart entre les deux familles de produits suggère aussi que la réponse dépend beaucoup de la réaction propre à chaque fabricant, à son réseau d’installateurs et à ses clients.
Pour la direction, la question n’est donc pas de savoir si l’organisation sait réagir. Elle est de savoir si l’organisation peut prouver, quelques jours après une alerte, qu’aucun de ses équipements ne figure parmi ceux qui restent exposés.
Point de décision : fixer un objectif interne de réponse aux alertes des autorités portant sur des équipements techniques ou industriels. Par exemple : identifier les actifs concernés dans un nombre de jours défini. Exiger ensuite un compte rendu au regard de cet objectif.
L’incident touche plusieurs dimensions de la gouvernance à la fois.
Continuité. Les analyses d’impact sur l’activité traitent souvent la chaîne du froid comme un sujet technique, couvert par les contrats de maintenance et l’alimentation de secours. Elles envisagent rarement une manipulation volontaire à distance. Un plan de continuité doit décrire ce qui se passe si la maîtrise des températures est perdue ou altérée sur plusieurs sites à la fois. Il doit dire qui s’en aperçoit, en combien de temps, comment les produits sont protégés et à quel moment l’activité s’arrête.
Tiers. Le frigoriste qui dispose d’un accès à distance est un tiers disposant d’un accès privilégié à un système opérationnel. Il doit être évalué comme tel. Cela suppose des clauses contractuelles sur les modes d’accès à distance, la gestion des identifiants, les mises à jour du micrologiciel, la notification des incidents et la réponse aux alertes des autorités. Cela suppose aussi de savoir si le prestataire utilise le même mode d’accès pour de nombreux clients : une seule faiblesse deviendrait alors une multitude d’incidents.
Réglementation. Pour les organisations soumises aux obligations européennes de cybersécurité des entités essentielles et importantes, la sécurité des systèmes qui soutiennent le service relève de la responsabilité de la direction. Cela inclut les relations avec les fournisseurs. Il est difficile de laisser hors de ce périmètre des contrôleurs techniques qui soutiennent une activité essentielle.
Réputation. Ahold Delhaize a qualifié son problème d’« incident informatique ». Les clients, eux, ne distinguent pas l’informatique, l’industriel et les services généraux. Un rayon surgelés qui se réchauffe est une défaillance visible de la marque.
Désigner un propriétaire pour chaque contrôleur technique. Le comité exécutif attribue la responsabilité des contrôleurs de réfrigération, de climatisation et de gestion technique du bâtiment qui soutiennent des activités critiques. Ce propriétaire peut relever des opérations ou des services généraux. Il doit toutefois remonter le risque par le même canal que pour les actifs informatiques.
Intégrer les équipements techniques et ceux gérés par les installateurs à l’inventaire des actifs. Le RSSI et le responsable des services généraux recensent ensemble les contrôleurs. Pour chacun, ils notent l’emplacement, le fabricant, la version du micrologiciel, le mode d’accès à distance et le prestataire de maintenance. Les équipements impossibles à mettre à jour ou hors support font l’objet d’une décision documentée.
Exiger une preuve externe de l’exposition. Les équipes sécurité vérifient, depuis internet, si une interface d’administration de l’organisation est accessible, et présentent le résultat à la direction. Elles répondent ainsi à la demande de l’avis américain d’identifier les systèmes accessibles depuis internet.
Supprimer ou encadrer l’accès à distance. Les opérations et la DSI déconnectent les contrôleurs d’internet chaque fois que c’est possible et suppriment les accès à distance inutiles. Les accès nécessaires passent par un chemin maîtrisé et authentifié, comme le recommandent les agences américaines.
Appliquer sans attendre les mesures de durcissement des autorités. Les services généraux et les prestataires suivent les recommandations du CERT-FR. Ils mettent à jour le micrologiciel, règlent les contrôleurs Danfoss sur le niveau de sécurité « Strict » et changent les mots de passe par défaut. Ils redémarrent ou réinitialisent en configuration usine les équipements Danfoss compromis. Le RSSI exige une confirmation écrite de chaque étape.
Réécrire les obligations des prestataires. Les achats et la direction juridique ajoutent des clauses sur l’accès à distance, la rotation des identifiants, les délais de mise à jour et la notification des incidents. Ils y fixent aussi un délai de réponse aux alertes des autorités. Les contrats existants sont revus au renouvellement, ou plus tôt pour les sites critiques.
Intégrer les scénarios de manipulation aux plans de continuité. Le responsable de la continuité d’activité teste une perte de maîtrise des températures sur plusieurs sites. Le test couvre le traitement des alarmes, la surveillance manuelle et la protection des produits.
Mesurer le délai entre l’alerte et la clôture. Après une alerte du CERT-FR ou d’une autorité équivalente, le RSSI suit le temps nécessaire pour identifier les actifs concernés et réduire l’exposition. Cet indicateur montre à la direction si la responsabilité fonctionne dans les faits.
Les attaques contre la réfrigération n’ont pas reposé sur une chaîne d’exploitation sophistiquée. Le CERT-FR n’a cité aucune CVE. Les correctifs recommandés sont des mises à jour de micrologiciel, des réglages plus stricts et des mots de passe changés. Ce qui a rendu la campagne efficace, c’est la distance entre l’équipement et toute personne responsable de lui.
Cette distance existe bien au-delà de la chaîne du froid. L’éclairage, le contrôle d’accès, la gestion technique du bâtiment, les ascenseurs ou la surveillance environnementale suivent souvent le même parcours. Ils sont achetés comme un service, entretenus par un installateur, connectés par commodité, puis oubliés. Chacun peut devenir un risque de continuité le jour où quelqu’un d’extérieur décide de s’en servir.
Les chiffres de la réponse montrent que les organisations savent agir vite quand une alerte leur en donne la raison. L’exposition résiduelle montre que cette rapidité dépend de l’existence d’un propriétaire. Les instances dirigeantes ne devraient pas attendre la prochaine alerte pour savoir dans quelle catégorie elles se trouvent.
À retenir en pratique : traiter les contrôleurs techniques qui soutiennent des activités essentielles comme des actifs critiques pour l’entreprise. Donner à chacun un propriétaire désigné et l’inscrire à l’inventaire des actifs. Exiger la preuve qu’il n’est pas exposé sur internet. Soumettre son prestataire à des obligations de sécurité claires et intégrer sa défaillance aux plans de continuité. Mesurer ensuite la vitesse à laquelle l’organisation ferme l’exposition lorsque la prochaine alerte d’une autorité arrive.
La conception
Conçoit la sécurité by design (Zero Trust, IAM/PAM, PKI) à partir des risques et de la gouvernance cible.
Découvrir Trusted ArchitecturePreuve : Opérateur de transport public
Au sein du pôle architecture d’un grand opérateur de transport public, Blooo évalue, conçoit et fait vivre la sécurité des applications aux exigences de cybersécurité les plus fortes.
25 architectures applicatives sécurisées
Chaque connexion réseau non gérée constitue une voie d’accès cachée à votre entreprise, exposant discrètement vos services critiques et vos données clients à des risques que la plupart des organisations n’ont jamais anticipés jusqu’à ce que le problème soit trop grave. Découvrez comment des liens négligés, des appareils oubliés et des points d’accès non contrôlés peuvent compromettre les…
Les appareils Edge tels que les load balancers et les reverse proxies se trouvent à l’entrée de votre réseau, et lorsqu’ils sont compromis, les attaquants obtiennent un accès privilégié qui souvent passe inaperçu. Ce post examine comment une backdoor présente dans une infrastructure basée sur HAProxy expose ce risque, pourquoi ces systèmes sont si attrayants pour les attaquants et ce que les…
Les infrastructures européennes sont confrontées à une recrudescence des cyberattaques, révélant les vulnérabilités de leurs systèmes critiques. Face à la montée des tensions, le rôle stratégique de la Russie dans ces offensives numériques fait l’objet de nombreuses spéculations. Découvrez l’évolution des enjeux de cybersécurité et les implications géopolitiques de ces menaces.
Parlez-nous de votre contexte : un expert vous répond.
ou écrivez directement à trust@blooo.io
Votre e-mail part de votre propre messagerie : le site blooo.io ne stocke rien. Vos coordonnées servent uniquement à vous répondre. Politique de confidentialité.