Pourquoi un congélateur a un radiateur que des pirates allument

Dans la nuit du 2 novembre 2026, les congélateurs d’un supermarché ICA Kvantum de Sjöbo, petite ville suédoise, se sont mis à chauffer. Au matin, le magasin annonçait sur Facebook que ses réfrigérateurs et congélateurs avaient été piratés et réglés à 50 °C, et que le personnel jetait les produits concernés. La même nuit, des pannes semblables ont touché des dizaines de magasins dans quatre autres pays, a rapporté l’Associated Press.

C’est la troisième vague. En août, des réfrigérateurs sont tombés en panne de la même façon dans des magasins de bases militaires américaines, et le Pentagone y voit désormais une possible cyberattaque. En octobre, environ 700 supermarchés ont été touchés en France. Le plus étrange : personne n’a saboté la réfrigération. Les attaquants ont allumé ce que toute vitrine de surgelés possède déjà : une résistance chauffante intégrée. Et sur la plupart des pupitres de commande frigorifique français accessibles depuis Internet un mois plus tôt, il suffisait d’un calendrier pour deviner le mot de passe administrateur.

Pourquoi un congélateur a un radiateur

L’air d’un magasin est humide. Quand il touche les serpentins glacés d’une vitrine, son humidité s’y dépose en givre, et le givre agit comme un manteau d’hiver : plus il s’épaissit, moins les serpentins diffusent le froid. Un congélateur professionnel se dégivre donc à heures fixes. Une résistance s’allume, le givre fond, l’eau s’écoule, et la vitrine repart en froid. En temps normal, cela prend environ deux heures par jour, selon le site économique suédois Dagens PS.

Les attaquants ont ordonné aux contrôleurs de dégivrer sans arrêt et ont relevé la consigne de chauffe à 50 °C. Dans certains magasins français, selon Le Monde, ils ont aussi fait passer chaque cycle de dégivrage d’une heure à huit. De quoi retarder les alarmes et laisser les dégâts s’étendre.

Là où quelqu’un surveillait, l’attaque a été vite repérée. En Estonie, rapporte l’AP, la société de maintenance Kitman Coldtech a surpris des intrus sur un ordinateur qui pilotait la réfrigération d’un client. Là aussi, ils avaient déjà poussé la température à 50 °C. Selon son PDG, Jann Mutso, tout a été réglé en quelques minutes, sans dégâts notables.

Les 50 °C ont fait tous les gros titres, mais c’est la consigne de la résistance, pas la température dans les rayons. L’afficheur d’un congélateur à glaces français indiquait 26 °C, selon Dagens PS. Pour les glaces, la nuance n’a guère compté. Les surgelés doivent rester à −18 °C ou moins ; de brèves remontées à −15 °C sont tolérées, au-delà, plus question de les vendre. Les magasins ont donc tout jeté. « Nous avons dû jeter l’ensemble de nos produits frais (boucherie comprise) », a écrit un Intermarché de Mûr-de-Bretagne.

Trois vagues depuis août

Les premiers cas semblables sont apparus hors d’Europe. Fin août 2026, le froid a lâché dans au moins six magasins de bases militaires américaines, a découvert Reuters. Le 26 août, Fort Huachuca, en Arizona, a annoncé qu’un réfrigérateur était passé de lui-même en mode dégivrage et avait réchauffé les aliments jusqu’à ce qu’ils se gâtent. Reuters n’a pas pu établir quel fabricant avait équipé les bases.

Dans la nuit du 11 au 12 octobre, la même chose s’est produite en France, dans des centaines de magasins à la fois. Le ministre de l’Économie et des Finances, Roland Lescure, a indiqué aux députés qu’environ 700 des 10 000 supermarchés du pays étaient touchés. « C’est inacceptable », a écrit Dominique Schelcher, PDG de Coopérative U. Deux supermarchés de Haguenau, en Alsace, ont perdu à eux deux 270 000 € de denrées, a calculé Dagens PS. Intermarché a prévenu que ses assurances ne couvrent pas ce type d’incident dans ses magasins. Le parquet de Paris enquête sur l’attaque, y compris sur les pertes et sur des signalements d’incendies dans certains magasins.

Dans une alerte urgente, l’agence française de cybersécurité a nommé le fabricant du matériel : le danois Danfoss. Le lendemain, elle a ajouté deux autres fabricants et prévenu que les attaques se poursuivaient probablement. Trois semaines plus tard, les faits lui ont donné raison : le 2 novembre, plusieurs dizaines de magasins Delhaize, Carrefour et SuperValu ont été touchés en Belgique, au Luxembourg et en Irlande. Le soir même, les magasins irlandais regarnissaient déjà leurs rayons froids.

Un mot de passe sorti du calendrier

Le Danfoss AK-SM 800A est, en pratique, le pupitre central du froid d’un magasin. Depuis une page web, le personnel surveille chaque circuit, fixe les seuils de température, modifie les horaires de dégivrage et corrige les réglages à distance. Autrefois, les installations frigorifiques étaient coupées d’Internet ; aujourd’hui, elles y sont reliées pour les capteurs et la télésurveillance, a expliqué à l’AFP le consultant en cybersécurité Antoine Hautin. Une société de maintenance peut surveiller les vitrines de tous ses clients depuis ses propres bureaux.

Les chercheurs de Claroty, une entreprise de cybersécurité industrielle, ont trouvé dans ce pupitre un « code du jour » caché : un mot de passe de service que l’appareil recalcule chaque jour à partir de la seule date. Reproduisez le calcul, et vous entrez en administrateur sans connaître le vrai mot de passe. Les chercheurs ont signalé la faille, et en mars 2025 Danfoss l’a corrigée avec le firmware 4.2. Amir Zaltzman, de Claroty, a publié une analyse détaillée le 9 août 2026.

Les propriétaires ont eu un an et demi pour faire la mise à jour. Peu l’ont faite. Le 11 octobre, veille de l’attaque, le moteur de recherche d’appareils connectés Censys a recensé en France 1 825 de ces pupitres accessibles directement depuis Internet. Parmi eux, 1 158 tournaient avec un firmware antérieur à la 4.2 : le mot de passe tiré du calendrier y marchait toujours. Personne ne sait si les attaquants ont exploité cette faille-là : ni Danfoss ni les autorités françaises n’ont nommé le point d’entrée.

Les modèles plus anciens sont encore plus mal lotis. La plupart des appareils touchés, selon Danfoss, étaient des systèmes AK-SM 800 et AK-SC 355. Le premier n’est plus pris en charge depuis mai 2021, le second n’est plus fabriqué depuis 2016. Aucun des deux ne reçoit plus la moindre mise à jour, et les magasins tardent à les remplacer : ces systèmes durent des années et coûtent cher.

Personne n’a demandé de rançon

D’habitude, un piratage, ça rapporte : l’attaquant vole des données ou les chiffre, puis exige de l’argent. Ici, rien n’a été volé, aucune rançon n’a été réclamée et personne n’a revendiqué l’attaque. Pour une opération de cette ampleur, c’est inhabituel, a relevé Christopher Whyte, de la Virginia Commonwealth University. La mener à bien n’est, selon lui, « pas très difficile ». Dans quel but, personne ne le sait encore.

Le procédé n’est pas tout à fait nouveau. Danfoss a déclaré à Reuters que dès 2022, des attaquants s’étaient servis de ses contrôleurs obsolètes pour frapper des supermarchés en Russie et en Israël. La nouveauté, c’est l’échelle : des centaines de magasins en une nuit, et désormais plusieurs pays. John Hultquist, analyste en chef du Google Threat Intelligence Group, le résume ainsi : « Le système complexe qui nous apporte notre nourriture est fragile, mais il reçoit rarement l’attention qu’il mérite. »

Débranchés, pas corrigés

Après l’attaque d’octobre, les exploitants se sont empressés de réagir. En trois jours, le nombre de contrôleurs français visibles depuis Internet est passé de 1 825 à 537, soit une baisse de 71 %. Mais le nombre d’appareils à jour et celui des appareils vulnérables ont fondu au même rythme. Autrement dit, la plupart des pupitres ont simplement été déconnectés, sans que personne touche au firmware. Pour Censys, c’était sans doute le meilleur choix : ces appareils n’ont aucune raison d’être exposés directement à Internet. L’agence française est du même avis et recommande de ne rétablir l’accès à distance que par un VPN sécurisé.

Un chiffre montre à quel point ces pupitres sont rarement mis à jour. Le 11 octobre, Censys n’a trouvé la version la plus récente du firmware de Danfoss, la 5.3.2, que sur 27 des près de 3 000 pupitres visibles depuis Internet dans le monde, moins d’un pour cent. Personne n’a nommé le point d’entrée, personne ne connaît le mobile, et novembre a montré que les attaques ne s’étaient pas arrêtées. L’ampleur de la prochaine vague dépendra du nombre de ces pupitres encore exposés à Internet.