Lecture Zen Résumer l'article Vincent Strubel a attribué le piratage des frigos de supermarchés à des « défauts de sécurisation élémentaires ». L’Anssi rappelle publier depuis 2014 des recommandations pour les systèmes industriels, insuffisamment appliquées. La transposition de NIS 2, censée étendre le contrôle de l’Anssi, est retardée en France.

Vincent Strubel a attribué le piratage des frigos de supermarchés à des « défauts de sécurisation élémentaires ». L’Anssi rappelle publier depuis 2014 des recommandations pour les systèmes industriels, insuffisamment appliquées. La transposition de NIS 2, censée étendre le contrôle de l’Anssi, est retardée en France.

Recevez tous les soirs un résumé de l’actu importante avec Le Récap’ Devant le Sénat, Vincent Strubel, le directeur général de l’Anssi, a attribué le piratage des frigos de supermarchés à des « défauts de sécurisation élémentaires ». Il écarte la piste des failles publiées par des chercheurs ces deux dernières années. Le piratage des réfrigérateurs connectés dans les supermarchés français, au milieu du mois, ne provient pas d’une faille de sécurité récente.

Vincent Strubel l’a expliqué ce mercredi 21 octobre 2026 durant une audition sur la cybersécurité et les ingérences étrangères devant les membres de la commission des affaires étrangères et de la défense du Sénat. L’homme, qui dirige depuis près de quatre ans l’Agence nationale de la sécurité des systèmes d’information (Anssi), a plutôt pointé un problème ancien, le manque de sérieux en matière de protection informatique. Un laxisme d’autant plus regrettable que l’Anssi s’échine à publier des conseils depuis douze ans maintenant.

Concernant « la vulnérabilité spécifique qui a été employée pour mener cette attaque, a commenté Vincent Strubel, il faut être très prudent. J’ai vu circuler différentes analyses tierces disant ‘moi je sais que c’est l’attaque CVE 2025 quelque chose ou 2026 quelque chose’, c’est-à-dire des vulnérabilités rendues publiques par différents chercheurs en cybersécurité au cours des deux années précédentes. » Vincent Strubel. // Source : Sénat Les CVE (acronyme pour Common Vulnerabilities and Exposures) sont des failles qui sont recensées publiquement avec un identifiant précis, à l’image des deux failles de PHP corrigées ce mercredi. Elles reçoivent aussi un score CVSS (Common Vulnerability Scoring System) qui mesure leur gravité sur une échelle de 0 à 10.

Et votre vie numérique devient sereine Bitdefender Premium Security est une solution de cybersécurité européenne qui vous protège automatiquement contre les pirates et toutes les menaces du web. Profitez de vos activités en ligne en toute tranquillité Sponsorisé La cybersécurité est en promo Or, a ajouté le directeur général de l’agence, « notre analyse aujourd’hui est que ce ne sont pas ces vulnérabilités-là qui ont été exploitées. Ce sont des défauts de sécurisation élémentaires, à commencer par l’exposition directe sur Internet d’équipements frigorifiques et leur administration sans sécurisation particulière, des mots de passe faibles, ce genre de choses.

Là encore, des vulnérabilités assez classiques. » L’attaque dont il est question ici a eu lieu dans la nuit du 11 au 12 octobre 2026. Des pirates ont pris la main sur des régulateurs frigorifiques Danfoss chez Intermarché, Leclerc ou Super U, et certains frigos se sont retrouvés réglés à 50 degrés. Dès le 13, les régulateurs d’un autre fournisseur, Dixell, ont aussi été touchés.

Ces frigos ont de bonnes raisons d’être connectés, mais la façon dont ils l’ont été pose problème. Une consigne que l’Anssi donne depuis 2014 Vincent Strubel s’est montré un peu piquant devant les sénateurs : « Je ne peux m’empêcher de signaler [que les failles] font l’objet de recommandations depuis 2014 [et l’Anssi] publie et met à jour un guide sur la sécurisation des systèmes industriels […], mais à l’évidence ne sont pas systématiquement respectées », à commencer par la consigne de ne pas exposer directement ces systèmes sur Internet. La plus récente version du document « La cybersécurité des systèmes industriels – Mesures détaillées » date de novembre 2025.

L’agence a l’habitude de ces piqûres de rappel. Par exemple, dès janvier 2015, après l’attaque de milliers de sites français, elle avait dû rappeler les règles à suivre. Cette fois, les grandes enseignes ont vite désigné un maillon précis de la chaîne.

Michel-Édouard Leclerc, patron des centres E.Leclerc, a pourtant admis le 14 octobre ne pas avoir eu « cette culture de la sécurité ». Illustration d’un supermarché. // Source : Canva L’Anssi ne peut rien imposer aux supermarchés Les recommandations existent, mais ensuite l’Anssi ne peut plus faire grand-chose. « L’Anssi n’a pas de pouvoir aujourd’hui de contrainte des supermarchés dans le déploiement de leurs frigos.

Nous édictons des règles, nous édictons des recommandations, nous publions des alertes quand il y a une attaque », a reconnu Vincent Strubel. « À chacun, ensuite, d’appliquer ces règles, de respecter les alertes, de prendre en compte les mesures d’urgence. » Dans le secteur privé, l’agence ne peut contrôler que les groupes qualifiés d’opérateurs d’importance vitale, c’est-à-dire des entreprises jugées indispensables au pays, soumises à des règles de cybersécurité depuis la loi de programmation militaire de 2013. Elles sont environ 300, avec « un petit millier » de systèmes informatiques concernés.

Pour toutes les autres, « la responsabilité fondamentale d’une entreprise c’est de déployer ses systèmes de manière sécurisée, en appliquant ou pas les règles de l’Anssi », estime Vincent Strubel. L’Anssi peut certes intervenir ponctuellement en cas de situation critique, mais elle n’a ni les effectifs ni le budget pour sécuriser tout le monde, tout le temps. La directive européenne NIS 2 doit étendre le contrôle de l’Anssi à environ 15 000 entités en France.

Mais le projet de loi Résilience, qui doit la transposer, attend toujours son examen en séance à l’Assemblée nationale, alors que le Sénat l’a adopté le 12 mars 2025. Prévu le 7 octobre, ce débat a été retiré de l’ordre du jour la veille, sans nouvelle date. La Commission européenne a saisi la Cour de justice de l’Union européenne le 8 juillet 2026 pour ce retard, en réclamant des sanctions financières.

Toute l'actu tech en un clin d'œil Ajoutez Numerama à votre écran d'accueil et restez connectés au futur ! Installer Numerama Un édito exclusif, un guide, une reco de lecture et l’agenda de la rédaction : c’est ce que vous trouverez tous les jeudis dans ToujoursPlus, la newsletter tech écrite par Julien Cadot. Inscrivez-vous gratuitement ici !

Crédit photo de la une : montage Numerama Signaler une erreur dans le texte ANSSI cybersécurité France Piratage Sécurité Cybercriminalité Ne plus voir cette pub Ne plus voir cette pub