Une cyberattaque d’ampleur inhabituelle touche depuis la nuit de dimanche à lundi les systèmes frigorifiques de centaines de magasins Intermarché, Super U et E.Leclerc. L’incident a provoqué des dérèglements suffisamment importants pour entraîner une remontée brutale des températures et, dans certains points de vente, la destruction de produits frais et surgelés.
Notre enquête révèle que l’alerte avait déjà été donnée il y a deux mois par des chercheurs en cybersécurité, qui avaient identifié de graves vulnérabilités dans les systèmes de régulation du fabricant danois Danfoss. Retrouvez notre enquête sur Danfoss, l’équipementier au cœur de cette cyberattaque, et les failles de sécurité découvertes avant l’incident.
Chez Coopérative U, l’attaque a été publiquement confirmée ce lundi 12 octobre 2026 par son président Dominique Schelcher. Les équipes des magasins et les frigoristes sont mobilisés pour rétablir les installations. Selon les nouveaux éléments rapportés par BFM Business, Intermarché et E.Leclerc sont également concernés. Environ 150 magasins Intermarché seraient touchés, auxquels s’ajoutent des points de vente des deux autres réseaux.
Les premières investigations orientent désormais les recherches vers les systèmes de régulation frigorifique Danfoss, utilisés dans de nombreux supermarchés. Les attaquants auraient notamment détourné le fonctionnement du dégivrage en imposant une consigne pouvant atteindre 50 °C, provoquant une interruption prolongée de la production de froid.
Je confirme qu’une cyberattaque touche depuis cette nuit les installations de production de froid de plusieurs magasins de notre réseau @CooperativeU.
Nos équipes sont pleinement mobilisées, en lien avec les frigoristes, pour rétablir la situation au plus vite. Une enquête devra permettre de faire toute la lumière sur cette attaque.
S’attaquer à des équipements essentiels à la conservation des produits frais et à l’approvisionnement alimentaire des Français est d’une extrême gravité et est inédit. C’est inacceptable.— Dominique Schelcher (@schelcher) October 12, 2026
Des produits frais retirés et détruits
La première conséquence de l’attaque est très concrète. Lorsque les équipements frigorifiques cessent de maintenir correctement leur température, les responsables des magasins ne peuvent pas simplement attendre leur redémarrage et remettre les produits en rayon.
Viandes, poissons, produits laitiers, charcuterie, plats préparés ou produits surgelés doivent respecter des températures de conservation précises. Dès qu’une rupture de la chaîne du froid est constatée et qu’il n’est plus possible de garantir la sécurité sanitaire des aliments, les marchandises concernées doivent être retirées de la vente.
BFM rapporte ainsi la destruction de produits frais et surgelés dans plusieurs magasins. À Haguenau, dans le Bas-Rhin, les pertes évoquées atteignent environ 50 000 euros pour un Intermarché et 220 000 euros pour un E.Leclerc. Ces montants illustrent les conséquences financières potentiellement considérables de cette attaque.
L’ampleur financière totale des pertes reste inconnue et aucun bilan national consolidé n’a encore été communiqué pour les trois enseignes.
Cette fois, la cyberattaque agit directement sur les équipements
Le dossier se distingue fortement des nombreuses fuites de données observées ces derniers mois. Ici, la conséquence visible de l’attaque concerne directement le fonctionnement physique des magasins.
Les grandes surfaces disposent de systèmes de régulation et de supervision permettant de piloter la production de froid, les chambres froides et les meubles réfrigérés. Ces installations permettent notamment de surveiller les températures, gérer les alarmes et contrôler différents paramètres de fonctionnement.
Une partie de ces systèmes peut également être accessible à distance pour permettre aux frigoristes ou aux sociétés de maintenance de surveiller les installations et d’intervenir en cas de problème.
Les informations recueillies ce lundi indiquent que des contrôleurs du fabricant Danfoss seraient directement concernés. Les attaquants auraient exploité la possibilité de modifier à distance certains paramètres de fonctionnement des installations frigorifiques.
Intermarché, Super U et Leclerc touchés en même temps : l’indice le plus important
Le point le plus intéressant de l’enquête est probablement ailleurs : trois enseignes concurrentes sont touchées simultanément par un problème similaire.
Intermarché, Coopérative U et E.Leclerc fonctionnent avec des magasins largement exploités par des chefs d’entreprise indépendants. Il paraît donc peu probable que plusieurs centaines de magasins indépendants aient été compromis un par un au cours de la même nuit.
Ce scénario oriente naturellement les recherches vers un élément technique partagé entre les magasins concernés : solution de supervision du froid, accès de télémaintenance, équipementier, logiciel, compte technique ou prestataire intervenant sur plusieurs installations.
Les nouvelles informations obtenues désignent désormais Danfoss, fabricant danois de solutions de régulation frigorifique, comme un élément technique commun à plusieurs installations concernées. Des versions anciennes de ses systèmes de régulation seraient particulièrement visées.
Il convient néanmoins de distinguer la compromission de contrôleurs installés dans les magasins d’une éventuelle intrusion dans les infrastructures du fabricant. Rien ne permet actuellement d’affirmer que Danfoss a lui-même subi une compromission de ses serveurs centraux.
Cyberattaque.org a consacré une enquête détaillée aux équipements Danfoss et aux vulnérabilités documentées avant cette cyberattaque, notamment celles qui permettaient de contourner certaines protections d’authentification et d’accéder aux fonctions d’administration des contrôleurs.
Pourquoi une compromission de systèmes de régulation pourrait toucher autant de magasins
Les systèmes de froid modernes sont souvent supervisés à distance. Un frigoriste peut ainsi recevoir une alerte lorsqu’une température devient anormale, consulter l’état d’une installation ou intervenir sur certains paramètres sans nécessairement se déplacer immédiatement dans le magasin.
Ce fonctionnement est indispensable pour maintenir des équipements qui tournent en permanence, mais il crée également un point particulièrement sensible : un accès distant disposant de droits importants peut potentiellement donner la main sur des installations frigorifiques.
En août 2026, des chercheurs de Claroty avaient déjà documenté plusieurs vulnérabilités affectant les contrôleurs Danfoss AK-SM 800A. Leur enquête révélait notamment qu’un mécanisme d’authentification caché pouvait permettre d’obtenir une session administrateur sans connaître le mot de passe configuré par l’exploitant.
Les chercheurs avaient également identifié 2 765 contrôleurs accessibles directement depuis Internet. Ces découvertes ne prouvent pas que les vulnérabilités en question ont été exploitées lors de l’attaque du 12 octobre, mais elles démontrent que le risque était documenté avant l’incident.
L’enquête devra déterminer si les attaquants ont utilisé une vulnérabilité connue, des équipements anciens insuffisamment protégés, des identifiants compromis ou des accès de maintenance détournés.
50 °C : les pirates auraient forcé le dégivrage des installations
Le chiffre de 50 °C rapporté dans cette cyberattaque prend désormais un sens plus précis. Selon les premiers éléments de l’enquête, les pirates auraient imposé aux équipements une consigne de dégivrage pouvant atteindre 50 °C.
Les installations frigorifiques disposent normalement de cycles de dégivrage permettant d’éliminer le givre accumulé. Pendant ces phases, la production de froid peut être interrompue et des résistances chauffantes activées.
En forçant ce mécanisme pendant plusieurs heures, les attaquants auraient transformé une fonction normale de maintenance en moyen de provoquer une rupture massive de la chaîne du froid.
Il ne faut donc pas considérer que les réfrigérateurs de centaines de magasins sont tous montés à 50 °C. Cette valeur correspondrait à une consigne imposée au système. Des températures anormalement élevées ont toutefois été constatées dans certains meubles frigorifiques, avec notamment un afficheur dépassant 26 °C.
Ce que l’on sait en revanche, c’est que certaines installations ont suffisamment dysfonctionné pour rompre la chaîne du froid et contraindre des magasins à jeter leurs marchandises.
Les frigoristes mobilisés dans les magasins
Dominique Schelcher indique que les équipes de Coopérative U travaillent directement avec les frigoristes pour restaurer la situation.
Cette mobilisation est importante. Lorsqu’une supervision distante n’est plus considérée comme fiable, les techniciens peuvent être contraints de reprendre localement la main sur les équipements, contrôler les réglages, vérifier les sondes et isoler certains accès avant de remettre progressivement l’installation en fonctionnement.
Une réunion de crise impliquant notamment Danfoss et plusieurs professionnels du froid, dont Axima, était également prévue ce lundi matin afin d’évaluer la situation et les mesures techniques nécessaires.
Le président de Coopérative U qualifie l’attaque d’une « extrême gravité », estimant qu’elle touche des équipements essentiels à la conservation des produits frais et à l’approvisionnement alimentaire.
Aucun groupe de hackers identifié pour le moment
Plusieurs questions essentielles restent sans réponse. Aucun groupe cybercriminel n’a, à notre connaissance, revendiqué publiquement l’opération et aucune information ne fait état d’une demande de rançon.
Si les premières informations évoquent désormais un détournement du système de dégivrage, la méthode exacte utilisée pour accéder aux contrôleurs et modifier leurs paramètres reste à établir.
Il est également impossible de déterminer si tous les magasins touchés ont été compromis par une même méthode ou si plusieurs accès distincts ont été exploités.
Parler dès maintenant de rançongiciel serait donc prématuré.
Aucune fuite de données annoncée
À ce stade, aucun élément ne permet non plus d’affirmer que des données clients ou salariés ont été volées. Les conséquences connues sont avant tout opérationnelles et concernent les installations frigorifiques.
L’enquête devra désormais déterminer le point d’entrée utilisé par les attaquants, le nombre exact de magasins concernés et la durée pendant laquelle ils ont éventuellement disposé d’un accès aux équipements.
Avec des magasins Intermarché, Super U et E.Leclerc concernés et des denrées déjà détruites, cette cyberattaque montre surtout à quel point une compromission informatique peut désormais avoir des conséquences très éloignées d’un simple écran bloqué : ici, ce sont directement les installations qui permettent de conserver la nourriture qui ont été touchées.