De la chambre froide à la salle serveur : pourquoi la cybersécurité commence dans le bâtiment

Ce fut un week-end que la grande distribution n'oubliera pas de sitôt. Dans la nuit du 11 au 12 octobre 2026, des pirates ont forcé à distance les installations frigorifiques de centaines de supermarchés français en mode dégivrage. Chez Intermarché, Système U, E.Leclerc et Monoprix, des produits frais et surgelés ont dû être jetés. Au même moment, aux Pays-Bas, les sites web, les applications et les livraisons d'Albert Heijn, Etos et Gall & Gall étaient à l'arrêt après un incident de cybersécurité.

Deux incidents différents, une même leçon. La cybersécurité ne concerne plus seulement des données volées ou un ordinateur portable piraté. Elle concerne des systèmes qui pilotent le monde physique. Et beaucoup de ces systèmes se trouvent dans le bâtiment.

Ce qui s'est passé

France : le froid pris pour cible

Selon les médias français, les installations frigorifiques d'environ 300 à plus de 400 magasins ont été touchées. Les attaquants ont exploité une faille dans le logiciel d'installations du fabricant Danfoss. Le fabricant avait déjà signalé cette faille le 18 septembre. Les pirates ont mis les installations en mode dégivrage et, sur certains équipements, ont fortement relevé la température de consigne. Selon un média spécialisé, un magasin a perdu environ 220 000 € de produits. Des départs de feu ont également été signalés. Le parquet de Paris a ouvert une enquête.

Ce qui ne s'est pas produit est frappant. Aucune donnée n'a été volée et aucune rançon n'a été demandée pour des fichiers. Une installation ordinaire du bâtiment a servi à causer de vrais dégâts.

Pays-Bas : la chaîne numérique se rompt

Chez Albert Heijn, Etos et Gall & Gall, l'incident a commencé le dimanche 11 octobre dans l'après-midi. L'entreprise parle d'un incident de cybersécurité et a arrêté des systèmes par précaution. Les commandes et livraisons en ligne étaient impossibles, les réductions personnelles ne fonctionnaient pas et le travail était à l'arrêt dans une partie des centres de distribution. Les magasins avaient moins de produits frais. Albert Heijn donne peu de détails sur la cause, car l'enquête est encore en cours. Ce que l'on sait désormais est expliqué dans la mise à jour ci-dessous.

Cela montre à quel point une organisation dépend de ses systèmes numériques. Quand la partie numérique tombe, le client le remarque jusque dans les rayons.

Mise à jour : ce que nous savons maintenant

Depuis le week-end, on en sait davantage sur les deux attaques. Voici la situation au 13 octobre 2026.

Albert Heijn : un trafic suspect et un redémarrage contrôlé

Selon des sources de la NOS, Albert Heijn a détecté un trafic suspect de pirates sur ses systèmes. Ce trafic passait par des serveurs aux États-Unis, en Pologne, en Moldavie et en Turquie. Cela ne dit rien sur l'endroit où se trouvent les auteurs : les attaquants font souvent passer leur trafic par d'autres pays. Albert Heijn confirme qu'il s'agit d'un incident de cybersécurité, mais ne donne pas de détails techniques. L'entreprise partage toutefois des informations sur l'attaque avec d'autres entreprises, pour qu'elles puissent se protéger.

L'incident ne s'est pas limité aux Pays-Bas. Delhaize en Belgique a aussi eu des problèmes informatiques, et les sites web des supermarchés américains de la maison mère Ahold Delhaize, comme Stop & Shop et Food Lion, ont été inaccessibles pendant un temps.

Dans les magasins, on voyait bien jusqu'où un incident numérique peut aller. Plusieurs centres de distribution étaient à l'arrêt, si bien que ce sont surtout les produits frais qui manquaient. Les étiquettes électroniques en rayon affichaient encore les promotions de la semaine précédente, et le prix en caisse pouvait donc être différent. Le 13 octobre, les étiquettes étaient rétablies et plusieurs centres de distribution fonctionnaient de nouveau.

Selon Albert Heijn, les systèmes sont maintenant remis en marche étape par étape et de façon contrôlée. Jusqu'à présent, rien n'indique que des données de clients ou de collaborateurs ont été volées. L'entreprise met toutefois en garde contre de faux messages qui se font passer pour Albert Heijn. La maison mère Ahold Delhaize ne voit pas de raison de faire un lien avec l'attaque en France.

France : d'anciens régulateurs sans mises à jour

Le parquet de Paris a ouvert une enquête, et l'ANSSI, l'Agence nationale de la sécurité des systèmes d'information, y est aussi associée. Le fabricant Danfoss indique qu'il s'agit surtout de deux types de régulateurs pour le froid arrivés en fin de vie. Ils ne reçoivent plus de mises à jour, mais étaient encore installés dans les magasins et accessibles depuis Internet. Dans au moins un magasin, des équipements d'un autre fabricant, Dixell, ont aussi été touchés.

Le problème n'était pas nouveau. Danfoss avait déjà mis en garde contre ces régulateurs en 2025. Des chercheurs en avaient alors trouvé 2 765 accessibles depuis Internet. Des experts signalent aussi un accès de maintenance caché dans le logiciel, qui permettait à un technicien d'entrer dans le système. Les dégâts se chiffrent en millions d'euros. À certains endroits, la température dans les meubles frigorifiques est montée jusqu'à 50 °C. Le conseil de l'ANSSI est clair : déconnectez ces régulateurs d'Internet, ou protégez-les de façon très stricte.

Quelles leçons pour les propriétaires de bâtiments ?

• Ce qui est connecté au réseau se ressent dans le bâtiment. Les étiquettes de prix, le froid et la logistique fonctionnent tous sur le réseau. Si le réseau tombe, les rayons se vident. Dans un bureau, c'est la même chose pour l'accès, la climatisation et l'éclairage.
• Le matériel dure plus longtemps que les mises à jour. Un régulateur dans une installation reste souvent en place dix ans ou plus. Le fabricant arrête les mises à jour plus tôt. Sachez donc quels équipements du bâtiment reçoivent encore des mises à jour, et lesquels n'en reçoivent plus.
• Un accès de maintenance est aussi une porte d'entrée. Les installations accessibles à distance pour le technicien le sont parfois aussi pour un attaquant. Demandez quels accès à distance existent, et fermez ceux qui ne sont pas nécessaires.
• Couper rapidement n'est possible que si les réseaux sont séparés. Albert Heijn a pu arrêter des systèmes pour éviter le pire. Cela ne fonctionne que si l'on sait clairement quel système est connecté où, et si les installations et l'informatique du bureau sont séparées.

Ce sont exactement les points qu'examine une inspection IT-Label : quels équipements sont connectés au réseau, si les réseaux sont séparés et comment le bâtiment est sécurisé.

Un bâtiment est aujourd'hui rempli d'ordinateurs. Ils s'appellent simplement froid, climatisation, accès et caméra.

Pourquoi la cybersécurité devient de plus en plus importante

De plus en plus d'équipements d'un bâtiment sont connectés à un réseau. Pensez au froid, à la climatisation, aux portiques d'accès, aux caméras, aux compteurs intelligents et aux capteurs qui mesurent l'occupation d'un espace. Souvent, un installateur peut y accéder à distance pour résoudre une panne. C'est pratique, mais chaque connexion est aussi une porte d'entrée possible pour un attaquant.

Dans le même temps, les organisations dépendent de plus en plus de ces systèmes. Les bureaux fonctionnent avec des applications cloud, la visioconférence et le travail collaboratif en ligne. Les magasins et entrepôts fonctionnent avec la gestion des stocks et la logistique. Quand le réseau tombe, le travail s'arrête. Pour en savoir plus, lisez notre article sur la cybersécurité dans l'immobilier.

La cybersécurité commence par le matériel et l'infrastructure

Quand on parle de cybersécurité, beaucoup pensent aux antivirus, aux mots de passe et aux pare-feu. Ils sont importants. Mais ils servent peu si la base n'est pas solide. Un pare-feu ne protège pas si n'importe qui peut entrer dans la salle serveur. Voici les points où les choses tournent souvent mal dans un bâtiment :

• La salle serveur et le local technique. La salle est-elle fermée à clé ? Qui a une clé ou un badge ? Le matériel réseau se trouve-t-il simplement dans une armoire ouverte dans le couloir ?
• L'accès physique au réseau. Un visiteur peut-il brancher un câble sur une prise réseau libre et accéder ainsi au réseau ? Y a-t-il un contrôle d'accès électronique et des caméras ?
• Le wifi ouvert. Un réseau wifi sans mot de passe, ou un réseau invité qui n'est pas séparé du réseau de bureau, est une porte ouverte.
• Des installations sur le même réseau. Le froid, la climatisation ou les caméras sont-ils sur le même réseau que les ordinateurs du bureau ? Un attaquant peut alors passer d'un système à l'autre.
• L'accès à distance. Quels fournisseurs peuvent se connecter de l'extérieur, et comment est-ce sécurisé ? Des mots de passe par défaut sont-ils utilisés ?
• Le matériel obsolète. Le matériel et les logiciels qui ne reçoivent plus de mises à jour restent vulnérables. Dans les installations en particulier, le matériel reste souvent en place dix ans ou plus.

Nous avons déjà écrit sur l'aspect physique dans les articles qui peut accéder physiquement à votre réseau ? et la cybersécurité commence par les fondations du bâtiment.

Ce que la loi exige désormais

Le législateur a nettement relevé la barre ces derniers temps. Trois lois sont ici importantes.

La loi néerlandaise sur la cybersécurité

Depuis le 15 août 2026, la Cyberbeveiligingswet (loi sur la cybersécurité) s'applique aux Pays-Bas. C'est la transposition néerlandaise de la directive européenne NIS2. Plus de 8 000 organisations y sont soumises, dans des secteurs comme l'énergie, la santé, les transports, les services numériques, l'industrie et l'alimentation.

• Devoir de vigilance. Les organisations doivent prendre des mesures appropriées pour sécuriser leurs réseaux et systèmes. La directive européenne précise expressément que l'environnement physique de ces systèmes doit aussi être protégé. Cela concerne donc aussi la salle serveur, le local technique et qui peut y entrer.
• Obligation de notification. Un incident grave doit être signalé dans les 24 heures, avec une notification détaillée dans les 72 heures.
• La chaîne d'approvisionnement. Les organisations sont aussi responsables des risques chez leurs fournisseurs. Pensez à l'installateur qui se connecte à distance au froid ou à la climatisation.
• La direction. Les dirigeants sont personnellement responsables du respect de la loi. La cybersécurité n'est donc pas l'affaire du seul service informatique.

Nous avons développé ce que cette loi signifie pour le bâtiment dans la loi sur la cybersécurité et la couche numérique du bâtiment.

Le Cyber Resilience Act

Le Cyber Resilience Act est une loi européenne pour les produits dotés d'une connexion réseau. Cela vaut aussi pour les régulateurs du froid, de la climatisation et du contrôle d'accès dans un bâtiment. Depuis le 11 septembre 2026, les fabricants doivent signaler dans les 24 heures une faille activement exploitée. À partir de décembre 2027, les nouveaux produits devront respecter des exigences de sécurité. L'attaque en France est passée exactement par une telle faille dans le logiciel d'un fabricant. Pour en savoir plus, lisez ce que le CRA signifie pour l'immobilier.

Le RGPD

Des données personnelles ont-elles pu être consultées ou volées lors d'une attaque ? L'organisation doit alors le signaler à l'autorité de protection des données dans les 72 heures. Même si l'attaque a commencé par une installation du bâtiment.

Ces trois lois placent la responsabilité sur l'organisation ou le fabricant. Pourtant, une grande partie des risques se trouve dans le bâtiment : dans la salle serveur, le réseau et les installations. Un locataire ne peut respecter son devoir de vigilance que s'il sait clairement comment le bâtiment est conçu.

Ce que cela signifie pour le locataire et le bailleur

Dans de nombreux bâtiments, on ne sait pas clairement qui est responsable de quoi. Le bailleur pense en installations, le locataire pense à sa propre informatique. Le réseau du bâtiment, sur lequel fonctionnent le froid, la climatisation et le contrôle d'accès, se retrouve souvent entre les deux.

Pour le locataire, cela signifie : demandez avant de signer comment le bâtiment est sécurisé. Qui peut accéder à la salle serveur, quels réseaux existent et qui les gère ? Pour le bailleur, cela signifie : un bâtiment dont la base est manifestement en ordre est plus attractif pour les locataires soumis à la loi sur la cybersécurité. Définissez ensemble qui gère quoi, pour que rien ne passe entre les mailles du filet en cas d'incident.

Ce qu'examine une inspection IT-Label

Le IT-Label évalue l'infrastructure numérique d'un bâtiment. La sécurité en fait partie. Lors de l'inspection, un Certified Partner examine notamment :

• si la salle serveur et les locaux techniques peuvent être fermés à clé ;
• s'il existe un contrôle d'accès électronique et une vidéosurveillance ;
• s'il y a une sécurité réseau visible, comme un pare-feu et du matériel sécurisé ;
• quels équipements IoT et capteurs sont connectés ;
• comment le réseau wifi est configuré ;
• si les réseaux sont séparés.

Le résultat se reflète dans le niveau de livraison, de PREMIUM à SHELL. Ainsi, le locataire et le bailleur savent où en est le bâtiment et ce qu'il reste à faire.

Nous disons honnêtement ce que le label n'est pas. Ce n'est pas un test d'intrusion, ni la preuve qu'une organisation respecte la loi sur la cybersécurité. Le IT-Label évalue le bâtiment, pas l'environnement informatique propre du locataire. Mais il fournit la base sur laquelle une organisation peut construire sa sécurité.

Vous voulez savoir rapidement où en est un bâtiment ? La pré-inspection IT-Label donne en quelques jours une indication du niveau de livraison numérique, à partir de 750 € hors TVA par site.

Six questions à poser maintenant

• Qui peut accéder à la salle serveur ? Est-elle fermée à clé, et note-t-on qui y entre ?
• Y a-t-il un wifi ouvert ? Et le réseau invité est-il séparé du réseau de bureau ?
• Quelles installations sont connectées au réseau ? Froid, climatisation, accès, caméras : sont-ils séparés de l'informatique du bureau ?
• Qui peut se connecter de l'extérieur ? Quels fournisseurs ont un accès à distance, et comment est-il sécurisé ?
• Quels équipements ne reçoivent plus de mises à jour ? Y a-t-il des régulateurs ou d'autres appareils que le fabricant ne suit plus, et sont-ils accessibles depuis Internet ?
• Qui est responsable ? Est-il établi ce que gère le bailleur et ce que gère le locataire ?

Les incidents de ce week-end montrent qu'une attaque ne passe pas toujours par l'ordinateur posé sur le bureau. Parfois, elle passe par la chambre froide, la climatisation ou une armoire ouverte dans le couloir. Qui connaît la base numérique du bâtiment peut fermer ces portes à temps.

Sources : RTS, Journal du Geek, Je bosse en grande distribution, Albert Heijn (communiqué de presse), NOS, ICT Magazine, NL Times, DutchNews, franceinfo, L'Usine Digitale, L'Avenir, Cyberattaque.org, NJB (Staatsblad 2026, 187), NCSC, ICTRecht, Stibbe, Jones Day, Digital Trust Center. Cet article a été mis à jour le 13 octobre 2026. Les enquêtes chez Albert Heijn et en France sont encore en cours.