Une cyberattaque peut-elle provoquer la destruction de marchandises, perturber une installation technique et entraîner des pertes financières sans s’attaquer directement au système informatique d’une entreprise ? Oui.

Dans la nuit du 11 au 12 octobre 2026, plusieurs enseignes de la grande distribution ont été touchées par une cyberattaque visant leurs systèmes de régulation frigorifique. Selon les premières informations publiées, des équipements ont été manipulés à distance, provoquant une hausse importante de la température dans certaines installations et la perte de denrées alimentaires.

Cet incident met en lumière un enjeu qui dépasse largement le secteur de la distribution : la sécurité des équipements connectés qui pilotent des installations physiques.

Dans l’industrie, ces équipements sont partout : automates, robots, capteurs, systèmes de supervision ou interfaces de maintenance à distance. Lorsqu’ils sont mal protégés, les conséquences peuvent aller bien au-delà d’un problème informatique : défauts de fabrication, machines immobilisées, pertes de matières premières et arrêts de production.

Que nous apprend cette attaque ? Quelles sont les failles à surveiller et comment mieux préparer les équipes à ces risques ?

1. Cyberattaque des supermarchés : quand un système de régulation devient une porte d’entrée

Dans la nuit du 11 au 12 octobre 2026, une cyberattaque a visé des systèmes de régulation frigorifique Danfoss installés dans plusieurs enseignes françaises, dont Intermarché, E.Leclerc et Coopérative U.

D’après les premiers éléments rapportés par Numerama, les attaquants auraient détourné la fonction de dégivrage de certains équipements. Normalement utilisée pour éliminer le givre qui s’accumule sur les installations, cette fonction aurait été activée de manière continue, avec une consigne de température réglée à 50 °C.

Résultat : certaines vitrines réfrigérées et certains congélateurs auraient chauffé pendant plusieurs heures, entraînant la destruction de produits alimentaires.

Le 12 octobre 2026, le CERT-FR, rattaché à l’ANSSI, a publié une alerte confirmant de nombreuses compromissions de systèmes Danfoss des séries AK-SM et AK-SC. L’organisme recommande notamment de filtrer ou de déconnecter les accès à ces équipements.
Le fabricant Danfoss a, de son côté, indiqué que les incidents concernaient notamment des équipements anciens, arrivés en fin de vie et ne bénéficiant plus de mises à jour de sécurité, ainsi que des systèmes plus récents dont le micrologiciel était obsolète.

Le problème ne se limite donc pas au fonctionnement du matériel : il concerne aussi la manière dont il est connecté, administré et maintenu dans le temps.

Pour les magasins concernés, les conséquences sont concrètes : marchandises perdues, opérations de contrôle, réapprovisionnement et coûts de remise en état. Le bilan financier global n’étant pas établi dans les premières publications, il serait prématuré d’avancer un montant total.

Sources : CERT-FR – Incident de sécurité ciblant les Danfoss AK-SM et AK-SC ; Numerama – Cyberattaque des systèmes frigorifiques.

2. OT et IoT : des équipements connectés qui peuvent aussi être vulnérables

Pour comprendre les risques, il faut distinguer deux notions complémentaires : l’OT et l’IoT.

  • L’OT (Operational Technology) regroupe les technologies qui surveillent ou pilotent des équipements et des procédés physiques. On y retrouve notamment les automates industriels, les systèmes de supervision et certaines commandes de robots.
  • L’IoT (Internet of Things) désigne les objets connectés capables de collecter et d’échanger des données. Dans l’industrie, il peut s’agir de capteurs, de passerelles de communication ou d’équipements de suivi des conditions de fonctionnement.

Ces technologies permettent de surveiller les installations, de centraliser les données et de faciliter les interventions de maintenance. Elles apportent de réels bénéfices aux entreprises, mais elles créent également de nouveaux risques lorsqu’elles sont connectées sans protections adaptées.

Un système de régulation frigorifique, par exemple, doit pouvoir être configuré et surveillé. Si son interface d’administration est accessible depuis Internet sans filtrage suffisant, elle peut devenir un point d’entrée pour un attaquant.

Dans une usine, le principe est similaire. Un automate ou un robot connecté à distance pour faciliter la maintenance peut exposer l’installation si les accès sont mal sécurisés.
Le risque ne vient donc pas simplement du fait qu’un équipement soit connecté. Il dépend de son architecture, de ses paramètres de sécurité, de ses mises à jour et de la façon dont les accès sont gérés.

Quelles sont les principales failles à surveiller ?

Des interfaces accessibles depuis Internet. Une interface de supervision ou de configuration ne devrait pas être exposée directement sans protections adaptées. Les accès distants doivent être contrôlés et réservés aux personnes autorisées.
Des équipements anciens ou non mis à jour. Un équipement peut continuer à fonctionner correctement tout en utilisant un logiciel obsolète ou en présentant des vulnérabilités connues. Lorsqu’un fabricant ne fournit plus de correctifs, le risque doit être réévalué et des mesures compensatoires mises en place.
Des comptes et des droits mal maîtrisés. Des comptes inutilisés, des mots de passe insuffisamment protégés ou des droits trop étendus peuvent faciliter un accès non autorisé.
Des réseaux insuffisamment segmentés ou cloisonnés. Lorsque les réseaux informatiques et industriels ne sont pas correctement séparés et que les communications entre eux sont insuffisamment contrôlées, un attaquant ayant compromis un premier équipement peut tenter de progresser vers d’autres systèmes, notamment industriels.
Un manque de visibilité sur les installations. Sans inventaire des équipements, des versions logicielles et des accès distants, il est difficile de savoir quels systèmes doivent être sécurisés en priorité. Ces vulnérabilités ne sont pas propres aux supermarchés. Elles concernent également les sites industriels qui utilisent des automates, des robots, des interfaces opérateur et des systèmes de supervision connectés.

3. Pourquoi ces failles existent-elles encore dans les installations industrielles ?

Dans l’industrie, les équipements sont conçus pour fonctionner de manière fiable, souvent pendant de nombreuses années. Leur remplacement ou leur mise à jour peut nécessiter une intervention technique, des essais et parfois un arrêt de production. Ces contraintes sont réelles. Elles expliquent en partie pourquoi certains systèmes restent en service alors que leur niveau de sécurité n’est plus adapté. Mais d’autres facteurs entrent en jeu.

La cybersécurité n’est pas toujours intégrée dès l’installation

Lorsqu’un équipement est installé, les priorités sont généralement claires : assurer son fonctionnement, respecter les exigences du procédé et permettre aux équipes de l’exploiter.

La sécurité des accès, le cloisonnement réseau ou la gestion des mises à jour peuvent être moins bien pris en compte, notamment lorsque les responsabilités entre le client, l’intégrateur et le prestataire informatique ne sont pas clairement définies.
Un équipement peut alors être parfaitement opérationnel sur le plan technique, mais insuffisamment protégé contre une intrusion.

Les risques évoluent plus vite que les habitudes

Une installation qui fonctionne depuis dix ans n’est pas nécessairement sécurisée pour les conditions actuelles. Les connexions à distance se multiplient, les équipements échangent davantage de données et les interventions font parfois appel à plusieurs prestataires. Les habitudes de travail doivent donc évoluer en parallèle.
La sécurité ne peut pas reposer uniquement sur les choix effectués lors de la mise en service. Elle nécessite un suivi régulier des équipements, des accès et des risques.

Les équipes ne disposent pas toujours des compétences nécessaires

C’est un point essentiel, parfois sous-estimé.

Un automaticien peut parfaitement maîtriser la programmation d’un automate sans avoir été formé à la sécurisation de son accès distant. Un technicien de maintenance peut connaître une machine dans ses moindres détails sans savoir qu’une modification de configuration peut créer une vulnérabilité.

Ce n’est pas nécessairement une erreur individuelle. La cybersécurité industrielle se situe à la croisée de plusieurs métiers : informatique, automatisme, maintenance et production. Les compétences nécessaires ne sont pas toujours réunies au sein d’une même équipe.

Former les personnes qui installent, configurent et maintiennent ces systèmes fait donc partie des mesures de prévention.

4. Dans une usine, une cyberattaque peut-elle provoquer un arrêt de production ?

Oui, selon les équipements concernés et l’étendue de la compromission.

L’incident des supermarchés illustre un mécanisme important : lorsqu’un système numérique commande un équipement physique, une action informatique peut modifier les conditions réelles de fonctionnement.
Dans une usine, les conséquences dépendront du procédé concerné. Une attaque contre un automate, un robot ou un système de supervision peut perturber une opération, dégrader la qualité ou rendre une installation indisponible.

Prenons un exemple simple : une ligne de production utilise un robot pour alimenter une machine, puis un convoyeur pour transférer les pièces vers le poste suivant.
Si le robot devient indisponible à la suite d’un incident informatique, les autres équipements peuvent être contraints de s’arrêter à leur tour. Une perturbation localisée peut ainsi affecter toute la ligne.

Les conséquences peuvent se cumuler.

Une intrusion peut également se propager jusqu’aux équipements industriels 

Une cyberattaque ne commence pas nécessairement sur un équipement industriel. Un attaquant peut d’abord compromettre un ordinateur du réseau bureautique, par exemple à la suite d’une campagne de phishing.
Une fois cet accès obtenu, il peut chercher à atteindre d’autres systèmes par déplacement latéral, notamment en exploitant des vulnérabilités ou des droits d’accès insuffisamment maîtrisés.
Si les réseaux sont mal segmentés, cette progression pourrait lui permettre d’atteindre un poste d’ingénierie ou de maintenance connecté à un robot industriel.
Selon les protections et les droits disponibles, l’attaquant pourrait alors tenter de modifier un programme ou certains paramètres de fonctionnement, avec des conséquences potentielles sur la production.

Des pertes financières qui dépassent le coût de la panne

Les pertes ne se limitent pas au remplacement d’un composant ou à l’intervention d’un technicien.

Elles peuvent comprendre :

  • les matières premières et les pièces devenues inutilisables ;
  • les produits non conformes ou à contrôler de nouveau ;
  • le temps de production perdu ;
  • les heures supplémentaires nécessaires pour rattraper le retard ;
  • les interventions de maintenance et de cybersécurité ;
  • les retards de livraison et leurs conséquences commerciales.

Le coût réel dépendra de la durée de l’incident, du type d’installation et de la capacité de l’entreprise à reprendre son activité.

Des dommages matériels et des risques pour la sécurité

Si un équipement reçoit des commandes non prévues ou fonctionne avec des paramètres modifiés, il peut produire des pièces défectueuses, subir une usure anormale ou être endommagé.
Dans certains procédés, une variation de température, de pression, de vitesse ou de débit peut également affecter la sécurité de l’installation.
Cela ne signifie pas qu’une cyberattaque entraîne systématiquement des dommages matériels. En revanche, la possibilité d’agir sur des équipements physiques impose de considérer la cybersécurité comme un enjeu de sécurité opérationnelle.

Des conséquences qui se propagent au-delà de l’atelier

Un arrêt de production peut également perturber les activités situées en aval.
Une entreprise qui ne livre plus ses pièces à temps peut retarder la production de son propre client. Celui-ci peut à son tour rencontrer des difficultés pour respecter ses commandes.
Dans certains secteurs, les délais sont serrés et les stocks limités. Une interruption de quelques heures peut donc nécessiter plusieurs jours pour réorganiser la production et résorber le retard.
Enfin, la reprise elle-même demande du temps : il faut comprendre l’incident, vérifier les configurations, sécuriser les accès et s’assurer que les équipements peuvent redémarrer dans de bonnes conditions.

La cybersécurité industrielle est aussi un enjeu de continuité d’activité. Protéger les systèmes, c’est limiter le risque de panne, mais aussi éviter qu’un incident technique ne se transforme en problème pour toute l’entreprise.

5. Comment mieux sécuriser les équipements OT et IoT ?

Il n’existe pas de solution unique adaptée à toutes les installations. Les mesures doivent tenir compte des équipements utilisés, de leur ancienneté, des contraintes de production et des possibilités offertes par les fabricants.

Plusieurs actions constituent néanmoins une bonne base.

  1. Identifier les équipements connectés. Recenser les automates, robots, capteurs, interfaces de supervision et accès de maintenance à distance. Il faut savoir ce qui est installé, comment les équipements communiquent et qui en est responsable.
  2. Contrôler les accès distants. Les accès doivent être réservés aux intervenants autorisés, protégés et limités au nécessaire. Les interfaces d’administration ne doivent pas être exposées directement à Internet sans mesures de sécurité adaptées.
  3. Vérifier les mises à jour. Suivre les recommandations des fabricants, appliquer les correctifs après validation et anticiper le remplacement des équipements qui ne bénéficient plus de support. Si une mise à jour immédiate est impossible, des mesures compensatoires doivent être étudiées.
  4. Segmenter et cloisonner les réseaux. Séparer les environnements informatiques et industriels en zones distinctes, en contrôlant les communications autorisées entre elles. Cette organisation permet de limiter les possibilités de déplacement latéral d’un attaquant et de réduire les conséquences d’une compromission. 
  5. Surveiller les paramètres et les alertes. Des modifications inhabituelles de configuration ou des comportements anormaux doivent pouvoir être identifiés et signalés. Les alarmes doivent être vérifiées pour s’assurer qu’elles remplissent effectivement leur rôle.
  6. Préparer les procédures de réaction. Les équipes doivent savoir qui prévenir, comment isoler un équipement si nécessaire et quelles vérifications effectuer avant de reprendre la production. Les sauvegardes des programmes et des configurations doivent également être adaptées et leur restauration testée.
  7. Former les équipes. Les personnes qui installent, programment, exploitent et maintiennent les équipements doivent comprendre les risques liés à leurs interventions et connaître les bonnes pratiques de sécurité.

Pour les équipements Danfoss concernés par l’incident, le bulletin du CERT-FR du 12 octobre 2026 détaille les premières mesures recommandées, notamment le filtrage des accès, la vérification des comptes, la réinitialisation des équipements compromis et l’application des correctifs disponibles.

Pour une installation industrielle, ces recommandations doivent être complétées par une analyse adaptée à l’architecture et aux contraintes du site.

6. Cybersécurité industrielle : la formation fait partie de la prévention

On pense souvent à la cybersécurité comme à un sujet réservé aux informaticiens. Dans un environnement industriel, cette approche est trop limitée.
Les équipes de production, les automaticiens, les techniciens de maintenance et les intégrateurs interviennent directement sur des équipements connectés. Leurs choix de configuration et leurs pratiques quotidiennes peuvent contribuer à renforcer la sécurité… ou créer des risques involontaires.
Il ne s’agit pas de demander à chaque technicien de devenir expert en cybersécurité. L’enjeu est de lui donner les connaissances nécessaires pour comprendre les risques liés à son environnement de travail, sécuriser ses interventions et réagir correctement en cas d’anomalie.

Une formation adaptée permet notamment de mieux comprendre :

  • les spécificités des systèmes OT et IoT ;
  • les risques liés aux connexions et aux accès distants ;
  • les bonnes pratiques de configuration et de gestion des accès ;
  • les principes de protection des réseaux industriels ;
  • les réflexes à adopter face à un comportement inhabituel ou à un incident.

L’objectif est concret : mieux anticiper les risques, éviter certaines erreurs de configuration et permettre aux équipes de prendre des décisions éclairées.
Chez CRTI Formation, nous accompagnons les professionnels dans le développement de leurs compétences techniques. La formation en cybersécurité s’inscrit dans cette logique : rapprocher les connaissances des réalités du terrain et aider les équipes à mieux maîtriser les risques liés aux systèmes qu’elles utilisent.

En conclusion : sécuriser les équipements, c’est aussi former les personnes

La cyberattaque qui a touché les systèmes frigorifiques de plusieurs supermarchés rappelle qu’un équipement connecté peut devenir un point d’entrée vers une installation physique.

Dans l’industrie, les conséquences potentielles sont multiples : pertes financières, dommages matériels, défauts de qualité, interruption de production et perturbations de la chaîne d’approvisionnement.

Les protections techniques sont indispensables. Mais elles doivent s’accompagner d’un suivi des équipements, de procédures claires et de compétences adaptées chez les personnes qui les installent et les exploitent.

Vos équipes savent-elles identifier les risques liés aux équipements connectés de votre atelier ?

CRTI Formation vous accompagne dans le développement des compétences techniques de vos collaborateurs, notamment sur les enjeux de cybersécurité.

Découvrez notre formation en cybersécurité et échangez avec notre équipe pour identifier les besoins de votre entreprise.