Episode Details

🐛 Avant l'attaque : selon Nozomi Networks, Synacktiv documente dès mai 2023 un contournement d'authentification par code du jour sur les gestionnaires Danfoss SM800, SC255 et SC355, sans correctif car en fin de vie ; l'AK-SC 355 est retiré en 2016, l'AK-SM 800 en fin de vie en 2021, et Danfoss annonce l'arrêt complet du service en octobre 2025. Le 9 août 2026, Claroty Team82 publie sur l'AK-SM 800A la CVE-2025-41450 (code du jour, CWE-287, authentification incorrecte, CVSS 8,2), chaînée avec la CVE-2025-41451 (CWE-77, injection de commande dans la configuration des alertes par email, CVSS 7,6) jusqu'à l'exécution de code, ainsi que la CVE-2025-41452 (CWE-15, déni de service de l'interface, CVSS 5,4). Selon Censys, la CVE-2025-41450 est corrigée en version 4.2 et les deux autres en 4.3.1 ; Claroty recommande R4.3.1 ou ultérieure et comptait 2 765 AK-SM 800A exposés. Fin août, au moins six supermarchés de bases militaires américaines ont subi des pannes de froid, sans lien établi avec la France.

🧊 Nuit du 11 au 12 octobre : les attaquants entrent par l'interface web exposée des gestionnaires de froid (MITRE ATT&CK for ICS, T0883, Internet Accessible Device) et forcent un dégivrage continu avec une consigne à 50 °C (T0836, Modify Parameter), pendant six heures selon Les Mousquetaires. Selon Le Monde, cité par TIME, certains cycles passent d'une heure à huit heures pour retarder les alarmes, que le contrôleur suspend normalement pendant un dégivrage. Le parquet de Paris fait état de départs de feu. Le vecteur d'accès n'est pas confirmé publiquement.

🛒 Enseignes : au moins 300 points de vente Intermarché et Netto selon l'AFP (150 à 200 annoncés au départ), moins d'une centaine de Système U, 80 Carrefour, 5 % des Monoprix et plusieurs E.Leclerc. Total estimé entre au moins 350 supermarchés (Reuters) et environ 500 magasins (Cooling Post), sans décompte officiel. Thierry Cotillard évoque des dizaines de millions d'euros de pertes, Intermarché indique que les assurances ne couvrent pas ce type d'incident, et la FCD réclame une transparence totale.

🏭 Danfoss : incidents sur un nombre limité de systèmes selon le fabricant, majoritairement des AK-SM 800 (fin de vie en 2021) et AK-SC 355 (retirés en 2016) sans mise à jour de sécurité ; les AK-SM 800A touchés tournaient sur un ancien firmware. Mesures annoncées : mises à jour quand elles existent, protections réseau renforcées, fin de l'exposition directe à Internet. France Inter date le correctif d'un peu plus d'un mois avant l'attaque, Censys de 2025 (versions 4.2 et 4.3.1).

🇫🇷 État : le parquet de Paris s'est saisi d'office le 12 octobre, enquête confiée à l'OFAC. Sébastien Lecornu a saisi l'ANSSI, qui a identifié une vulnérabilité non précisée dans un logiciel de Danfoss, selon l'entourage du Premier ministre cité par franceinfo. Ni rançon ni vol de données selon France Inter.

🚨 CERT-FR : alerte CERTFR-2026-ALE-012 du 12 octobre, mise à jour le 13 octobre (systèmes affectés : Danfoss séries AK-SM et AK-SC, Copeland xweb, Dixell xweb) et le 16 octobre (recommandations) ; campagnes probablement toujours en cours. Recommandations : supprimer l'exposition Internet de toutes les unités sur adresse IP publique, vérifier les conditions d'assurance avant de couper la remontée des données vers le frigoriste, vérifier les plages de dégivrage, rétablir l'accès par VPN sécurisé ou réseau protégé, filtrer les IP des frigoristes en urgence seulement ; en cas de compromission, redémarrage ou Reset Factory, insuffisant sur un équipement en fin de vie. Pour Danfoss : mise à jour du firmware, niveau de sécurité Strict et changement des mots de passe par défaut ; Dixell publie des recommandations pour ses superviseurs XWEB.

📈 Exposition : ONYPHE compte