[MàJ] Des frigos piratés dans les supermarchés à cause d’une console de gestion exposée

[MàJ] Des frigos piratés dans les supermarchés à cause d’une console de gestion exposée Un autre genre de chaine d'approvisionnement Illustration : Flock Vincent Hermann Le 12 octobre à 17h55 Dans la nuit du 11 au 12 octobre, des pirates ont pris le contrôle de systèmes de régulation du froid dans plusieurs centaines de supermarchés français. Danfoss, le fabricant danois de ces contrôleurs, affirme que les équipements compromis étaient soit obsolètes, soit non mis à jour. Le parquet de Paris a ouvert une enquête.

Une erreur ? Mise à jour du 13 octobre : Le CERT-FR a publié cette nuit un bulletin d’alerte sur la situation. « L’exposition d’une interface de gestion sur Internet est contraire aux bonnes pratiques », pointe l’équipe, qui rappelle que l’administration à distance n’est pas toujours impérative.

Si c’est le cas, le CERT conseille de durcir les systèmes impliqués et renvoie vers ses recommandationsà destination des acteurs du secteur de l’énergie et de l’eau. Publiées en janvier 2026, elles faisaient suite à de nombreux signalements reçus par l’ANSSI relatifs au ciblage par des groupes hacktivistes d’entités du secteur à des fins de déstabilisation, dont l’action la plus aboutie avait provoqué l’arrêt pendant quelques heures d’un parc éolien. Si des signes de compromission sont repérés, le CERT recommande de filtrer les accès réseaux aux seuls prestataires impliqués, de réaliser un retour aux paramètres d’usine (factory reset), d’appliquer tous les correctifs disponibles, de lancer une rotation des secrets (dont le renouvellement des mots de passe), de vérifier les comptes existants et de « reconfigurer globalement l’équipement ».

Sur LinkedIn, Vincent Strubel, directeur de l’ANSSI, conseille de déconnecter tout ce qui peut l’être, « ou d’adopter a minima une politique de filtrage réseau très restrictive, en attendant d’en savoir plus ». Les détails manquent en effet sur l’attaque, comme le rappelle Vincent Strubel dans un commentaire sous sa publication : « Il y a plusieurs vulnérabilités qui sont des vecteurs possibles pour cette attaque, mais rien de réellement établi à ce stade ». Article original du 12 octobre : L’attaque a visé les meubles réfrigérés, les chambres froides et les centrales de froid.

Selon BFMTV, les attaquants ont détourné la fonction de dégivrage automatique. Le cycle normal, qui prévoit environ deux heures de dégivrage par jour, aurait été remplacé par un dégivrage forcé et continu, avec une température fixée à 50 °C. En conséquence, une quantité importante de nourriture a été perdue.

L’heure de déclenchement a cependant joué un grand rôle. Dans une partie des magasins, ces modifications auraient commencé avant minuit, laissant les installations chauffer pendant plusieurs heures avant l’arrivée des premiers employés et provoquant la perte complète des stocks. Dans d’autres cas, plus tardifs, une partie des stocks aurait pu être sauvée.

Une centaine de coopératives U seraient concernées, ainsi que 300 magasins des enseignes Intermarché et Netto, selon BFMTV qui mentionne également des magasins Leclerc. Selon le parquet de Paris, cité par Le Monde, il y a également eu des « départs de feu ». Une enquête a été ouverte.

Les contrôleurs Danfoss Le point commun de ces installations est la présence, au sein des équipements, d’un contrôleur de la marque Danfoss. Ils permettent, entre autres fonctions, une surveillance telle qu’imposée par l’Union européenne. Des normes strictes impliquant un horodatage des températures, des alarmes en cas de hausse anormale ou encore des actions de maintenance à distance, comme le rappelle Raphael Grably (BFMTV) sur X.

Le journaliste a obtenu la réaction du constructeur danois, qui affirme que les modèles visés relèvent de deux cas : soit des contrôleurs obsolètes, les AK-SM 800 et AK-SC 355, soit un contrôleur qui n’avait pas été mis à jour, l’AK-SM 800A. Cette déclaration réoriente la responsabilité vers les magasins et les entreprises engagées dans la sous-traitance du matériel. L’exposition à internet suppose en effet une surveillance étroite du code employé.

L’AK-SC 355 n’étant plus commercialisé, Danfoss recommande son remplacement par la gamme AK-SM 800. Quant à l’AK-SM 800A, l’actuel successeur, il reçoit régulièrement des mises à jour. Or, ces contrôleurs AK-SM 800A ont fait l’objet de deux séries de failles publiques.

D’abord une série de trois failles en août 2023 dans la version 3.3 du microgiciel (firmware). La plus grave permettait à un attaquant authentifié d’exécuter des commandes à distance. Ensuite, en 2025, trois nouvelles failles signalées par la société Claroty, corrigées dans les versions 4.2 et 4.3.1.

La plus importante, CVE-2025-41450, permet d’obtenir à distance une session d’administrateur. Dans l’article dédié publié en août dernier, Claroty indiquait que 2 765 interfaces AK-SM 800A étaient alors accessibles depuis internet. Le lien avec l’attaque de cette nuit n’est cependant pas établi.

Une partie des appareils cités par Danfoss, les AK-SM 800 et AK-SC 355, n’entre pas dans le champ de l’étude de Claroty, consacrée au seul AK-SM 800A. Selon ZATAZ, des versions antérieures à la version 4 auraient été visées, versions qui cumulent donc les failles de 2023 et 2025. En outre, modifier une consigne ou un cycle de dégivrage serait une fonction d’administration « ordinaire » : un accès avec un identifiant valide suffit, sans exploiter de faille.

Des conséquences financières très concrètes L’enquête ouverte est dirigée par la section anti-cybercriminalité du parquet de Paris et confiée à l’Office anti-cybercriminalité (OFAC). Elle devra déterminer comment l’attaque s’est produite et qui sont les responsables. L’attaque soulève quoi qu’il en soit de nombreuses questions, notamment sur les processus de mise à jour des équipements, ou même sur la durée d’entretien logiciel pour ces équipements.

Une telle attaque contre la chaine du froid à l’échelle d’un pays semble inédite et entraîne des conséquences très concrètes. Sur LinkedIn, Dominique Schelcher, PDG de Coopérative U, s’en indigne : « S’attaquer à des équipements essentiels à la conservation des produits frais et à l’approvisionnement alimentaire des Français est d’une extrême gravité et est inédit. C’est inacceptable. » Selon BFMTV, le magasin Leclerc de Wasselone aurait été obligé de jeter l’ensemble de ses produits surgelés et frais, pour une perte estimée à 220 000 euros, donnant une idée de l’ampleur des conséquences.

Cet article est en accès libre, mais il est le produit d'une rédaction qui ne travaille que pour ses lecteurs, sur un média sans pub et sans tracker. Soutenez le journalisme tech de qualité en vous abonnant. Accédez en illimité aux articles d'un média expert Profitez d'au moins 1 To de stockage pour vos sauvegardes Intégrez la communauté et prenez part aux débats Partagez des articles premium à vos contacts Abonnez-vous doctorrock Hier à 18h00 Voir les réponses Message 1 Aller au commentaire enfant Signaler Bloquer cet utilisateur Et bien entendu toutes ces infras sont ouvertes à tout le monde sur Internet, et non derrière un VPN ?

Bravo jfn Premium Hier à 18h24 Voir les réponses En réponse à Message 1.1 Aller au commentaire enfant Signaler Bloquer cet utilisateur Ça fait froid dans le dos. doctorrock Hier à 18h26 Voir les réponses En réponse à Message 1.1.1 Aller au commentaire enfant Signaler Bloquer cet utilisateur Ca traduit surtout une incompétence de base. Tu peux mettre à jour tous les firmwares des devices que tu veux, si un attaquant peut entrer dans ton infra, t'es déja game over. jfn Premium Hier à 19h27 Voir les réponses En réponse à Message 1.1.1.1 Aller au commentaire enfant Signaler Bloquer cet utilisateur Oui, mais chacun sait que la mise à jour des systèmes c'est la base. Et, manifestement, ces gens qui gagnent des millions (pas de jalousie de ma part, hein ?) rechignent à mettre les moyens de leurs ambitions.

Et après ils viennent pleurer à cause des * hackers qui leur pourissent leurs systèmes (chose que je n'approuve pas, hein ?).Ça fait vraiment froid dans le dos ces khons dont les actes vont à l'encontre de leurs propores intérêts. Gu0sur20 Premium Hier à 19h52 Voir les réponses En réponse à Message 1.1.1.1.1 Aller au commentaire enfant Signaler Bloquer cet utilisateur Question de point de vue. Qu'est-ce qu'un stock de perdu par rapport aux économies réalisées par l'absence de maintenance informatique pendant des années ?

Dj Premium Hier à 20h01 En réponse à Message 1.1.1.1.1.1 Signaler Bloquer cet utilisateur Mais je suppose que les franchisés/coopérants payent un participation pour la maintenance IT.Les réunions vont être sympa TheKillerOfComputer Modifié hier à 20h13 Voir les réponses En réponse à Message 1.1.1.1.1.2 Historique Aller au commentaire enfant Signaler Bloquer cet utilisateur D'après un post sur X, une centrale de commande de ces frigos coûte dans les 6.000 €. Ça n'inclut pas le contrat de mises à jour, mais je doute qu'on arrive au score d'aujourd'hui.Car 220.000 € (nombre mentionné) x 2 (perte du stock ET reconstitution du stock) x nb magasins... C'est l'usuel lubbie d'en avoir rien à faire avec la sécurité par chez nous car c'est trop cher, jusqu'à ce que l'inaction coûte bien plus cher.Et le pire est que l'on pourrait penser qu'il n'y a pas d'externalisation du coût/gène vers le client final... mais il était déjà certain qu'il y aura des augmentations de prix, donc ils rajouteront bien quelques centimes en plus pour couvrir LEUR gaffe.

Asgatlat Hier à 21h22 En réponse à Message 1.1.1.1.1.2.1 Signaler Bloquer cet utilisateur Les mises a jour sont gratuites et dispo sur le site du fabricant. Mais faire la mise a jour est risqué donc faut aller sur place par précaution, donc payer le déplacement et le temps passé... Cydoo Premium Aujourd'hui à 01h54 En réponse à Message 1.1.1.1.1.3 Signaler Bloquer cet utilisateur et l'image de marque du commerçant, tu l'évalue a combien ? :) Ramaloke Premium Hier à 20h48 Voir les réponses En réponse à Message 1.1.1.2 Aller au commentaire enfant Signaler Bloquer cet utilisateur Ca fait plus de 10ans que le principe même de la Cyber aujourd'hui est : Vous êtes déjà compromis, il faut surtout limiter les dégâts (segmentation, Isolation, Détection, limitation des accès, Obligation de double-authen (MFA) voire double-authorization (ie : Pour des commandes critiques, elle doit être validé 2 fois par 2 comptes différents) etc.Là sur le principe, que ça puisse passer des centaines de frigo en dégivrage sans que ça déclenche la moindre alerte et pouvoir le faire dans 300+ magasins en même temps effectivement il y a des gros problèmes : de supervision, de segmentation et d’autorisation...Après que quelqu'un ait accès au SI : Ca arrive tous les jours, ne serait-ce que les propres employés qui voudraient foutre le bordel ou qui se sont fait volés leur PC/Comptes (et que doivent être contrôlés aussi...).

Raromatai Premium Hier à 21h44 En réponse à Message 1.1.1.2.1 Signaler Bloquer cet utilisateur Espérons pour les consommateurs que l'enquête ne révèlera pas de défaut d'isolation de ces chambres froides. Asgatlat Hier à 20h22 Voir les réponses En réponse à Message 1.2 Aller au commentaire enfant Signaler Bloquer cet utilisateur Chez auchan on est obligé de se connecter en vpn avant d'accéder aux supervision froid, c'est pour ça que eux ne sont pas touchés bansan Premium Hier à 20h28 Voir les réponses En réponse à Message 1.2.1 Aller au commentaire enfant Signaler Bloquer cet utilisateur Oui, un VPN, c'est la base. Mais encore faut-il que le pilotage du matériel ne doivent pas impérativement passer par les serveurs du fabricant et donc ajouter une règle d'accès dans le pare feu. doctorrock Hier à 20h33 Voir les réponses En réponse à Message 1.2.1.1 Aller au commentaire enfant Signaler Bloquer cet utilisateur Il ne faut pas acheter du matériel que tu ne peux cloisonner dans ton infra.

Ca vaut pour tout, à commencer par les caméras IP. Si ça a besoin impérativement d'un "cloud" pour fonctionner : c'est non. Asgatlat Hier à 20h37 Voir les réponses En réponse à Message 1.2.1.1.1 Aller au commentaire enfant Signaler Bloquer cet utilisateur C'est pas obligé mais dites vous que l'accès à distance est vraiment un confort.

Quand l'alarme température sonne à 3h du matin par ce qu'une porte de chambre froide est mal fermée c'est quand même bien de la voir a distance que y aller juste pour claquer une porte qui aurait pu attendre le lendemain matin doctorrock Hier à 20h50 En réponse à Message 1.2.1.1.1.1 Signaler Bloquer cet utilisateur Mais il est entièrement possible d'obtenir le même résultat en hébergeant dans sa propre infra tout le système de contrôle, avec accès sécurisés (VPN, certificats, etc....) depuis l'exterieur.Sans passer par l'infra d'autrui, qu'on ne maitrise pas, et qui est reliée à sa propre infra (forcément).La sécurité, c'est avoir des compétences, des diplômes, un cerveau, et faire fonctionner ce dernier. C'est pas embaucher 4 gugus (souvent prestas , en plus) qui savent tout, parce que sur Youtube ils ont vu que X et Y. Voila, c'est simple. deathscythe0666 Premium Il y a 47 minutes En réponse à Message 1.2.1.1.1.2 Signaler Bloquer cet utilisateur Est-ce pour autant que tu as besoin que la mission critique de tes appareils soit connectée ?

Tu peux très bien parvenir au résultat que tu donnes en exemple avec des congélateurs non connectés, et un système de monitoring connecté (de préférence derrière un VPN). nextdrOp Premium Aujourd'hui à 07h03 En réponse à Message 1.2.1.1.2 Signaler Bloquer cet utilisateur Dans l’impression numérique, les fabricants fournissent des systèmes fonctionnant avec des comptes admin sans mot de passe (HP), ou avec des systèmes jamais mis à jour et où tu ne dois surtout pas le faire alors que le fabricant a accès à ta machine (canon). Pas mieux pour les suisses de chez SwissQPrint ou Zund, mais eux au moins tu peux mettre à jour le système. Côté copieur multifonctions ce n’est pas meilleur… thøth Premium Hier à 18h07 Voir les réponses Message 2 Aller au commentaire enfant Signaler Bloquer cet utilisateur Je trouve une annonce d’end-of-life fin 2016 pour les AK-SC 355.

Et pourtant ils fonctionnent encore.Pourquoi leur durée de vie n’a pas été rallongée ? Ils avaient été prévu pour tourner combien d’années ? wanou Premium Hier à 20h37 En réponse à Message 2.1 Signaler Bloquer cet utilisateur Ce genre d'abandon sera traité par le CRA normalement car la durée de vie effective sera à prendre en compte. Il y aura certainement un jour un cas d'école pour mieux formuler ce point car la durée écrite est un minimum.Le bon sens serait de rendre équivalente la durée de prise en charge du SAV matériel avec la prise en charge des firmware associés.

Asgatlat Hier à 20h38 Voir les réponses En réponse à Message 2.2 Aller au commentaire enfant Signaler Bloquer cet utilisateur Et pourtant il y en a encore un paquet en service. Pareil chez Carel avec les vieux plantvisor pro qui sont plus mis a jour depuis des années Polaris Premium Modifié aujourd'hui à 07h23 Voir les réponses En réponse à Message 2.2.1 Historique Aller au commentaire enfant Signaler Bloquer cet utilisateur Pour que je comprenne, changer le contrôleur peut se faire sans changer le "frigo" complet ?Je trouve ça dingue de remplacer du matos qui marche... Les patchs devraient être assurés plus longtemps !Édit: et merci pour tes commentaires d'insister.

N'hésite pas à nous dire comment tu as hacké les Magasins U Asgatlat Aujourd'hui à 08h04 En réponse à Message 2.2.1.1 Signaler Bloquer cet utilisateur je travaille en bureau d'études dans ce domaine parfois le changement de ces supervisions oblige de changer l'ensemble des régulateurs des postes (meubles froid et chambres froides). Dites vous qu'il faut un régulateur par meuble et par chambre froide. donc dans un hyper ça fait rapidement 200 régulateurs.ensuite la liaison filaire est parfois différentes (plus le même type de câbles bus). je vous laisse faire le calcul du prix ^^Chez Danfoss, les vieilles supervisions sont en DANBUS alors que maintenant tout le monde utilise du modbus RS485. donc il faut retirer tout le bus (des kilomètres de câbles à tirer de nuit à la nacelle) Gawan Hier à 18h09 Message 3 Signaler Bloquer cet utilisateur Il semble que des supermarchés en Belgique et aux Pays-Bas ont été également été touchés SebGF Premium Modifié hier à 18h28 Voir les réponses Message 4 Historique Aller au commentaire enfant Signaler Bloquer cet utilisateur L’exposition à internet suppose en effet une surveillance étroite du code employé. Mais sont-ils vraiment exposés sur Internet ?

N'est-ce pas un effet de rebond via une autre entrée dans le SI ?Le cas des accès compromis à des systèmes d'administration ou de profils à privilèges est plutôt fréquent dans les vagues de ces derniers mois. Cela me semble donc une conclusion hâtive.Edit : OK j'ai vu après coup l'article lié qui parle bien d'interfaces exposées sur Internet.Du matériel obsolète pas maintenu est une chose, mais là c'est plus que de la négligence : c'est de l'irresponsabilité qui doit voir celle des entreprises concernées engagée. Jos Premium Hier à 18h28 Voir les réponses En réponse à Message 4.1 Aller au commentaire enfant Signaler Bloquer cet utilisateur Visiblement l'étude de clarity en avait identifié un paquet SebGF Premium Hier à 18h30 En réponse à Message 4.1.1 Signaler Bloquer cet utilisateur J'ai édité, nos messages se sont croisés ;) wanou Premium Hier à 20h41 En réponse à Message 4.2 Signaler Bloquer cet utilisateur Je pense que les assurances vont s’engouffrer dans la brèche et ce sera pire avec le CRA car les mauvais usages prévisibles comme celui-ci devront être clairement interdits.Et là, les gens qui mettent en accès direct sur Internet un appareil non prévu pour, auront le droit à une double peine: perte financière et un jolis bras d'honneur des assurances.

En même temps, c'est mérité. TheKillerOfComputer Hier à 18h33 Voir les réponses Message 5 Aller au commentaire enfant Signaler Bloquer cet utilisateur Merveilleux, on a subit une sécheresse record qui va nuire à notre capacité alimentaire pour pas mal de temps, et un idiot (ou un État ?) massacre des stocks de surgélés et autres histoire d'aider encore un peu.Je n'arrive pas à comprendre l'intêret de piloter ces équipements à distance. La surveillance s'entend bien sûr, afin d'agir à la moindre défaillance à tout moment.Mais le pilotage ?

Voilà ce que ça donne en tout cas... Moins un système a de capacités et moins grand est le risque de dérives. J'espère que les chaînes touchées vont le comprendre. bingo.crepuscule Premium Hier à 21h54 En réponse à Message 5.1 Signaler Bloquer cet utilisateur Sans compter le temps de vie/travail bouffé pour rien, et les animaux sacrifiés pour que dalle...

Thorgalix_21 Premium Hier à 18h47 Message 6 Signaler Bloquer cet utilisateur Je comprends la colère du responsable. C’est effectivement totalement inacceptable de ne pas protéger suffisamment les accès distants à des dispositifs aussi importants. bohwaz Premium Hier à 19h01 Message 7 Signaler Bloquer cet utilisateur C'est lié a l'attaque sur les supermarchés aux pays bas ce même dimanche ou pas du tout ? JoanLPL Premium Modifié hier à 19h02 Message 8 Historique Signaler Bloquer cet utilisateur L'automatisation, la maintenance centralisée...

C'est malheureux mais ces incidents se multiplieront dans le futur. À force d'économies d'échelle, à force de sacrifier la sécurité et la résilience de systèmes pour plus de performance et de réduction de coûts, c'est un talon d'Achille qu'on ne veut pas voir.Et on nous parle d'IA... Le monde merveilleux des IoT et des robots. potn Premium Hier à 20h28 Voir les réponses Message 9 Aller au commentaire enfant Signaler Bloquer cet utilisateur Je trouves que les attaquants ont étés "gentils" : imaginez s'ils avaient "juste" brisée la chaine du froid puis refroidi le tout pour que ces denrées devenues dangereuses se retrouvent