Congélateurs Danfoss piratés : comment éviter que vos équipements soient les prochains

Dans la nuit du 11 au 12 octobre 2026, des réfrigérateurs et des congélateurs de supermarchés se sont mis à chauffer. Personne n'était entré dans les magasins : leurs régulateurs de froid Danfoss avaient été pilotés à distance. Voici ce que l'on sait, et surtout ce que vous pouvez faire pour que vos propres équipements ne soient pas les prochains.

Ce qui s'est passé

Pendant la nuit, des régulateurs ont été basculés en mode dégivrage, avec une consigne réglée jusqu'à 50 °C selon SecurityWeek, qui rapporte aussi que dans certains équipements, la température a monté pendant six heures avant que le personnel ne s'en aperçoive. Des produits frais et surgelés ont dû être jetés.

Intermarché, Netto, Coopérative U, Carrefour Market, Monoprix, E.Leclerc et Auchan figurent parmi les enseignes citées par la presse, pour plusieurs centaines de magasins au total, en France surtout, mais aussi dans d'autres pays européens. Le parquet de Paris a ouvert une enquête (BleepingComputer).

Le 12 octobre, le CERT-FR a publié l'alerte CERTFR-2026-ALE-012 : il a « connaissance de nombreuses compromissions de Danfoss série AK-SM et AK-SC ». Danfoss indique que la plupart des équipements touchés sont des produits anciens, qui ne reçoivent plus de mises à jour ou dont le micrologiciel n'était pas à jour (NordiskPost).

Ce qui n'est pas établi : la façon exacte dont les attaquants sont entrés. Trois pistes sont évoquées, sans confirmation officielle à ce jour : des interfaces exposées sur Internet et des failles connues, des identifiants de maintenance compromis, ou l'accès à distance d'un prestataire.

Pourquoi c'était possible

Ces régulateurs se pilotent depuis une interface web. Pour que les frigoristes puissent surveiller et régler les installations sans se déplacer, cette interface est souvent accessible depuis Internet. Le 12 octobre, le chercheur Baptiste Robert (Predicta Lab) a recensé 2 752 systèmes Danfoss joignables depuis Internet, dont 1 590 en France (BleepingComputer).

Or plusieurs failles de ces équipements sont publiques depuis des mois, parfois des années :

Aucune source officielle ne relie pour l'instant l'attaque à l'une de ces failles. Mais la combinaison est classique : un équipement joignable depuis Internet, un logiciel pas à jour, des accès partagés entre plusieurs intervenants. C'est elle qu'il faut casser.

Comment l'éviter

Ces mesures valent pour les régulateurs de froid, et pour tous les équipements techniques installés et maintenus par des prestataires : gestion technique du bâtiment, chauffage et climatisation, caméras, contrôle d'accès, balances, étiquettes électroniques.

1. Savoir ce qui est exposé

   Faites la liste de vos équipements connectés et de qui les maintient. Puis vérifiez depuis l'extérieur : depuis un téléphone en 4G, hors du Wi-Fi du site, ouvrez l'adresse de l'interface. Si une page de connexion s'affiche, elle est exposée. Les moteurs comme Shodan ou Censys, interrogés avec l'adresse IP publique du site, donnent la même information, et c'est précisément ce que consultent les attaquants.

2. Couper l'accès direct depuis Internet

   Le CERT-FR est explicite : exposer une interface d'administration sur Internet va à l'encontre des bonnes pratiques. Supprimez les redirections de port de la box ou du routeur qui mènent au régulateur. Si l'administration à distance est indispensable dans l'immédiat, limitez-la aux adresses IP de confiance, en attendant mieux.

3. Faire passer les prestataires par un pare-feu et un VPN

   Le « mieux », c'est un pare-feu UTM en entrée de site (Fortinet FortiGate ou équivalent), qui remplace l'accès direct par une porte contrôlée :

   • un VPN nominatif, avec double authentification, pour chaque technicien ;
   • un accès limité aux seuls équipements que le prestataire maintient ;
   • les équipements techniques dans leur propre réseau, séparé de la caisse, des bureaux et du Wi-Fi ;
   • les connexions sortantes du régulateur limitées au strict nécessaire, par exemple l'envoi des alertes ;
   • un journal de chaque connexion, consultable après coup.

   Ce que le pare-feu ne fait pas

   • Il ne corrige pas les failles du régulateur : la mise à jour reste nécessaire.
   • Si les identifiants VPN d'un prestataire sont volés, l'attaquant entre par la porte autorisée. D'où les comptes nominatifs et la double authentification.
   • Si l'attaque passe par une plateforme de supervision qui a déjà un accès légitime, le filtrage ne suffit pas à lui seul.
   • Un pare-feu qui n'est pas tenu à jour devient lui-même la porte d'entrée : le VPN SSL des FortiGate a connu plusieurs failles critiques exploitées par des attaquants, comme CVE-2024-21762. L'installer ne suffit pas, il faut le gérer.

4. Mettre à jour, ou remplacer

   Demandez à votre prestataire la version installée sur chaque régulateur. Pour l'AK-SM 800A, Danfoss et la CISA recommandent la version 4.3.1 ou ultérieure, qui corrige les failles publiées. Un équipement qui ne reçoit plus de mises à jour doit être remplacé, et isolé du reste du réseau en attendant.

5. Changer les mots de passe et vérifier les comptes

   Tous les comptes, y compris ceux du prestataire. Supprimez ceux que personne ne sait expliquer, et ne réutilisez pas le même mot de passe d'un magasin à l'autre.

6. Surveiller la température sans dépendre du régulateur

   Si un attaquant peut faire afficher des températures normales, l'alarme du régulateur ne suffit plus. Des enregistreurs autonomes, sur un autre réseau, qui envoient une alerte par SMS à une personne d'astreinte, auraient fait gagner des heures, et donc du stock.

7. Écrire les règles avec le prestataire

   Qui applique les mises à jour, et sous quel délai ? Qui a un accès à distance, depuis où ? Comment êtes-vous prévenu d'un incident ? Ces réponses ont leur place dans le contrat de maintenance, pas dans la mémoire de quelqu'un.

Si vous pensez être touché

Avant toute remise à zéro, conservez les journaux : ils diront comment l'attaquant est entré. Puis suivez les recommandations du CERT-FR :

• filtrer les accès réseau aux instances AK-SM et AK-SC, en ne laissant que les prestataires ;
• réaliser une remise en état d'usine ;
• appliquer tous les correctifs de sécurité disponibles ;
• changer tous les secrets (mots de passe, clés) ;
• vérifier les comptes existants ;
• reconfigurer entièrement l'équipement.

Déposez plainte, et faites-vous accompagner si besoin via cybermalveillance.gouv.fr.