Frigos de supermarchés piratés : la leçon pour vos équipements connectés
Des régulateurs de froid exposés sur Internet ont été pris pour cible dans des supermarchés français. Le CERT-FR alerte. Ce que toute PME avec un équipement connecté doit vérifier.
Le 12 octobre au matin, des supermarchés français ont découvert que leurs installations de froid avaient été manipulées à distance. Le CERT-FR, le centre d'alerte de l'ANSSI, a publié une alerte dès le 12 octobre. Cette attaque ne vise pas un logiciel de gestion ou une boîte mail, mais un équipement industriel branché sur Internet. C'est exactement le genre de matériel qu'on trouve dans beaucoup de PME, et que personne ne pense à surveiller.
Ce qui s'est passé
Le lundi 12 octobre au matin, selon Solutions Numériques, l'Hyper U de Bourgueil (Indre-et-Loire) a prévenu ses clients par SMS d'un « acte de piratage » et de l'impossibilité de vendre des produits frais dans la journée. Dans la matinée, Dominique Schelcher, PDG de Coopérative U, a confirmé sur X une cyberattaque touchant les installations de production de froid de plusieurs magasins, qu'il a qualifiée d'« inédite ».
Le même jour, le CERT-FR a publié l'alerte CERTFR-2026-ALE-012, consacrée à un incident ciblant les contrôleurs à distance des installations de réfrigération. Elle vise les séries AK-SC et AK-SM de Danfoss ; une mise à jour du 13 octobre y a ajouté les superviseurs xweb de Copeland et de Dixell. Le CERT-FR dit avoir connaissance de « nombreuses compromissions », sans nommer de victime, et estime que des campagnes sont probablement toujours en cours. Le 13 octobre, Vincent Strubel, directeur général de l'ANSSI, a relayé l'alerte en évoquant des pertes de marchandises et un risque de départ de feu.
Sur le mode opératoire, rien n'est officiellement établi. La société de sécurité Synacktiv, citée par Solutions Numériques, évoque plusieurs centaines de supermarchés touchés et privilégie une attaque opportuniste : repérer les équipements exposés grâce à des moteurs de recherche spécialisés, puis exploiter des failles connues ou des identifiants faibles. Les chiffres plus précis qui circulent ne sont pas confirmés.
Le vrai problème : une interface d'administration sur Internet
Le CERT-FR le rappelle sans détour : exposer une interface de gestion sur Internet va à l'encontre des bonnes pratiques. Ces régulateurs sont souvent administrés à distance par le frigoriste, qui a besoin de voir les températures et de recevoir les alarmes. La solution la plus simple, pour lui, est de rendre l'équipement joignable depuis n'importe où. C'est aussi la plus simple pour un attaquant.
Et le froid n'est qu'un exemple. Dans une PME, on trouve couramment :
- des automates et des machines d'atelier pilotables à distance par leur constructeur ;
- des chaudières, des centrales de traitement d'air, des onduleurs avec une page web de supervision ;
- des caméras, des enregistreurs, des centrales d'alarme et des contrôles d'accès ;
- des imprimantes, des NAS de sauvegarde et des box configurés un jour « pour dépanner ».
Chacun de ces équipements a souvent été installé par un prestataire différent, avec un mot de passe par défaut, et n'a jamais reçu de mise à jour depuis. Personne n'en a la liste complète.
Ce que recommande le CERT-FR
Pour les équipements concernés, l'alerte recommande en priorité de :
- supprimer l'exposition directe sur Internet des interfaces de gestion, en vérifiant au préalable les conditions de votre contrat d'assurance si la remontée de données vers le prestataire est contractuelle ;
- rétablir l'accès distant uniquement via un VPN ou un réseau protégé ; le filtrage des adresses du prestataire sur un pare-feu n'est qu'une solution d'urgence ;
- vérifier toute la configuration de l'équipement, puisque c'est elle que les attaquants modifient ;
- mettre à jour le logiciel interne (le « firmware ») et changer les mots de passe par défaut.
Le CERT-FR précise aussi qu'une simple réinitialisation d'usine ne suffit pas si l'équipement reste vulnérable et exposé : il sera probablement compromis à nouveau. Un matériel en fin de vie, qui ne reçoit plus de correctifs, ne devrait plus jamais être joignable depuis Internet.
Ce que nous conseillons à une PME, cette semaine
- Faites la liste de tout ce qui, dans vos locaux, est accessible à distance par un prestataire : froid, chauffage, machines, alarme, vidéo.
- Demandez à chaque prestataire comment il s'y connecte. S'il répond « par une adresse IP » ou « par un port ouvert sur la box », c'est le signal qu'il faut changer.
- Faites vérifier ce qui est visible de l'extérieur sur votre connexion Internet. C'est rapide, et c'est exactement ce que font les attaquants.
- Changez les mots de passe par défaut et demandez les mises à jour.
- Prévoyez un mode dégradé : si l'équipement est coupé du réseau, qui surveille et comment ?
Quand nous écrivons le logiciel qui pilote une machine, comme celui d'une machine à effort que nous avons réalisé entièrement, l'accès distant fait partie de la conception dès le départ, pas d'un réglage ajouté à la mise en service. Si vous avez un équipement à piloter ou à superviser, notre offre sur mesure commence par là. Et si vous voulez simplement faire le point sur ce qui est exposé chez vous, parlons-en lors d'un rendez-vous de 30 minutes.