Frigos de supermarchés piratés : les boîtiers Dixell aussi visés

Un E.Leclerc de Lescure-d’Albigeois, au nord d’Albi, a subi une rupture de sa chaîne du froid mardi 13 octobre au matin, et ses meubles réfrigérés ne sont pas pilotés par des boîtiers Danfoss, comme ceux des premiers magasins touchés, mais par des régulateurs Dixell, a révélé ICI / France 3 Occitanie. Le service d’alerte de l’État, le CERT-FR, cite d’ailleurs Dixell parmi les fabricants dont les boîtiers sont visés : l’attaque qui a déréglé le froid de centaines de supermarchés dans la nuit du 11 au 12 octobre ne se limite pas à un seul fabricant.

Trois noms dans l’alerte officielle

Le CERT-FR, la cellule de l’Agence nationale de la sécurité des systèmes d’information (Anssi) qui avertit les entreprises des menaces en cours, a publié le 12 octobre l’alerte CERTFR-2026-ALE-012, mise à jour le 13 pour y ajouter des équipements ciblés. Elle fait état de « nombreuses compromissions des contrôleurs à distance d’installation de réfrigération » et cite quatre familles d’appareils : les séries AK-SM et AK-SC de Danfoss, et les systèmes xweb de Copeland et de Dixell. Ce sont des boîtiers de supervision : installés dans le magasin, ils centralisent les réglages des meubles froids et se consultent à distance par une page web.

L’alerte prévient que « des campagnes d’attaques sont probablement toujours en cours visant ces équipements ». Sa consigne principale tient en une phrase : « De manière générale l’exposition d’une interface de gestion sur Internet est contraire aux bonnes pratiques. » Pour un appareil non compromis, il faut supprimer cet accès direct, puis rétablir l’accès « uniquement via un VPN sécurisé ou un réseau protégé » (un VPN est un tunnel chiffré qui réserve l’accès aux personnes autorisées), puis appliquer les recommandations du fabricant : mises à jour, mots de passe par défaut changés. Pour un appareil compromis, le CERT-FR demande en plus une remise à zéro complète et une reconfiguration, en avertissant qu’une simple remise à zéro ne suffit pas : sans ces mesures, « l’équipement restera vulnérable et sera certainement de nouveau compromis ».

Dixell n’avait pas répondu à ICI / France 3 au moment de la publication de son article, mardi à 11 h 55, pas plus que l’enseigne Leclerc. Nous n’avons trouvé mardi après-midi aucune déclaration de Dixell ni de Copeland sur ces incidents.

Ce qu’on ignore du lien entre les deux vagues

Des centaines de magasins, des pertes chiffrées en dizaines de millions

Le décompte à retenir est celui que les enseignes ont confirmé à l’AFP, repris mardi dans sa dépêche diffusée par L’Avenir : au moins 300 points de vente Intermarché et Netto, moins d’une centaine du réseau de Coopérative U, plusieurs E.Leclerc, 80 supermarchés Carrefour et une trentaine de Monoprix. Les autres chiffres qui circulent viennent de sources non nommées et varient d’un média à l’autre. Lundi à la mi-journée, Intermarché et Coopérative U parlaient encore de 150 à 200 magasins Intermarché et de moins d’une centaine de points de vente U, selon la dépêche reprise par Le Monde.

Thierry Cotillard, patron du groupement Les Mousquetaires (Intermarché, Netto), a décrit lundi soir sur BFM-TV, cité par l’AFP, une attaque consistant « à mettre en dégivrage tous nos meubles froids et à les monter en température jusqu’à 50 degrés ». Il évalue le coût : « Ça va être des dizaines de millions d’euros au niveau national en une seule matinée. » Dominique Schelcher, PDG de Coopérative U, situe la perte d’un hypermarché à « 180.000, 200.000 euros », toujours selon l’AFP. Sur RTL mardi, il a jugé, selon franceinfo, que « jeter de la marchandise, évidemment, par les temps qui courent, c’est inimaginable et inacceptable ». Intermarché avait indiqué lundi à l’AFP que les assurances ne « couvrent pas ce type » d’incident.

Lundi, E.Leclerc avait confirmé à franceinfo et à l’AFP « qu’une attaque informatique a affecté l’un de ses fournisseurs de matériel frigorifique », sans le nommer. Le parquet de Paris, qui fait état de « départs de feu », a ouvert une enquête confiée à l’Office anticybercriminalité, le service de police spécialisé ; elle « doit permettre de recenser les victimes et d’établir le lien avec les dégâts rapportés », selon l’AFP. Le Premier ministre, Sébastien Lecornu, a « immédiatement demandé à l’Agence nationale de la sécurité des systèmes d’information (Anssi) de se saisir du sujet », selon son entourage cité par l’AFP et par l’agence belge Belga. Aucune consigne particulière aux clients (rappel de produits, remboursement) n’avait été publiée par les enseignes lundi après-midi : les magasins vident leurs meubles, font établir un constat d’huissier et jettent les denrées, d’après franceinfo.

Danfoss parle de matériel en fin de vie

Lundi après-midi, Danfoss a confirmé à franceinfo des « incidents survenus en France et touchant un nombre limité de systèmes de gestion de la réfrigération ». Le fabricant danois en attribue l’essentiel à du matériel ancien : « La majorité des appareils concernés sont des produits obsolètes, notamment les systèmes AK-SM800 et AK-SC355, qui ont atteint leur fin de vie et ne bénéficient plus de mises à jour logicielles ni de mises à jour de sécurité. » Il dit « recommander depuis longtemps à ses clients » de mettre à jour les systèmes encore suivis et « de migrer les systèmes obsolètes vers des solutions de dernière génération », et travailler avec eux à des mesures d’atténuation, dont la « suppression de l’exposition directe à internet le cas échéant ». La page d’avis de sécurité du fabricant ne comportait toujours, mardi après-midi, aucun avis lié à ces incidents.

Qui devait mettre à jour ces boîtiers ?

C’est la question que pose désormais la grande distribution. Les documents publics ne la tranchent pas, mais ils montrent comment la responsabilité se répartit.

Le fabricant publie les correctifs et fixe la fin de vie de ses produits. Pour les boîtiers Danfoss AK-SM 800A, trois failles ont été corrigées en 2025 (voir plus bas). Pour les XWEB de Copeland, l’agence américaine de cybersécurité CISA a publié le 26 février 2026 un avis recensant 23 failles dans les versions 1.12.1 et antérieures des XWEB 300D PRO, 500D PRO et 500B PRO, dont certaines permettent de contourner l’authentification ou d’exécuter des commandes à distance sans compte ; note maximale de gravité : 10 sur 10. Copeland a publié une version corrigée. Les failles avaient été signalées par Amir Zaltzman, de Claroty Team82, l’équipe qui avait aussi examiné les boîtiers Danfoss. Rien n’indique à ce stade qu’elles aient servi en France.

Mais l’installation du correctif revient à l’utilisateur : la CISA renvoie, pour Copeland, à la page de mise à jour du fabricant ou au menu « mises à jour » de l’appareil, et Danfoss dit l’avoir « recommandé depuis longtemps à ses clients ». Entre le fabricant et le magasin intervient le frigoriste, l’entreprise qui installe et entretient le froid. L’alerte du CERT-FR le mentionne : elle demande de « vérifier les conditions contractuelles d’assurance avant de couper la remontée des données Internet vers le prestataire frigoriste ». Autrement dit, l’accès par Internet sert notamment à ce prestataire, et le couper peut avoir des conséquences sur l’assurance du magasin. Qui, du magasin ou de son frigoriste, devait appliquer les mises à jour et décider du remplacement d’un boîtier en fin de vie dépend de contrats que ni les enseignes ni les frigoristes n’ont rendus publics.

Le dégivrage, une sécurité retournée contre le magasin

Selon les premiers éléments rapportés lundi par Numerama, puis par le patron d’Intermarché, les pirates n’ont pas coupé le froid : ils ont lancé un dégivrage, avec une consigne réglée à 50 °C. Le choix n’a rien d’anodin : dans un meuble de surgelés, le dégivrage est précisément la fonction qui produit de la chaleur.

Dans un meuble, le froid vient de l’évaporateur, un échangeur parcouru par le fluide frigorigène, sur lequel l’humidité de l’air se dépose en givre. Ce givre gêne peu à peu les échanges de chaleur ; il faut le faire fondre régulièrement. Pour un meuble à température positive (vers 5 °C), il suffit d’arrêter la production de froid et de laisser tourner les ventilateurs, explique Danfoss dans une note technique de 2020. Pour les surgelés, conservés vers -18 °C, il faut une source de chaleur : une résistance électrique placée contre les ailettes de l’évaporateur, ou du gaz chaud envoyé dans ses tubes.

Ce chauffage s’arrête normalement de lui-même. Une sonde posée sur l’évaporateur coupe le cycle quand elle atteint une température fixée, et une durée maximale de dégivrage sert de garde-fou. Ces cycles chauffants « ont besoin de méthodes d’arrêt plus élaborées pour éviter de surchauffer le meuble une fois la glace fondue », écrit Danfoss. Un attaquant qui peut modifier ces réglages (température de fin de dégivrage, durée, déclenchement) n’a donc pas à « casser » quoi que ce soit : il lui suffit d’ôter les limites d’une fonction prévue pour chauffer.

Un chef d’orchestre du froid, joignable à distance

Dans un supermarché, chaque meuble a son propre régulateur, et ces régulateurs sont coordonnés par un boîtier central. Chez Danfoss, la gamme actuelle est l’AK-SM 800A, présentée par le fabricant sur sa fiche produit comme « le cerveau du système » : il centralise les températures, gère les alarmes et planifie un « dégivrage coordonné » des meubles. Il s’utilise sur un écran tactile dans le magasin, mais aussi par un navigateur web « pour une connexion à distance ».

C’est cette interface web que la société de cybersécurité Claroty a examinée. Son équipe de recherche, Team82, explique avoir commencé par mesurer l’exposition de ces boîtiers sur Internet, où elle a trouvé « des milliers d’interfaces de gestion accessibles publiquement » : 2 765 appareils, selon un relevé du moteur de recherche d’appareils connectés Censys. Claroty ne donne pas de répartition par pays.

Les failles trouvées par Claroty ont été corrigées par Danfoss et décrites dans ses avis de mars et d’août 2025, relayés par la CISA. Chaque faille porte un identifiant public, dit CVE.

• CVE-2025-41450 : un mécanisme caché de « code du jour ». Le boîtier accepte, à la place du mot de passe de l’administrateur, un code calculé à partir de sa date et de son heure. Qui reconstitue le calcul obtient une session d’administrateur sans connaître le mot de passe. Corrigée dans la version R4.2 du logiciel interne.
• CVE-2025-41451 : une « injection de commandes » : des instructions glissées dans les réglages des alertes par courriel sont exécutées par le boîtier. Il faut toutefois être déjà connecté.
• CVE-2025-41452 : un réglage de l’interface web détournable pour la rendre inutilisable, là aussi après connexion. Ces deux dernières sont corrigées dans la version 4.3.1.

Ces avis visent la série AK-SM 8xxA. Les références que Danfoss cite pour les incidents français, AK-SM800 et AK-SC355, n’y figurent pas, et ne reçoivent plus de mises à jour de sécurité, selon le fabricant : sur ces boîtiers, aucun correctif ne viendra fermer une faille, quelle qu’elle soit. Cela ne dit pas pour autant comment les pirates y ont accédé. Une affaire néerlandaise rappelle qu’un mot de passe suffit parfois : un ancien employé d’un frigoriste a été condamné à quatre mois de prison pour avoir modifié, avec des mots de passe existants, les températures d’un supermarché Plus, rapportait en janvier 2019 le site spécialisé Cooling Post.

Avec Dixell et Copeland sur la liste du CERT-FR, la question n’est plus celle d’un parc Danfoss vieillissant, mais celle de toute une catégorie de boîtiers de supervision du froid restés joignables depuis Internet. Combien en reste-t-il dans les magasins français, et chez quels fabricants : l’enquête du parquet et le recensement de l’Anssi devront le dire.

Les citations de documents publiés en anglais (Danfoss, Claroty, CISA) sont traduites par la rédaction ; la déclaration de Danfoss est citée dans la version française publiée par franceinfo.