Contrôleurs de froid de supermarchés attaqués en France, puis dans toute l'Europe

Comment c'est arrivé

Par des contrôleurs à distance de systèmes de réfrigération (Danfoss AK-SM et AK-SC, Copeland xweb, Dixell xweb), joints via Internet. Le CERT-FR indique que des interfaces d'administration étaient exposées sur Internet. Le directeur général de l'ANSSI a dit au Sénat que les attaques en France venaient de défauts de sécurisation élémentaires, comme des équipements exposés directement sur Internet, et la presse rapporte qu'il a aussi cité des mots de passe faibles. Danfoss indique que la plupart des systèmes touchés sont d'anciens produits qui ne reçoivent plus de mises à jour. Aux Pays-Bas, un porte-parole de Danfoss dit que les systèmes n'étaient pas sur un réseau sécurisé et utilisaient des mots de passe par défaut. La société Lupovis, qui exploite des pièges à attaquants, a observé du 20 au 30 octobre des tentatives de connexion avec des identifiants d'usine sur des contrôleurs Danfoss AK-SM. En Belgique, les attaquants sont entrés dans les systèmes de supermarchés individuels, pas dans ceux de prestataires.[1][2][4][5][6][7] Vérifié le 9 nov. 2026

Ce qui a été volé

Aucun vol de données n'est signalé. Les attaques ont modifié des réglages : cycles de dégivrage continus et consignes de température relevées, jusqu'à 50 °C selon les informations rapportées dans certains magasins français et suédois.[3][4][5][6] Vérifié le 9 nov. 2026

Qui est touché

France : environ 700 des 10 000 supermarchés selon le ministre des Finances, dont 300 magasins Intermarché et Netto et 80 des 2 000 magasins de Coopérative U, avec des vitrines réfrigérées hors service et des denrées jetées. Les autorités françaises comptent au moins 15 départs de feu et, outre les enseignes de la grande distribution (Casino, Leclerc, Coopérative U, Metro, Carrefour, Intermarché), de petites boucheries, un abattoir et des usines agroalimentaires coopératives ont été touchés. Des équipements Schneider Electric de plusieurs petites installations hydroélectriques françaises ont été visés en même temps, avec des effets modérés. Les 1er et 2 novembre : des magasins en Belgique, au Luxembourg, en Suède, en Estonie, en Irlande, en Finlande, au Portugal, en Italie et aux Pays-Bas, dont au moins 17 commerces néerlandais.[2][4][6][9] Vérifié le 9 nov. 2026

Acteur

Shahid Kaveh →

Chronologie

1. 12 oct. 2026Dans la nuit du 11 au 12 octobre, des équipes de magasins français constatent que les congélateurs se réchauffent. Le CERT-FR publie une alerte sur de « nombreuses compromissions » de contrôleurs à distance d'installations de réfrigération (Danfoss AK-SM et AK-SC, Copeland xweb, Dixell xweb). [1][3]
2. 13 oct. 2026Le ministre des Finances indique au Parlement qu'environ 700 des 10 000 supermarchés français sont touchés. Le parquet de Paris ouvre une enquête. Danfoss indique que la plupart des systèmes touchés sont d'anciens produits sans mises à jour. [2][4]
3. 21 oct. 2026Le directeur général de l'ANSSI, Vincent Strubel, dit à une commission du Sénat que les attaques viennent de défauts de sécurisation élémentaires, à commencer par des équipements frigorifiques exposés directement sur Internet. [7]
4. 2 nov. 2026Dans la nuit du 1er au 2 novembre, une deuxième vague touche des magasins en Belgique, au Luxembourg, en Suède, en Estonie, en Irlande, en Finlande, au Portugal, en Italie et aux Pays-Bas. Danfoss indique que ses produits sont concernés. [5][6]
5. 2 nov. 2026La même nuit, des chambres froides de trois sites de l'Établissement français du sang sont manipulées via un prestataire. L'EFS a sa propre fiche dans la Veille. [7]
6. 3 nov. 2026Au 3 novembre, aucun groupe n'a revendiqué la deuxième vague. Le parquet fédéral belge a ouvert une enquête pénale. [6]
7. 9 nov. 2026La France attribue l'attaque d'octobre à l'Iran. Le ministère des Affaires étrangères désigne Shahid Kaveh, une unité cyberoffensive du centre électronique et cyber des Gardiens de la Révolution, et parle de la première campagne cyberoffensive menée purement à des fins de sabotage sur le territoire national. Le rapport commun du Centre de coordination des crises cyber (ANSSI, DGSE, DGSI, DGA, COMCYBER) s'appuie sur « un faisceau d'indices » : la même infrastructure utilisée pour repérer des équipements Schneider Electric depuis avril 2026, l'outil de scan FOFA, une revendication relayée par CyberbanNews dès le 13 octobre et des traces de farsi. La France va convoquer l'ambassadeur d'Iran et proposer de nouvelles sanctions européennes. [8][9]
8. 9 nov. 2026Le parquet de Paris ouvre une information judiciaire visant le chef du centre cyber des Gardiens de la Révolution et deux commandants de Shahid Kaveh, et demande des mandats d'arrêt internationaux. Lundi soir, l'Iran n'avait pas réagi, selon The Record. [9][10][11]
9. 10 nov. 2026Sur franceinfo, le ministre des Affaires étrangères Jean-Noël Barrot indique qu'au-delà de la convocation de l'ambassadeur et des sanctions européennes, la France « ne s'interdit rien », y compris des mesures « dont nous ne ferons pas état publiquement ». Interrogé sur une implication de l'Iran dans les attaques visant un prestataire frigorifique de l'EFS, le Crédit Mutuel Arkéa et la Direction des finances publiques, il dit ne pas pouvoir répondre tant que les enquêtes sont en cours. [12]