Des pirates dégivrent à distance les vitrines réfrigérées de centaines de supermarchés

Le dégivrage retourné contre les magasins

Les attaquants n’ont rien chiffré et rien dérobé. Selon LeMagIT, ils ont modifié les réglages des installations de froid pour forcer un dégivrage continu, jusqu’à des températures incompatibles avec la conservation des produits. Les contrôleurs visés tournaient sur d’anciennes versions du logiciel Danfoss, précise BleepingComputer. Intermarché et Netto ont retiré les produits des meubles frais et surgelés mis hors service, sans publier la liste des magasins touchés.

La facture tombe vite. Certains magasins estiment leurs pertes à plusieurs dizaines, voire plusieurs centaines de milliers d’euros, d’après LeMagIT. Dominique Schelcher, président de Coopérative U, a confirmé sur LinkedIn l’attaque contre plusieurs de ses magasins et l’a jugée « inacceptable ». Le commissaire européen à l’agriculture Christophe Hansen l’a condamnée à son tour.

Le parquet de Paris a ouvert une enquête. Elle doit identifier les victimes et établir le lien entre l’attaque, les pertes alimentaires et des départs de feu.

Des consoles d’administration joignables par tous

La méthode d’intrusion reste inconnue à ce stade. La porte, elle, était grande ouverte : Baptiste Robert, PDG de Predicta Lab, a compté lundi 2 752 systèmes Danfoss exposés en ligne, dont 1 590 en France, rapporte BleepingComputer. Le moteur de recherche Shodan en recense plus de 4 500 dans le monde.

Une partie de ce parc ne peut plus être sauvée par un correctif. Danfoss a indiqué à BFMTV, cité par LeMagIT, que les modèles AK-SM800 et AK-SC355 sont obsolètes et ne reçoivent plus de mises à jour, et que les AK-SM800A concernés n’étaient pas corrigés. Sur les consoles visibles, LeMagIT relève des dates de dernière modification qui remontent parfois à 2021.

Des failles connues depuis 2025

L’équipe Team82 de Claroty a découvert plusieurs vulnérabilités dans ces équipements. La CVE-2025-41450, un contournement d’authentification, a fait l’objet d’un avis de Danfoss en mars 2025 et d’un correctif dans la version 4.2. La CVE-2025-41451 ouvre la voie à l’exécution de commandes à distance ; l’agence américaine CISA l’a signalée en août 2025.

Pourquoi ces correctifs n’ont-ils pas été appliqués ? En environnement industriel, la continuité d’exploitation passe avant tout, explique LeMagIT : les exploitants craignent qu’une mise à jour mal testée dérègle leurs machines. Danfoss pousse désormais ses clients vers StoreView Web, une plateforme hébergée pour administrer les équipements. Le dispositif a une limite : il réclame l’adresse IP de la machine, donc l’exposition de certains services sur Internet, dont l’authentification.

Notre avis

Cette attaque ne concerne pas que la grande distribution. Une console d’administration ouverte sur le Web, c’est une vitrine sans rideau : n’importe qui peut essayer la poignée, et des failles publiées depuis plus d’un an lui donnent la clé. La caméra, le thermostat ou la caisse connectée d’une boutique, d’un local ou d’un entrepôt relèvent souvent du même schéma, installés par un prestataire puis oubliés.

Cette semaine, demandez à votre prestataire la liste des équipements joignables depuis Internet et des personnes qui peuvent s’y connecter. Exigez que l’accès direct soit fermé au profit d’un réseau privé, comme ceux que cite LeMagIT, et faites remplacer tout appareil qui ne reçoit plus de mises à jour.