Contrôleurs de réfrigération compromis déclenchent incendies dans 700 supermarchés

Contexte de l'attaque

Au cours d’une semaine d’octobre 2026, plus de 700 supermarchés français ont vu leurs systèmes de réfrigération basculer en mode défaillance. Les contrôleurs connectés à Internet, destinés à la gestion à distance des unités de froid, ont été infiltrés, entraînant la montée de la température jusqu’à 50 °C et, dans plusieurs sites, l’allumage de feux. L’incident a entraîné la perte de tonnes de denrées périssables et des coûts estimés à plusieurs millions d’euros.

Vulnérabilités des contrôleurs

Les trois modèles de contrôleurs concernés – deux de Danfoss (Danemark) et un de Dixell/Copeland (États‑Unis) – présentaient des failles critiques recensées dans des bulletins de sécurité publics. La faille principale permettait une authentification à distance avec les privilèges d’administrateur. Chez Danfoss, le mécanisme d’authentification reposait sur un mot de passe quotidien généré à partir du firmware et de la date du jour. Cette génération était publique, ce qui rendait le mot de passe identique pour tous les appareils qui n’avaient pas reçu de mise à jour récente. Un attaquant capable d’analyser le code pouvait reproduire le mot de passe pour chaque dispositif, ouvrant ainsi une porte d’entrée sans contrainte de temps.

Les contrôleurs Copeland/Dixell, quant à eux, comportaient plusieurs correctifs publiés dans les mois précédents, mais les versions déployées sur le terrain n’avaient pas été actualisées. Les correctifs concernaient notamment des vulnérabilités d’injection de commandes et de contournement d’authentification, qui, une fois exploitées, donnaient un accès complet au système de gestion du refroidissement.

Conséquences opérationnelles

Une fois les accès obtenus, les assaillants ont activé les cycles de dégivrage pendant des durées anormalement longues. Le dégivrage génère de la chaleur et consomme de l’énergie électrique; prolonger ce cycle a fait grimper la température interne des chambres froides à 50 °C, bien au‑dessus du seuil de sécurité des denrées. La surchauffe a déclenché des courts‑circuits dans les circuits de puissance, provoquant des incendies dans plusieurs points de vente. Le temps de détection de l’intrusion a été long, car les systèmes de surveillance n’étaient pas configurés pour alerter sur des variations de température anormales ou sur des connexions administratives inhabituelles.

Leçons et mesures correctives

Le principal enseignement porte sur la nécessité d’une gestion rigoureuse des identifiants. Un mot de passe dynamique partagé entre des milliers d’appareils constitue un point de défaillance unique. La mise à jour automatique du firmware, couplée à la rotation de clés cryptographiques uniques par appareil, aurait limité la surface d’attaque. En outre, la segmentation réseau – isoler les contrôleurs de réfrigération du réseau d’entreprise et du cloud public – aurait réduit la portée d’une compromission.

Les fournisseurs ont publié des correctifs récents, mais la diffusion sur le terrain reste lente en raison de procédures de validation et de déploiement dans les chaînes de distribution. Une approche « zero‑trust » appliquée aux dispositifs IoT, incluant l’authentification mutuelle TLS et la journalisation centralisée, est recommandée pour détecter rapidement les comportements anormaux. Enfin, les exploitants doivent intégrer des seuils d’alerte thermique dans leurs systèmes de supervision afin de déclencher des actions d’urgence avant que la chaleur ne cause des dommages matériels.