Danfoss et le business drama de la cyberdécongélation

Un rayon réfrigéré immobilise du capital. Les produits ont été achetés, transportés, réceptionnés et mis en vente. Leur valeur dépend ensuite d’un service discret : maintenir une température compatible avec leur conservation, chaque minute, y compris lorsque le magasin est fermé. Une commande malveillante peut attaquer cette valeur avant même que l’équipe découvre une anomalie informatique.

Le 12 octobre 2026, plusieurs enseignes françaises ont décrit à l’AFP des interruptions de réfrigération après une cyberattaque : au moins 300 Intermarché et Netto, plus de 100 magasins de Coopérative U, ainsi que des Leclerc. Ces périmètres déclarés restent datés et attribués. Le parquet de Paris annonçait devoir identifier les victimes et établir les liens entre l’attaque et les dommages signalés. Le même jour, le CERT-FR confirmait de nombreuses compromissions de contrôleurs Danfoss AK-SM et AK-SC. [1] [2]

L’affaire place une question industrielle au centre du débat cyber : qui doit entretenir la sécurité d’un équipement dont la durée d’usage dépasse celle de son logiciel ? Autour du meuble froid se trouvent un fabricant, un installateur, des accès de télémaintenance, parfois une plateforme de supervision, un exploitant et plusieurs contrats. Le magasin reçoit la perte en premier. L’examen des responsabilités suivra cette chaîne, au fil des expertises et des recours éventuels.

Cette analyse s’appuie sur les avis de sécurité, la documentation du constructeur, les travaux originaux des chercheurs et les déclarations publiques disponibles le 13 octobre au matin. Elle expose les mécanismes et les pièces nécessaires pour instruire les responsabilités. Les journaux des victimes, leurs configurations et leurs contrats demeurent hors de notre portée.

Une consigne numérique rencontre un stock périssable

La réfrigération appartient aux technologies opérationnelles, ou OT : des systèmes informatiques qui pilotent un processus physique. Pour comprendre le risque, il faut suivre la boucle. Une sonde mesure une température. Un régulateur la compare à une valeur demandée, la consigne, puis commande les organes de l’installation. Une supervision donne une vue d’ensemble et peut, selon les droits et l’architecture, modifier certains réglages à distance.

Le premier signalement public examiné dans cette enquête, publié par CTuronensis le 12 octobre à 7 h 31, évoquait des consignes portées à 50 °C. Ce témoignage doit conserver son statut. Une consigne affichée, la température de l’air et celle au cœur d’un aliment sont trois grandeurs différentes. Leur confusion transforme une capture de réglage en mesure physique que ce témoignage ne documente pas. [3]

Les cycles de dégivrage ajoutent une subtilité. Le froid produit du givre ; l’installation doit périodiquement l’éliminer. Le guide Danfoss AK-CC55 distingue notamment les sondes, les paramètres de fin de dégivrage et les temporisations d’alarme. Il illustre la complexité normale d’une régulation frigorifique. Ce modèle documentaire ne permet d’identifier ni le matériel installé dans chaque magasin touché, ni la commande utilisée pendant l’attaque. [4]

L’enjeu d’enquête devient concret : quel paramètre a changé, à quelle heure, avec quel compte, et avec quel effet mesuré sur le procédé ? Un réglage dangereux peut interrompre la production de froid, dérégler une séquence ou dégrader la surveillance. La trajectoire thermique dépend ensuite de l’installation, du chargement, de l’inertie des produits et du délai d’intervention. Ces voies constituent des hypothèses à départager avec les données des sites.

La télésurveillance répond à un besoin réel. Une alarme reçue pendant la fermeture peut permettre une intervention avant la perte des marchandises. Danfoss commercialise ainsi, avec Alsense, des services allant de la surveillance par le client à une gestion des alarmes et des interventions par ses équipes. Cette offre explique l’intérêt économique de la connexion. Son existence ne renseigne pas sur les services effectivement souscrits par les victimes. [5]

La réglementation encadre la température, l’architecture reste un choix

Le débat public a rapidement mêlé enregistrement réglementaire et accès par Internet. Le règlement européen 37/2005 impose, dans son périmètre, un suivi régulier de la température de l’air pour le transport et le stockage des aliments surgelés, avec des enregistrements datés conservés au moins un an. Son article 3 prévoit des modalités particulières pour la distribution locale et les meubles de vente au détail. Le texte n’impose aucune exposition directe à Internet. [6]

La distinction a un effet immédiat sur les responsabilités. Acheter une capacité de suivi, organiser une astreinte et ouvrir un accès distant représentent des décisions liées, mais distinctes. Leurs bénéfices ne dispensent pas de choisir qui peut entrer, avec quels pouvoirs et pendant combien de temps. Le guide de l’ANSSI consacré aux systèmes industriels préconise notamment le cloisonnement et l’encadrement des accès distants. L’alerte du CERT-FR demande précisément de supprimer ou filtrer l’exposition des interfaces concernées. [7] [2]

Une bonne architecture rend possible le service attendu tout en contenant l’autorité accordée. Un intervenant chargé de diagnostiquer une panne peut avoir besoin de lire des mesures ; une modification de paramètres appelle des droits supplémentaires. Cette différence paraît élémentaire. Elle devient déterminante lorsqu’un identifiant, un poste de maintenance ou une interface tombe entre de mauvaises mains. Nous avions déjà étudié ce passage entre accès techniques et responsabilités dans l’éolien et le solaire.

Les failles connues dessinent des pistes d’enquête

L’avis du CERT-FR situe le périmètre matériel et décrit des compromissions. Il n’attribue l’attaque à aucun groupe et ne désigne aucune CVE, l’identifiant public d’une vulnérabilité. Cette limite commande la lecture de tous les travaux antérieurs. [2]

Le 9 août 2026, Amir Zaltzman, de Claroty Team82, a publié une étude sur les AK-SM 800A : un mécanisme d’accès administratif caché, une exécution de commandes après authentification et une possibilité de perturber le serveur web. Son relevé Censys faisait apparaître 2 765 interfaces exposées. Il s’agit d’une photographie d’exposition présentée par les chercheurs, avec son propre périmètre ; elle ne mesure ni les victimes françaises, ni les appareils encore accessibles aujourd’hui. [8]

Les avis du fabricant donnent une chronologie plus ancienne aux correctifs. L’avis DSA-2025-03-01, publié le 24 mars 2025, traite CVE-2025-41450 et renvoie à la version 4.2. Celui du 1er août 2025 documente CVE-2025-41451 et CVE-2025-41452, corrigées en 4.3.1 : les deux nécessitent un accès authentifié. [9] [10]

Une discordance mérite d’être conservée dans le dossier. Le récit technique de Team82 associe CVE-2025-41450 à son chemin d’accès administratif, tandis que l’avis Danfoss et la fiche de divulgation de Claroty décrivent plus étroitement un contournement d’authentification sur une fonction de rapport, avec divulgation d’informations. Cette différence de description invite à vérifier les comportements précis et les versions, avant de convertir une référence CVE en explication de l’incident. [9] [11]

Le dossier remonte également à des recherches de Synacktiv et à des avis publiés en 2023. Dans un entretien publié le 13 octobre par InformatiqueNews, Kévin Tellier, de Synacktiv, souligne que les vulnérabilités découvertes alors ne sont pas nécessairement celles employées cette semaine. Cette réserve est essentielle : disposer d’un scénario techniquement plausible donne une direction à l’investigation ; l’attribution du chemin réellement emprunté exige les traces de l’incident. [12] [13]

Un correctif disponible doit encore atteindre la machine

Une grande partie du risque se loge dans ce trajet. Publier une version, informer le bon interlocuteur, planifier un arrêt, réaliser la migration et vérifier le fonctionnement représentent du travail. Le budget et le pouvoir d’agir peuvent appartenir à des entreprises différentes.

Les instructions Danfoss de septembre 2025 donnent un exemple tangible. La mise à jour 4.3.1 suppose d’abord une version déterminée du système Danux, une sauvegarde et des vérifications après redémarrage. Certaines conditions réseau rendent une intervention locale préférable. Danfoss annonçait aussi que les unités en stock ne seraient ni rappelées ni mises à jour : une installation récente pouvait donc encore nécessiter l’opération. [14]

Ces contraintes expliquent le coût d’exécution d’une maintenance correcte. Elles rendent nécessaire une organisation capable d’absorber une interruption courte pour éviter une indisponibilité longue. La version 4.3.1 est ici le jalon historique d’un correctif ; la page mondiale de téléchargement Danfoss, en anglais, propose désormais la branche 5.3.x. Réutiliser l’ancien numéro comme prescription de mise à jour actuelle serait une erreur. [15]

Le vieillissement du parc pose un autre problème. Danfoss a indiqué à Cooling Post que les équipements touchés étaient majoritairement anciens ou utilisaient un logiciel dépassé, distinguant l’AK-SM 800, arrivé en fin de vie en 2021, l’AK-SC 355, arrêté en 2016, et des AK-SM 800A plus récents insuffisamment actualisés. Il s’agit de la position du fabricant, acteur intéressé au dossier. Les 800 et 800A doivent rester identifiables : leurs cycles de support diffèrent. [16]

Une installation peut continuer à remplir sa fonction frigorifique après la fin de son support informatique. L’exploitant voit une machine qui fonctionne ; le mainteneur doit évaluer une surface d’attaque qui vieillit. Le risque financier vient de cet écart d’appréciation. Reporter un remplacement économise une dépense immédiate, tout en conservant une exposition dont le coût potentiel dépend des accès, des protections compensatoires et du stock confié à la machine. C’est un arbitrage de risque à documenter, avec un décideur et une échéance.

La chaîne de responsabilité suit les pouvoirs réels

L’étiquette « Danfoss » identifie un fournisseur. Pour instruire une responsabilité, il faut descendre jusqu’aux engagements, aux décisions et aux possibilités d’action. Le fabricant contrôle la conception et la publication de ses correctifs. L’architecture réseau et les accès peuvent relever d’un intégrateur ou du client. La maintenance dépend du périmètre acheté. L’exploitation conserve la gestion quotidienne des produits et de la continuité.

La documentation commerciale révèle des frontières que le langage courant efface. Danfoss distingue, dans Alsense, des services surveillés par le client et des services gérés. Ses conseils indiquent qu’Alsense peut prendre en charge le proxy de connexion. Cette description ne précise pas, à elle seule, qui maintient le logiciel du contrôleur. Un abonnement à une supervision peut donc réunir certaines tâches et en laisser d’autres ailleurs. Le contrat applicable doit préciser lesquelles. [5] [17]

Les conditions générales françaises de Danfoss, version janvier 2025, contiennent des dispositions sur l’intégration, les conditions de garantie et les limites de responsabilité, sous réserve du droit impératif. Elles prévoient aussi l’articulation avec des conditions particulières. Ce document public permet de préparer les questions ; son application à chaque commande et la validité de chaque clause doivent être établies. Le devis, les annexes et le contrat de maintenance restent indispensables. [18]

Une répartition sérieuse commence ainsi par une intervention précise. Supposons qu’un correctif pertinent ait été disponible pour un appareil touché. Qui devait recevoir l’alerte ? Le prestataire avait-il une mission d’installation ou seulement de dépannage ? Avait-il les droits et une fenêtre d’arrêt ? L’exploitant avait-il reçu une proposition chiffrée et une explication du risque ? Une intervention avait-elle été faite, puis contrôlée ? Ce scénario d’instruction ouvre plusieurs réponses possibles. Il évite de confondre la présence d’un fichier téléchargeable avec l’exécution d’une obligation chez le client.

La même méthode s’applique à un accès exposé. L’enquête doit pouvoir retrouver la personne qui l’a demandé, l’entreprise qui l’a configuré, les protections convenues et l’acteur chargé de les surveiller. Une responsabilité peut être partagée entre plusieurs décisions successives. Elle peut aussi dépendre d’un engagement très spécifique, invisible dans la communication publique.

Intermarché a évoqué auprès de BleepingComputer une attaque qui aurait touché un prestataire chargé de systèmes frigorifiques. Cette déclaration apporte une piste ; elle ne nomme pas le prestataire et ne démontre aucune compromission d’Alsense. Dans les pièces publiques examinées, le point de passage commun aux magasins reste à établir. [19]

Une faiblesse commune peut relier des pertes dispersées

Le risque change d’échelle lorsque plusieurs magasins dépendent d’un même élément. Il peut s’agir, selon le scénario, d’une version logicielle, d’un compte de maintenance partagé, d’une architecture répétée ou d’un service distant. Des exploitants séparés deviennent alors exposés au même événement. La dispersion géographique protège peu contre une dépendance technique commune.

Cette corrélation intéresse autant les directions financières que les assureurs. Un incident local mobilise une équipe et un stock de remplacement. Plusieurs incidents simultanés peuvent solliciter les mêmes frigoristes, les mêmes grossistes et les mêmes moyens de diagnostic. La capacité de remise en service devient elle-même une ressource rare. C’est un mécanisme de risque général ; les données publiques ne permettent pas encore de mesurer son effet dans cette affaire.

Le coût commence avec les marchandises détruites et peut se prolonger dans l’activité empêchée, les interventions urgentes, le nettoyage ou la reconstitution des rayons. À Gradignan, un directeur d’Intermarché évoque dans Le Monde 21 000 euros de marchandises au prix d’achat. Ce cas local ne permet aucune extrapolation. [20]

L’évaluation demande aussi un peu de discipline économique. La valeur d’achat du stock détruit, le chiffre d’affaires espéré et la marge perdue décrivent des objets différents. Leur addition brute ferait compter plusieurs fois une partie de la même perte. Une expertise doit tenir compte des ventes récupérées ailleurs ou plus tard, des coûts évités et des frais supplémentaires effectivement engagés. Nous ne disposons pas des données nécessaires pour consolider ces postes.

La trésorerie suit encore une autre trajectoire. Réapprovisionner un rayon oblige à avancer de l’argent avant le retour des ventes et, éventuellement, d’une indemnité. Cette sortie peut peser fortement sur un magasin même lorsque l’actif acheté sera ensuite revendu. Confondre besoin de financement et charge définitive gonflerait artificiellement le sinistre. Pour piloter la reprise, les deux sujets doivent pourtant être suivis ensemble.

La couverture d’assurance commence dans le contrat

La nature hybride du dommage complique sa lecture : une action informatique, un équipement industriel, des denrées et une interruption commerciale. L’instruction doit confronter les circonstances établies aux garanties souscrites, aux franchises, aux plafonds, aux exclusions et aux règles de cumul. Le seul mot « cyber » ne permet de déduire ni l’indemnité ni l’assureur qui la versera.

Un délai légal mérite en revanche d’être immédiatement identifié. L’article L. 12-10-1 du code des assurances conditionne, dans son champ d’application professionnel, le versement prévu par une clause d’assurance couvrant certains dommages résultant d’une atteinte à un système informatique au dépôt d’une plainte dans les 72 heures suivant la connaissance de l’atteinte. Cette condition s’articule avec la garantie réellement achetée ; elle ne crée pas à elle seule une couverture. [21] [22]

Le dossier économique et le dossier technique se rejoignent ici. Des relevés fiables aident à dater l’incident, relier les pertes au dysfonctionnement et distinguer les marchandises affectées. Les factures, les quantités détruites et les mesures prises pour limiter le dommage donnent ensuite une base à son évaluation. Les contrats et les échanges de maintenance permettront d’examiner d’éventuels recours contre les intervenants.

Une indemnisation éventuelle et un recours contre un tiers ont leurs propres étapes. Le magasin doit continuer à payer ses salariés, ses fournisseurs et la remise en exploitation pendant leur instruction. La qualité du plan de continuité se mesure aussi à cette capacité de financement transitoire.

Reconstituer la séquence jusqu’au dommage

Une investigation forensique relie des traces techniques à une chronologie vérifiable. Dans cette affaire, le premier travail consiste à identifier les appareils réellement touchés : références, versions, configuration antérieure, accès distants et historique des interventions. L’inventaire utile est celui du site au moment de l’événement.

Vient ensuite le rapprochement des sources. Les journaux du contrôleur peuvent renseigner une connexion ou une modification. Ceux du réseau, de la supervision et de la télémaintenance peuvent éclairer son origine et sa propagation. Les mesures thermiques, les alarmes reçues et les constats sur les marchandises décrivent la conséquence physique. Des fuseaux horaires, une dérive d’horloge ou une rétention trop courte peuvent compliquer la correspondance entre ces éléments. Une chronologie doit conserver ces limites au lieu de lisser les écarts.

La remise en service crée une contrainte immédiate. Le CERT-FR recommande notamment, en cas de compromission suspectée, une réinitialisation, la mise à jour et le renouvellement des secrets, avec vérification des comptes et de la configuration. Ces opérations peuvent modifier des éléments utiles à l’enquête. Leur coordination avec les intervenants chargés de la réponse et de la conservation des traces doit accompagner l’urgence opérationnelle. [2]

Une autre frontière concerne la divulgation réglementaire. Les obligations de signalement du Cyber Resilience Act s’appliquent depuis le 11 septembre 2026 aux situations entrant dans leur périmètre. La documentation publique disponible ne permet pas de vérifier les démarches réalisées dans le cadre de cet incident. L’absence de publication d’un formulaire ne suffit donc à établir aucun manquement. [23]

À l’arrivée, la reconstruction devra relier un accès, un pouvoir de modification, une action, un effet sur la réfrigération et un dommage documenté. Chaque liaison peut s’appuyer sur une pièce différente. C’est cette continuité qui permettra de quitter les suppositions sur les produits pour instruire les responsabilités des acteurs.

Le prix d’une maintenance assumée

L’affaire Danfoss met en lumière un achat souvent incomplet dans les organisations : conserver la capacité d’agir sur un équipement pendant toute sa vie utile. Un correctif gratuit peut exiger une intervention payante. Une télémaintenance pratique peut accorder un pouvoir considérable. Un appareil amorti peut porter encore chaque jour la valeur d’un stock neuf.

Le contrat, le budget et l’architecture doivent rendre cette réalité administrable. L’exploitant a besoin de savoir qui suit le support, qui reçoit les alertes, qui peut intervenir et comment l’exécution sera constatée. Le prestataire a besoin d’un périmètre et d’une autorité compatibles avec sa mission. Le fabricant doit rendre intelligibles ses versions, ses limites de support et ses mesures correctrices. Ce sont les points sur lesquels les pièces de cette affaire devront désormais être confrontées.

Le business drama de la cyberdécongélation tient dans cette distribution des pouvoirs : la capacité de changer une consigne peut circuler très loin du magasin, tandis que les marchandises et le besoin de trésorerie y restent. La prévention devient crédible lorsque la responsabilité de maintenir cette capacité sous contrôle dispose, elle aussi, d’un propriétaire, de moyens et d’une trace.

Méthode et limites

L’auteur a relayé l’alerte de CTuronensis le 12 octobre à 9 h 35, puis documenté les AK-SM 800A à 10 h 04, à partir des recherches originales de Claroty. Une piste exploratoire iC7, publiée à 9 h 56 avec réserve, concernait une autre gamme ; l’avis correspondant n’établit aucun lien avec les contrôleurs de cette affaire. Ces horaires attestent les publications consultées, sans établir une primauté absolue ni une découverte personnelle des vulnérabilités. [24] [25] [26] [27]

Cette enquête documentaire ne repose sur aucun accès aux systèmes touchés, aux contrats particuliers ou aux relevés des assureurs. Le vecteur effectivement exploité, l’identité de l’attaquant, la répartition des fautes et le montant consolidé des pertes restent ouverts. Les schémas présentent des mécanismes explicatifs ; ils ne reconstituent pas une architecture de victime. L’illustration d’ouverture est une composition conceptuelle générée, sans valeur de photographie d’incident.

Sources

1. AFP, 12 octobre 2026, French supermarkets suffer refrigerator shutdown after ‘unprecedented’ cyberattack. Déclarations des enseignes et du parquet ; périmètres provisoires.
2. CERT-FR, 12 octobre 2026, CERTFR-2026-ALE-012. Alerte nationale, familles touchées et mesures de réponse.
3. CTuronensis, 12 octobre 2026, 7 h 31, signalement sur X. Témoignage initial sur des consignes, sans mesure indépendante des produits.
4. Danfoss, août 2022, AK-CC55 application guide, BC365212986197en-000201, notamment p. 5, 11 et 15. Documentation d’un mécanisme de régulation, sans identification du matériel des victimes.
5. Danfoss, Alsense Food Retail, consulté le 13 octobre 2026. Description commerciale et FAQ, à distinguer des contrats souscrits.
6. Union européenne, 12 janvier 2005, règlement (CE) 37/2005, articles 2 et 3. Périmètre des enregistrements de température et dérogations.
7. ANSSI, novembre 2025, La cybersécurité des systèmes industriels : mesures détaillées, version 2, p. 71-74. Accès distants et interconnexions.
8. Amir Zaltzman, Claroty Team82, 9 août 2026, Freeze the Controller, Defrost the Food. Recherche originale et relevé Censys historique.
9. Danfoss, 24 mars 2025, DSA-2025-03-01, classification actualisée le 1er septembre 2025. CVE-2025-41450 et version 4.2.
10. Danfoss, 1er août 2025, DSA-2025-08-01. CVE-2025-41451, CVE-2025-41452 et version 4.3.1.
11. Claroty Team82, fiche CVE-2025-41450. Description du contournement d’authentification de la fonction de rapport.
12. Synacktiv, 31 octobre 2023, Danfoss AK-SM800A multiple vulnerabilities. Travaux antérieurs et chronologie de divulgation.
13. Thierry Derouet, InformatiqueNews, 13 octobre 2026, Magasins Système U, Intermarché, Leclerc et Monoprix touchés par une cyberattaque. Entretien original avec Kévin Tellier ; limites de l’attribution aux failles de 2023.
14. Danfoss, 23 septembre 2025, Tech Insider, September 2025. Préparation de la migration 4.3.1 et statut des appareils en stock.
15. Danfoss, AK-SM 800A software downloads, consulté le 13 octobre 2026. Versions proposées et documentation d’exploitation.
16. Cooling Post, 12 octobre 2026, Danfoss moves to mitigate cyberattack. Déclaration du fabricant, fin de vie et versions logicielles ; voir aussi Danfoss, Tech Insider October 2025, 31 octobre 2025, pour les dates de fin de vie.
17. Danfoss, bonnes pratiques de cybersécurité pour les régulateurs, consulté le 13 octobre 2026. Périmètres de maintenance et accès réseau.
18. Danfoss France, janvier 2025, Conditions générales de vente, AH480457335598fr-FR0102, notamment articles 8 et 11-14. Applicabilité aux commandes et conditions particulières à établir.
19. BleepingComputer, 12 octobre 2026, Cyberattack shuts down refrigerators at French supermarkets. Déclaration attribuée à Intermarché sur un prestataire.
20. Le Monde, 13 octobre 2026, Pertes dans les supermarchés. Témoignage local.
21. Légifrance, code des assurances, article L. 12-10-1, en vigueur depuis le 24 avril 2023. Condition de dépôt de plainte dans le champ défini par le texte.
22. France Num, 6 octobre 2023, Comment porter plainte en cas de cyberattaque ?. Explication administrative de la condition d’assurance.
23. Commission européenne, Cyber Resilience Act: reporting obligations, actualisé le 11 septembre 2026. Entrée en application des obligations de signalement.
24. Bluetouff, 12 octobre 2026, 9 h 35, relais de l’alerte initiale. Horaires X lus dans le contexte Europe/Paris.
25. Bluetouff, 12 octobre 2026, 10 h 04, publication consacrée aux AK-SM 800A et aux recherches Team82.
26. Bluetouff, 12 octobre 2026, 9 h 56, piste exploratoire iC7, puis édition à 9 h 57.
27. Danfoss, 18 septembre 2026, DSA-2026-08-01. Avis iC7, gamme distincte des AK-SM et AK-SC.