Frigos de supermarchés piratés : tout doit-il être en ligne ?

Dans la nuit du 1er au 2 novembre, les frigos et les congélateurs de dizaines de magasins belges sont passés en dégivrage : chez Delhaize, Carrefour, Intermarché, Spar, à l’IKEA de Mons et dans une boucherie de Hove. Trois semaines plus tôt, quelque 700 supermarchés français avaient subi le même sort. Pas de panne : quelqu’un avait modifié les réglages à distance.

Il n’a pas fallu grand-chose. Les régulateurs frigorifiques étaient accessibles directement depuis internet, tournaient souvent avec un logiciel dépassé et gardaient parfois leur mot de passe par défaut. Ce n’est pas le problème d’un seul fournisseur, mais d’un réflexe : tout mettre en ligne parce que c’est possible. Et cela ne touche pas que les grandes chaînes, mais tout autant la boucherie, le commerce de quartier ou le bureau d’à côté.

Ce qui s’est passé

En France, dans la nuit du 11 au 12 octobre, des attaquants ont pris le contrôle de la réfrigération d’environ 700 des 10 000 supermarchés du pays, selon le ministre de l’Économie Roland Lescure. Des vitrines réfrigérées sont montées jusqu’à 50 °C et les magasins ont jeté leurs produits frais et surgelés. Le CERT-FR a alerté sur des régulateurs Danfoss, Copeland et Dixell compromis.

Le 2 novembre, vers 2 heures du matin, une deuxième vague a traversé l’Europe. En Belgique, elle a touché des dizaines de magasins Delhaize, 15 magasins Carrefour, 10 à 15 points de vente Intermarché, cinq magasins Spar et l’IKEA de Mons. La boucherie De Laet & Van Haver à Hove a perdu environ 15 000 euros de viande. Aux Pays-Bas, dix-sept entreprises ont été touchées selon Danfoss, notamment des boucheries et de petits commerces de quartier. Le parquet fédéral a ouvert une enquête pénale. On ignore qui se cache derrière ces attaques.

Comment ils sont entrés

Les régulateurs frigorifiques sont de petits ordinateurs qui pilotent la réfrigération d’un magasin. Ils sont reliés à internet pour que le frigoriste puisse les surveiller à distance. Selon le Centre pour la Cybersécurité Belgique (CCB), les pages de gestion attaquées étaient tout simplement accessibles depuis internet, à l’encontre de toutes les bonnes pratiques.

Il s’agissait aussi souvent d’anciens appareils qui ne reçoivent plus de mises à jour et, aux Pays-Bas, de systèmes avec un mot de passe par défaut. Après la première vague, Danfoss avait conseillé à ses clients de déconnecter leurs frigos d’internet. Selon Danfoss, les magasins néerlandais touchés sont justement ceux qui ne l’avaient pas fait.

Les failles étaient connues. En août, des chercheurs de Claroty ont décrit une connexion cachée dans le Danfoss AK-SM 800A : avec un « code du jour » dérivé de la date, un attaquant entre sans mot de passe (CVE-2025-41450). En pratique, c’est une porte dérobée. Une mise à jour existe, mais encore faut-il l’installer. Rien ne confirme que les attaquants ont utilisé cette faille.

Le même schéma dans votre PME

Les frigos ne sont qu’un exemple. Regardez ce qu’on trouve dans une PME ordinaire : une caméra au-dessus de la caisse, une sonnette vidéo à l’entrée, une alarme avec une application, un thermostat connecté, l’imprimante. Ce sont souvent les mêmes appareils qu’à la maison, installés en un quart d’heure, et par défaut ils envoient leurs images et leurs données vers le cloud du fabricant. Il y a rarement un service informatique, donc personne ne vérifie qui y a accès ni si des mises à jour arrivent encore.

Ce qui peut alors se passer :

Ring, la sonnette vidéo d’Amazon. Selon l’autorité américaine de protection des consommateurs, la FTC, n’importe quel employé ou sous-traitant de Ring pouvait voir les vidéos des clients, et des pirates ont accédé aux comptes d’environ 55 000 clients. Par le haut-parleur des caméras, ils ont menacé des personnes, y compris des enfants.
Wyze, des caméras bon marché. Après une panne en février 2024, environ 13 000 utilisateurs ont vu des images provenant des caméras d’autres personnes.
Amazon. Quand le cloud d’Amazon a été perturbé pendant des heures en octobre 2025, les caméras Ring se sont éteintes.

Pour une PME, il ne s’agit pas du salon, mais de la caisse, des clients et du personnel. Ces images sont des données personnelles et, au regard du RGPD, c’est vous, en tant qu’entrepreneur, qui en êtes responsable.

Chaque appareil connecté est une porte dérobée potentielle

Chaque connexion vers l’extérieur peut aussi être une porte vers l’intérieur. Parfois, le fabricant l’ouvre volontairement, pour la maintenance à distance ou parce qu’il conserve vos images. Parfois, elle s’ouvre par accident : un mot de passe par défaut, une faille, une mise à jour oubliée. Pour un attaquant, cela ne change rien. Et selon le CERT-FR et le CCB, un appareil qui ne reçoit plus de mises à jour mais reste en ligne a de très fortes chances d’être compromis.

Pas tout hors ligne, mais connecté autrement

Nous pensons que le balancier repart dans l’autre sens : moins de « tout connecté », davantage la question « cet appareil doit-il vraiment être en ligne ? ». Après les attaques, le centre national de cybersécurité suédois a conseillé de se demander si les appareils doivent vraiment être connectés.

Tout déconnecter n’est pas non plus la solution : un appareil ne recevrait alors plus de mises à jour. Ce qui compte, c’est la manière dont il est connecté. Comparez-le à un téléphone :

L’appareil répond à tout le monde. Son numéro figure dans l’annuaire public, et n’importe qui dans le monde peut appeler, escrocs compris. Des moteurs de recherche comme Shodan tiennent même un tel annuaire de tous les appareils accessibles. C’est ainsi que les frigos des supermarchés étaient connectés. C’est la forme la plus dangereuse.
L’appareil reste en ligne en permanence avec le fabricant. Il ne figure pas dans l’annuaire, mais le fabricant peut toujours regarder et intervenir par cette ligne. Qui entre chez le fabricant ou dans votre compte se retrouve aussi sur cette ligne. C’est ainsi que fonctionnent la plupart des caméras et sonnettes connectées.
L’appareil ne fait qu’appeler. Il appelle le fabricant pour demander s’il y a une mise à jour, puis raccroche. Personne ne peut l’appeler. C’est la façon la plus sûre d’être en ligne malgré tout.

Même cette troisième façon n’est pas sans risque : qui falsifie les mises à jour entre quand même. C’est pourquoi les mises à jour doivent être signées numériquement, pour que l’appareil puisse vérifier qu’elles viennent vraiment du fabricant.

Concrètement :

L’appareil fonctionne aussi sans internet.
Il appelle vers l’extérieur, mais ne décroche pas.
Les images et les données restent dans le bâtiment.
La maintenance à distance passe par une connexion sécurisée (VPN), seulement quand vous l’ouvrez.
Ce qui ne reçoit plus de mises à jour quitte le réseau ou est remplacé.

Ce que vous faites aujourd’hui

Dressez la liste de tout ce qui, dans votre entreprise, est connecté à internet : caméras, sonnette, alarme, réfrigération, chauffage, imprimantes.
Demandez-vous pour chaque appareil : doit-il être en ligne, et qui utilise cette connexion ?
Vérifiez dans votre routeur quels ports sont ouverts vers l’intérieur (redirection de ports, UPnP) et fermez ce qui n’est pas nécessaire.
Changez les mots de passe par défaut et installez les mises à jour. Retirez du réseau ce qui n’en reçoit plus.
Ne laissez entrer les techniciens à distance que par un VPN, et demandez-leur par écrit comment leur accès est sécurisé.
Pour de nouvelles caméras, choisissez des modèles qui enregistrent en local et fonctionnent aussi sans cloud.
Si vous utilisez des régulateurs Danfoss, Copeland ou Dixell, suivez les conseils du CCB. Vérifiez d’abord votre contrat d’assurance avant de couper la remontée de données vers votre frigoriste.

Comment Skedia vous aide

Nous travaillons pour les PME. Lors d’un audit de sécurité, nous faisons l’inventaire des appareils et des applications que vous avez en ligne, de qui peut y accéder de l’extérieur et de ce qui peut être déconnecté. Vous recevez un rapport clair, en langage simple, avec des priorités.