Après la cyberattaque qui a touché des systèmes frigorifiques de supermarchés en France, CERT-FR a cité quatre familles de contrôleurs dans son alerte, publiée le 12 octobre 2026 et mise à jour le 13. Pen Test Partners situe l’attaque dans la nuit du 11 octobre. L’alerte de CERT-FR et l’analyse de Pen Test Partners apportent respectivement la liste des équipements et la chronologie rapportée.
Ars Technica a rapporté des pertes de denrées, des incendies dans certains magasins et des températures pouvant atteindre 50 °C. Son compte rendu de l’incident attribue ces conséquences à l’attaque.
Quatre familles de contrôleurs citées par CERT-FR
L’alerte de CERT-FR nomme les systèmes Copeland XWEB, Dixell XWEB, Danfoss AK-SC et Danfoss AK-SM parmi les équipements concernés par des compromissions. Il s’agit de contrôleurs de réfrigération commerciale, qui pilotent les installations des magasins.
Des avis distincts de la Cybersecurity and Infrastructure Security Agency (CISA) décrivent des vulnérabilités pour des versions précises de Danfoss et Copeland. Dans un avis initialement publié le 20 mai 2025 et révisé le 26 août, CISA décrit CVE-2025-41450, un contournement de l’authentification lié à la génération de mots de passe à partir de la date et de l’heure, pour les Danfoss AK-SM 8xxA antérieurs à R4.2. L’avis couvre également CVE-2025-41451 et CVE-2025-41452 pour les versions antérieures à 4.3.1. L’avis Danfoss de CISA précise ces périmètres.
Un autre avis de CISA, publié le 26 février 2026, concerne les Copeland XWEB 300D PRO, XWEB 500D PRO et XWEB 500B PRO en version 1.12.1 ou antérieure. Copeland a fourni un correctif et CISA recommande la mise à jour. L’avis sur les Copeland XWEB décrit ces vulnérabilités et les modèles concernés.
Comment la gestion centralisée peut agir sur plusieurs meubles
Les systèmes commerciaux peuvent être administrés à distance pour permettre aux opérateurs d’intervenir sans présence sur place. Dans le reportage de FRANCE 24, Marta Rybczynska explique cette raison de la connexion à Internet.
Pen Test Partners décrit un gestionnaire de système Danfoss capable de transmettre des réglages à plusieurs contrôleurs de meubles frigorifiques et de désactiver des alarmes. Selon cette reconstruction technique, prolonger le dégivrage — qui utilise des résistances pour éliminer le givre — pourrait maintenir le chauffage au-delà du cycle normal et faire monter la température. Une surchauffe électrique pourrait aussi survenir dans certaines conditions. Cette séquence explique un mécanisme possible; elle ne constitue pas une reconstitution des commandes exécutées dans chaque magasin. L’analyse de Pen Test Partners détaille ce fonctionnement.
Dans les discussions sur Reddit, plusieurs internautes distinguent la surveillance à distance, utile selon eux pour repérer une hausse de température, des commandes qui modifient le fonctionnement des équipements. Certains plaident pour séparer ces fonctions. (Discussion sur r/europe ; discussion sur r/nottheonion)
La séquence de rétablissement recommandée par CERT-FR
Pour un contrôleur compromis, CERT-FR recommande de procéder dans cet ordre :
- Retirer l’équipement de son exposition à Internet.
- Rétablir ses paramètres d’usine.
- Restaurer l’accès à distance uniquement par un VPN sécurisé ou un réseau protégé.
- Reconfigurer l’équipement.
- Appliquer les mesures de sécurité du fabricant, notamment les mises à jour disponibles.
L’autorité recommande aussi de vérifier la configuration complète, y compris les programmes de dégivrage. Une réinitialisation ne suffit pas si un équipement en fin de vie reste vulnérable et exposé à Internet. Les consignes de rétablissement de CERT-FR couvrent ces étapes.
