Dans la nuit du 11 au 12 octobre 2026, des pirates ont modifié à distance la température des équipements frigorifiques de plusieurs centaines de supermarchés français. Les Mousquetaires comptent au moins 300 magasins Intermarché et Netto touchés, Carrefour 80 supermarchés et Coopérative U 80 magasins.
Ce piratage des supermarchés se distingue des fuites de données clients qui ont frappé la grande distribution ces dernières années. Il vise des équipements techniques que les enseignes considéraient jusqu’ici comme hors de portée des attaquants. Pour comprendre ce qui s’est joué cette nuit-là, il faut d’abord revenir sur le déroulé de l’attaque et sur ses conséquences dans les magasins.
Cyberattaque des supermarchés : que s’est-il passé dans la nuit du 11 au 12 octobre ?
Au petit matin du lundi 12 octobre, des responsables de magasin ont décrit une « vague de chaleur » s’échappant des congélateurs. Les meubles réfrigérés, censés garder les produits au froid, s’étaient transformés en fours. Que s’est-il passé pendant la nuit et quels dégâts l’attaque a-t-elle laissés derrière elle ?
Comment les pirates ont-ils fait chauffer les frigos ?
Les pirates ont pris le contrôle à distance des installations frigorifiques. Selon Thierry Cotillard, président d’Intermarché, ils ont lancé le dégivrage de tous les meubles froids et poussé leur température jusqu’à 50 °C. Le dégivrage est pourtant une opération banale : en temps normal, il se déroule par cycles courts. Les pirates ont simplement fait durer ces cycles bien plus longtemps.
D’après Le Monde, ils sont passés d’une heure à huit heures. L’attaque a commencé vers 23 heures et ses effets n’ont été constatés que vers 4 heures du matin.
Les attaquants n’ont ni volé de données ni perturbé les applications commerciales des magasins. Ils ont détourné une fonction prévue par le fabricant. Dans certains magasins, la manipulation a même retardé le déclenchement des alarmes.
Quelles conséquences pour les enseignes ?
Une fois la chaîne du froid rompue, les enseignes n’ont eu guère d’autre choix que de vider leurs rayons. Intermarché a ainsi dû jeter l’ensemble des produits concernés. L’enseigne a prévenu que les assurances pourraient ne pas couvrir ce type d’incident, ce qui laisse planer une incertitude sur la prise en charge des pertes. Thierry Cotillard les a évaluées à plusieurs dizaines de millions d’euros à l’échelle nationale.
À l’échelle d’un point de vente, les dégâts varient fortement selon la taille du magasin. Dominique Schelcher, PDG de Coopérative U, a chiffré les pertes à quelques dizaines de milliers d’euros pour un petit magasin et entre 180 000 et 200 000 euros pour un hypermarché.
L’incident a rapidement pris une dimension judiciaire. Le parquet de Paris a ouvert une enquête confiée à l’Office anticybercriminalité. Elle vise notamment à relier les victimes aux pertes de marchandises et aux équipements qui ont pris feu.
Pourquoi les installations frigorifiques sont-elles si exposées ?
Une attaque de cette ampleur soulève une question évidente : comment des pirates ont-ils pu atteindre à distance les frigos de centaines de magasins ? Selon une source citée par l’AFP, ils ont visé des contrôleurs de la marque danoise Danfoss. Ces contrôleurs sont des boîtiers électroniques qui pilotent la température et le dégivrage de l’ensemble des frigos d’un magasin.
Des équipements qui n’étaient pas faits pour être piratés
Ces boîtiers ont été conçus pour une seule mission : faire tourner le froid de façon fiable et au moindre coût. Antoine Hautin, expert chez Almond, rappelle qu’à l’époque de leur conception, aucun pirate ne pouvait les atteindre à distance.
Le problème est apparu lorsque ces appareils ont été reliés à internet. Une étude du spécialiste Claroty a recensé en août 2026 pas moins de 2 765 de ces contrôleurs accessibles en ligne. Beaucoup étaient en outre vieillissants : Danfoss a indiqué que la plupart des unités touchées étaient d’anciens modèles qui ne recevaient plus de mises à jour de sécurité.
Un scénario qui s’était déjà produit
Les supermarchés français ne sont pas les premiers visés. Danfoss avait déjà signalé en 2025 que des pirates s’en étaient pris en 2022 à 16 supermarchés russes équipés de ses contrôleurs, ainsi qu’à 40 magasins en Israël. Dans les deux cas, ces sites n’étaient protégés ni par un pare-feu ni par une connexion sécurisée. Les signaux d’alerte existaient donc bien avant l’attaque contre les enseignes françaises.
Quelles leçons pour la sécurité des équipements techniques ?
Le Premier ministre a demandé à l’ANSSI, l’agence nationale chargée de la cybersécurité, de se saisir du dossier. Son directeur général, Vincent Strubel, a jugé urgent de débrancher ces boîtiers d’internet ou de les protéger par un filtrage réseau très strict. Cette mesure d’urgence ne règle cependant pas une question plus large, celle des maillons extérieurs à l’entreprise.
Une faille qui peut venir d’un prestataire
Une enseigne peut investir lourdement dans la sécurité de son système informatique et rester exposée par un maillon qu’elle ne maîtrise pas directement. E.Leclerc a ainsi indiqué que l’attaque avait touché l’un de ses fournisseurs d’équipements frigorifiques. Le phénomène dépasse largement le commerce : Cybermalveillance.gouv.fr relève qu’une partie des violations de données observées en 2025 trouve son origine chez des prestataires ou des partenaires.
Les installations de froid illustrent bien ce risque. Elles sont entretenues par des techniciens extérieurs, qui interviennent sur site pour régler ou mettre à jour les équipements. Chaque intervention peut faire entrer dans l’entreprise des outils, des logiciels et des fichiers qui échappent en partie à son contrôle. La vigilance doit donc s’étendre à tout ce que ces prestataires apportent avec eux.
La clé USB, une porte d’entrée à surveiller
Parmi les outils qu’un technicien apporte sur site, la clé USB occupe une place à part. Elle peut servir à transférer les fichiers de mise à jour ou de paramétrage d’un équipement. Rien n’indique à ce stade que les pirates sont passés par ce canal le 12 octobre. Le risque est pourtant bien réel. Le rapport 2024 de Honeywell s’est penché sur les clés utilisées pour transférer des fichiers vers, depuis et entre des sites industriels : 51 % des logiciels malveillants qui y ont été détectés étaient conçus pour exploiter l’USB. C’est pourquoi l’ANSSI recommande d’interdire la connexion de clés inconnues et de faire analyser le contenu des clés dont l’origine n’est pas maîtrisée.
Bon à savoir : L’attaque d’octobre 2026 l’a montré : les équipements de production de froid relèvent désormais de la cybersécurité OT, au même titre que les installations industrielles.
C’est précisément sur ce terrain que TYREX intervient. Nos stations de décontamination analysent chaque support amovible et mettent en quarantaine les fichiers malveillants avant leur connexion à un équipement sensible.
