← Toutes les ressources

Frigos pilotes a distance : l'alerte Danfoss du CERT-FR (12/10/2026)

Publié le 13 octobre 2026 · 7 min de lecture · CyberNovaLabs.io

Une cyberattaque a fait monter les congelateurs de centaines de magasins francais a 50 degres. Le boitier en cause n'etait pas un serveur informatique : c'etait un automate de froid pose par un frigoriste, joignable depuis Internet, jamais mis a jour. Des milliers de PME en ont un.

En bref

Dans la nuit du 11 au 12 octobre 2026, des attaquants ont pris la main a distance sur des regulateurs de froid Danfoss et pousse les consignes de temperature jusqu'a 50 degres dans des magasins Intermarche, Systeme U, E.Leclerc et Monoprix^[2]. Le 12 octobre, le CERT-FR a publie l'alerte CERTFR-2026-ALE-012 : il constate de nombreuses compromissions d'equipements des series AK-SM et AK-SC, et rappelle qu'exposer leur interface d'administration sur Internet est contraire aux bonnes pratiques^[1]. Danfoss indique de son cote que la plupart des appareils touches etaient des produits obsoletes ou en micrologiciel ancien^[2][4].

Ce qui s'est passe, en trois paragraphes

Au centre de l'affaire, l'AK-SM 800A. C'est un system manager : un petit serveur web qui pilote les meubles frigorifiques et les chambres froides d'un site, lit les sondes, declenche les degivrages et fixe les seuils de temperature. Il est presque toujours installe par le frigoriste, et presque toujours joignable a distance pour que celui-ci intervienne sans se deplacer.

Les chercheurs de Claroty Team82 avaient documente sur cette gamme un contournement d'authentification, CVE-2025-41450, note 8,2 sur 10 : un mecanisme cache de code du jour, calcule a partir de la date de l'appareil et donc reproductible par un attaquant pour ouvrir une session administrateur^[3]. La faille est corrigee par le micrologiciel R4.2, et deux vulnerabilites supplementaires par R4.3.1^[3][5]. En scannant Internet, Claroty avait alors denombre 2 765 regulateurs exposes^[3].

Les correctifs n'etaient pas partout. Le CERT-FR recommande de deconnecter ou de filtrer l'acces aux instances AK-SM et AK-SC et, en cas de suspicion de compromission, de restreindre l'acces reseau, de remettre l'equipement en configuration d'usine, d'appliquer les correctifs, de renouveler les secrets, de verifier les comptes existants et de reconfigurer entierement l'appareil^[1]. Cooling Post evoque environ 500 supermarches concernes et des pertes de stock chiffrees en millions d'euros^[4]. A ce stade, l'attaque n'est pas revendiquee.

Pourquoi une PME qui n'est pas un supermarche est concernee

Le reflexe naturel est de classer l'affaire dans la grande distribution. C'est une erreur de lecture. Ce qui a ete attaque n'est pas le systeme d'information d'un groupe : c'est un boitier pose dans un local technique, relie a Internet par un prestataire, avec un micrologiciel fige depuis son installation. Ce boitier-la, des milliers de PME en ont un.

La liste est plus longue qu'on ne croit : chambre froide d'un boucher, d'un traiteur ou d'un maraicher, reserve d'un restaurant, frigo a vaccins d'une pharmacie, congelateurs d'un laboratoire, entrepot sous temperature dirigee, cuve de brasserie. Au-dela du froid, la meme architecture vaut pour la gestion technique du batiment, la climatisation, l'alarme, les cameras, le controle d'acces, l'ascenseur, l'onduleur photovoltaique ou la borne de recharge.

Le point commun n'est pas la marque, c'est le mode de vie de l'equipement : installe par un metier qui n'est pas l'informatique, administre a distance, mot de passe partage entre techniciens, micrologiciel jamais repris, et personne dans l'entreprise qui sache qu'il porte une adresse publique. C'est la meme mecanique que dans l'affaire des failles NetScaler exploitees avant le correctif, et que dans le rapport de l'ANSSI sur les identifiants voles a la DGFiP : l'entree se fait par une porte que personne ne surveillait.

Les quatre pays : a qui on parle

En France, l'ANSSI a ete saisie a la demande du Premier ministre et a contacte les entreprises concernees^[2]. Dans les trois autres pays ou travaille CyberNovaLabs.io, l'interlocuteur change, mais le reflexe reste le meme : signaler a l'autorite cyber, et traiter separement la question des donnees personnelles.

Le second reflexe est distinct du premier. La faille documentee par Claroty permet notamment de generer un rapport exposant des adresses IP internes, des noms d'utilisateurs et des noms de sites^[3]. Si des identifiants de salaries ont pu etre lus, on ne parle plus seulement d'un incident technique mais d'une possible violation de donnees, avec le delai de 72 heures pour la notifier a l'autorite competente. Nous avons detaille ce reflexe dans notre article sur la fuite Flink partie du compte d'un ancien salarie.

Le calcul a faire ce matin

Hypothese a remplacer par vos chiffres : une chambre froide contenant 8 000 euros de marchandise, une nuit a temperature perdue, deux jours de fermeture a 3 000 euros de chiffre d'affaires par jour, 600 euros d'intervention en urgence. On arrive a 14 600 euros pour un seul local, sans compter le dossier d'assurance ni les enregistrements sanitaires a justifier. En face, couper l'acces Internet de l'automate et passer par un VPN represente quelques heures de prestataire. Le rapport se passe de commentaire.

Ce que cette affaire dit au-dela du froid

Une PME connait a peu pres son parc informatique : postes, serveur, messagerie, site. Elle connait rarement son parc d'automates, parce qu'il a ete achete comme un equipement de metier, pas comme de l'informatique. Or ces automates ont une adresse, une interface web, des comptes et des failles, exactement comme un serveur, mais sans personne pour en suivre les correctifs.

L'inventaire est donc la vraie action de la semaine, avant meme le correctif. On ne protege pas ce qu'on n'a pas liste, et la facture de cette nuit du 11 au 12 octobre se compte en millions d'euros de marchandise pour des entreprises qui, la veille, pensaient leur risque cyber limite a leur boite mail.

Chez CyberNovaLabs.io

Nous ne vendons pas d'audit de securite industrielle. En revanche, si vous etes prestataire IT, MSP ou installateur, cette alerte est un motif de rendez-vous immediat chez vos clients : l'inventaire des equipements exposes est une mission courte, chiffrable et urgente. C'est exactement le type de conversation que nous ouvrons pour vous en prise de rendez-vous B2B, pour les prestataires IT et MSP comme pour les equipes commerciales des integrateurs, a Paris comme dans les trois autres pays ou nous travaillons. Criteres de qualification ecrits avant le lancement, sans engagement de duree, au rendez-vous ou au forfait, sur devis. Parlons de votre cible en 20 minutes.

Sources

1. CERT-FR — CERTFR-2026-ALE-012, Incident de securite ciblant les Danfoss serie AK-SM et AK-SC (12/10/2026)
2. franceinfo — Des magasins Systeme U et Intermarche touches par une cyberattaque contre leurs installations frigorifiques (12/10/2026)
3. Claroty Team82 — CVE-2025-41450, Danfoss AK-SM 8xxA Series, contournement d'authentification (CVSS 8,2)
4. Cooling Post — Danfoss moves to mitigate cyberattack (12/10/2026)
5. Refindustry — Danfoss, Copeland and Trane address controller security vulnerabilities (13/08/2026)

À lire aussi