Cyberattaque sur les réfrigérateurs Danfoss : mille tonnes d'aliments perdus en Europe
Sommaire
En bref
- Une attaque coordonnée a visé les systèmes de refroidissement Danfoss de supermarchés français (Intermarché, Leclerc, Coopérative U) et néerlandais (Albert Heijn, Delhaize), en activant des cycles de décongélation continus à 50°C.
- Les pertes alimentaires s'élèvent déjà à 300 000 euros en France et les chaînes d'approvisionnement sont paralysées ; Albert Heijn a dû arrêter les livraisons en ligne.
- La vulnérabilité exploitée semble liée à des contrôleurs Danfoss datant de 2016-2021, directement accessibles sur Internet via des cartes SIM 3G/4G sans protection supplémentaire, et ayant reçu des correctifs estivaux rarement déployés.
Ce que dit la source
Plusieurs chaînes de supermarchés européennes (Intermarché, Leclerc, Coopérative U en France ; Albert Heijn, Delhaize, Etos aux Pays-Bas) ont subi une cyberattaque visant leurs installations de refroidissement. En France, l'attaque a forcé les unités à un cycle de décongélation continu à 50°C au lieu des 2 heures normales quotidiennes, provoquant une perte massive d'aliments réfrigérés et congelés. Dominique Schelcher, président de Coopérative U, a qualifié l'incident d'« extrêmement grave » et d'« inédit ». Aux Pays-Bas, Albert Heijn a dû arrêter une grande partie de son infrastructure IT, affectant les livraisons en ligne et l'affichage électronique des prix. Les pertes initiales sont estimées à 300 000 euros minimum, avec un potentiel de plusieurs millions d'euros à l'échelle nationale.
- Les contrôleurs de refroidissement Danfoss SM800 (fin de support 2021) et SC355 (fin de support 2016) semblent être au cœur de l'attaque, selon des analyses CVE émergentes.
- Ces équipements étaient directement accessibles sur Internet via leurs propres cartes SIM 3G/4G sans pare-feu ou segmentation réseau supplémentaire.
- La vulnérabilité en question a été découverte et coordonnée cet été (août 2026) par Claroty/Team82, mais les correctifs n'ont apparemment pas été largement déployés chez les clients.
- Un incident très similaire s'est produit sur des bases militaires américaines fin août 2026, soulevant la question d'une possible réutilisation de l'exploit ou d'une attaque coordonnée.
- La chaîne Albert Heijn (40% de part de marché aux Pays-Bas) a dû arrêter ses centres de distribution, ce qui représente un risque d'approvisionnement régional significatif.
- Les systèmes d'étiquetage électronique des prix (electronic shelf labels) ont également été compromis, compliquant les opérations commerciales au-delà du seul problème de refroidissement.
Dans les commentaires
Débat partagé entre deux lectrices de sécurité : légitime critique de l'exposition Internet de systèmes critiques, mais reconnaissance lucide des raisons commerciales réelles (surveillance à distance, optimisation énergétique, maintenance préventive). Argument convergent sur la gouvernance : la cause n'est pas tant la technologie elle-même que l'absence de segmentation réseau, de correctifs appliqués et de concept de secure-by-default dans les industries à faible marge.
- Plusieurs commentateurs soulignent que la critique « pourquoi connecter des frigos à Internet ? » occulte les vrais enjeux économiques : les gérants de supermarchés, opérant sur une marge très fine (3% mentionné), doivent arbitrer entre surveillance/optimisation énergétique et sécurité, et n'ont souvent pas le contrôle local des décisions (systèmes centralisés imposés par les chaînes).
- Un argument apporté : les fabricants d'équipements médicaux et industriels imposent désormais les mises à jour logicielles en ligne avec modèles d'abonnement par crédit, transformant Internet en obligation plutôt qu'en option, ce qui s'étend au retail.
- Un commentateur ayant travaillé sur ces systèmes en 2008 note que l'accès distant permettait bien des cas légitimes (demande response énergétique, optimisation d'usage par patron horaire), mais que la sécurité physique des opérations n'a jamais suivi.
- Confusion utile : l'attaque française cible probablement l'infrastructure Danfoss, tandis que l'arrêt chez Albert Heijn ressemble plutôt à une attaque ransomware classique. Le timing et le vecteur diffèrent, mais la couverture médiatique les mélange.
- Un lien est établi avec l'attaque sur des commissariats militaires américains quelques semaines plus tôt, selon la même vulnérabilité Danfoss, suggérant soit une réutilisation d'exploit public, soit un acteur coordonné.
Alternatives citées : Claroty/Team82 a publié une recherche détaillée (Freeze the Controller, Defrost the Food) en août 2026 sur les vulnérabilités Danfoss SM800 et SC355.
Notre lecture
Le vrai problème ici n'est pas la connectivité réseau elle-même, qu'on peut légitimement justifier. C'est l'absence de defense-in-depth : des contrôleurs vieux de 5-10 ans directement accessibles sur le public Internet avec une SIM 3G/4G, aucune segmentation, des correctifs critiques jamais déployés. L'industrie alimentaire fonctionne sur des marges si fines que les investissements en sécurité infrastructure sont vus comme du pur coût, surtout quand ils sont imposés par une chaîne centralisée sans autonomie locale. À surveiller : la leçon dépendra de l'ampleur finale des pertes et du vecteur confirme. Si c'est vraiment la même CVE Danfoss que celle d'août, c'est un cas textbook de patch non appliqué sur infrastructure critique. Important pour les DSI opérant des systèmes OT : segmenter n'importe quel contrôleur distant de mains mortes du réseau général, exiger un changelog des mises à jour CVE critiques chez les fournisseurs OT (ils ne publient souvent que sur demande), et avoir un plan B analogique pour les opérations essentielles.