50 °C au rayon surgelés : La nuit où les installations frigorifiques se sont mises à chauffer

Des attaques contre des installations frigorifiques obligent des supermarchés européens à jeter des denrées alimentaires. Ces incidents révèlent une possibilité inquiétante : même les fonctions prévues pour le fonctionnement normal peuvent provoquer des dégâts. La question décisive n’est donc pas seulement de savoir comment les attaquants entrent, mais ce qui peut encore les arrêter une fois à l’intérieur.

Le premier signe est une flaque d’eau.
Le lundi 2 novembre 2026 au matin, Mats Olsson entre dans son magasin ICA à Böda, sur l’île suédoise d’Öland, et découvre de l’eau sur le sol. Il explique à la chaîne suédoise SVT que son installation de congélation a atteint 55 °C et que ses produits frais et surgelés sont perdus. Le magasin reste ouvert, mais il manque précisément les produits que ses équipements étaient censés maintenir au froid.

À Stockholm aussi, l’incident commence en pleine nuit. Selon la responsable des ventes Engla Ingwall, l’attaque contre les installations de congélation de son magasin ICA débute vers deux heures du matin. Elle passe inaperçue pendant plusieurs heures. Interrogée par Reuters, elle fait état d’une température de 50 °C et de marchandises perdues. Lorsque la manipulation informatique est découverte, la physique a déjà fait son œuvre.

Au fil de la journée du 2 novembre, des signalements similaires arrivent de Belgique, du Luxembourg et d’Estonie. Aux Pays-Bas, Danfoss confirme à NOS qu’au moins 17 entreprises ont été touchées, dont de petits commerces alimentaires et un entrepôt de produits surgelés. Trois semaines auparavant, une attaque comparable avait frappé des centaines de magasins en France. Au moment de la rédaction, les informations publiques ne permettaient pas de déterminer si les mêmes attaquants étaient responsables.

Mais la question immédiate ne dépend pas de leur identification : comment une installation conçue pour refroidir devient-elle une source de chaleur ? La réponse se trouve dans une fonction prévue pour son fonctionnement normal.

La machine fait ce qu’on lui demande. Mais pas pour la bonne personne.

De la glace peut s’accumuler sur l’évaporateur d’une installation frigorifique. Il faut l’éliminer régulièrement pour maintenir un échange thermique efficace. Selon la conception de l’installation, le dégivrage consiste à interrompre le refroidissement ou à apporter activement de la chaleur, au moyen de résistances électriques ou de fluide frigorigène chaud. Une installation frigorifique peut donc produire de la chaleur ou en introduire délibérément. Dans le cadre d’un cycle de dégivrage normal, ce n’est pas un dysfonctionnement.

Les facteurs déterminants sont la durée, l’enchaînement des opérations et les limites. Lors des incidents belges, le prestataire frigoriste Sabcobel a indiqué que des évaporateurs avaient été placés à distance en mode dégivrage. Les attaquants n’ont pas eu besoin d’inventer une nouvelle fonction. Ils ont détourné une fonction existante pour lui faire produire l’inverse de l’effet recherché.

Derrière un meuble frigorifique se trouve souvent toute une hiérarchie de commande. Des régulateurs locaux fonctionnent avec des capteurs et des vannes ; un gestionnaire de système de niveau supérieur centralise les informations et permet l’administration à distance. Le Danfoss AK-SM 800A étudié par Claroty dispose d’une interface web intégrée permettant notamment de gérer les limites de température, les programmations horaires, les alarmes et les comptes utilisateurs. Cela évite le déplacement d’un technicien et confère un pouvoir considérable à quiconque dispose de l’accès nécessaire.

Ces systèmes relèvent des technologies opérationnelles, ou OT : des technologies qui surveillent ou influencent des processus physiques. Ici, une commande ne se contente pas de modifier un enregistrement de données. Elle peut déterminer ce qu’une vanne, un moteur ou un élément chauffant fera ensuite.

Modifier un processus de manière malveillante ne nécessite pas forcément de prendre le contrôle du système d’exploitation. Un accès opérateur doté de privilèges suffisants peut suffire. Dans son référentiel ATT&CK pour les systèmes de contrôle industriels, MITRE décrit ce schéma d’attaque sous le nom de « Modify Parameter » (T0836) : des paramètres de fonctionnement modifiés amènent un régulateur par ailleurs opérationnel à exécuter une séquence d’opérations indésirable. Ce constat ne permet pas, à lui seul, d’établir si un logiciel malveillant a également été utilisé lors de ces incidents.

La distinction est essentielle. Rechercher uniquement des fichiers malveillants peut faire passer à côté d’une manipulation malveillante des commandes. La commande peut être formellement valide, le logiciel peut la traiter correctement et l’équipement peut malgré tout faire ce qu’il ne devrait pas. Un voyant vert ne renseigne que sur ce qu’il surveille réellement. « Le système fonctionne » ne signifie pas « le processus est maîtrisé ».

Les températures spectaculaires rapportées exigent la même précision. Il ne faut pas confondre les températures de consigne, celles de l’évaporateur, de l’air et des produits. Porter un réglage de température à 50 °C ne prouve pas que les aliments ont eux-mêmes atteint cette température. Un magasin touché en Estonie l’illustre : malgré un réglage à 50 °C, la hausse de température réelle signalée est restée faible. Ce qui a fait la différence, c’est la rapidité de la réaction.

La porte latérale qui contourne la sécurité informatique de l’entreprise

Le chemin vers les installations frigorifiques ne passe pas nécessairement par le réseau central de l’entreprise. ICA a indiqué que les connexions des magasins touchés fonctionnaient en dehors de ce réseau. Ce n’est pas un compte rendu d’investigation numérique complet. Cela explique toutefois pourquoi une informatique d’entreprise protégée par des professionnels ne sécurise pas automatiquement tous les accès de maintenance de chaque magasin.

Une installation peut être séparée du réseau des caisses tout en conservant une connexion non protégée vers l’extérieur. Le NCSC britannique met explicitement en garde contre les voies de communication supplémentaires que peuvent installer les prestataires, notamment leurs propres liaisons mobiles. Examiner uniquement les connexions connues de l’entreprise peut laisser ces accès passer inaperçus. Ce qui compte, c’est la connexion réelle au régulateur, et non la frontière entre les responsabilités des différentes équipes.

L’équipe Team82 de Claroty a documenté l’ampleur potentielle de cette surface d’attaque au moyen d’une requête qui a identifié 2 765 appareils de la plateforme étudiée accessibles publiquement. Il s’agissait d’un instantané de l’exposition, pas d’une liste de supermarchés piratés. Mais ce constat réfute l’hypothèse rassurante selon laquelle ces interfaces d’administration seraient toujours dissimulées au cœur de réseaux d’entreprise fermés.

Aux Pays-Bas, les informations publiées jusqu’ici évoquent davantage des protections insuffisantes qu’une attaque inédite et très sophistiquée. Un porte-parole de Danfoss a déclaré à NOS que les systèmes touchés utilisaient des mots de passe par défaut et n’étaient pas reliés par un réseau protégé. Il a ajouté que le fabricant avait déjà recommandé de supprimer les accès directs à Internet après l’incident français. Il s’agit de la version du fabricant, et non d’une reconstitution indépendante de chaque cas.

Des vulnérabilités des produits sont également documentées. Pour la série AK-SM-8xxA, Danfoss répertorie CVE-2025-41450 comme un problème d’authentification affectant les versions antérieures à 4.2. Pour les versions antérieures à 4.3.1, CVE-2025-41451 décrit une possibilité d’exécution de commandes au niveau du système d’exploitation, tandis que CVE-2025-41452 concerne une configuration du serveur web pouvant être manipulée et entraîner un déni de service. Ces deux dernières vulnérabilités nécessitent une authentification réussie.

Team82 a aussi décrit un mécanisme de connexion alternatif, le « Code of the Day », qui permettait de contourner la procédure de connexion normale. Le problème de fond : un mot de passe administrateur robuste ne protège pas contre toutes les failles d’un mécanisme d’accès supplémentaire.

Les sources publiques examinées ne permettent pas d’établir lesquelles de ces vulnérabilités, le cas échéant, ont été exploitées dans les attaques actuelles. Il faut également éviter de confondre les familles de produits : le CERT-FR cite les systèmes Danfoss AK-SM et AK-SC, ainsi que les systèmes XWEB de Copeland et de Dixell. Une seule CVE ne peut donc pas expliquer tous les incidents.

Un autre problème reste invisible dans les rayons : le vieillissement des équipements. Selon le fabricant, l’ancien Danfoss AK-SM 800 a été classé en fin de vie en mai 2021. En octobre 2025, Danfoss a rappelé la fin du support des anciens produits concernés. Ce gestionnaire de système ne doit pas être confondu avec la plateforme 800A, plus récente. Les mises à jour de cette dernière ne peuvent pas simplement être appliquées à tous les anciens appareils.

L’équipement peut continuer à fonctionner mécaniquement alors que son régulateur numérique n’est plus pris en charge. « Il refroidit encore » décrit alors sa fonction actuelle, pas la sécurité de son accès de maintenance.

Qu’est-ce qui peut encore arrêter un attaquant déjà connecté ?

La première ligne de défense doit se situer en amont de l’interface d’administration : aucune exposition directe à Internet, un accès distant sécurisé, des comptes individuels et, autant que possible, une authentification multifacteur résistante au hameçonnage. Le CERT-FR et le NCSC recommandent cette approche. Elle rend l’accès initial plus difficile. Mais une architecture résiliente doit ensuite répondre à une seconde question : que peut réellement faire un attaquant par un accès compromis ?

L’authentification vérifie les éléments d’authentification. L’autorisation détermine les actions qu’un compte peut effectuer. La validation des paramètres de fonctionnement doit garantir qu’une modification autorisée ne fait pas sortir le processus de ses conditions de fonctionnement approuvées. Ces trois fonctions ne sont pas interchangeables. MITRE préconise donc à la fois des droits de modification fondés sur les rôles et la validation des valeurs transmises directement dans la logique de commande.

Appliqué au froid, cela signifie qu’un compte de maintenance autorisé à demander un cycle de dégivrage ne devrait pas automatiquement pouvoir modifier toutes les limites qui l’encadrent. Consulter l’état de fonctionnement, effectuer des opérations de commande courantes et modifier les paramètres de protection exigent des droits différents. Un passe-partout transforme la compromission d’une seule identité en un problème bien plus vaste.

Ces limites n’ont rien d’abstrait. La documentation du régulateur Danfoss AK-CC 750 décrit, par exemple, des conditions de fin de dégivrage fondées sur la température et sur le temps. Cela ne prouve pas que ce régulateur était utilisé dans les magasins touchés. Cela montre en revanche les questions qu’un examen technique doit poser : quelles limites existent, où sont-elles appliquées et qui peut les modifier ?

Vérifier séparément que chaque valeur se situe dans une plage numérique autorisée ne suffit pas toujours. Une stratégie de protection robuste doit aussi tenir compte des interactions entre la durée, la répétition et l’état de l’installation. Les limites de fonctionnement applicables sont celles définies par le fabricant et par la conception technique du système. Un formulaire dans un navigateur ne constitue pas une frontière de sécurité suffisante : la validation doit être appliquée là où le régulateur accepte et traite réellement les modifications.

Le degré de compromission auquel les protections sont conçues pour résister est tout aussi important. L’utilisation abusive d’un compte opérateur et la compromission complète d’un régulateur sont deux scénarios différents. Une vérification logicielle locale peut limiter les actions d’un compte aux privilèges restreints. Mais un attaquant qui contrôle également le logiciel ou sa configuration de protection peut éventuellement modifier cette même vérification. La conséquence pour l’examen de l’architecture est claire : les protections doivent rester indépendantes face au scénario d’attaque considéré, et pas seulement sur l’organigramme.

La question de fond est de savoir si les fonctions de protection sont réellement indépendantes. Si le même accès administrateur permet à la fois de modifier le processus et de désactiver ses limites, ces fonctions ne constituent pas des couches de protection indépendantes. S’il permet aussi d’agir sur les alarmes, ce même accès compromis peut retarder la détection. Le NIST met explicitement en garde contre une séparation insuffisante entre les fonctions de commande et de protection dans les systèmes OT.

Pour une installation frigorifique, cela suggère un critère d’examen clair : une surveillance de température supplémentaire est particulièrement utile lorsque sa configuration et son circuit de transmission des alarmes ne dépendent pas entièrement du même système d’administration. Deux capteurs partageant une interface d’administration susceptible d’être compromise ne constituent pas, à eux seuls, deux couches de protection indépendantes. Une alarme ne remplace pas non plus un mécanisme imposant des limites au processus : dans un premier temps, elle ne fait qu’avertir quelqu’un d’un problème.

Cela explique aussi les limites d’une approche exclusivement réseau. Un pare-feu peut restreindre les connexions à certains correspondants réseau et services. Cela ne signifie pas pour autant que toute opération effectuée via une connexion autorisée soit appropriée. Une inspection approfondie des commandes exige une connaissance du protocole et un accès à leur contenu. Le chiffrement protège les données en transit ; il ne garantit pas que l’instruction transmise est pertinente sur le plan opérationnel.

Les informations publiques ne décrivent pas complètement les protections présentes dans les installations touchées ni celles qui ont échoué. La question d’architecture reste néanmoins précise : quelle fonction l’accès distant peut-il déclencher, et quelle protection en aval peut encore empêcher une séquence dangereuse ? Renforcer la segmentation du réseau aide à bloquer les voies de communication non autorisées. Se défendre contre une opération dangereuse mais autorisée exige aussi des droits adaptés et des limites de fonctionnement.

Les minutes où les dégâts peuvent encore être évités

En Estonie, la nuit s’est terminée autrement. Un magasin Selver a été touché après que des attaquants ont accédé à l’ordinateur de commande d’une ancienne installation. Le prestataire a indiqué être intervenu en une dizaine de minutes. Selon ses indications, la température réelle n’a augmenté que de 2 à 3 °C et aucun aliment n’a été endommagé. Selver a précisé qu’il s’agissait du dernier site où le système plus récent n’avait pas encore été déployé.

Dix minutes ne constituent pas une marge de sécurité universelle. Ce cas montre à quel point le temps qui s’écoule après qu’un attaquant a obtenu un accès peut être décisif. La planification doit prendre en compte toute la réponse : détecter un écart, l’évaluer, prendre une décision et intervenir efficacement. Ces étapes doivent tenir dans le délai que le processus concerné laisse encore disponible. Une alarme immédiate est peu utile si personne n’est chargé d’y répondre ou n’est en mesure d’agir.

Dans la mesure du possible, la détection doit donc commencer avant que les pertes de marchandises ne deviennent visibles. Un dégivrage nocturne n’est pas suspect en soi. Une modification est plus révélatrice lorsqu’elle provient d’une source inattendue, sort de la plage de fonctionnement approuvée ou ne correspond pas à un ordre de maintenance confirmé. MITRE recommande de corréler ces observations avec les données de fonctionnement recueillies ensuite. Ce n’est pas seulement la nouvelle valeur qui compte, mais ce que l’équipement fait réellement ensuite.

Pour les installations frigorifiques, les signes à examiner pourraient être des durées de dégivrage inhabituelles, des seuils d’alarme modifiés ou des écarts simultanés sur plusieurs appareils. Il s’agit de pistes de détection possibles, pas d’une reconstitution de cette vague d’attaques. Le contexte d’exploitation aide également à éviter les fausses alertes : un essai approuvé ne doit pas être évalué comme une modification inexpliquée. Mais une plage de maintenance planifiée ne doit pas devenir un prétexte pour ignorer sans examen toute l’activité qui s’y déroule.

Les journaux doivent permettre cette comparaison. Des enregistrements utiles indiqueraient le compte utilisé, l’appareil concerné, la modification et son horodatage. Lorsqu’ils sont disponibles, la valeur précédente et l’ordre de maintenance associé devraient également pouvoir être reliés à la modification. Cela reflète un principe souligné par le NCSC : la journalisation doit servir des objectifs de détection précis, et non simplement accumuler des données. Des journaux examinés seulement après les dégâts ne permettent pas de donner l’alerte à temps.

Quelqu’un doit ensuite pouvoir interrompre la séquence. Le NCSC recommande des plans d’isolement testés : quelle connexion peut être bloquée ? Quelles fonctions doivent continuer localement ? Comment le prestataire prend-il le relais lorsque la télémaintenance est indisponible ? La bonne réponse ne consiste pas nécessairement à couper l’alimentation de toute l’installation. Elle doit protéger les personnes et ramener le processus à un état prédéfini et maîtrisable.

Le plan doit aussi préciser quelle visibilité sur l’installation subsiste après l’isolement. Si la déconnexion de la télémaintenance coupe par inadvertance l’unique canal d’alarme, l’équipe d’astreinte perd précisément le retour d’information dont elle a besoin. Le test ne consiste pas seulement à vérifier si l’accès peut être coupé, mais aussi si les responsables peuvent encore constater que leur contre-mesure fonctionne.

Une distinction est facile à oublier : l’isolement réseau n’annule pas automatiquement les réglages déjà modifiés. Il peut empêcher de nouveaux accès alors que l’équipement continue à fonctionner avec les paramètres manipulés. Les spécialistes doivent donc vérifier non seulement le chemin d’accès, mais aussi l’état de fonctionnement réel et la configuration. Ni « l’équipement n’est plus accessible » ni « il fonctionne à nouveau » ne suffisent à affirmer que le danger est écarté.

Lorsque cela peut se faire sans créer de risque supplémentaire, les journaux et configurations pertinents doivent être sauvegardés avant une réinitialisation. La préservation des preuves ne doit toutefois pas retarder les mesures de protection nécessaires. Le rétablissement du froid ne suffit pas, à lui seul, à résoudre l’incident de sécurité : le CERT-FR met expressément en garde contre la simple réinitialisation d’anciens appareils vulnérables suivie de leur remise en ligne sans protection. La faiblesse initiale peut alors rester intacte.

Le rétablissement exige donc plus qu’un redémarrage réussi. La configuration doit correspondre à une configuration de référence approuvée, et le processus physique doit à nouveau fonctionner dans les limites prévues. L’installation d’un nouveau micrologiciel ne suffit pas à établir que le processus est revenu dans ces limites. La clôture de l’incident nécessite une vérification à la fois technique et opérationnelle.

La préparation n’est donc pas seulement technique. Avant tout incident, les exploitants et les prestataires de maintenance doivent savoir qui est autorisé à bloquer un accès la nuit, qui prend en charge l’installation sur place et qui est responsable des mises à jour ou du remplacement. Externaliser la maintenance ne supprime pas ces responsabilités. Cela rend encore plus important un accord clair sur le rôle de chacun.

La prochaine fois que tu te trouveras devant un meuble frigorifique, tu verras d’abord des aliments. Derrière eux se cache une chaîne de capteurs, de logiciels, de droits d’accès et de décisions. La question de sécurité n’est pas seulement de savoir quelles données un appareil stocke. Elle est aussi de savoir ce qu’il est autorisé à modifier dans son environnement, et qui peut intervenir à temps pour l’empêcher de faire ce qu’il ne devrait pas.

Sur Öland, une flaque d’eau a rendu l’incident visible. En Estonie, l’exploitant a indiqué que les aliments étaient restés intacts. Entre ces deux issues se situe le véritable défi de la sécurité : détecter l’attaque avant que les dégâts ne la révèlent, et conserver des protections efficaces même après qu’un attaquant a obtenu un accès.

Une sauvegarde peut restaurer une configuration. Elle ne peut pas effacer les heures passées sans réfrigération suffisante.

Une cyberattaque n’a pas besoin de détruire une machine. Il lui suffit parfois de lui faire faire ce qu’elle ne devrait pas.