Intermarché, U, Leclerc : une cyberattaque dérègle le froid de centaines de supermarchés

Dans la nuit du dimanche 11 au lundi 12 octobre 2026, une cyberattaque a visé les installations de production de froid de plusieurs enseignes de la grande distribution en France. Le groupe Les Mousquetaires (Intermarché) et Coopérative U ont confirmé l'attaque. E.Leclerc indique de son côté qu'« un de ses fournisseurs » de matériel frigorifique a été touché, avec des répercussions dans plusieurs magasins. Selon Les Mousquetaires, cités par franceinfo et ICI, la victime est Danfoss, le fabricant danois qui gère leurs meubles réfrigérés. La température de congélateurs et de réfrigérateurs aurait été réglée à 50 °C.

Des centaines de magasins et des stocks détruits

Les décomptes varient encore. Franceinfo parle d'une centaine de magasins Intermarché, sur environ 3 600 en France, et de moins d'une centaine de magasins U. ICI rapporte, de son côté, 200 à 300 magasins Intermarché touchés selon le groupe. Selon Infosecurity Magazine, qui cite notamment un site spécialisé de la grande distribution, des magasins Carrefour et Monoprix seraient aussi concernés : ce n'est pas confirmé par ces enseignes à ce stade.

Les magasins ont dû vider leurs bacs, faire constater les pertes par un huissier ou jeter les produits frais et surgelés. Selon ICI, l'Intermarché de Mur-de-Bretagne évoque une perte de 50 000 euros, et celui d'Haguenau a jeté tous ses surgelés. Les Mousquetaires disent n'avoir jamais été victimes d'attaque informatique sur des systèmes de réfrigération. Dominique Schelcher, PDG de Coopérative U, a jugé sur X « d’une extrême gravité » le fait de « s’attaquer à des équipements essentiels à la conservation des produits frais ».

Une enquête nationale

Selon ICI, la section cybercriminalité du parquet de Paris s'est saisie de l'affaire, et l'enquête est confiée à l'Office anti-cybercriminalité (Ofac). Toujours selon ICI, qui cite l'entourage du Premier ministre, l'Agence nationale de la sécurité des systèmes d'information (ANSSI) a déjà identifié une vulnérabilité dans un logiciel fourni par une société danoise et a pris contact avec l'éditeur. Elle cherche aussi à identifier d'autres entreprises touchées. Aucune revendication n'a été rendue publique, et Danfoss ne s'était pas encore exprimé lundi en début d'après-midi.

Des failles connues sur les contrôleurs Danfoss

Le mode opératoire n'est pas établi. On ignore notamment si les pirates sont passés par les contrôleurs installés en magasin, par un outil de supervision à distance ou par un compte de maintenance. Le 9 août 2026, les chercheurs de Claroty Team82 avaient publié des travaux sur le contrôleur de réfrigération Danfoss AK-SM 800A. Ils décrivent trois failles : un mécanisme d'authentification caché qui pourrait permettre de contourner le mot de passe (CVE-2025-41450), une injection de commande après authentification (CVE-2025-41451) et une injection de configuration (CVE-2025-41452). Ils dénombraient 2 765 de ces interfaces exposées sur Internet, d'après un relevé Censys. Aucun lien n'est établi à ce stade entre ces failles et l'attaque du 12 octobre.

Que faire si vous exploitez des équipements de froid connectés ?

• Vérifiez qu'aucune interface de gestion (contrôleurs, superviseurs, passerelles de télémaintenance) n'est joignable directement depuis Internet.
• Pour les Danfoss AK-SM 800A, Claroty recommande le micrologiciel R4.3.1 ou une version plus récente.
• Limitez l'accès à distance à un VPN avec authentification forte, et séparez ces équipements du reste du réseau.
• Changez les mots de passe des comptes de maintenance, y compris ceux de vos prestataires frigoristes.
• Configurez des alarmes de température indépendantes du système de pilotage, et conservez une procédure de reprise manuelle.

Mise à jour du 13 octobre 2026

Danfoss s'est exprimé après le dérèglement à distance des meubles frigorifiques de centaines de supermarchés, dans la nuit du 11 au 12 octobre. Selon Next, le fabricant danois indique que les équipements touchés sont soit des contrôleurs obsolètes (AK-SM 800 et AK-SC 355), soit des AK-SM 800A dont le micrologiciel n'avait pas été mis à jour. Il recommande de remplacer l'AK-SC 355, qui n'est plus commercialisé. Selon BFMTV, cité par Next, 300 magasins Intermarché et Netto et une centaine de magasins U ont été touchés.

Le 12 octobre, le CERT-FR, le centre gouvernemental de veille et de réponse aux attaques informatiques, a publié une alerte (CERTFR-2026-ALE-012). Il dit avoir connaissance de « nombreuses compromissions » des automates Danfoss des séries AK-SM et AK-SC. Il recommande de les déconnecter d'Internet ou d'en filtrer l'accès. En cas de compromission, il conseille de les réinitialiser, d'appliquer les correctifs, de changer les secrets et de revoir les comptes existants.

Le parquet de Paris a confirmé l'ouverture d'une enquête, confiée à l'Office anti-cybercriminalité (Ofac). Selon Le Monde, cité par Next, il fait aussi état de départs de feu. Le mode d'accès des attaquants n'est pas établi, et aucune revendication n'a été rendue publique.