Le 12 octobre, une cyberattaque a compromis les systèmes de froid de centaines de magasins en France. Trois semaines plus tard, des incidents similaires ont été signalés dans plusieurs pays européens ; dans la même nuit, des chambres froides utilisées par l’Établissement français du sang (EFS) ont aussi été touchées. Cette répétition interroge la mise en œuvre des mesures de sécurité, sans prouver que les attaques partagent les mêmes auteurs ou le même mode opératoire.
En France, le premier signal d’alarme remonte au 12 octobre
Dans la nuit du 11 au 12 octobre, des attaquants ont pris le contrôle de systèmes de régulation frigorifique dans des centaines de magasins français. Les réglages de certains équipements ont été modifiés, provoquant une hausse des températures et la perte de denrées. Le CERT-FR a alors signalé de nombreuses compromissions de contrôleurs Danfoss, Copeland et Dixell. Il a recommandé de supprimer leur exposition à Internet, de vérifier les paramètres de fonctionnement et de n’autoriser l’accès distant que par un réseau protégé. Associated Press, 14 octobre 2026 ; CERT-FR, alerte du 12 octobre, mise à jour le 16 octobre.
L’incident a révélé la dépendance de la chaîne du froid à des interfaces de maintenance à distance. Notre précédent article sur le maillon numérique oublié des supermarchés examinait déjà ces équipements et le partage des responsabilités entre magasins, frigoristes et fabricants.
Trois semaines plus tard, des incidents réapparaissent dans plusieurs pays
Dans la nuit du 1er au 2 novembre, des problèmes de réfrigération ont été signalés dans neuf pays de l’Union européenne : Belgique, Estonie, Finlande, Irlande, Italie, Luxembourg, Pays-Bas, Portugal et Suède. Les jours suivants, des magasins touchés ont également été rapportés en Allemagne et en Roumanie. Au Royaume-Uni, des fournisseurs alimentaires, dont des entreprises de transformation de viande, ont signalé des incidents, avec un impact décrit comme limité. Les niveaux de confirmation varient selon les pays et les entreprises. Euronews, avec l’AFP, 3 novembre 2026 ; Al Jazeera, avec l’AFP et Reuters, 4 novembre 2026.
En Belgique, la fédération des frigoristes avait appelé ses membres à mettre à jour les équipements après l’attaque française. Des magasins touchés n’auraient pourtant pas encore effectué ces mises à jour, selon des professionnels cités par Le Monde. Ce constat ne permet pas de conclure que tous les opérateurs européens ont ignoré les alertes. Il montre toutefois qu’un avertissement ne garantit pas, à lui seul, que chaque site a identifié ses appareils et corrigé ses accès. Le Monde, 2 novembre 2026.
La répétition des symptômes ne prouve pas que les incidents de novembre sont l’œuvre des mêmes attaquants que ceux d’octobre. Les autorités n’ont pas publiquement attribué ces opérations ni confirmé un vecteur commun. Mais quand les mêmes fonctions essentielles sont perturbées à quelques semaines d’intervalle, la question de la mise en œuvre des correctifs devient aussi pressante que celle de l’origine des attaques.
Cette fois, les chambres froides de l’EFS sont aussi concernées
Dans la nuit du 1er au 2 novembre, un prestataire d’équipements frigorifiques de l’EFS a subi un incident de cybersécurité affectant les systèmes de supervision et de pilotage de chambres froides sur trois sites. Les alarmes ont permis de détecter les anomalies. L’EFS a indiqué que des produits avaient été transférés ou sécurisés ; aucune perte de produits sanguins ni conséquence sanitaire n’a été signalée. Parmi les produits concernés figuraient des poches de plasma destinées à la transfusion et à la fabrication de médicaments. Associated Press, 4 novembre 2026.
Le chiffre de 110 °C relayé dans la presse correspond à une consigne qui aurait été programmée, pas à une température mesurée dans les chambres froides. Aucun élément public n’établit que l’incident de l’EFS et les attaques contre les magasins relèvent de la même intrusion. Il montre néanmoins qu’un prestataire de froid peut devenir un point de défaillance pour des activités de santé aussi bien que pour la distribution alimentaire. Next, 4 novembre 2026.
L’Europe a coordonné la réponse : cela suffit-il à tirer les leçons ?
Le 3 novembre, la Commission européenne a réuni ses services et des agences de l’Union, dont l’Agence de l’Union européenne pour la cybersécurité et Europol, puis organisé un échange avec les autorités nationales via EU-CyCLONe. L’Italie a, de son côté, convoqué des responsables gouvernementaux, des services de renseignement et l’Agence nationale de cybersécurité. Ces réunions montrent que les canaux de coopération sont disponibles et activables ; elles ne démontrent pas que tous les opérateurs ont corrigé leurs systèmes ou savent rétablir le froid en cas de nouvelle compromission. Commission européenne, point presse du 3 novembre ; ANSA, 3 novembre 2026.
Les règles européennes évoluent aussi par étapes. Depuis le 11 septembre 2026, le règlement sur la cyberrésilience impose aux fabricants concernés de signaler certaines vulnérabilités exploitées et certains incidents graves. Ses principales obligations s’appliqueront à partir du 11 décembre 2027. Le cadre européen de résilience des entités critiques prévoit par ailleurs une identification ciblée des organisations selon leur activité et les effets possibles d’une interruption ; il ne classe pas automatiquement chaque magasin comme entité critique. Ni les réunions de crise ni les obligations de signalement ne remplacent l’inventaire des équipements installés, la fermeture des accès Internet exposés ou le remplacement des systèmes en fin de support. Commission européenne, obligations de signalement du Cyber Resilience Act ; calendrier de mise en œuvre ; orientations européennes sur les entités critiques.
La vraie leçon se mesurera à la reprise en main
L’Europe a su partager l’alerte et réunir les autorités concernées. Pourtant, trois semaines après l’attaque française, de nouveaux systèmes de froid ont été perturbés dans plusieurs pays, tandis qu’un prestataire de l’EFS était également touché. La réponse reste donc incomplète tant qu’elle ne garantit pas que chaque exploitant connaît ses équipements, contrôle les accès distants et peut agir sans dépendre d’une interface compromise.
La dimension géopolitique du numérique apparaît ici dans une dépendance très concrète : un système connecté peut perturber l’accès aux aliments ou à des produits de santé sans qu’un acteur ait besoin de pénétrer physiquement dans un magasin ou un établissement. La préparation se vérifiera lorsqu’un site pourra couper son accès distant tout en continuant à contrôler localement ses températures, et lorsque cette consigne parviendra aux opérateurs équipés des mêmes systèmes dans les autres pays.
Sources
- CERT-FR, « Incident de sécurité ciblant les contrôleurs à distance des installations de réfrigération », 12 octobre 2026, mise à jour le 16 octobre 2026.
https://cert.ssi.gouv.fr/alerte/CERTFR-2026-ALE-012/.
Confirme les compromissions de plusieurs familles de contrôleurs et recommande de sécuriser leurs accès. - Associated Press, « French cybersecurity authority warns attack may be ongoing as stores scramble to restock », 14 octobre 2026.
https://apnews.com/article/81c2d5721f4df7f601f71741ef7c291.
Décrit l’attaque française et ses effets sur des centaines de magasins. - Euronews, avec l’AFP, « Cyberattaque contre frigos de supermarchés dans neuf pays européens », 3 novembre 2026.
https://fr.euronews.com/2026/11/03/cyberattaque-contre-frigos-de-supermarches-dans-neuf-pays-europeens.
Recense les signalements initiaux dans neuf pays de l’Union européenne. - Le Monde, « Des cyberattaques contre des réfrigérateurs et des congélateurs visent plusieurs supermarchés en Europe », 2 novembre 2026.
https://www.lemonde.fr/international/article/2026/11/02/des-cyberattaques-contre-des-refrigerateurs-et-des-congelateurs-visent-plusieurs-supermarches-en-europe_6805296_3210.html.
Rapporte les signalements européens et les retards de mise à jour évoqués par des professionnels. - Al Jazeera, avec l’AFP et Reuters, « EU urges action as Germany, Romania and UK report supermarket cyberattacks », 4 novembre 2026.
https://www.aljazeera.com/amp/news/2026/11/4/eu-urges-action-as-germany-romania-and-uk-report-supermarket-cyberattacks.
Rapporte les nouveaux cas en Allemagne et en Roumanie ainsi que les incidents chez des fournisseurs britanniques. - Associated Press, « Cyberattack hits French blood bank site but no blood products were compromised », 4 novembre 2026.
https://apnews.com/article/france-plasma-blood-bank-cyberattack-temperature-fridge-12b80bcf93b8404264209e519c204919.
Relaye les informations de l’EFS sur les trois sites et l’absence de perte de produits sanguins. - Next, « L’Établissement français du sang touché par le piratage de certaines chambres froides », 4 novembre 2026.
https://next.ink/briefs/le-brief-du-4-novembre-2026/.
Rapporte les éléments publiés sur les consignes de température et le communiqué de l’EFS. - Commission européenne, « EC Midday press briefing 03/11/2026 — Cybersecurity: Latest attacks on supermarket fridges across Europe: Q&A », 3 novembre 2026.
https://audiovisual.ec.europa.eu/en/media/video/I-297083.
Confirme les réunions de coordination européennes et l’absence d’attribution publique. - ANSA, « Supermarket fridge attacks no cause for alarm – govt », 3 novembre 2026.
https://www.ansa.it/amp/english/newswire/english_service/2026/11/03/ansasupermarket-fridge-attacks-no-cause-for-alarm-govt_b94fe019-4fc9-4e2a-964a-224c11495fb9.html.
Décrit la réunion des autorités italiennes et leur évaluation de l’impact. - ENISA, « EU-CyCLONe », date de publication non indiquée, consulté le 5 novembre 2026.
https://www.enisa.europa.eu/topics/eu-incident-response-and-cyber-crisis-management/eu-cyclone.
Présente le rôle du réseau européen dans la gestion des crises cyber transfrontalières. - Commission européenne, « Cyber Resilience Act – Reporting obligations », mise à jour le 11 septembre 2026.
https://digital-strategy.ec.europa.eu/en/policies/cra-reporting.
Détaille les obligations de signalement applicables depuis septembre 2026. - Commission européenne, « Cyber Resilience Act – Implementation », calendrier mis à jour le 27 juillet 2026.
https://digital-strategy.ec.europa.eu/en/factpages/cyber-resilience-act-implementation.
Indique que les principales obligations du règlement s’appliqueront à partir de décembre 2027. - Commission européenne, « Commission Guidelines and reporting template developed pursuant to Articles 5(5), 6(6) and 7(3) of Directive (EU) 2022/2557 on the resilience of critical entities », 12 septembre 2025.
https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=OJ%3AC_202504990.
Précise les critères et le périmètre d’identification des entités critiques, dont celles du secteur alimentaire.
A lire également
- Chaîne du froid : le maillon numérique oublié des supermarchés
Pour revenir sur l’attaque française et les contrôleurs frigorifiques connectés. - Souveraineté numérique : où se situe réellement le pouvoir de contrôle ?
Pour éclairer la capacité d’un opérateur à contrôler et rétablir un service. - Technologies critiques : Reprendre le contrôle de nos outils stratégiques
Pour apporter un cadre sur les dépendances, les mises à jour et la résilience.
Définitions
- ANSSI : Agence nationale de la sécurité des systèmes d’information, autorité française chargée de la cybersécurité.
- CERT-FR : centre gouvernemental français de veille, d’alerte et de réponse aux incidents cyber, rattaché à l’ANSSI.
- Contrôleur frigorifique : équipement numérique qui règle ou supervise une installation de réfrigération.
- Danfoss : groupe industriel danois qui fabrique notamment des systèmes de contrôle pour la réfrigération.
- Copeland : fabricant d’équipements et de systèmes de contrôle pour le froid commercial.
- Dixell : marque de contrôleurs et de systèmes de supervision frigorifiques.
- EFS : Établissement français du sang, organisme public chargé de la collecte et de la distribution de produits sanguins.
- ENISA : Agence de l’Union européenne pour la cybersécurité.
- EU-CyCLONe : réseau européen de liaison des autorités nationales chargées des crises cyber.
- Cyber Resilience Act : règlement européen sur les exigences de cybersécurité applicables aux produits comportant des éléments numériques.
- Directive CER : directive européenne sur la résilience des entités critiques.
- Micrologiciel : logiciel intégré à un équipement, qui en pilote les fonctions et peut nécessiter des mises à jour de sécurité.
- VPN : réseau privé virtuel qui protège une connexion à distance.
FAQ
L’attaque européenne de novembre est-elle liée à celle de France ?
Aucun élément public ne confirme que les incidents ont les mêmes auteurs ou le même mode opératoire.
Les produits de l’Établissement français du sang ont-ils été perdus ?
Non. L’EFS a déclaré que les produits concernés avaient été transférés ou sécurisés et qu’aucune perte ni conséquence sanitaire n’avait été identifiée.
L’Europe avait-elle déjà publié des consignes après l’attaque française ?
Oui. Le CERT-FR avait recommandé de supprimer l’accès direct à Internet, de vérifier les réglages et de rétablir l’accès distant uniquement sur un réseau protégé. La réapparition d’incidents ne permet toutefois pas de savoir si tous les sites ont appliqué ces mesures.