Après la France, des pirates font chauffer les réfrigérateurs de supermarchés dans neuf pays

À 4 heures du matin, le lundi 2 novembre, les vitrines de surgelés de plusieurs supermarchés Coop de Sicile ont cessé d'obéir. Selon Giuseppe Spadaro, dirigeant de Radenza, qui exploite ces magasins, l'attaque visait le système qui pilote à distance ces meubles réfrigérés. Le même jour, des enseignes de huit autres pays européens ont fait le même constat.

Le lendemain, mardi 3 novembre, la Commission européenne a tenu deux réunions de coordination. Tôt le matin, elle a réuni l'ENISA, l'agence européenne de cybersécurité, Europol et ses propres services. En fin de matinée, elle a réuni EU-CyCLONe, le réseau qui coordonne les autorités nationales en cas de crise cyber de grande ampleur, avec les États membres, dont les pays touchés.

De la Sicile à l'Estonie, des magasins qui jettent leurs produits

Neuf pays sont concernés : la Belgique, l'Estonie, la Finlande, l'Irlande, l'Italie, le Luxembourg, les Pays-Bas, le Portugal et la Suède. C'est le bilan dressé par Toute l'Europe et Euronews à partir des déclarations des enseignes, des autorités et des médias nationaux. En Belgique, environ 15 des 700 magasins Carrefour ont été touchés, ainsi que le magasin Ikea de Mons. Delhaize, Colruyt et Intermarché ont aussi signalé des problèmes, et le parquet fédéral a ouvert une enquête. « C'est une cyberattaque, il n'y a pas d'autre raison », a déclaré Mich Vergauwen, porte-parole de Carrefour Belgique.

Ailleurs, le groupe Musgrave compte 13 magasins SuperValu touchés en Irlande, et Les Mousquetaires sept Intermarché au Portugal. Au Luxembourg, quatre supermarchés Delhaize sont concernés, et en Suède, six des quelque 800 magasins Coop. En Estonie, des installations ont été poussées jusqu'à 50 °C, selon la télévision publique ERR. Des magasins ont dû jeter leurs produits. Aucun groupe n'a revendiqué ces attaques.

Le même fournisseur qu'en France

Danfoss est l'entreprise danoise dont les automates de pilotage du froid figuraient parmi les équipements visés lors de l'attaque contre les magasins français du 12 octobre. Elle a indiqué à Bloomberg que ses produits avaient de nouveau été visés. En Suède, l'enseigne ICA renvoie toutes les questions vers ce fournisseur. En France, selon Danfoss, la plupart des appareils touchés étaient d'anciens produits qui ne recevaient plus de mises à jour de sécurité. L'ANSSI, l'agence nationale de cybersécurité, a par ailleurs constaté que des défauts de sécurisation élémentaires, dont des mots de passe faibles, avaient été exploités. En Belgique, le frigoriste Sabcobel reconnaît avoir commencé à sécuriser ses installations après l'épisode français, sans avoir eu le temps de toutes les mettre à niveau.

À Bruxelles, le ton est grave mais prudent. Christophe Hansen, commissaire à l'agriculture et à l'alimentation, juge ces attaques « extrêmement préoccupantes ». Selon lui, la sécurité alimentaire n'est pas menacée pour l'instant, mais les pertes sont bien réelles pour les commerces. Le porte-parole de la Commission, Thomas Regnier, a rappelé qu'il ne revenait pas à la Commission d'attribuer ces incidents : les enquêtes sont menées par les autorités nationales.

Vos installations de froid sont pilotées à distance ? Les réflexes à adopter

Les deux vagues ont un point commun : des automates de réfrigération joignables depuis Internet, souvent anciens. En octobre, le CERT-FR avait publié une alerte sur les automates Danfoss AK-SM et AK-SC. Les bons réflexes :

• vérifier qu'aucune interface de pilotage du froid n'est accessible directement depuis Internet ;
• changer les mots de passe par défaut ou trop simples, et demander au frigoriste qui détient des accès ;
• recenser les appareils qui ne reçoivent plus de mises à jour et prévoir leur remplacement ;
• s'assurer que le personnel peut toujours vérifier les températures et agir si l'accès à distance est perturbé, comme le recommande Paolo Falcioni, directeur général d'APPLiA, qui représente les fabricants européens d'électroménager.

Reste la question centrale : qui est derrière ces attaques, et pourquoi frapper trois semaines après la France ? Interrogé par The Guardian, Rafe Pilling, de l'éditeur de sécurité Sophos, n'exclut ni un État qui fait la démonstration de ses capacités, ni un pirate isolé. Les enquêtes nationales devront trancher.

Mise à jour du 13 novembre 2026

La France a désigné un responsable pour l'attaque qui avait frappé ses supermarchés en octobre. Le 9 novembre, le ministre des Affaires étrangères, Jean-Noël Barrot, a déclaré que « la responsabilité de cette attaque revient au corps des Gardiens de la révolution de la République islamique d'Iran ». Dans la nuit du 11 au 12 octobre, elle avait touché environ 700 sites de la grande distribution. Selon l'AFP, le Centre de coordination des crises cyber (C4) réunit notamment l'ANSSI (Agence nationale de la sécurité des systèmes d'information) et la DGSE (Direction générale de la sécurité extérieure). Il s'appuie sur « un faisceau d'indices » : les Gardiens de la révolution seraient les commanditaires, et Shahid Kaveh, une unité cyber offensive qui leur est liée, l'exécutant.

Le même jour, la procureure de Paris, Laure Beccuau, a annoncé que des juges d'instruction étaient saisis d'une enquête visant « le chef du groupe iranien Shahid Kaveh » et « ses deux adjoints ». Paris a convoqué l'ambassadeur d'Iran et promet des « sanctions à l'échelle européenne ». Kaja Kallas, cheffe de la diplomatie de l'Union européenne, a indiqué que le Conseil des affaires étrangères en discuterait le lundi suivant.

Cette attribution ne vise que l'attaque française d'octobre. Pour la vague du 2 novembre dans neuf autres pays, aucune autorité n'a désigné de responsable. Selon le site RetailDetail, deux groupes prorusses, NoName057(16) et Z-Pentest, l'ont revendiquée sur Telegram. Ils ont publié ce qu'ils présentaient comme 2 500 lignes d'une base de données de Danfoss, avec des identifiants et des mots de passe. Leurs canaux ont depuis disparu, et aucune preuve indépendante n'étaye ces revendications. Le Kremlin a démenti toute implication le 5 novembre, rapporte l'AFP.