Des cyberattaques contre les systèmes de réfrigération ont compromis la conservation des aliments et contraint plusieurs supermarchés suédois à fermer temporairement. Selon Tgcom24, entre la soirée du 1er novembre et le matin du 2 novembre, des magasins Ica et Coop ont été touchés : les attaquants ont modifié à distance les températures programmées pour les réfrigérateurs et les congélateurs, les portant jusqu'à 70 °C. Des milliers de produits étaient stockés sur place.
Le média, citant des quotidiens locaux, fait état de dommages de plusieurs centaines de milliers de couronnes et de fermetures d'une durée de plusieurs heures. Certaines caisses auraient également été rendues inutilisables, mais le lien entre cette panne et l'attaque n'est pas établi.
De la Suède aux autres supermarchés européens
Des épisodes similaires ont été signalés simultanément en Belgique et au Luxembourg, tandis que d'autres informations concernent l'Irlande et l'Estonie. Pour le cas estonien, Tgcom24 renvoie à la télévision publique ERR : les intrus auraient atteint le système de contrôle d'une grande chaîne et réglé un congélateur à 50 °C.
En Belgique, des dizaines de magasins Spar, Delhaize et Carrefour seraient concernés. En France, les enquêtes ont reconstitué la compromission d'environ 700 unités de réfrigération chez Intermarché, Coopérative U, Carrefour, Leclerc et Monoprix. Ce chiffre concerne des équipements, et non des supermarchés.
Le point commun est le contrôle à distance de la réfrigération : un accès frauduleux à la gestion des températures peut rompre la chaîne du froid, avec des conséquences sur les marchandises et sur la continuité des ventes. Toutefois, ces similitudes ne suffisent pas à attribuer ces épisodes à un seul groupe.
Quels systèmes sont concernés et quel poids a l'exposition sur Internet
Pour les attaques françaises, Claroty rapporte la déclaration d'Intermarché selon laquelle les attaquants ont atteint des systèmes Danfoss et modifié les températures jusqu'à 50 °C. La chaîne a indiqué que 150 magasins étaient concernés.
Dans la mise à jour du 13 octobre, Claroty indique également qu'un avis du CERT-FR a élargi le périmètre aux Copeland XWEB et Dixell XWEB, ainsi qu'aux séries Danfoss AK-SM et AK-SC, en signalant de nombreuses compromissions. Il s'agit de plateformes utilisées pour surveiller et gérer des installations de réfrigération et de climatisation. Pour les épisodes suédois, le récit de Tgcom24 n'identifie ni modèles ni versions.
L'exposition des consoles d'administration constitue un risque concret. Dans sa propre recherche sur le Danfoss AK-SM 800A, Team82 avait repéré 2 765 appareils accessibles publiquement via Censys. Il s'agit d'une mesure de la surface atteignable, et non d'un décompte des victimes d'attaques. Il n'est pas établi combien des systèmes recensés ont ensuite été mis à jour ou retirés de l'exposition directe.
Les CVE connues et les mesures pour les exploitants
La recherche de Team82 sur les contrôleurs Danfoss décrit des vulnérabilités dans l'interface web, mais ne démontre pas qu'elles aient été utilisées dans les attaques contre les supermarchés. Claroty précise que la méthode d'accès employée dans les épisodes français n'était pas encore connue au moment de son compte rendu.
Deux failles documentées touchent la série Danfoss AK-SM8xxA dans les versions antérieures à la 4.3.1 :
- CVE-2025-41451 permet, après authentification, l'exécution de code à distance par injection de commandes dans les champs de configuration des alertes par e-mail.
- CVE-2025-41452 permet à un utilisateur authentifié d'intervenir sur la configuration de l'interface web, avec un risque d'interruption du service. Le score CVSS v3 est de 5,4 : il exprime la gravité technique, et non une preuve d'exploitation.
Selon Team82, Danfoss a corrigé les deux failles dans la version R4.3.1. La recherche décrit aussi un mécanisme caché appelé «code-of-the-day», utilisable pour contourner l'authentification ordinaire ; ce résultat n'identifie pas la technique employée dans les cas rapportés.
Pour les exploitants de ces installations, la priorité indiquée par le CERT-FR, telle que rapportée par Claroty, est de supprimer l'exposition directe à Internet. Claroty recommande en outre de recenser les appareils, de limiter l'administration aux réseaux de confiance ou aux accès protégés par VPN, et de segmenter les réseaux opérationnels. Pour les Danfoss AK-SM8xxA concernés par les deux CVE, la mise à jour vers R4.3.1 corrige ces vulnérabilités précises et doit s'accompagner de la protection des accès distants.
