Des congélateurs à 50 °C : ce que l’attaque contre les supermarchés en Belgique, au Luxembourg et en Suède enseigne aux responsables GRC

Faits établis au 2 novembre 2026 ; les enquêtes se poursuivent

Dans la nuit du 1er au 2 novembre 2026, des attaquants se sont connectés aux contrôleurs de réfrigération de supermarchés en Belgique, au Luxembourg et en Suède, et ont fait passer les congélateurs en dégivrage. Au matin, certains congélateurs suédois soufflaient de l'air à 50 °C et la marchandise a dû être jetée. Ni rançongiciel, ni vol de données, ni faille zero-day : seulement des équipements exposés sur Internet, des mots de passe faibles et des accès de prestataires que personne, du côté des distributeurs, ne gouvernait.

Cet article retrace les faits tels qu'ils sont connus aujourd'hui, explique ce qu'ils impliquent pour NIS2, CER et le RGPD dans chaque pays, et montre comment un programme GRC détecte ce type de risque avant qu'il n'atteigne la chambre froide.

« La plupart des conseils d'administration peuvent vous montrer un registre des cyberrisques, mais le congélateur qui permet à un magasin de tourner y figure rarement. Quand ce système tombe en panne, la perte est immédiate et physique : il faut jeter la nourriture. C'est cet angle mort qui a rendu le 2 novembre si coûteux »

Que s'est-il passé lors de l'attaque contre la réfrigération des supermarchés en Belgique, au Luxembourg et en Suède ?

Entre minuit et 5 h 30 environ, le 2 novembre 2026, les réglages de réfrigération ont été modifiés à distance dans des dizaines de magasins d'au moins six pays. Les congélateurs ont été passés en dégivrage ou en chauffe, les alarmes se sont déclenchées vers 3 h, et les équipes ont découvert à leur arrivée des produits perdus.

• 6+pays touchés le 2 novembre
• ~700magasins français touchés les 11 et 12 octobre
• 50 °Cd’air relevé dans des congélateurs suédois
• 28 minpour qu’un agent IA construise un exploit dans le test de Claroty

Les dégâts ont été physiques. Les températures maximales rapportées atteignaient environ 15 °C en Belgique et 50 °C ou plus en Suède. Un exploitant Delhaize belge a chiffré sa perte à 4000 euros. Le gérant de l'ICA de Sjöbo a parlé de centaines de milliers de couronnes de nourriture détruite. Le Financial Times a fait état de millions d'euros de pertes en Suède et en Belgique.

Le détail le plus important pour la gouvernance est venu d'ICA : les magasins touchés se connectent en dehors de son réseau central. Les équipements échappaient aux contrôles informatiques du distributeur ; ils étaient installés et surveillés par des frigoristes.

« Un supermarché peut en général se passer d'une caisse en panne pendant une journée, mais un congélateur resté chaud toute une matinée, c'est une autre histoire. Le contrôleur qui le maintient au froid est souvent géré par un prestataire externe, si bien qu'il échappe au plan de continuité du distributeur lui-même. C'est exactement le type de dépendance qu'une analyse d'impact sur l'activité devrait faire apparaître »

Une analyse d'impact sur l'activité mesure combien de temps chaque processus peut s'arrêter avant que les dommages ne deviennent inacceptables. Pour la vente de produits frais et surgelés, la réponse se compte en heures.

L'attaque de novembre est-elle liée à l'attaque contre les frigos des supermarchés français en octobre ?

Très probablement, mais personne ne l'a confirmé officiellement. Trois semaines avant la Belgique, le Luxembourg et la Suède, la France a vécu la même nuit.

Que s'est-il passé en France dans la nuit du 11 au 12 octobre 2026 ?

Dans la nuit du 11 au 12 octobre, des attaquants ont pris la main sur des contrôleurs de réfrigération de supermarchés français et les ont forcés en dégivrage. Dans les magasins Intermarché, les frigos ont été chauffés à 50 °C pendant environ six heures. Pour retarder les alarmes, les cycles de dégivrage auraient été étirés d'une heure à huit. Des départs de feu ont été signalés sur certains sites, et deux magasins alsaciens auraient à eux seuls chiffré leurs pertes cumulées à 270 000 euros.

L'ampleur dépassait de loin celle de novembre. Le ministre de l'Économie et des Finances, Roland Lescure, a indiqué au Parlement qu'environ 700 magasins avaient été touchés ; le groupement qui exploite Intermarché a fait état de 150 à 300 de ses magasins Intermarché et Netto touchés, selon les décomptes. La section cybercriminalité du parquet de Paris a ouvert une enquête.

Les autorités ont réagi vite, et leurs alertes sont parvenues en Belgique et en Suède bien avant le 2 novembre :

1. Août 2025Le firmware Danfoss R4.3.1 corrige la dernière des trois failles de l’AK-SM 800A
2. 11-12 oct. 2026Environ 700 magasins français perdent leur réfrigération dans la nuit
3. 12 oct. 2026Le CERT-FR publie l’alerte CERTFR-2026-ALE-012 sur les contrôleurs Danfoss AK-SM et AK-SC
4. 13 oct. 2026Le CERT-FR ajoute Copeland et Dixell XWEB ; le CCB alerte les exploitants belges ; Claroty montre un exploit construit par IA en 28 minutes environ
5. 16 oct. 2026Le CERT-FR met à jour ses recommandations ; la lettre hebdomadaire du CERT-SE signale les attaques et les systèmes de contrôle suédois exposés
6. 2 nov., vers 3 hLes alarmes des congélateurs se déclenchent en Belgique, au Luxembourg et en Suède
7. 2 nov., vers 5 h 30Les modifications à distance cessent ; les équipes découvrent les produits perdus

La manière dont les attaquants sont entrés est détaillée plus bas, dans la section consacrée aux contrôleurs eux-mêmes.

France, Belgique, Luxembourg et Suède : qu'est-ce qui concorde ?

Que ne sait-on pas encore ?

• Le fournisseur en novembre. Danfoss aurait indiqué qu'aucun lien avec ses produits n'avait été établi pour les attaques du 2 novembre, tandis que, selon la chaîne publique néerlandaise NOS, des équipements Copeland auraient été touchés en Belgique. Ces deux informations sont de seconde main.
• La vulnérabilité exacte. Aucune autorité n'a nommé la CVE utilisée dans l'une ou l'autre vague.
• Un lien formel. Sabcobel, la fédération belge du froid, a indiqué que la vague de novembre pourrait utiliser le même mécanisme. Aucun CSIRT ni aucun parquet n'a encore relié les deux.

Deux autres événements sont souvent cités à côté de ces vagues. Des pannes de réfrigération dans au moins six supermarchés de bases militaires américaines (les « commissaries ») en août 2026 font l'objet d'une enquête pour cyberattaque présumée, mais aucun lien n'a été démontré. Et l'incident réseau d'Ahold Delhaize du 11 octobre, qui a interrompu les commandes en ligne d'Albert Heijn et de Delhaize, a commencé le même jour que la vague française, sans y avoir été relié.

Ce qu'il faut en retenir pour les équipes GRC : les victimes de novembre disposaient de trois semaines d'avance, avec des produits nommés et des recommandations claires du CERT-FR et du CCB. Qu'il s'agisse ou non d'une seule campagne, la question que chaque conseil devrait poser est simple : pourquoi cette alerte ne s'est-elle pas traduite en actions ?

Qui est derrière les attaques contre la réfrigération des supermarchés ?

Personne ne le sait encore. Aucun groupe ne les a revendiquées, et aucun gouvernement, CSIRT ou fournisseur ne les a attribuées. Des groupes prorusses ont déjà visé des cibles françaises, mais rien ne relie un acteur nommé aux vagues contre la réfrigération.

Ce que cela change pour vos rapports : écrivez « non attribuée » et « campagne commune soupçonnée » dans les documents du conseil et la communication aux clients. Surestimer l'attribution nuit à votre crédibilité auprès des régulateurs et des assureurs.

« On veut naturellement savoir qui est derrière une attaque, et cette question comptera tôt ou tard. Mais dans les 72 premières heures, la question la plus utile est de savoir si la brèche qui leur a permis d'entrer a été refermée. Quel que soit l'attaquant, une interface d'administration non sécurisée reste une interface d'administration non sécurisée »

Comment les attaquants ont-ils accédé aux contrôleurs de réfrigération ?

Par la grande porte. En France, les autorités ont confirmé que les interfaces web d'administration des contrôleurs étaient accessibles depuis Internet, et des informations ont fait état d'identifiants aussi simples que « admin » avec un mot de passe dérivé de la date. Le même schéma est soupçonné en Belgique, au Luxembourg et en Suède.

1. 1Exposéinterface web du contrôleur accessible depuis Internet
2. 2Connectémot de passe par défaut ou dérivé de la date
3. 3Hors radaraccès du prestataire hors de la MFA et de la journalisation du distributeur
4. 4Dégivrageconsignes modifiées, dégivrage prolongé, marchandise perdue

Trois faiblesses se sont additionnées :

• L'exposition sur Internet. Le CERT-FR et le CCB belge ont tous deux rappelé que les interfaces d'administration ne doivent jamais être exposées sur Internet. En octobre, une enquête de SVT a recensé environ 3800 systèmes de contrôle industriels exposés en Suède, dont près de 2000 protégés uniquement par un nom d'utilisateur et un mot de passe.
• Des accès gérés par les prestataires. Les frigoristes installent ces équipements et les surveillent à distance. Leurs accès échappaient aux contrôles d'identité, de MFA et de journalisation des distributeurs, soit précisément la lacune que la gestion des risques tiers doit combler.
• Des failles connues et non corrigées. Les vulnérabilités du Danfoss AK-SM 800A (CVE-2025-41450, CVE-2025-41451 et CVE-2025-41452) ont été corrigées dans les firmwares R4.2 (mai 2025) et R4.3.1 (août 2025). Beaucoup des équipements touchés étaient d'anciens modèles qui ne reçoivent plus de mises à jour.

Les attaquants n'ont probablement eu besoin d'aucun logiciel malveillant. Sekoia n'a trouvé aucun code malveillant sur les contrôleurs français, ce qui laisse penser que des fonctions d'administration légitimes ont été détournées pour modifier les consignes et le calendrier de dégivrage.

Pourquoi le délai d'alerte devrait inquiéter tous les conseils

Les failles étaient publiques depuis plus d'un an. Claroty a publié des chiffres d'exposition en août 2026. Et en octobre, Claroty a montré qu'un agent IA pouvait transformer un firmware Danfoss téléchargeable librement en exploit fonctionnel en 28 minutes environ, pour quelque 6 dollars d'usage d'IA. L'écart entre la divulgation et l'exploitation se mesure désormais en minutes ; dans la plupart des organisations, l'écart entre l'avis de sécurité et l'action se mesure encore en trimestres.

« En audit, le problème que je rencontre le plus souvent n'est pas un contrôle technique manquant, c'est un système dont personne n'est clairement responsable. Il a pu fonctionner sans bruit pendant des années, mais dès que quelque chose se passe mal, tout le monde se demande à qui il revenait »

L'attaque contre la réfrigération des supermarchés est-elle un incident NIS2 ?

Pour la plupart des exploitants de magasins, probablement pas. L'annexe II de NIS2 couvre les entreprises alimentaires de la distribution en gros et de la transformation industrielle, et la FAQ du CCB précise que les supermarchés relèvent du commerce de détail et sortent en général de son champ. Mais le périmètre NIS2 se détermine entité par entité, et plusieurs entités d'un groupe de distribution peuvent malgré tout y entrer :

À qui signaler l'incident en Belgique, au Luxembourg et en Suède ?

Les trois pays appliquent la même séquence de notification des incidents NIS2, mais les lois, les autorités et l'organisation de la supervision diffèrent.

Les sources suédoises divergent sur la répartition de la supervision après juillet 2026. Confirmez le bon destinataire avant d'en avoir besoin.

Pourquoi s'agit-il d'un échec de gouvernance, et pas seulement d'un problème technique ?

Parce que chaque correctif était connu, peu coûteux et public depuis des mois. La technologie a fait ce pour quoi elle était configurée. Ce qui a échoué, c'est la responsabilité : sur l'équipement, sur la relation avec le prestataire et sur l'avis de sécurité qui aurait dû déclencher une action.

Quatre leçons pour les conseils et les organes de direction :

1. La responsabilité au titre de l'article 20 de NIS2 est personnelle lorsque vous êtes dans le champ. La direction doit approuver les mesures de gestion des cyberrisques et en superviser la mise en œuvre. « Nous ne savions pas que les frigos étaient en ligne » n'est pas une défense.
2. Le périmètre légal est plus étroit que le risque opérationnel. Être hors du champ de NIS2 n'a protégé aucun congélateur. Inscrivez l'OT et les systèmes du bâtiment au registre des risques, quelle que soit leur qualification juridique.
3. L'OT gérée par vos prestataires est votre risque. Les contrats avec les frigoristes et les prestataires techniques doivent prévoir la MFA, la journalisation, des délais de correctifs, une notification d'incident sous 24 heures et un droit d'audit. La même logique guide les questions de notre article sur les exigences du CRA envers les fournisseurs.
4. Chaque avis de sécurité doit avoir un responsable. Quelqu'un doit trier les alertes du CERT-FR, du CCB, du CERT-SE et du CIRCL sous 48 heures et décider si elles s'appliquent.

« Quand je demande aux équipes dirigeantes quels fournisseurs pourraient paralyser l'entreprise d'ici le lendemain matin, elles citent en général les prestataires de paiement et les logisticiens. L'entreprise qui entretient le système de réfrigération est rarement mentionnée, alors qu'une défaillance de sa part peut vider les rayons en quelques heures. Cet exercice mérite d'être répété dans chaque organisation de la distribution »

« La bonne gouvernance se voit quand un avis de sécurité arrive, que quelqu'un reconnaît qu'il concerne ses systèmes et qu'il agit. Un document de politique ne le fait pas à lui seul ; un responsable nommé, oui »

Comment une plateforme GRC aide-t-elle à prévenir une attaque de ce type contre la chaîne d'approvisionnement OT ?

Une plateforme GRC ne corrige pas un contrôleur. Elle garantit en revanche que ce contrôleur a un responsable, un prestataire enregistré, un niveau de risque, une échéance et un statut visible du conseil. C'est exactement la chaîne qui s'est rompue le 2 novembre. Voici où chaque défaillance se traite dans Acuna GRC.

Un parcours de 30 jours dans Acuna

Un parcours de 30 jours dans Acuna GRCExemple : contrôleurs de réfrigération

1. 1Semaine 1 : inventaireAjoutez chaque contrôleur de réfrigération, de CVC et de bâtiment dans les actifs (Assets) et liez-le à son prestataire dans Supplier Shield.Contrôleur de congélateur, magasin 12, lié à son frigoriste
2. 2Semaine 2 : prestatairesLancez une campagne de questionnaire sur l’accès à distance OT auprès de tous vos prestataires techniques ; exigez des preuves de scan d’exposition.Une campagne, un questionnaire, un résultat de scan par prestataire
3. 3Semaine 3 : vulnérabilitésConnectez votre scanner ou importez un CSV dans la gestion des vulnérabilités ; fixez le seuil de sévérité et les SLA.CVE-2025-41451 sur 14 contrôleurs devient un seul ticket avec une échéance
4. 4Semaine 4 : périmètre et conseilConsignez le périmètre NIS2 et CER par entité, approuvez les exceptions pour les unités anciennes et ajoutez le KPI OT au tableau de bord du conseil.KPI : interfaces OT exposées sur Internet, cible 0

D’après l’exemple de cet article

La deuxième semaine concentre l'essentiel de la valeur : un questionnaire d'évaluation des fournisseurs bien construit transforme « notre prestataire s'en occupe » en réponses vérifiables.

Que doivent faire les RSSI et les responsables de la conformité cette semaine ?

Commencez par l'exposition, puis les accès, puis la documentation. Cette liste suit les recommandations du CERT-FR et du CCB.

1. Obtenez de chaque frigoriste et prestataire technique du bâtiment une confirmation écrite qu'aucun contrôleur dont vous dépendez n'est accessible depuis Internet, avec un résultat de scan ou une configuration de pare-feu comme preuve.
2. Analysez les plages IP de l'entreprise, des magasins et des prestataires à la recherche de pages de connexion StoreView, XWEB et similaires.
3. Vérifiez sur les contrôleurs l'absence de consignes inattendues, de durées de dégivrage allongées ou de nouveaux comptes ; réinitialisez aux paramètres d'usine toute unité compromise, comme le recommande le CCB.
4. Changez tous les mots de passe des contrôleurs et supprimez les identifiants par défaut ou dérivés de la date.
5. Imposez aux prestataires un accès via un VPN protégé par MFA ou un courtier zero trust, avec des comptes nominatifs.
6. Mettez à jour les Danfoss AK-SM 800A en R4.3.1 ou ultérieure et listez les unités en fin de vie avec un budget de remplacement.
7. Ajoutez des alarmes de température qui ne dépendent pas du contrôleur attaqué.
8. Classez chaque entité juridique au regard de NIS2, CER, du RGPD et de DORA, et consignez le résultat.
9. Organisez un exercice sur table de 60 minutes de la séquence de notification à 24 heures, 72 heures et un mois avec la bonne autorité.
10. Vérifiez les conditions d'assurance avant de couper les liaisons de données des prestataires, et préservez d'abord les preuves.
11. Informez le conseil, nommez un responsable de la remédiation avec une échéance, et consignez la décision au procès-verbal.

Pour le programme complet derrière ces étapes, voyez la conformité NIS2 dans Acuna GRC.

Où les équipes GRC peuvent-elles apprendre à gouverner les risques OT et fournisseurs ?

Les outils ne servent que si l'on sait quoi chercher. C'est pourquoi Acuna travaille main dans la main avec l'Abilene Academy, un organisme suisse de formation professionnelle. Henri Haenni, président d'Abilene Group, est formateur certifié PECB et chargé d'enseignement à l'Université Paris 1 Panthéon-Sorbonne. Une formation construite autour d'incidents réels comme celui-ci permet de s'exercer aux décisions qui comptent : qui est responsable d'un équipement, quelle entité notifie, et ce qu'un conseil doit entendre.

Trois parcours correspondent aux leçons du 2 novembre :

• Périmètre NIS2 et notification des incidents. Classer les entités, tenir l'horloge des 24 et 72 heures, et travailler avec les exigences du CCB, de l'ILR et du NCSC. Formations : NIS 2 Directive Foundation, NIS 2 Directive Lead Implementer et, pour le processus d'incident lui-même, ISO 27035 Lead Incident Manager.
• Risques tiers et fournisseurs OT. Rédiger des clauses de sécurité, concevoir des standards d'accès à distance et évaluer les prestataires sur preuves plutôt que sur promesses. Formations : ISA/IEC 62443 Lead Implementer, qui couvre la gestion de la chaîne d'approvisionnement des systèmes industriels, et Lead SCADA Security Manager, qui traite des prestataires tiers et de l'accès à distance.
• Briefing des organes de direction. Aider les administrateurs à remplir leur obligation de formation au titre de l'article 20 et à poser les bonnes questions sur les technologies opérationnelles.

En savoir plus sur l'Abilene Academy.

Demander une démo

Sources

Les faits de l'incident proviennent de la note interne de veille d'Acuna du 2 novembre 2026 et des sources publiques ci-dessous, toutes consultées le 2 novembre 2026. La déclaration de Sabcobel est rapportée par L'essentiel et Euronews. L'article du Financial Times, les constats de Sekoia sur les contrôleurs français et la FAQ NIS2 du CCB sont cités sans lien.

• CERT-FR (ANSSI), alerte CERTFR-2026-ALE-012 sur les contrôleurs à distance des installations de réfrigération, 12 octobre 2026, révisée les 13 et 16 octobre 2026
• Centre pour la Cybersécurité Belgique (CCB), « Warning: Security Incidents in France Targeting Remote Controllers of Refrigeration Installations, patch immediately! », 13 octobre 2026
• Centre pour la Cybersécurité Belgique (CCB), Frequently Asked Questions (FAQ) NIS2 in Belgium, version 2.0, février 2025
• Claroty Team82, « Freeze the Controller, Defrost the Food: Uncovering Vulnerabilities in Danfoss Refrigeration Controllers », 9 août 2026
• Claroty Team82, « Firmware to Root in 30 Minutes: How AI is Changing Threat Intelligence », 13 octobre 2026
• CISA, avis ICS ICSA-25-140-03, Danfoss AK-SM 8xxA Series (Update A), 26 août 2025
• ILR, NIS 2 (loi du 5 mai 2026)
• Gouvernement luxembourgeois, « Cybersécurité: l'ILR présente la nouvelle loi NIS 2 », 6 juillet 2026
• Riksdagen, Cybersäkerhetslag (SFS 2025:1506)
• Reuters (via NBC News), « European supermarkets hit by new fridge cyberattack », 2 novembre 2026
• BBC (via Yahoo News), « Shop freezers in seven European countries hit by suspected cyber-attack », 2 novembre 2026
• SVT, « Coop-frysar i Gävleborg utslagna i misstänkt hackerattack », 2 novembre 2026
• VRT NWS, « Cyberattack hits several Belgian supermarket chains », 2 novembre 2026
• The Brussels Times, « Suspected cyberattack hits fridges and freezers at dozens of Belgian supermarkets », 2 novembre 2026
• The Brussels Times, « Cyberattack on supermarket refrigeration systems spreads across Europe », 2 novembre 2026
• L'essentiel, « Cyberattaque chez Delhaize: des dizaines de supermarchés touchés dans leurs réfrigérateurs », 2 novembre 2026
• Euronews, « Cyberattack hits supermarket fridges and freezers in Europe », 2 novembre 2026
• Econostrum, « Des frigos chauffés à 50 °C : que sait-on de cette cyberattaque massive qui a paralysé les supermarchés ? », 12 octobre 2026
• Reuters et AFP (via SBS News), « Hackers hit French supermarket fridges, sparking fires and spoiling food », 13 octobre 2026
• Associated Press (via NY1), « Cyberattacks hit European supermarket chains and disrupt refrigeration systems », 13 octobre 2026
• Le Monde Informatique, « Une cyberattaque perturbe les installations frigorifiques de centaines de supermarchés », 13 octobre 2026
• Reuters (via The Star), « Copeland, Dixell refrigeration systems also hacked, French cybersecurity agency says », 13 octobre 2026
• SecurityWeek, « Supermarket Refrigeration Attack Widens to Copeland, Dixell Controllers », 15 octobre 2026
• CERT-SE, « CERT-SE:s veckobrev v.42 », 16 octobre 2026
• Supermarket News, « Ahold Delhaize shuts down websites after cybersecurity issue », 12 octobre 2026
• Just Food, « Albert Heijn resumes online deliveries after cyber outage »
• Task & Purpose, « Pentagon investigates series of commissary freezer failures as possible cyberattack », 29 octobre 2026