Contrôleurs de froid exposés sur Internet, mots de passe par défaut : comment des pirates dérèglent les congélateurs des magasins
Par Johan | Publié le
🔥 Ce qu’il faut retenir
- Dans la nuit du 1er au 2 novembre 2026, des pirates ont modifié à distance la température de frigos et congélateurs dans des dizaines de magasins en Belgique, au Luxembourg, en Suède et en Estonie, trois semaines après une première vague en France.
- Delhaize compte environ 40 magasins touchés en Belgique et quelques-uns au Luxembourg ; en Suède, un congélateur d’un magasin ICA a été poussé à 50 °C. Les pertes dépassent 100 000 euros de denrées en Belgique.
- Les attaques visent des contrôleurs de froid accessibles depuis Internet, souvent anciens et protégés par des mots de passe par défaut ; les produits réchauffés doivent être retirés de la vente.
La série continue. Après les centaines de supermarchés français touchés mi-octobre, une nouvelle vague d’attaques contre les systèmes de réfrigération a frappé plusieurs pays européens, dont le Luxembourg. Aucune revendication à ce stade, mais un mode opératoire désormais bien identifié. Sur Test Matériel, on explique comment ces équipements peuvent être piratés et ce que cela change pour vous au moment de faire vos courses.
Ce qui s’est passé dans la nuit de dimanche à lundi
Les premiers effets sont apparus vers minuit ou une heure du matin, dans la nuit du dimanche 1er au lundi 2 novembre. En Belgique, Delhaize a recensé une quarantaine de magasins touchés, surtout des Shop & Go en stations-service, des Proxy et des points de vente sur autoroute. Carrefour parle de 15 magasins sur environ 700 et d’un impact « extrêmement limité », Intermarché de 10 à 15 magasins, et Spar et Colruyt de 5 chacun. Au Luxembourg, Delhaize évoque « quelques » magasins, quatre selon les premiers décomptes. En Suède, ICA a vu le congélateur d’un magasin de Scanie grimper à 50 °C et Coop compte six magasins concernés. En Estonie, des pirates ont accédé à l’ordinateur de pilotage d’un ancien système de froid Danfoss et réglé un congélateur à +50 °C. Des commerces ont aussi été touchés aux Pays-Bas, en Irlande et en Finlande. Le parquet fédéral belge a ouvert une enquête pénale.
💡 Pour comprendre : le contrôleur de froid connecté
Dans un supermarché, les meubles frigorifiques sont pilotés par un boîtier central qui règle les températures, les cycles de dégivrage et les alarmes. Pour faciliter la maintenance, beaucoup de ces boîtiers proposent une interface web consultable à distance par le frigoriste. Si cette interface est accessible depuis Internet sans protection sérieuse, n’importe qui peut s’y connecter. Les pirates déclenchent alors un dégivrage permanent ou modifient la consigne, et les produits se réchauffent.
Le commissaire européen Christophe Hansen parle d’une « tentative délibérée de perturber notre chaîne d’approvisionnement alimentaire ».
Pour le consommateur, la première précaution reste de surveiller son propre matériel : un thermomètre de congélateur permet de vérifier d’un coup d’œil que vos surgelés restent bien sous -18 °C une fois rentrés à la maison.
La centrale de froid d’un supermarché, en salle technique : compresseurs et variateurs pilotés par un contrôleur électronique.
Des équipements anciens et des mots de passe par défaut
En France, le CERT-FR, centre gouvernemental de veille et de réponse aux attaques informatiques, a publié dès octobre une alerte visant les contrôleurs Danfoss AK-SM et AK-SC ainsi que les interfaces Copeland xweb et Dixell xweb. Selon Danfoss, les systèmes touchés n’étaient pas installés sur un réseau sécurisé et utilisaient encore les mots de passe par défaut ; le fabricant avait demandé dès le 13 octobre de couper leur accès à Internet. Certains modèles visés ne sont plus suivis depuis des années. En Belgique, un installateur frigoriste explique qu’une mise à jour logicielle ne suffit pas et que des modifications physiques sont nécessaires, et qu’une partie des installations n’avait pas encore été révisée après la première vague. Une société de cybersécurité a recensé près de 13 000 interfaces de supervision de froid exposées sur Internet dans 99 pays.
💡 Pour comprendre : le mot de passe par défaut
La plupart des équipements connectés sortent d’usine avec un identifiant et un mot de passe identiques pour tous les exemplaires, souvent publiés dans le manuel. Ils doivent être changés à l’installation, mais ce n’est pas toujours fait. Des moteurs de recherche spécialisés permettent de repérer en quelques secondes les appareils exposés sur Internet. Il suffit alors d’essayer le mot de passe d’usine pour entrer. C’est la même faille qui touche régulièrement les caméras et routeurs domestiques.
Personne n’a revendiqué ces attaques, ni en octobre ni en novembre, et aucune autorité ne les a attribuées. Le centre belge pour la cybersécurité dit ignorer s’il s’agit de criminels, d’acteurs étatiques ou d’activistes. Le ministre belge de l’Intérieur assure qu’il n’y a pas de problème d’approvisionnement, les centres de distribution n’étant pas touchés.
Les pays et enseignes touchés
Le bilan reste provisoire. Pour le transport de vos courses, un sac isotherme reste le meilleur moyen de préserver la chaîne du froid entre le magasin et votre congélateur, attaque ou pas.
| Pays | Enseignes concernées | Ce que l’on sait |
|---|---|---|
| Belgique | Delhaize, Carrefour, Intermarché, Spar, Colruyt, boucheries | Environ 40 magasins Delhaize, 100 000 euros de denrées jetées, enquête du parquet fédéral |
| Luxembourg | Delhaize | Quelques magasins, quatre selon les premiers décomptes |
| Suède | ICA, Coop | Un congélateur ICA à 50 °C, six magasins Coop |
| Estonie | Selver | Ancien système Danfoss, congélateur réglé à +50 °C, intervention en moins de 10 minutes |
| France (octobre) | Intermarché, Netto, U, Carrefour, Monoprix, E.Leclerc | Première vague mi-octobre, enquête du parquet de Paris |
Faut-il s’inquiéter pour ses courses ?
Un surgelé qui a décongelé ne doit jamais être recongelé : au moindre doute, demandez au magasin ou ne l’achetez pas.
En Belgique, l’agence fédérale pour la sécurité de la chaîne alimentaire rappelle que les magasins doivent contrôler eux-mêmes leurs températures et retirer de la vente tout produit dont la température a dépassé les limites. Les surgelés doivent rester sous -18 °C, avec une tolérance brève à -15 °C, et les produits frais réfrigérés sous 7 °C, voire 4 °C pour la viande et le poisson. Rien n’indique que des produits réchauffés aient été vendus. Chez vous, gardez votre congélateur entre -18 et -24 °C, rangez les surgelés en premier en rentrant, décongelez au réfrigérateur et jamais à température ambiante. L’odeur n’est pas un indicateur fiable : un produit peut sembler normal et avoir subi une rupture de la chaîne du froid. Si vous remarquez un givre anormal, des emballages mous ou des rayons partiellement vides avec affichettes, mieux vaut demander des explications au personnel.
Mon avis
Ce qui frappe dans cette affaire, c’est la banalité de la faille. Pas besoin d’une cyberarme sophistiquée : des boîtiers anciens, branchés sur Internet avec leur mot de passe d’usine, et un avertissement du fabricant resté lettre morte chez certains exploitants.
Je trouve d’ailleurs plus inquiétant le délai que l’attaque elle-même. Trois semaines après la vague française et l’alerte des autorités, une partie des installations n’était toujours pas sécurisée. Quand il faut intervenir physiquement magasin par magasin, la course est perdue d’avance face à des pirates qui balaient Internet en quelques minutes.
Pour le consommateur, je ne vois pas de raison de paniquer : les contrôles et l’obligation de retrait existent pour ça. En revanche, la leçon vaut pour nos maisons. Caméras, box, thermostats : changer le mot de passe d’usine prend deux minutes, et c’est exactement ce qui a manqué ici.
Vous avez constaté des rayons vides ou des produits retirés près de chez vous ? Racontez-le en commentaire, sinon je suis là pour répondre à vos questions.
Les recommandations techniques aux exploitants sont publiées sur le site officiel du CERT-FR.
Quels magasins ont été touchés au Luxembourg ?
Delhaize a indiqué que « quelques » magasins avaient été touchés au Luxembourg, quatre selon les premiers décomptes. Aucune autre enseigne n’est clairement identifiée comme touchée sur le territoire luxembourgeois à ce stade. Aucun communiqué des autorités luxembourgeoises n’avait été publié au moment de la rédaction.
Comment des pirates peuvent-ils dérégler un congélateur de supermarché ?
Les meubles frigorifiques sont pilotés par des contrôleurs dotés d’une interface web. Quand ces interfaces sont accessibles depuis Internet avec un mot de passe par défaut, les pirates peuvent s’y connecter et déclencher un dégivrage permanent ou modifier la consigne de température. Le CERT-FR a notamment visé les contrôleurs Danfoss AK-SM et AK-SC et les interfaces Copeland et Dixell xweb.
Des produits réchauffés ont-ils pu être vendus ?
Rien ne l’indique. Les magasins sont tenus de surveiller leurs températures et de retirer de la vente tout produit qui a dépassé les limites légales. En Belgique, environ 100 000 euros de denrées ont ainsi été jetées. Au moindre doute sur un produit, il vaut mieux interroger le personnel du magasin.
Qui est derrière ces attaques ?
Personne n’a revendiqué les attaques, ni en octobre ni en novembre, et aucune autorité ne les a officiellement attribuées. Le centre belge pour la cybersécurité indique ne pas savoir s’il s’agit de criminels, d’acteurs étatiques ou d’activistes. Des enquêtes pénales sont ouvertes en France et en Belgique.
À quelle température doivent être conservés les surgelés ?
Les surgelés doivent rester à -18 °C ou moins, avec une tolérance brève jusqu’à -15 °C en magasin. Chez soi, un congélateur réglé entre -18 et -24 °C est idéal. Un produit décongelé ne doit jamais être recongelé, et la décongélation se fait au réfrigérateur ou par cuisson directe.
Mon propre frigo connecté peut-il être piraté ?
Ces attaques visent des équipements professionnels exposés sur Internet, pas les réfrigérateurs domestiques. La leçon reste valable chez soi : changez les mots de passe d’usine de vos appareils connectés, installez les mises à jour et n’ouvrez pas leur accès à distance sans nécessité. Ce sont les mêmes précautions que pour une caméra ou une box Internet.
