Une faille de sécurité, connue depuis mai 2025, a été exploitée pour désorganiser la chaîne de froid en France. Dans la nuit du 11 au 12 octobre 2026, des pirates ont reprogrammé les systèmes de dégivrage de centaines de supermarchés pour chauffer à 50°C, détruisant des produits frais d’une valeur de plusieurs millions d’euros chez Intermarché, Super U et E.Leclerc. Selon Le Figaro, 300 magasins Intermarché et Netto, ainsi qu’une centaine de Super U ont été touchés. Cette attaque met en lumière l’impréparation de l’État face aux menaces cybernétiques sur les infrastructures alimentaires critiques.
Une alerte ignorée depuis mai 2025
En mai 2025, la CISA, agence américaine de cybersécurité, avait déjà alerté sur une faille critique dans les superviseurs Danfoss AK-SM 800A, versions antérieures à R4.2. Les Numériques rapportent que 2 765 interfaces de ces systèmes étaient encore exposées en ligne. Ni Danfoss, ni les distributeurs, ni l’État n’ont résolu le problème. L’ANSSI, ainsi que les services du Premier ministre en charge de la protection des infrastructures vitales, sont restés inactifs.
Durant les dix-huit mois qui ont suivi l’alerte de la CISA, aucune mesure concrète n’a été prise pour mettre à jour les systèmes frigorifiques. Aucun audit de sécurité n’a été imposé, et aucune directive n’a été émise pour les fournisseurs étrangers. Ces négligences ont coûté cher, avec des pertes de 220 000 euros pour le Super U de Wasselone et 50 000 euros pour l’Intermarché d’Haguenau, parmi d’autres.
Manque de protection des infrastructures alimentaires critiques
L’attaque a révélé une dépendance excessive à Danfoss, une entreprise danoise qui domine le marché français des systèmes frigorifiques. Aucun fournisseur alternatif n’a été mis en place, et l’absence de redondance a fragilisé la chaîne du froid. Sophie Matt, gérante à Haguenau, souligne sa surprise face à l’ampleur de l’attaque, révélant un manque de préparation collective aux menaces cybernétiques.
Les frigos ont chauffé pendant des heures sans déclencher d’alarme. Selon BFM Business, l’absence de surveillance centralisée et de protocole de réaction rapide a permis aux températures de monter sans intervention.
La réponse tardive de l’État
L’ANSSI n’a été mobilisée qu’après l’attaque, alors que les stocks étaient déjà perdus. Ni l’agence ni le gouvernement n’ont anticipé l’alerte de la CISA. Désormais, une coordination avec les homologues européens est en place, mais elle aurait dû être initiée bien plus tôt. Le parquet de Paris a ouvert une enquête pour déterminer les responsabilités.
Aucun plan de continuité d’activité n’a été mis en œuvre avant la crise. Les réunions de crise n’ont eu lieu qu’après les attaques, illustrant une gestion réactive plutôt que proactive. Dominique Schelcher, PDG de Coopérative U, critique la gravité de la situation et souligne son caractère inédit et inacceptable.
Conséquences pour les distributeurs et consommateurs
Danfoss, au courant de la faille depuis 2025, n’a pas imposé de corrections. Les distributeurs, contraints de reconstituer leurs stocks, et les consommateurs, potentiellement confrontés à des hausses de prix, en subissent les conséquences. Danfoss, elle, n’est pas tenue de compenser les pertes, la législation actuelle ne prévoyant pas de sanctions pour les fournisseurs d’infrastructures critiques défaillants.
Renforcer la souveraineté technologique française
Pour éviter de nouvelles catastrophes, la France doit établir un registre national des systèmes de technologie opérationnelle critiques, imposer des audits réguliers pour les fournisseurs et développer des alternatives nationales ou européennes. Sans une souveraineté technologique sur ses infrastructures vitales, le pays reste vulnérable aux cyberattaques et aux défaillances des fournisseurs.
