Cyberattaque des frigos : ce que toute PME doit retenir

Dans la nuit du 1er au 2 novembre 2026, des réfrigérateurs de supermarchés ont chauffé en Belgique, en Suède et au Luxembourg. C'est la deuxième vague de cyberattaque contre des équipements frigorifiques en trois semaines, après celle qui a frappé la France le 12 octobre. Et le message que cette attaque envoie concerne bien plus que la grande distribution : il concerne toute PME qui possède un équipement technique pilotable à distance.

Ce qui s'est passé, du 12 octobre au 2 novembre

Dans la nuit du 11 au 12 octobre 2026, des magasins français ont vu les consignes de température de leurs équipements frigorifiques modifiées à distance. Le jour même, le CERT-FR, l'équipe de réponse aux incidents de l'ANSSI, publiait l'alerte CERTFR-2026-ALE-012. Elle fait état de nombreuses compromissions de contrôleurs de réfrigération pilotés à distance, des marques Danfoss (séries AK-SM et AK-SC), Copeland et Dixell (xweb). L'alerte a été mise à jour le 13 puis le 16 octobre.

Entre le dimanche 1er et le lundi 2 novembre, le scénario s'est répété hors de France. Des dizaines de magasins en Belgique, au Luxembourg, en Suède et en Irlande ont signalé des réfrigérateurs et des congélateurs en surchauffe. Un installateur belge de systèmes de réfrigération affirme que le mécanisme est le même qu'en France. Au 3 novembre, l'alerte du CERT-FR n'a pas été mise à jour et aucune autorité des pays touchés n'a publié d'alerte détaillée sur cette seconde vague.

Mon analyse : le problème n'est pas le frigo

Je ne crois pas à une attaque sophistiquée. Je crois à une porte laissée ouverte.

Le CERT-FR l'écrit sans détour : exposer une interface de gestion sur Internet est contraire aux bonnes pratiques. Ses recommandations parlent d'elles-mêmes. Mettre à jour le firmware. Activer le mode de sécurité renforcé. Changer les mots de passe par défaut. Ce sont des mesures de base. Si elles sont rappelées dans une alerte nationale, c'est qu'elles n'étaient pas appliquées.

Ce qui me frappe, c'est que l'attaque ne vole aucune donnée. Elle touche le monde physique : de la marchandise jetée, des rayons vides, un risque sanitaire. Un dirigeant qui pense « je n'ai rien à voler, donc je ne suis pas une cible » vient d'avoir sa réponse.

Et ne vous y trompez pas : ce ne sont pas seulement les supermarchés. Un hôtel, une clinique, un entrepôt, un restaurant, un immeuble de bureaux ont tous des équipements techniques pilotables à distance : chambres froides, climatisation, chauffage, contrôle d'accès, ascenseurs. Ces systèmes ont leur propre famille de normes, l'IEC 62443, dédiée à la cybersécurité des systèmes industriels et d'automatisme.

Ce que vous devez faire cette semaine : 4 actions

• Faites l'inventaire. Listez chaque équipement technique de vos sites qui peut être piloté à distance. Pas seulement les ordinateurs : tout ce qui a une interface de supervision.
• Interrogez vos prestataires. Pour chaque équipement, demandez qui s'y connecte, comment, et depuis où. La réponse vous surprendra souvent.
• Changez les mots de passe par défaut et appliquez les mises à jour proposées par les fabricants.
• Coupez l'accès direct depuis Internet. Un équipement technique ne doit être joignable que par un réseau protégé ou un accès sécurisé de type VPN, comme le recommande le CERT-FR.

Pour aller plus loin, le Guide d'hygiène informatique de l'ANSSI reste la meilleure base pour une PME. La gestion des relations avec les fournisseurs comme celle des vulnérabilités techniques figurent parmi les mesures de sécurité décrites par l'ISO/IEC 27002, le catalogue qui accompagne l'ISO/IEC 27001.

L'erreur que je vois sur le terrain

L'erreur la plus fréquente, c'est de croire que la cybersécurité est l'affaire du seul service informatique.

Les équipements techniques sont souvent achetés par les services généraux, installés par un frigoriste ou un chauffagiste, et maintenus à distance par un prestataire. Le DSI ne les voit pas. Le dirigeant ne sait pas qu'ils existent. Personne ne se sent responsable.

Résultat : une interface reste ouverte sur Internet pendant des années, avec le mot de passe d'usine. Jusqu'au jour où quelqu'un la trouve.

La sécurité d'un site, ce n'est pas un logiciel. C'est savoir ce qui est branché, qui y a accès, et qui en répond.

FAQ : cyberattaque des frigos de supermarchés

Quels équipements sont visés par l'alerte du CERT-FR ?

L'alerte CERTFR-2026-ALE-012 cite les contrôleurs à distance d'installations de réfrigération Danfoss des séries AK-SM et AK-SC, ainsi que Copeland xweb et Dixell xweb, lorsque leur interface de gestion est exposée sur Internet.

Mon entreprise est-elle concernée si elle n'est pas un supermarché ?

Oui, dès qu'elle possède un équipement technique pilotable à distance : chambre froide, climatisation, chauffage, contrôle d'accès ou ascenseur. Hôtels, cliniques, entrepôts, restaurants et immeubles de bureaux sont exposés au même risque si l'interface de supervision est joignable depuis Internet.

Que recommande le CERT-FR pour se protéger ?

Ne plus exposer l'interface de gestion sur Internet et la rendre joignable uniquement par un réseau protégé ou un VPN sécurisé, mettre à jour le firmware, activer le mode de sécurité renforcé proposé par le fabricant et changer les mots de passe par défaut.

Quelle norme encadre la cybersécurité de ces équipements ?

La série IEC 62443 est consacrée à la cybersécurité des systèmes industriels et d'automatisme. Pour l'organisation dans son ensemble, fournisseurs compris, l'ISO/IEC 27001 et son catalogue de mesures ISO/IEC 27002 fournissent le cadre de management.

Pour aller plus loin

Retrouvez les 40 cadres cyber et IA, de NIS2 à l'IEC 62443, classés par niveau d'obligation dans notre cartographie des normes ISO, cyber et IA, téléchargeable en PDF.

Vous voulez structurer la sécurité de votre organisation, fournisseurs compris ? Découvrez notre formation ISO/IEC 27001 Lead Implementer.

Sources officielles

• CERT-FR, alerte CERTFR-2026-ALE-012, « Incident de sécurité ciblant les contrôleurs à distance des installations de réfrigération », version du 16/10/2026.
• ANSSI, Guide d'hygiène informatique.
• Série ISA/IEC 62443.
• ISO/IEC 27002:2022.
• Faits du 2 novembre (presse) : France 24, RTBF, Euronews, 02/11/2026.

Photo de couverture : AG20044018, Wikimedia Commons, licence CC BY-SA 4.0, recadrée.