Ep. Spécial du dimanche 18 octobre 2026 – Synthèse sur l’attaque des frigos en hyper (783)

🐛 Avant l’attaque : selon Nozomi Networks, Synacktiv documente dès mai 2023 un contournement d’authentification par code du jour sur les gestionnaires Danfoss SM800, SC255 et SC355, sans correctif car en fin de vie ; l’AK-SC 355 est retiré en 2016, l’AK-SM 800 en fin de vie en 2021, et Danfoss annonce l’arrêt complet du service en octobre 2025. Le 9 août 2026, Claroty Team82 publie sur l’AK-SM 800A la CVE-2025-41450 (code du jour, CWE-287, authentification incorrecte, CVSS 8,2), chaînée avec la CVE-2025-41451 (CWE-77, injection de commande dans la configuration des alertes par email, CVSS 7,6) jusqu’à l’exécution de code, ainsi que la CVE-2025-41452 (CWE-15, déni de service de l’interface, CVSS 5,4). Selon Censys, la CVE-2025-41450 est corrigée en version 4.2 et les deux autres en 4.3.1 ; Claroty recommande R4.3.1 ou ultérieure et comptait 2 765 AK-SM 800A exposés. Fin août, au moins six supermarchés de bases militaires américaines ont subi des pannes de froid, sans lien établi avec la France.

🧊 Nuit du 11 au 12 octobre : les attaquants entrent par l’interface web exposée des gestionnaires de froid (MITRE ATT&CK for ICS, T0883, Internet Accessible Device) et forcent un dégivrage continu avec une consigne à 50 °C (T0836, Modify Parameter), pendant six heures selon Les Mousquetaires. Selon Le Monde, cité par TIME, certains cycles passent d’une heure à huit heures pour retarder les alarmes, que le contrôleur suspend normalement pendant un dégivrage. Le parquet de Paris fait état de départs de feu. Le vecteur d’accès n’est pas confirmé publiquement.

🛒 Enseignes : au moins 300 points de vente Intermarché et Netto selon l’AFP (150 à 200 annoncés au départ), moins d’une centaine de Système U, 80 Carrefour, 5 % des Monoprix et plusieurs E.Leclerc. Total estimé entre au moins 350 supermarchés (Reuters) et environ 500 magasins (Cooling Post), sans décompte officiel. Thierry Cotillard évoque des dizaines de millions d’euros de pertes, Intermarché indique que les assurances ne couvrent pas ce type d’incident, et la FCD réclame une transparence totale.

🏭 Danfoss : incidents sur un nombre limité de systèmes selon le fabricant, majoritairement des AK-SM 800 (fin de vie en 2021) et AK-SC 355 (retirés en 2016) sans mise à jour de sécurité ; les AK-SM 800A touchés tournaient sur un ancien firmware. Mesures annoncées : mises à jour quand elles existent, protections réseau renforcées, fin de l’exposition directe à Internet. France Inter date le correctif d’un peu plus d’un mois avant l’attaque, Censys de 2025 (versions 4.2 et 4.3.1).

🇫🇷 État : le parquet de Paris s’est saisi d’office le 12 octobre, enquête confiée à l’OFAC. Sébastien Lecornu a saisi l’ANSSI, qui a identifié une vulnérabilité non précisée dans un logiciel de Danfoss, selon l’entourage du Premier ministre cité par franceinfo. Ni rançon ni vol de données selon France Inter.

🚨 CERT-FR : alerte CERTFR-2026-ALE-012 du 12 octobre, mise à jour le 13 octobre (systèmes affectés : Danfoss séries AK-SM et AK-SC, Copeland xweb, Dixell xweb) et le 16 octobre (recommandations) ; campagnes probablement toujours en cours. Recommandations : supprimer l’exposition Internet de toutes les unités sur adresse IP publique, vérifier les conditions d’assurance avant de couper la remontée des données vers le frigoriste, vérifier les plages de dégivrage, rétablir l’accès par VPN sécurisé ou réseau protégé, filtrer les IP des frigoristes en urgence seulement ; en cas de compromission, redémarrage ou Reset Factory, insuffisant sur un équipement en fin de vie. Pour Danfoss : mise à jour du firmware, niveau de sécurité Strict et changement des mots de passe par défaut ; Dixell publie des recommandations pour ses superviseurs XWEB.

📈 Exposition : ONYPHE compte 6 212 adresses IP exposant StoreView Browser, dans 558 ASN et 95 pays, près de la moitié en France, surtout chez des opérateurs télécoms (Orange AS3215, Proximus AS5432), majoritairement sur ports non standard et souvent en HTTP ; 12 versions observées, de 01.0.124 à 01.0.170. Censys compte 2 991 interfaces StoreView le 11 octobre, dont 1 825 en France (61 %) et 1 158 françaises antérieures à 4.2 (mot de passe administrateur déduit de la date) ; en France, 537 restent exposées le 14 octobre, corrigées ou non au même rythme (baisse d’environ 70 %). Firmware actuel selon Censys : 5.3.2.

🇪🇺 Europe : selon Reuters, Félix Aimé (Sekoia) cite l’Espagne, le Portugal, la Pologne, l’Allemagne et la Belgique parmi les pays touchés, sans détail. ONYPHE signale une alerte du Centre pour la cybersécurité Belgique et une forte exposition en Belgique et en Pologne ; selon Censys, 81 % des hôtes polonais exposés sont antérieurs à 4.3.1. Incident distinct chez Ahold Delhaize le 12 octobre, sans lien selon le NCSC néerlandais cité par Nozomi Networks.

⚖️ Réglementation : le règlement (CE) n° 37/2005 impose pour les surgelés des enregistreurs de température de l’air conformes aux normes EN 12830, EN 13485 et EN 13486, des relevés datés conservés au moins un an, et un simple thermomètre visible pour les meubles de vente au détail ; il ne mentionne aucune connexion réseau. Selon Nozomi Networks, Danfoss lie l’arrêt du service sur ses anciens produits à la législation européenne de cybersécurité ; les exigences de l’annexe I du Cyber Resilience Act s’appliquent à partir du 11 décembre 2027 aux produits mis sur le marché à cette date.

🔎 Inconnues au 18 octobre : aucune revendication ni demande de rançon signalée, aucun vecteur d’accès confirmé par le CERT-FR ou Danfoss, aucun lien établi avec les CVE publiées par Claroty, qui n’a pas testé les AK-SM 800 et AK-SC 355. L’hypothèse d’une campagne visant l’approvisionnement alimentaire français reste à confirmer selon ONYPHE.

Sources :

• Frigo d’importance vitale : analyse de la cyberattaque sur la grande distribution. ONYPHE : https://blog.onyphe.io/frigo-dimportance-vitale-analyse-de-la-cyberattaque-sur-la-grande-distribution/
• Freeze the Controller, Defrost the Food: Uncovering Vulnerabilities in Danfoss Refrigeration Controllers. Claroty Team82 : https://claroty.com/team82/research/freeze-the-controller-defrost-the-food-uncovering-vulnerabilities-in-danfoss-refrigeration-controllers
• Frostbitten in France: A Danfoss StoreView Internet Exposure Report. Censys : https://censys.com/blog/frostbitten-in-france-a-danfoss-storeview-internet-exposure-report/
• Hackers heat French supermarket fridges, sparking fires and spoiling food. Reuters, repris par Daily Maverick : https://www.dailymaverick.co.za/article/2026-10-12-hackers-heat-french-supermarket-fridges-sparking-fires-and-spoiling-food/
• Incident de sécurité ciblant les contrôleurs à distance des installations de réfrigération (CERTFR-2026-ALE-012). CERT-FR : https://cert.cyber.gouv.fr/alerte/CERTFR-2026-ALE-012/
• Des supermarchés français touchés par une cyberattaque de leurs installations frigorifiques. AFP, repris par Noovo Info : https://www.noovo.info/nouvelles/international/article/des-supermarches-francais-touches-par-une-cyberattaque-de-leurs-installations-frigorifiques/
• Recommandations pour une utilisation sécurisée des superviseurs XWEB. Dixell : https://dixell.fr/wp-content/uploads/2026/10/Recommandations-pour-une-utilisation-securisee-des-superviseurs-XWEB-v1.0.pdf
• VÉRIF’ : Cyberattaque dans la grande distribution, les frigos des supermarchés doivent-ils être connectés à Internet ? TF1 Info : https://www.tf1info.fr/societe/verif-piratages-informatiques-dans-la-grande-distribution-les-frigos-des-supermarches-ont-ils-besoin-d-etre-connectes-a-internet-2470189.html
• Règlement (CE) n° 37/2005 de la Commission du 12 janvier 2005 relatif au contrôle des températures dans les moyens de transport et les locaux d’entreposage et de stockage des aliments surgelés destinés à l’alimentation humaine. EUR-Lex : https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=CELEX:02005R0037-20050202
• Comment des frigos de centaines de supermarchés ont-ils été piratés pour faire monter leur température ? France Inter : https://www.radiofrance.fr/franceinter/podcasts/l-info-de-france-inter/comment-des-frigos-de-centaines-supermarches-ont-ils-ete-pirates-pour-faire-monter-leur-temperature-8147083
• Cyberattack on Supermarket Fridges in France Highlights Food Systems’ Vulnerability. TIME : https://time.com/article/2026/10/13/france-cyber-attack-cybersecurity-refrigeration-supermarket-food-security/
• Des supermarchés français touchés par une cyberattaque inédite de leurs installations frigorifiques. AFP, repris par Hespress : https://fr.hespress.com/491957-des-supermarches-francais-touches-par-une-cyberattaque-inedite-de-leurs-installations-frigorifiques.html
• Des magasins Système U, Intermarché, E.Leclerc et Monoprix touchés par une cyberattaque contre leurs installations frigorifiques. franceinfo : https://www.franceinfo.fr/internet/securite-sur-internet/cyberattaques/des-magasins-systeme-u-et-intermarche-touches-par-une-cyberattaque-contre-leurs-installations-frigorifiques_8233720.html
• Danfoss moves to mitigate cyberattack. Cooling Post : https://www.coolingpost.com/world-news/danfoss-moves-to-mitigate-cyberattack/
• French Supermarket Fridge Cyberattacks and the Risks of Internet-Connected OT. Nozomi Networks : https://www.nozominetworks.com/blog/french-supermarket-fridge-cyberattacks-and-the-risks-of-internet-connected-ot

⚡️ On ne réfléchit pas, on patch !

📞 Répondeur : 07 68 72 20 09 📩 Email : contact@radiocsirt.org 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com

#CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #Danfoss #Copeland #Dixell #OT #ICS #ChaineDuFroid #GrandeDistribution #Intermarche #CooperativeU #Carrefour #Leclerc #Monoprix #ANSSI #CERTFR #ONYPHE #Censys #Claroty #Team82 #NozomiNetworks #Sekoia #CyberResilienceAct #CVE-2025-41450 #CVE-2025-41451 #CVE-2025-41452 #RadioCSIRT