Contexte de l'attaque

Dans la nuit du 11 au 12 octobre 2026, les systèmes de réfrigération de centaines de supermarchés français sont passés en mode dégivrage, provoquant des températures atteignant 50 °C et, dans certains cas, des départs de feu. Les pertes alimentaires ont poussé les chaînes Carrefour (80 magasins), Intermarché et Netto (plus de 300 magasins) ainsi que Monoprix (environ 5 % de ses points de vente) à déclarer des dommages évalués à plusieurs millions d’euros. Aucun groupe responsable n’a été identifié, mais le procureur de Paris a ouvert une enquête.

Architecture des contrôleurs Danfoss

Les équipements concernés sont les contrôleurs AK‑SM 800 et AK‑SC 355 de Danfoss, qualifiés « legacy ». Ils offrent un tableau de bord web appelé StoreView, accessible via un port standard et visible sans authentification si l’adresse IP est connue. Une analyse des scans IPv4 d’IPinfo du 6‑7 octobre a détecté 2 528 tableaux de bord dans le monde, dont 1 331 (53 %) en France, surpassant la somme des 72 autres pays (1 197). La plupart (98 %) sont connectés via les réseaux des fournisseurs télécom nationaux, non hébergés dans des data‑centers.

Analyse des vulnérabilités et de la réponse

Les tableaux de bord français se répartissent en deux générations. La version ancienne utilise Flash, un plug‑in retiré en 2020, et fonctionne sur le firmware 3.3 (build du 19 mai 2023). Les contrôleurs fonctionnant avec ce firmware manquent trois correctifs critiques de 2023, ainsi que deux correctifs de contournement d’authentification publiés en 2025. Sur les 1 331 tableaux français, 85 % (1 136) exécutent un logiciel contenant au moins une faille connue ; 527 contrôleurs sont hors support, 280 n’ont pas les correctifs 2023 et 329 les correctifs 2025. Seuls 195 (15 %) disposent de l’ensemble des correctifs. Après l’incident, le scan du 14 octobre montre que 316 tableaux restent en ligne, soit une chute de 76 % et une réduction de 527 à 64 contrôleurs hors support, indiquant que les exploitants ont préféré déconnecter les appareils plutôt que de les mettre à jour.

Implications pour la sécurité des systèmes IoT industriels

Le profil français n’est pas isolé : des tableaux similaires sont exposés dans 69 pays, avec des concentrations notables en Pologne (157), aux États-Unis (85) et au Portugal (77). Dans certains pays, plus de 70 % des appareils sont des modèles hors support (80 % en Islande, 75 % en Australie, 72 % en Allemagne). La persistance d’interfaces web non authentifiées montre que les pratiques de segmentation réseau et de gestion des actifs restent insuffisantes dans le secteur du commerce de détail. Le conseil de CERT‑FR d’interrompre le flux de données vers les contractants de réfrigération souligne le dilemme entre continuité opérationnelle et réduction de la surface d’attaque. Une mise à jour proactive des firmwares, la désactivation des services web inutiles et le déplacement des contrôleurs vers des réseaux isolés apparaissent comme les mesures les plus efficaces pour limiter de futurs incidents similaires.