Des cyberattaques ont perturbé les installations frigorifiques de commerces européens le 2 novembre 2026. Carrefour confirme quinze magasins touchés en Belgique. D’autres enseignes ont retiré des produits frais et surgelés. Trois semaines après les incidents français, la protection des équipements pilotés à distance revient au premier plan.
La nouvelle série d’incidents ne concerne pas seulement des sites de commerce en ligne. Elle atteint les appareils qui conservent les marchandises. Lorsque leur fonctionnement est détourné, le risque devient matériel : remontée des températures, produits inutilisables et rayons à réapprovisionner. Les magasins touchés doivent alors rétablir le froid et contrôler leurs stocks.
Cyberattaques : des effets différents selon les enseignes
En Belgique, Carrefour qualifie l’impact de très limité. Dans son communiqué du 2 novembre, le groupe indique que quinze de ses quelque sept cents magasins sont légèrement touchés. Il affirme que l’ensemble de ses points de vente reste ouvert et que les produits demeurent disponibles. Ce bilan concerne son réseau belge, et non l’ensemble des commerces du pays.
Delhaize a, de son côté, signalé un incident informatique affectant la réfrigération de plusieurs dizaines de magasins. La majorité se trouve en Belgique, avec quelques établissements au Luxembourg. Dans les déclarations relayées le 2 novembre, l’enseigne distingue les perturbations en magasin du fonctionnement de ses centres de distribution. Ceux-ci restent opérationnels.
En Irlande, Musgrave a indiqué que treize magasins SuperValu avaient subi un incident sur leurs équipements frigorifiques. Des produits frais et surgelés ont été retirés par précaution. L’entreprise a ensuite annoncé la résolution de l’incident et le réapprovisionnement des rayons concernés. Ce rétablissement local ne constitue pas un bilan de toute la vague européenne.
Les premiers comptes rendus concernent également la Suède et l’Estonie. Les températures anormales rapportées varient selon les installations et les témoignages. Il serait donc trompeur d’appliquer un même chiffre à tous les magasins, ou de convertir le nombre d’appareils repérés en nombre d’établissements victimes.
Des ressemblances avec octobre, sans auteur commun établi
Les événements rappellent les attaques qui avaient frappé des installations françaises en octobre. Le rapprochement porte sur le type d’équipement et sur les changements de température. Il ne suffit pas, à lui seul, à identifier les responsables.
Dans son analyse du 2 novembre, l’équipe de recherche de Censys relève cette similitude. Elle précise toutefois qu’aucun groupe n’a revendiqué les attaques qu’elle examine. Elle ne confirme pas non plus l’intervention d’un acteur identique dans les deux séquences. L’identité des auteurs et leur motivation restent donc ouvertes.
Le suivi technique apporte un autre indicateur. Censys observe un peu plus de mille interfaces Danfoss StoreView exposées sur Internet dans le monde. En France, son relevé passe de 1 825 interfaces avant les attaques d’octobre à 220 au moment de l’analyse. Cette diminution mesure une exposition visible depuis Internet. Elle ne prouve ni que tous les systèmes ont été corrigés, ni que chacun des équipements restants a subi une attaque.
Le pilotage à distance, un point de fragilité
Les contrôleurs de réfrigération centralisent des fonctions importantes pour les commerces. Ils permettent de suivre les températures, de consulter les alarmes et d’ajuster certains paramètres. La maintenance à distance évite aussi des déplacements systématiques de techniciens. Mais cette commodité impose de protéger l’accès à la console de gestion.
Une recherche publiée en août par l’équipe Team82 de Claroty avait identifié plusieurs vulnérabilités sur la plateforme Danfoss AK-SM 800A. Les chercheurs avaient transmis leurs découvertes au fabricant, qui avait publié des correctifs. Ce travail démontrait notamment les conséquences possibles d’un accès non autorisé aux fonctions d’administration.
L’existence de vulnérabilités documentées ne permet cependant pas de désigner celle utilisée dans chaque commerce le 2 novembre. Un appareil visible sur Internet, une version ancienne et une compromission avérée correspondent à trois constats différents. Les investigations doivent déterminer quels équipements ont réellement été atteints et comment.
Une alerte française toujours pertinente pour les exploitants
Le CERT-FR avait publié une alerte dès le 12 octobre, actualisée le 16. Elle signalait des compromissions touchant plusieurs familles de contrôleurs Danfoss, Copeland et Dixell. L’autorité rappelait qu’une interface de gestion ne devait pas rester directement accessible depuis Internet.
Ses recommandations combinent protection des accès, vérification de la configuration et application des mesures du constructeur. Elles distinguent les installations déjà compromises des équipements encore épargnés. Elles appellent aussi à examiner les contraintes contractuelles avant d’interrompre les remontées de données vers le frigoriste.
Le bulletin souligne surtout qu’une simple remise à zéro ne suffit pas lorsqu’un appareil reste vulnérable et exposé. Le rétablissement du service doit donc s’accompagner d’une sécurisation adaptée, menée avec les professionnels responsables des installations.
Pour les enseignes, deux chantiers avancent ainsi en parallèle : retrouver une offre normale en rayon et déterminer l’origine des perturbations. Les bilans disponibles au matin du 3 novembre restent propres à chaque réseau. Aucun total européen définitif des pertes ni attribution commune des attaques n’a été établi publiquement.
Couverture : rayon de surgelés photographié le 21 janvier 2016. Archive illustrative ; le magasin n’est pas présenté comme victime des attaques de novembre 2026. Photo : Raysonho @ Open Grid Scheduler / Grid Engine, Wikimedia Commons, CC0 1.0. Recadrage et habillage Libnanews.
Commentaires