Des attaquants ont manipulé à distance des contrôleurs de réfrigération commerciale dans plus de 400 magasins d'alimentation et de distribution européens, dans la nuit de lundi. Selon les informations disponibles, les températures auraient été portées à 50 °C, détruisant les stocks réfrigérés et congelés. De petits incendies ont également été signalés.
Le nombre de magasins provient des déclarations des entreprises concernées, citées par Dark Reading. Les distributeurs français sont les principales cibles documentées, mais un analyste de Sekoia a indiqué à Reuters que des magasins en Espagne, au Portugal, en Pologne, en Allemagne et en Belgique ont également été touchés.
Les auteurs des attaques n'ont pas été identifiés, et leurs motivations restent floues.
Les réglages de réfrigération ont été modifiés à distance
Les premiers signalements associaient les incidents aux contrôleurs de réfrigération Danfoss. Le CERT-FR a ensuite identifié la plateforme XWEB de Copeland, issue de Dixell, comme un autre système impliqué dans les attaques.
Selon des informations de presse françaises citées par Dark Reading, les attaquants ont allongé les cycles de dégivrage, ce qui faisait ressembler la hausse de température à une opération de maintenance. Le dégivrage réchauffe légitimement les équipements de réfrigération pour éliminer la glace, mais des cycles prolongés ou manipulés peuvent exposer les aliments à des températures dangereuses et soumettre les équipements à un stress thermique supplémentaire.
Deux supermarchés de la région Alsace ont signalé des pertes cumulées de 270 000 €, soit environ 300 000 dollars US, d'après le récit de la BBC cité dans le rapport. Ce montant ne concerne que ces deux magasins, et non l'ensemble de l'attaque.
Les Mousquetaires, maison mère d'Intermarché et de Netto, ont indiqué à CNBC que l'accès aux systèmes de réfrigération de certains de leurs magasins passait par un prestataire de services. Cette déclaration désigne la connectivité de tiers comme l'une des voies d'intrusion, au moins pour une partie de l'incident, sans établir une méthode d'accès unique pour tous les distributeurs touchés.
Vulnérabilités divulguées dans les contrôleurs Danfoss
Claroty Team82 a divulgué trois vulnérabilités dans la gamme Danfoss AK-SM 800A le 9 août. Les informations disponibles n'établissent pas que les attaquants ont exploité une CVE particulière lors des incidents touchant les supermarchés.
Les descriptions de la NVD décrivent des conditions techniques et des versions affectées différentes :
- CVE-2025-41450 est un problème d'authentification défaillante, classé CWE-305, dans la série Danfoss AK-SM 8xxA antérieure à la version 4.2. Son score CVSS 3.1 est de 8,2, avec le vecteur
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:L/A:H. La NVD la décrit comme accessible par le réseau, à complexité d'attaque élevée, ne nécessitant aucun privilège et exigeant une interaction de l'utilisateur. - CVE-2025-41451 est une faiblesse d'injection de commandes, classée CWE-77, dans les champs de configuration des alertes par courriel. Sur les versions antérieures à la 4.3.1, un attaquant authentifié pourrait potentiellement obtenir une exécution de code à distance.
- CVE-2025-41452 est une vulnérabilité post-authentification liée au contrôle externe d'un paramètre de configuration de l'interface web. Classée CWE-15, elle peut provoquer un déni de service à cause d'une mauvaise gestion des conditions exceptionnelles sur les versions antérieures à la 4.3.1.
Sur la base de ces plages affectées, la version 4.3.1 est la première identifiée comme ne relevant plus de la portée des trois vulnérabilités. Danfoss a publié des mises à jour, mais il revient aux clients de les déployer.
Danfoss a indiqué que la majorité des unités touchées lors des incidents étaient des contrôleurs AK-SM 800 ou l'ancien modèle AK-SC355. L'entreprise a précisé que ces produits étaient arrivés en fin de vie respectivement en 2021 et 2016. Elle a attribué le problème à des micrologiciels obsolètes et a réitéré sa recommandation de mettre à jour les équipements pris en charge et de migrer les systèmes anciens vers des produits actuels.
Cette distinction est importante : les vulnérabilités nouvellement documentées concernent la série AK-SM 8xxA, alors que l'attaque signalée a également visé des équipements plus anciens déjà installés. Les informations disponibles ne fournissent pas d'explication vulnérabilité par vulnérabilité des compromissions.
XWEB était également impliqué
Claroty Team82 a divulgué 23 vulnérabilités dans Copeland XWEB Pro le 9 août, dont 21 classées comme étant de gravité élevée. Le CERT-FR a ensuite identifié l'ensemble de la plateforme XWEB comme impliquée dans les attaques.
Le calendrier a conduit certains à penser que les attaquants avaient utilisé des recherches publiées récemment, mais il ne s'agit que d'une hypothèse. Les informations disponibles ne relient aucune vulnérabilité précise de XWEB à un magasin compromis en particulier.
Ce que doivent faire les exploitants de systèmes de réfrigération
Les exploitants qui utilisent des contrôleurs Danfoss AK-SM 8xxA devraient vérifier le micrologiciel installé. Les systèmes antérieurs à la version 4.2 restent dans la plage affectée par la CVE-2025-41450, tandis que la CVE-2025-41451 et la CVE-2025-41452 touchent les versions antérieures à la 4.3.1. Les installations héritées AK-SM 800 et AK-SC355 devraient être évaluées au regard des recommandations de migration de Danfoss.
Andrew Ginter, de Waterfall Security Solutions, recommande, comme mesure d'urgence, de retirer les dispositifs de contrôle industriel de toute exposition directe à Internet. Lorsqu'un isolement immédiat n'est pas possible, il conseille de placer un pare-feu de qualité commerciale ou industrielle devant les contrôleurs, avec une politique de refus par défaut, de limiter les connexions à des adresses IP approuvées, d'exiger des mots de passe et une authentification à deux facteurs, et de maintenir le pare-feu à jour automatiquement.
La voie du prestataire décrite par Les Mousquetaires fait aussi des accès de tiers une priorité. Les distributeurs devraient identifier quels sous-traitants peuvent atteindre à distance les systèmes de réfrigération, restreindre ces connexions aux systèmes et aux périodes nécessaires, et revoir les contrôles d'authentification et de pare-feu qui les encadrent.
Pour les entreprises touchées, les conséquences vont au-delà de la panne de refroidissement : des contrôleurs manipulés peuvent détruire des stocks, interrompre l'activité des magasins et créer des risques physiques. Les mises à jour du micrologiciel, la suppression de l'exposition directe et un contrôle plus strict des accès des sous-traitants répondent aux faiblesses concrètes mises en évidence par cet incident.
