Danfoss se retrouve désormais au centre de l’enquête sur la cyberattaque qui frappe les systèmes frigorifiques de nombreux supermarchés français. Les premières informations évoquaient seulement des installations de froid perturbées. Les éléments apparus lundi permettent d’aller beaucoup plus loin : les pirates auraient pris la main sur des systèmes de régulation Danfoss et forcé le fonctionnement de certains équipements jusqu’à faire grimper les températures à des niveaux extrêmes.
Des magasins de plusieurs enseignes sont concernés, avec des produits frais et surgelés détruits après rupture de la chaîne du froid. Dans certains cas, une consigne de dégivrage à 50 °C aurait été imposée aux installations. À Haguenau, les pertes évoquées atteignent déjà plusieurs dizaines de milliers d’euros pour un magasin et plus de 200 000 euros pour un autre.
Plus important encore : selon les informations remontées ce lundi, l’attaque viserait des versions anciennes des systèmes de régulation Danfoss, antérieures à la version 4. Une réunion de crise réunissait également dans la matinée Danfoss et plusieurs professionnels du froid, dont Axima. Le nom du fabricant danois n’est donc plus une simple hypothèse née de la présence de ses équipements dans les supermarchés : ses systèmes sont directement au cœur des investigations sur l’incident.
Les pirates auraient forcé le dégivrage des installations
Le fonctionnement observé donne également une explication beaucoup plus précise aux températures spectaculaires constatées dans certains rayons.
Les meubles frigorifiques disposent d’un cycle de dégivrage. Celui-ci permet périodiquement de faire disparaître le givre accumulé sur les évaporateurs. Pendant cette phase, la production de froid est interrompue et des résistances peuvent chauffer l’installation.
Selon les premiers éléments disponibles, les attaquants auraient détourné cette fonction en imposant un dégivrage continu avec une consigne pouvant atteindre 50 °C. Une opération normalement temporaire aurait ainsi été maintenue pendant plusieurs heures.
Le résultat est particulièrement destructeur : alors qu’un congélateur doit normalement rester autour de -18 °C, certains meubles ont été retrouvés à des températures positives. BFM a notamment montré un afficheur Danfoss indiquant encore plus de 26 °C lundi matin.
Danfoss équipe précisément ce type d’installation
Danfoss est l’un des grands acteurs mondiaux du froid commercial. Le fabricant commercialise des contrôleurs capables de centraliser la gestion des installations frigorifiques des supermarchés.
Le groupe revendique plus de 50 000 installations dans le commerce alimentaire et propose des solutions allant des régulateurs présents dans les meubles frigorifiques jusqu’aux systèmes de supervision et aux plateformes cloud.
Cyberattaque.org avait déjà retrouvé des équipements Danfoss documentés dans plusieurs réseaux de grande distribution français. À La Guerche-de-Bretagne, un Intermarché dispose par exemple d’une supervision AK-SM 850. Un Super U récemment construit à Artix utilise quant à lui une GTB Danfoss pour le pilotage de ses équipements techniques.
La présence de magasins appartenant à plusieurs réseaux différents parmi les victimes devient donc beaucoup plus cohérente : le dénominateur commun n’est probablement pas l’enseigne, mais la technologie de régulation installée dans les magasins.
Danfoss connaissait déjà le risque de cyberattaque contre ses contrôleurs
En remontant dans la documentation du constructeur, Cyberattaque.org a découvert un élément particulièrement important : Danfoss documentait lui-même depuis plusieurs années des attaques réelles contre ses systèmes de supervision de supermarchés.
Dans une note technique publiée en octobre 2025, le constructeur cite notamment 16 supermarchés équipés de contrôleurs AK-SM 800 attaqués en Russie en 2022.
Danfoss évoque également un autre incident survenu la même année en Israël : 40 magasins avaient été piratés. Selon le fabricant, tous utilisaient des AK-SM 800 et ne disposaient pas d’une protection suffisante par pare-feu ou VPN.
La recommandation de Danfoss était alors claire : abandonner l’ancien AK-SM 800 et migrer vers l’AK-SM 800A, doté de mécanismes de sécurité renforcés. L’AK-SM 800 avait d’ailleurs été déclaré en fin de vie dès mai 2021.
Mais même son successeur a été touché par de graves failles
Le problème ne s’arrête cependant pas aux anciennes générations.
En mai 2025, une vulnérabilité d’authentification affectant les Danfoss AK-SM 8xxA antérieurs à la version 4.2 est officiellement référencée sous l’identifiant CVE-2025-41450, avec un score de sévérité de 8,2 sur 10.
Puis, le 9 août 2026, soit seulement deux mois avant l’attaque française, les chercheurs de Claroty Team82 publient une analyse beaucoup plus poussée de l’AK-SM 800A.
Ils découvrent notamment un mécanisme d’authentification caché basé sur un « code du jour ». En reproduisant l’algorithme utilisé par l’appareil, les chercheurs parviennent à générer un code valide et à obtenir une session administrateur sans connaître le mot de passe configuré par l’exploitant.
Une autre vulnérabilité permet ensuite une exécution de commandes à distance après authentification. Danfoss a corrigé ces problèmes et Claroty recommande l’installation du firmware R4.3.1 ou d’une version plus récente.
2 765 contrôleurs retrouvés directement accessibles sur Internet
L’enquête de Claroty comportait un autre constat particulièrement préoccupant.
En recherchant les interfaces de gestion Danfoss sur les moteurs spécialisés dans les équipements connectés, les chercheurs avaient identifié 2 765 contrôleurs AK-SM 800A visibles depuis Internet.
Ces appareils exposaient l’interface web StoreView utilisée pour administrer les installations. Une fois l’authentification contournée, un attaquant pouvait donc accéder aux fonctions de gestion du système frigorifique.
Danfoss recommande pourtant de protéger ces interfaces derrière des réseaux de gestion sécurisés, des pare-feu ou des VPN plutôt que de les rendre directement accessibles depuis Internet.
Le scénario décrit par les chercheurs ressemble fortement à ce qui vient de se produire
La publication de Claroty avait un titre presque prémonitoire : « Freeze the Controller, Defrost the Food », que l’on peut traduire par « bloquez le contrôleur, décongelez la nourriture ».
Les chercheurs expliquaient précisément qu’une compromission de ces systèmes pouvait avoir des conséquences physiques importantes, car l’AK-SM 800A constitue le centre de contrôle de l’environnement frigorifique. Depuis son interface, il est notamment possible de surveiller les circuits, modifier les seuils de température, consulter les alarmes et ajuster les horaires de fonctionnement.
Deux mois plus tard, des attaquants prennent effectivement le contrôle de systèmes de régulation du froid en France et auraient forcé leur dégivrage jusqu’à faire monter certains équipements à plusieurs dizaines de degrés.
Des versions anciennes seraient précisément dans le viseur
Un nouvel élément renforce encore la piste Danfoss : selon les informations remontées lundi, les installations visées utiliseraient notamment des versions du logiciel Danfoss antérieures à la version 4.
Cette information est particulièrement importante au regard de l’historique du constructeur. Danfoss explique lui-même que ses anciens AK-SM 800 ne sont plus supportés et recommande leur remplacement, tandis que plusieurs vulnérabilités ont également nécessité des mises à jour sur la génération AK-SM 800A.
Le fabricant continue d’ailleurs d’intégrer des améliorations de cybersécurité dans les versions récentes. La page de téléchargement de l’AK-SM 800A propose désormais une branche 5.3.x datée d’octobre 2026 et attire explicitement l’attention sur les améliorations de cybersécurité introduites par les versions précédentes.
Danfoss au centre de l’incident, mais pas forcément piraté lui-même
À ce stade, la formulation doit rester précise. Les éléments disponibles permettent désormais d’affirmer que des systèmes de régulation Danfoss sont au cœur de la cyberattaque. Ils ne permettent en revanche pas d’affirmer que les serveurs ou l’infrastructure centrale de Danfoss ont eux-mêmes été compromis.
Plusieurs scénarios restent possibles : exploitation directe d’anciens contrôleurs exposés sur Internet, utilisation d’une vulnérabilité connue, compromission d’identifiants de maintenance ou accès à distance détourné chez un frigoriste.
Il reste également à déterminer quelle génération exacte de contrôleurs est utilisée dans chacun des magasins attaqués et si une seule méthode a été employée contre toutes les victimes.
Une réunion de crise avec Danfoss et les frigoristes
Lundi matin, une réunion de crise réunissant Danfoss et plusieurs frigoristes, dont Axima, devait justement permettre de faire le point sur la situation.
L’enjeu est désormais double : restaurer rapidement des installations capables de conserver les aliments en sécurité, mais aussi identifier les équipements encore vulnérables afin d’éviter une nouvelle manipulation à distance.
La question n’est donc plus vraiment de savoir si Danfoss constitue une piste crédible. Ses systèmes de régulation sont directement impliqués dans les incidents documentés. La véritable inconnue est désormais de comprendre comment les attaquants ont réussi à en prendre le contrôle à une telle échelle : vieille génération encore en service, logiciel non mis à jour, interfaces exposées sur Internet ou compromission d’un accès de maintenance.
Et sur ce point, l’historique publié par Danfoss lui-même montre que le scénario n’avait rien d’impossible : des dizaines de supermarchés équipés de ses contrôleurs avaient déjà été piratés par le passé, tandis que plusieurs failles permettant de contourner l’authentification ou de prendre le contrôle de systèmes plus récents ont été corrigées ces dernières années.