Frigos piratés : le CERT-FR publie une alerte sur les automates Danfoss AK-SM et AK-SC

Le 12 octobre 2026, le CERT-FR, le centre gouvernemental de veille et de réponse aux attaques informatiques rattaché à l'ANSSI, a publié une alerte (CERTFR-2026-ALE-012) consacrée aux régulateurs frigorifiques Danfoss des séries AK-SM et AK-SC. Il dit avoir connaissance de « nombreuses compromissions » de ces équipements. L'alerte fait suite à l'attaque de la nuit du 11 au 12 octobre : des pirates ont forcé le dégivrage des installations de froid de plusieurs centaines de supermarchés Intermarché, Netto, Coopérative U et Leclerc.

Danfoss met en cause des équipements anciens

Dans une déclaration à l'AFP, le fabricant danois indique que la majorité des équipements touchés sont des produits anciens qui ne reçoivent plus de mises à jour logicielles ni de correctifs de sécurité. Il cite les régulateurs AK-SM 800 et AK-SC 355, et une version de l'AK-SM 800 qui utilisait un micrologiciel périmé. Danfoss affirme avoir conseillé depuis longtemps aux enseignes de remplacer ces modèles. Il n'a pas donné le nombre de systèmes touchés.

Plusieurs failles ont été publiées pour ces équipements ces dernières années. La plus connue, CVE-2025-41450, signalée par la société Claroty, permet d'obtenir à distance une session d'administrateur. Elle est corrigée depuis la version 4.2 du micrologiciel de l'AK-SM 800A ; les deux autres failles signalées en 2025 le sont dans la version 4.3.1. Claroty recensait plus de 2 700 interfaces d'administration AK-SM 800A accessibles depuis Internet. Le lien entre ces failles et l'attaque n'est toutefois pas établi. Next fait aussi remarquer que modifier un cycle de dégivrage est une fonction d'administration normale : un identifiant valide suffit, sans exploiter de faille. Le mode d'accès des attaquants n'est pas confirmé et aucune revendication n'a été rendue publique.

Une enquête judiciaire ouverte

Le parquet de Paris a confirmé l'ouverture d'une enquête sur cette cyberattaque, selon l'AFP. Il fait état de départs de feu liés à l'attaque. D'après Le Monde, cité par Next, l'enquête a été confiée à l'Office anti-cybercriminalité (OFAC). Selon LeMagIT, certains magasins évoquent des pertes de plusieurs dizaines, voire centaines de milliers d'euros. L'ANSSI dit être mobilisée pour soutenir les victimes et se coordonner avec ses homologues européens.

Que faire si vous exploitez ces équipements ?

Le CERT-FR rappelle qu'exposer une interface d'administration sur Internet est contraire aux bonnes pratiques. Il recommande :

• de déconnecter les AK-SM et AK-SC du réseau, ou de filtrer leur accès ;
• si une administration à distance est indispensable, de restreindre temporairement l'accès à des adresses IP de confiance.

En cas de compromission suspectée, le CERT-FR préconise :

1. de limiter l'accès réseau aux seuls prestataires autorisés ;
2. de remettre l'équipement à sa configuration d'usine ;
3. d'appliquer tous les correctifs disponibles ;
4. de changer les secrets (mots de passe, clés) ;
5. de passer en revue les comptes existants ;
6. de reconfigurer entièrement l'équipement.

L'alerte ne fournit pas d'indicateurs de compromission. Pour les modèles qui ne sont plus maintenus, la seule solution durable est leur remplacement. Pensez aussi à vérifier les contrats de maintenance : ces automates sont souvent gérés par un frigoriste ou par le fabricant, et non par le service informatique.