Frigos piratés : l'alerte du CERT-FR et les leçons pour les PME
Contrôleurs Danfoss compromis : ce qui est établi, ce qui ne l'est pas, et cinq vérifications à faire cette semaine
Image générée par IA (art. 50 AI Act)
Analyse 2LKATIME
Dans la nuit du 11 au 12 octobre 2026, des systèmes de régulation du froid de plusieurs enseignes françaises ont été manipulés à distance. Le CERT-FR a publié une alerte le 12 octobre. Nos auditeurs séparent ce qui est confirmé de ce qui reste une hypothèse, puis listent les vérifications utiles à une PME.
Un équipement connecté géré par un prestataire ? Cet article vous concerne
Chambres froides, climatisation, alarmes, contrôle d'accès : si votre prestataire s'y connecte à distance, la question de l'exposition sur internet se pose chez vous aussi.
Selon la presse, des pirates ont forcé le dégivrage des installations frigorifiques de plusieurs centaines de magasins Intermarché, Coopérative U et E.Leclerc. Le CERT-FR, rattaché à l'ANSSI, a publié le jour même l'alerte CERTFR-2026-ALE-012 : il dit avoir connaissance de « nombreuses compromissions » de contrôleurs Danfoss des séries AK-SM et AK-SC.
La perte est physique. Des stocks entiers de produits frais et surgelés ont été détruits, et des départs de feu ont été signalés. Vous n'exploitez pas un hypermarché ? Le mécanisme vaut pourtant pour n'importe quelle structure : un boîtier de supervision, une interface web ouverte à un prestataire, un correctif jamais appliqué.
1. Ce qui s'est passé
50 °C
Consigne de dégivrage rapportée par la presse
2 765
Interfaces AK-SM 800A exposées recensées par Claroty
≈ 3 000
Adresses IP françaises exposant une console Danfoss (LeMagIT)
24 mars 2025
Publication du correctif R4.2 par Danfoss
D'après Points de Vente, l'attaque a visé plusieurs centaines de points de vente : environ 300 Intermarché, moins d'une centaine de Coopérative U, et des E.Leclerc. IT for Business avance une estimation plus basse, autour de 150 Intermarché. Monoprix et Carrefour Market seraient aussi touchés, ce que les enseignes n'ont pas confirmé. Les chiffres varient d'une source à l'autre, et aucun n'est officiel.
Le procédé rapporté est simple : forcer un dégivrage continu avec une consigne montée jusqu'à 50 °C. Selon IT for Business, cette valeur n'est pas la température atteinte dans les meubles, mais elle a suffi à couper la production de froid. Au matin, les produits étaient invendables. Deux magasins alsaciens auraient perdu 270 000 euros cumulés, et les dégâts pourraient atteindre plusieurs millions d'euros à l'échelle nationale. Le Premier ministre a saisi l'ANSSI.
Le précédent existe : en 2022, des contrôleurs Danfoss AK-SM 800 avaient déjà été visés dans seize supermarchés russes, puis dans quarante magasins israéliens. Danfoss relevait que les installations compromises n'étaient protégées ni par un pare-feu adapté ni par un VPN.
2. Ce que dit le CERT-FR
L'alerte tient en quelques lignes. Le CERT-FR constate de nombreuses compromissions des séries AK-SM et AK-SC, rappelle que laisser une interface de gestion accessible sur internet est contraire aux bonnes pratiques, et demande de déconnecter ou de filtrer les accès à ces équipements. Si l'administration à distance est indispensable, une première mesure temporaire consiste à la restreindre à des adresses IP de confiance.
Elle ne cite aucune CVE, aucun vecteur d'attaque, et ne fixe pas de niveau de risque. En cas de suspicion de compromission, elle détaille six étapes :
1. Filtrer les accès
Ne laisser joindre les contrôleurs que par les prestataires, depuis des adresses connues.
2. Remise en état d'usine
Effacer la configuration, qui a pu être modifiée par l'attaquant.
3. Correctifs
Appliquer tous les correctifs de sécurité disponibles pour le modèle.
4. Rotation des secrets
Changer les mots de passe, clés et jetons stockés sur l'équipement ou utilisés pour le joindre.
5. Comptes
Vérifier les comptes existants et supprimer ceux que personne ne reconnaît.
6. Reconfiguration
Reconfigurer l'équipement globalement. Relisez toute ancienne sauvegarde avant de la réimporter.
3. Les failles connues, et ce qui reste à prouver
Plusieurs médias rattachent l'attaque à trois failles publiées en 2025 sur les AK-SM 800A, découvertes par l'équipe Team82 de Claroty. IT for Business écrit que ce sont « précisément ces failles » qui semblent avoir été exploitées. Ce lien reste une hypothèse : le CERT-FR ne cite aucune CVE.
| Référence | Nature de la faille | Corrigée dans |
|---|---|---|
| CVE-2025-41450 | Contournement d'authentification par un « code du jour » calculé à partir de la date du contrôleur | R4.2 (24 mars 2025) |
| CVE-2025-41451 | Injection de commande système via les champs d'alerte par courriel, jusqu'à l'exécution de code. Exige une session authentifiée | R4.3.1 (août 2025) |
| CVE-2025-41452 | Injection de configuration Nginx qui peut faire tomber l'interface web. Exige une session authentifiée | R4.3.1 (août 2025) |
La première est la plus grave pour une interface exposée : elle ouvre une session d'administration sans connaître le mot de passe, et sert de porte d'entrée aux deux autres. Claroty a recensé 2 765 interfaces AK-SM 800A accessibles depuis internet. De son côté, Valéry Rieß-Marchive (LeMagIT) a repéré près de 3 000 adresses IP françaises exposant une console Danfoss Storeview, dont certaines semblent mises à jour très rarement.
Le tableau se complique avec les anciens modèles. D'après BFMTV, Danfoss affirme que les équipements visés étaient soit obsolètes (AK-SM 800 et AK-SC 355), soit non mis à jour (AK-SM 800A). Pour un modèle en fin de vie, il n'existe pas de correctif à appliquer. Synacktiv avait déjà documenté en 2023 un contournement d'authentification sur les SM800 et SC255/SC355, et Danfoss avait répondu qu'il ne touchait que des produits en fin de vie. Le seul remède pour ces boîtiers : les retirer d'internet, puis les remplacer.
4. Pourquoi une PME est concernée
Boulangeries, restaurants, traiteurs, pharmacies, laboratoires, cliniques : toute activité qui dépend du froid ou d'un équipement piloté à distance partage le même terrain. Une gestion technique du bâtiment, un système d'alarme ou un contrôle d'accès présentent les mêmes défauts qu'un contrôleur de froid. Quatre reviennent dans cette affaire.
Une interface web ouverte au prestataire
La télémaintenance évite un déplacement, alors on l'ouvre. Sans VPN ni liste d'adresses autorisées, n'importe qui la trouve avec Shodan ou Censys et peut s'y attaquer.
Un correctif qui demande une intervention
Mettre à jour un contrôleur suppose un technicien sur place et parfois un arrêt. Tant que l'installation tourne, personne ne le planifie.
Personne ne tient l'inventaire
Le service technique choisit le matériel, le prestataire le maintient, l'informatique fournit le réseau. Qui connaît la version installée dans chaque site ? Souvent personne.
Aucun garde-fou local
Un contrôleur qui accepte une consigne de 50 °C transforme chaque intrusion en sinistre. IT for Business recommande des limites locales, le rejet des consignes aberrantes et des alarmes autonomes.
5. Cinq vérifications cette semaine
Aucune ne demande d'être expert. Elles demandent surtout de poser les bonnes questions à ceux qui maintiennent vos équipements.
1. Faire l'inventaire
Listez chaque équipement piloté à distance : froid, climatisation, alarme, caméras, contrôle d'accès, onduleurs. Notez la marque, le modèle, la version du logiciel et le prestataire.
2. Mesurer l'exposition
Demandez par écrit à chaque prestataire si l'interface est joignable depuis internet. Contrôlez vous-même : cherchez votre adresse IP publique sur Shodan ou Censys, ou faites faire un scan externe.
3. Fermer ou filtrer l'accès
Passez par un VPN ou limitez l'accès aux adresses du prestataire. Exigez des comptes nominatifs et supprimez les mots de passe par défaut.
4. Comparer les versions
Comparez la version installée à la dernière publiée par le fabricant. Un modèle en fin de vie ne reçoit plus de correctif : planifiez son remplacement ou isolez-le complètement.
5. Préparer le jour où ça arrive
Installez une sonde de température indépendante avec alerte par SMS. Gardez sous la main le numéro du dépanneur d'urgence, une solution de froid de secours et une procédure de tri des produits.
6. Assurance et conformité
Ce type d'incident détruit des marchandises, pas forcément des données personnelles : le RGPD n'est pas le premier sujet. La question à régler porte sur votre contrat de cyber-assurance. Couvre-t-il les dommages matériels et la perte de marchandises causés par une attaque ? Les garanties varient d'un assureur à l'autre, alors obtenez la réponse par écrit avant le sinistre.
Côté réglementation, la production, la transformation et la distribution de denrées alimentaires figurent parmi les secteurs visés par NIS2, pour les entités qui dépassent les seuils de taille. La gestion des fournisseurs et des vulnérabilités fait partie des mesures attendues, et un prestataire qui se connecte à vos équipements relève de cette chaîne.
7. Ce que 2LKATIME recommande
Commencez par la surface exposée : tout ce qu'un inconnu peut atteindre depuis internet chez vous, y compris ce que vos prestataires ont ouvert sans vous prévenir. Nos audits cybersécurité démarrent par cet inventaire, que beaucoup d'entreprises découvrent incomplet.
Les structures de Paris, de Lyon ou de Bordeaux trouveront les formules sur nos pages tarifs. Le diagnostic se fait aussi à distance partout en France.
FAQ - Frigos piratés et équipements connectés
Mon activité est-elle concernée si je n'utilise pas de matériel Danfoss ?
Oui, le risque dépasse la marque. Le CERT-FR ne cite que les séries AK-SM et AK-SC, mais le défaut de fond vaut pour tout équipement piloté à distance dont l'interface est joignable depuis internet. Claroty a aussi publié des failles sur des contrôleurs de froid Copeland. Demandez à votre prestataire la liste des équipements connectés et la façon dont il s'y connecte.
Comment savoir si mon contrôleur est visible sur internet ?
Trois moyens. Demandez par écrit à votre prestataire si l'interface est joignable depuis internet. Cherchez votre adresse IP publique sur Shodan ou Censys, qui indexent ces interfaces. Ou faites réaliser un scan externe par un auditeur, qui vérifie aussi les ports que vous ne pensiez pas ouverts.
La faille CVE-2025-41450 est-elle la cause confirmée de l'attaque ?
Non. Plusieurs médias la rattachent à l'attaque, mais le CERT-FR ne cite aucune CVE ni aucun vecteur dans son alerte. Danfoss indique par ailleurs que certains modèles visés étaient obsolètes et d'autres non mis à jour. Tant que l'enquête n'a pas conclu, traitez ce lien comme probable et non établi.
Que faire si je soupçonne un contrôleur d'être compromis ?
Suivez la remédiation du CERT-FR : filtrer les accès réseau aux seuls prestataires, remettre l'équipement en état d'usine, appliquer tous les correctifs disponibles, changer les secrets, vérifier les comptes existants, puis reconfigurer l'ensemble. Signalez l'incident à votre assureur et, si besoin, sur cybermalveillance.gouv.fr.
Mon assurance cyber couvre-t-elle les marchandises détruites ?
Cela dépend du contrat. Les garanties sur les dommages matériels et la perte de marchandises causés par une cyberattaque varient d'un assureur à l'autre. Demandez une réponse écrite à votre assureur ou à votre courtier avant d'en avoir besoin. Nous ne sommes pas assureurs et ne pouvons pas répondre à votre place.
Sources
Vos équipements connectés sont-ils joignables depuis internet ?
2LKATIME recense ce qui est exposé chez vous, contrôle les versions et vous remet un plan d'action priorisé.