Une cyberattaque coordonnée paralyse les systèmes frigorifiques de supermarchés européens

Le 2 novembre 2026, une vague d’incidents sans précédent a frappé les systèmes de réfrigération commerciale dans au moins six pays européens. Des pirates ont pris le contrôle à distance d’évaporateurs et d’unités de congélation dans plus de 115 points de vente, déclenchant des cycles de dégivrage forcés qui ont fait monter les températures jusqu’à 50 °C. Le bilan, encore provisoire, se chiffre en tonnes de denrées périssables détruites et en pertes financières considérables pour les enseignes touchées.

L’attaque a suivi un mode opératoire déjà observé en France au mois d’octobre. En Belgique, pays le plus durement éprouvé, les chaînes Delhaize, Carrefour, Spar Colruyt et Intermarché ont rapporté des dysfonctionnements simultanés dans une quarantaine de magasins. Un gérant de Proxy Delhaize à Overijse, près de Bruxelles, a décrit la situation comme « catastrophique » : l’intégralité des produits frais et surgelés a dû être jetée. Les enseignes suédoises ICA et Coop, le groupe irlandais SuperValu, le détaillant estonien Selver ainsi que des commerces aux Pays-Bas et au Luxembourg complètent la liste des victimes identifiées.

Les investigations techniques convergent vers une compromission des systèmes de gestion technique du bâtiment (GTB) qui pilotent les installations frigorifiques. Ces équipements, souvent connectés à internet pour la maintenance à distance et la supervision énergétique, constituent une surface d’attaque négligée. Les auteurs de l’intrusion ont exploité des interfaces d’administration mal sécurisées, mots de passe par défaut, absence d’authentification forte, exposition directe sur le web, pour envoyer des commandes légitimes de dégivrage aux automates programmables.

Aucun groupe n’a revendiqué l’opération. Le caractère simultané des déclenchements dans plusieurs pays, la connaissance précise des protocoles industriels et l’absence de demande de rançon orientent les analystes vers une action de sabotage ciblé plutôt que vers du cybercriminel opportuniste. La piste d’un acteur étatique ou d’un groupe affilié n’est pas exclue, d’autant que le secteur de la distribution alimentaire relève des infrastructures essentielles dans la plupart des législations européennes.

Cet épisode rappelle la vulnérabilité croissante de l’internet des objets industriel. Les systèmes de froid commercial, au même titre que le chauffage, la ventilation ou l’éclairage connecté, sont devenus des cibles de choix parce qu’ils allient impact physique immédiat et protection souvent défaillante. La directive NIS 2, entrée en vigueur en octobre 2024, impose désormais aux opérateurs de services essentiels et importants de sécuriser ces équipements, mais la mise en conformité reste inégale.

Sources : Numerama, BleepingComputer, The Register