Nouvelle attaque contre la réfrigération des magasins : quand passons-nous à l’action ?

Lundi matin, quatre heures. Des gérants de magasins Delhaize reçoivent un SMS : quelque chose ne va pas avec la réfrigération. En Suède, un congélateur affiche +50 °C et le gérant du magasin ne parvient plus à faire baisser la température. En Belgique et aux Pays-Bas, des bouchers et des commerçants jettent leur stock.

C'est la deuxième fois en trois semaines. « Les entreprises ont vraiment dormi sur ce sujet », déclare le hacker éthique Sijmen Ruwhof à la chaîne néerlandaise NOS. Une question se pose alors : quand passons-nous à l'action ?

Ce qui s'est passé

Voici ce que l'on savait le 2 novembre 2026. L'enquête est en cours, les chiffres peuvent donc évoluer.

• Ampleur. BleepingComputer compte plus de 115 magasins en Belgique, aux Pays-Bas, en Suède, au Luxembourg, en Irlande et en Estonie. La Finlande est également citée.
• Belgique. RetailDetail signale au moins 76 magasins, dont une quarantaine de Delhaize, surtout de petits magasins de proximité.
• Pays-Bas. Au moins dix-sept entreprises, surtout des boucheries et de petits commerces de proximité. À notre connaissance, aucune grande chaîne n'y est touchée.
• Méthode. Les appareils de réfrigération eux-mêmes ne sont pas cassés. Ils ont reçu de mauvaises instructions par la commande numérique, par exemple de se mettre à dégivrer.
• Dégâts. Le total n'est pas encore connu. Une boucherie belge estime le préjudice à 10 000 à 15 000 €, et un Delhaize à Hoepertingen a dû jeter au moins 60 000 € de denrées, selon la NOS.
• Auteurs. Inconnus. Comme aucune rançon ne semble avoir été demandée et que de nombreuses chaînes différentes sont touchées, il ne paraît pas s'agir d'une attaque contre une seule entreprise. Selon la NOS, rien n'indique un lien avec l'attaque contre Albert Heijn le mois dernier.

Ce n'est pas tombé du ciel

Le plus douloureux est que cela était connu depuis longtemps. Les boîtiers de régulation relient la réfrigération à internet, pour qu'un installateur puisse voir les pannes à distance. Leurs points faibles n'étaient pas un secret :

• 2025 : des chercheurs trouvent des failles dans un boîtier Danfoss très répandu. Le fabricant publie un avertissement et une mise à jour logicielle.
• Août 2026 : les chercheurs publient leurs résultats.
• 11 et 12 octobre 2026 : jusqu'à 700 supermarchés sont touchés en France. Nous en parlions alors dans de la chambre froide à la salle serveur.
• 12 octobre 2026 : l'autorité française prévient que les attaques se poursuivent probablement et conseille de retirer d'internet les boîtiers Danfoss, Copeland et Dixell. Danfoss écrit aussi à ses clients.
• Nuit du 1er au 2 novembre 2026 : la deuxième vague.

Un avertissement de trois semaines, c'est court pour une grande chaîne, mais assez long pour couper une connexion. Pourtant, des boîtiers étaient encore ouverts le 2 novembre.

Les entreprises ont-elles dormi ?

En partie, oui. Selon l'autorité française, un écran de gestion sur internet ouvert est contraire aux bonnes pratiques. Et celui qui reçoit un avertissement doit agir.

Mais regardez aussi qui a été touché. Aux Pays-Bas, surtout des bouchers et des commerces de proximité. Chez Spar, des entrepreneurs indépendants avec leur propre réfrigération. Chez Delhaize, surtout de petits magasins. Et la chaîne suédoise ICA indique qu'il s'agissait de magasins ayant une connexion hors du réseau central.

Le tableau reste provisoire, mais le schéma est assez net pour être pris au sérieux. Un boucher n'a pas de service informatique. Le boîtier a été posé un jour par le frigoriste et reste hors de la vue de tous. Une lettre du fabricant parvient-elle alors à la personne qui peut agir ? Ce n'est pas seulement dormir. C'est un boîtier qui n'appartient à personne.

Une mise à jour ne suffit pas toujours non plus. Beaucoup de boîtiers sont si anciens que le fabricant n'en propose plus. Et selon l'entreprise belge de réfrigération Sabcobel, certaines installations nécessitent aussi une modification de l'équipement lui-même.

Pourquoi cela concerne aussi votre bâtiment

Vous n'avez peut-être pas de congélateur rempli de viande. Mais la question est la même. Dans un immeuble de bureaux ou d'activités, le climat, l'ascenseur, le contrôle d'accès, les caméras et les compteurs sont de plus en plus souvent reliés à un réseau. Souvent, un fournisseur peut y accéder à distance. C'est pratique, et c'est précisément pour cela que cela s'est développé.

Nous ne disons pas que ces systèmes sont attaqués en ce moment. Nous disons que les trois mêmes éléments peuvent manquer :

• Une vue d'ensemble. Quelles installations sont accessibles depuis internet ? Souvent, ce n'est écrit nulle part.
• Un responsable. Le bailleur pense aux installations, le locataire à sa propre informatique, l'installateur à sa maintenance. La connexion tombe entre les deux.
• Un plan. Qui reçoit l'alarme à quatre heures du matin, et que fait cette personne ?

Quand passons-nous à l'action ? Comment commencer

Aujourd'hui

• Appelez votre frigoriste ou votre technicien. Demandez : notre boîtier de régulation est-il accessible depuis internet ?
• La réponse est oui ? Faites-le retirer de l'internet ouvert. L'autorité française conseille un accès uniquement par une connexion sécurisée (VPN) ou un réseau protégé.
• Faites vérifier les réglages, surtout les programmes de dégivrage.
• Vérifiez d'abord votre assurance si vous coupez la connexion avec le technicien. L'avertissement français le rappelle aussi.

Cette semaine

• Dressez la liste de toutes les installations avec accès à distance : réfrigération, climat, ascenseur, contrôle d'accès, caméras et compteurs.
• Notez pour chacune qui peut y accéder et qui en est responsable.
• Demandez si les équipements reçoivent encore des mises à jour et si les mots de passe par défaut ont été changés.

Ce mois-ci

• Remplacez les équipements qui ne reçoivent plus de mises à jour, ou retirez-les définitivement d'internet.
• Séparez les systèmes du bâtiment du réseau de bureau.
• Indiquez dans le contrat ou le bail qui gère la connexion.
• Prévoyez une alarme et un plan d'urgence : qui est appelé, et où mettre le stock ? Certains magasins Delhaize ont utilisé des camions frigorifiques.

N'attendez pas la loi

Les règles européennes de cybersécurité issues de NIS2 visent surtout les grandes organisations. Un boucher ou un commerce de proximité n'y est généralement pas soumis. Et les exigences européennes pour les nouveaux produits ne s'appliquent qu'à partir de décembre 2027, donc pas au boîtier installé depuis dix ans.

Pour beaucoup de magasins et de bâtiments, personne ne vous oblige donc à agir demain. Ceci n'est pas un avis juridique, mais la conclusion est là : c'est à vous de le vouloir.

Ce que l'IT-Label peut apporter

D'abord, ce qu'il n'est pas. Un label n'arrête pas une attaque. L'IT-Label n'évalue pas non plus le niveau de sécurité de votre réfrigération ou de votre GTB. Ce n'est pas un test d'intrusion.

Ce qu'il fait, c'est rendre le bâtiment visible. C'est là que commence l'action :

• L'Autodiagnostic gratuit donne en quelques minutes une première image de votre bâtiment.
• L'IT-Label montre l'état de l'infrastructure numérique et regarde aussi quels systèmes intelligents sont présents et si la GTB est raccordée au réseau informatique.
• L'IT-Label Security Audit va plus loin. Un auditeur vérifie sur place si votre réseau est séparé des invités, des autres locataires et des systèmes du bâtiment, et conseille sur les améliorations.

Personne ne peut sécuriser un boîtier que personne ne connaît. Celui qui sait ce qui se trouve dans le bâtiment peut suivre à temps le prochain avertissement.

Questions fréquentes

Qui est derrière l'attaque contre les systèmes de réfrigération ?

On ne le sait pas encore. Personne n'a revendiqué l'attaque et, à notre connaissance, aucune rançon n'a été demandée.

Comment savoir si ma réfrigération est accessible depuis internet ?

Demandez à votre frigoriste ou à votre installateur. Demandez aussi comment il se connecte à distance et si une ancienne connexion est encore active, par exemple via un modem 4G.

Une mise à jour logicielle suffit-elle ?

Pas toujours. Beaucoup d'anciens boîtiers ne reçoivent plus de mises à jour. Retirez-les donc au minimum de l'internet ouvert et interrogez votre fournisseur sur leur remplacement.

Mon installateur peut-il encore accéder à la réfrigération sans accès internet ouvert ?

Oui, si cela passe par une connexion sécurisée, comme un VPN ou un réseau protégé. Parlez-en avec votre installateur et vérifiez aussi ce que demande votre assurance.

Cela vaut-il aussi pour les bureaux ?

L'attaque a touché des magasins et des systèmes de réfrigération. Mais les bureaux ont des systèmes comparables avec accès à distance, comme le climat et le contrôle d'accès. Les mêmes questions y sont donc utiles.

L'IT-Label évalue-t-il la sécurité de ma réfrigération ?

Non. L'IT-Label regarde quels systèmes intelligents sont présents et s'ils fonctionnent ensemble, pas leur niveau de sécurité. L'IT-Label Security Audit vérifie si votre réseau est séparé des systèmes du bâtiment. Pour un vrai test de sécurité, il vous faut une entreprise spécialisée.

Sources : NOS, BleepingComputer, Help Net Security, RetailDetail, Reformatorisch Dagblad, CERT-FR (CERTFR-2026-ALE-012), CISA (ICSA-25-140-03) et Wikipédia. Situation au 2 novembre 2026. L'enquête est en cours.