Frigos de supermarchés piratés : après la France, une seconde vague en Europe, ce qui est établi et ce qui ne l’est pas

Chronologie

Chronologie

L’objet de cette affaire est un petit ordinateur installé dans le magasin, appelé contrôleur et que cet article nomme boîtier : il règle le froid des meubles et des chambres froides, et un technicien peut y accéder à distance.

Quelques noms reviennent. Danfoss est un groupe danois qui fabrique ces boîtiers. Copeland est un fournisseur américain de réfrigération, propriétaire de la marque Dixell. L’ANSSI est l’agence française de cybersécurité, et le CERT-FR son centre d’alerte. Censys, Claroty, Forescout, Lupovis, Sekoia, Synacktiv, SentinelOne et Sophos sont des sociétés de cybersécurité : elles vendent leurs services, et leurs analyses ne sont donc pas désintéressées.

Contexte et explications

01 La nuit du 1er au 2 novembre

Pendant la nuit de dimanche à lundi, magasins fermés, le froid a été mis à distance en dégivrage dans plusieurs pays ; les pertes vont de presque rien à plus de 360 000 euros pour un seul magasin.

Le geste est simple. Les évaporateurs, ces échangeurs où se forme le givre, passent en mode dégivrage : au lieu de produire du froid, le meuble se réchauffe. Le gérant de plusieurs magasins bruxellois a trouvé ses compresseurs à l’arrêt et ses meubles soufflant de l’air chaud.

L’attaque s’est découverte par étapes. Le dirigeant de Sabcobel, un installateur belge qui gère des systèmes de froid de la chaîne Delhaize, situe le début vers minuit. Danfoss dit avoir reçu les premiers signalements vers 2 heures, comme un magasin suédois de Stockholm. Bruxelles suit vers 3 heures, la Sicile à 4 heures. Ces heures sont celles où l’on s’en aperçoit, pas forcément celles de l’attaque.

Les températures varient beaucoup. En Belgique, des surgélateurs à −22 °C sont montés à environ 15 °C. À Lilienthal, près de Brême, les installations ont atteint 30 °C, selon le propriétaire du magasin. Aux Pays-Bas, un entrepôt de produits congelés est passé de −20 à −10 °C avant une intervention rapide. En Suède et en Estonie, on parle de 50 °C : c’est un réglage imposé à l’appareil, pas la température atteinte par les aliments.

Les pertes sont tout aussi inégales. Carrefour Belgique parle de quelques congélateurs. Une boucherie belge estime sa perte entre 10 000 et 15 000 euros après avoir refroidi une partie des produits à temps. Le responsable d’un magasin Delhaize à Hoepertingen, en Belgique, compte au moins 60 000 euros, et le propriétaire du supermarché de Lilienthal plus de 360 000 euros. Aucun total n’existe.

La remise en route a été rapide. Le 3 novembre, Delhaize, Carrefour et Spar disaient leurs magasins belges revenus à la normale.

02 Combien de pays, combien de magasins

Neuf pays sur la liste de l’AFP, onze avec l’Allemagne et le Royaume-Uni, douze ou plus selon un relevé non confirmé ; les enseignes déclarent un peu plus de 150 sites, soit environ un cinquième de la vague française.

L’AFP, reprise par Euronews, cite la Belgique, l’Estonie, la Finlande, l’Irlande, l’Italie, le Luxembourg, les Pays-Bas, le Portugal et la Suède. Reuters écrit huit, sans les énumérer. Des cas ont ensuite été rapportés en Allemagne et au Royaume-Uni. Le média spécialisé belge RetailDetail va jusqu’à douze, en ajoutant notamment le Danemark et la Roumanie, mais d’après une compilation publiée sur X par un service d’analyse, sans confirmation de ces pays. La Grèce ne figure sur aucune de ces listes : un boucher d’Athènes a décrit à une télévision grecque un réglage forcé à 150 °C, sans que la date soit précisée. Aucun organisme n’a publié de décompte.

Partout, on ne parle pas d’attaque avec la même certitude. Certains n’ont pas confirmé qu’il s’agissait d’un piratage plutôt que d’une panne, d’où la colonne ci-dessous.

Ces chiffres situent l’événement. En additionnant les lignes chiffrées, on obtient 152 sites, dont la moitié en Belgique : un ordre de grandeur, pas un bilan, qui mêle magasins et entreprises néerlandaises et laisse de côté les pays sans nombre. Le plus souvent, chaque réseau a été touché pour une petite part.

Danfoss et Copeland reconnaissent que des boîtiers à eux ont été visés. Aucun ne dit combien.

03 Comment un boîtier de froid se retrouve sur Internet

La maintenance à distance relie ces boîtiers au réseau, le chemin le plus simple passe par Internet, et il suffit ensuite de dérégler une fonction normale du meuble.

Le boîtier reçoit les mesures des meubles et des chambres froides, et permet de régler températures, horaires de dégivrage et alarmes. Il embarque une page de réglage accessible par navigateur : un technicien intervient sans se déplacer, et la maintenance coûte moins cher.

Il existe plusieurs façons d’établir cette liaison. La plus sûre passe par un réseau privé protégé, souvent appelé VPN. La plus risquée laisse la page de réglage à une adresse publique, que toute personne peut atteindre. On dit alors que le boîtier est exposé.

Cette liaison risquée tient parfois à un abonnement ordinaire. Au Royaume-Uni, la société UK Cyber Defence a trouvé plus de 800 contrôleurs de froid et de bâtiment exposés, surtout sur des lignes grand public ou de téléphonie mobile, ce qu’elle attribue à des prestataires cherchant le plus rapide. En Suède, Coop juge plus exposés ses magasins touchés parce qu’ils étaient reliés en 4G, sans dire s’ils avaient une page publique.

Qui a choisi cette configuration ? Les réponses divergent, et aucun contrat n’est public. Selon Forescout, la documentation de plusieurs fabricants présentait la maintenance par Internet comme une option prévue. Synacktiv parle d’une mauvaise configuration opérée par l’enseigne. Les Mousquetaires, groupe français d’Intermarché, disent leurs systèmes gérés par Danfoss ; on ne connaît pas de réponse de Danfoss sur ce point. Le cas varie donc sans doute d’un magasin à l’autre.

Trouver ces boîtiers ne demande aucun talent particulier. Des moteurs de recherche spécialisés, comme Shodan ou Censys, balaient en permanence Internet et listent les appareils qui répondent.

Une fois entré, le pirate n’a pas besoin de virus. Le dégivrage est une fonction normale : à intervalles réguliers, un élément chauffant ou un gaz chaud fait fondre la glace. Il suffit d’en changer les horaires ou la durée. En France, selon Le Monde cité par le site spécialisé SecurityWeek, les cycles sont passés d’une heure à huit heures, ce qui a retardé les alarmes. C’est pourquoi un congélateur peut chauffer : il sait déjà le faire.

04 Deux nuits, ou une série en cours ?

Rien ne dit que c’est fini : ces deux nuits s’inscrivent dans une série plus longue, et des boîtiers restent en ligne.

Le mot « vague » suggère deux événements bien distincts. Les faits sont moins nets. Les premiers cas connus datent de 2022. Forescout recense plus de 20 attaques revendiquées contre du froid en 2026 par des groupes militants, surtout prorusses, sans lien établi avec ces deux nuits. Fin août, les pannes des bases américaines ont pris la même forme ; des sources anonymes citées par le média américain Nextgov y voient la main de l’Iran, sans rapport affirmé avec l’Europe.

La nuit d’octobre n’était peut-être pas seulement française. Le 13 octobre, un analyste de Sekoia disait à Reuters que des magasins d’Espagne, du Portugal, de Pologne, d’Allemagne et de Belgique étaient aussi touchés, sans détail. Danfoss conseillait le même jour à ses clients néerlandais de se déconnecter. Sud Radio rapportait une nouvelle salve dès la nuit suivante contre des boîtiers Dixell ; aucune autre source lue ne le recoupe.

Les deux grandes nuits frappent par leur régularité. Le 11 octobre et le 1er novembre sont des dimanches, à 21 jours d’écart exact. Les deux fois, l’attaque intervient quand le personnel est absent, ce que Censys relève aussi, et elle retarde la découverte. Deux dates ne font pas une règle, et un imitateur pouvait copier le jour comme la méthode.

Rien ne ressemble à une fin. Le CERT-FR prévient depuis octobre que des campagnes sont probablement toujours en cours. Le 2 novembre, Censys comptait encore un peu plus de 1 000 boîtiers Danfoss joignables dans le monde. Les cas allemands, connus après coup, datent selon l’agence de presse allemande dpa de la même nuit ou du même week-end : ce n’est pas une nouvelle attaque. Aucune attaque datée d’après le 2 novembre n’est signalée, hormis peut-être le cas grec.

05 Trois semaines d’alertes

Les magasins pouvaient être prévenus : la France a débranché vite, ailleurs moins, parce que personne ne décide pour tout un réseau, que les travaux prennent du temps et que remplacer coûte cher.

Les alertes n’ont pas manqué. Le CERT-FR a publié le 12 octobre, puis révisé son texte le 13 et le 16 : supprimer l’exposition sur Internet, vérifier les plages de dégivrage, ne rétablir l’accès que par un réseau protégé. Le 14 octobre, le Centre belge pour la cybersécurité (CCB) et l’office allemand de sécurité informatique (BSI) demandaient la même chose. Le centre suédois de cybersécurité dit avoir repéré de nombreux appareils exposés et demandé leur mise à jour. Danfoss a écrit à ses clients, et la plupart de ses clients néerlandais se sont déconnectés, selon le groupe. La Belgique était donc alertée trois semaines avant d’être le pays le plus touché.

Censys permet de mesurer l’effet. Son décompte ne porte que sur une famille de boîtiers Danfoss, ceux qui répondent sous le nom StoreView, mais c’est le seul à couvrir toute la période. En France, ces boîtiers joignables sont passés de 1 825 le 11 octobre à 537 le 14, puis à 220 le 2 novembre : 88 % de moins. Hors de France, ils sont passés de 1 166 à 966, puis à environ 800 (calcul Facta, ordre de grandeur) : environ 30 % de moins. Ce dernier relevé suit l’attaque, et une partie du recul vient sans doute de boîtiers débranchés cette nuit-là. Les premiers jours, boîtiers à jour et boîtiers périmés ont reculé au même rythme : les exploitants français ont surtout débranché, sans mettre à jour.

Pourquoi tant de magasins sont-ils restés en ligne ? Les acteurs donnent eux-mêmes plusieurs raisons.

• Personne ne décide pour tout le réseau. Beaucoup de supermarchés européens appartiennent à des indépendants, dont les systèmes diffèrent. La chaîne suédoise ICA situe ses 23 magasins touchés hors de son réseau central. Le groupe belge Colruyt dit que ses magasins Spar sont gérés par des entrepreneurs et leurs fournisseurs. La chaîne allemande Edeka n’a pas de système commun à ses magasins indépendants.
• Les travaux n’étaient pas finis. Sabcobel avait commencé à sécuriser ses installations, sans avoir tout modernisé. Coop, en Suède, changeait ses connexions.
• Remplacer coûte cher. Sabcobel parle d’un investissement pour une correction complète, avec une modification physique des installations qu’il ne détaille pas.
• Couper n’est pas sans conséquence. Le CERT-FR demande de vérifier les conditions d’assurance avant de couper les données envoyées au frigoriste, ce qui suggère que cette surveillance peut figurer dans les contrats.
• Le message n’atteint pas toujours le bon interlocuteur. Aux Pays-Bas, les victimes sont surtout des boucheries et des magasins de quartier. Les produits Danfoss passent aussi par des grossistes et des installateurs : le fabricant ne connaît pas toujours l’exploitant final. Sa page publique d’avis de sécurité, consultée le 4 novembre, ne mentionne pas ces attaques ; le groupe dit passer par un contact direct.

06 Mot de passe ou faille : ce que cela change

Pour la France, l’ANSSI a parlé de défauts élémentaires ; pour novembre, aucune autorité n’a publié de preuve de la voie d’entrée. La réponse décide moins du remède que de savoir qui en répond.

Un boîtier exposé ne s’ouvre pas tout seul. Il faut un moyen d’entrer, et il en existe deux principaux, en plus du passage par le compte d’un prestataire : un mot de passe, souvent celui d’usine jamais changé, ou une faille, c’est-à-dire un défaut du logiciel. Un correctif est la mise à jour qui répare ce défaut. Danfoss en a publié en 2025 pour son modèle récent : l’une des failles permettait d’entrer comme administrateur, sans mot de passe, avec un code calculable d’après la date du jour.

Tout le monde demande le même remède : retirer ces boîtiers d’Internet. Ce qui change, c’est la responsabilité.

Pour la France, l’ANSSI, la mieux placée, tranche en faveur des défauts élémentaires. Pour novembre, personne n’a parlé avec ce niveau de précision : seuls s’expriment des parties prenantes et des chercheurs, et ils divergent. Transposer l’explication française à la Belgique ou à la Suède reste une déduction raisonnable, pas un fait établi.

Les chiffres ne simplifient pas la réponse. Le 11 octobre, 63 % des boîtiers français exposés n’avaient pas le correctif de la faille sans mot de passe (calcul Facta). Pour ceux-là, un pirate n’avait pas besoin de mot de passe, ce qui ne prouve pas qu’il ait procédé ainsi.

Pour le magasin, le bon geste dépend du boîtier, une fois retiré d’Internet. S’il est abandonné par le fabricant, il faut le remplacer : selon le CERT-FR, une remise à zéro ne le rend pas sûr. S’il est encore suivi, il faut installer le correctif. S’il est à jour, il faut encore changer le mot de passe d’origine.

07 Pourquoi la Belgique ?

On ne le sait pas : ni le nombre de boîtiers en ligne, ni la piste des prestataires, ni la façon de compter ne suffisent seuls. Ce chapitre est une analyse de Facta, pas le résultat d’une enquête officielle.

La Belgique concentre 76 des 152 sites déclarés. Rapporté à sa population, cela donne environ 6 magasins par million d’habitants, contre environ 10 pour la France en octobre (calcul Facta). En une nuit, ce petit pays a donc subi une attaque d’un ordre comparable à celle qu’a connue la France.

Une première explication suit la carte des portes ouvertes : les pirates seraient allés là où il restait le plus de boîtiers exposés. Elle a un appui. Au 2 novembre, après la France, la Belgique est le pays d’Europe où Censys en compte le plus, environ 12 par million d’habitants contre 3 à 5 en France, en Suède et aux Pays-Bas.

Source : Censys, 2 novembre, et tableau des déclarations ci-dessus. Censys mesure ce qui restait en ligne en fin de journée, pas ce qui était ouvert la nuit précédente, et ne compte pas les boîtiers Copeland.

Mais cette carte a des trous. La France garde 220 boîtiers en ligne, dont environ 130 sans tous les correctifs, contre environ 44 en Belgique, et aucun incident français n’est signalé cette nuit-là ; RetailDetail évoque une possibilité non confirmée. En Pologne, l’un des douze pays les plus exposés le 11 octobre, 81 % des boîtiers n’avaient pas tous les correctifs, et aucun cas de novembre n’y est rapporté. L’Irlande, à l’inverse, annonce 13 magasins pour 3 boîtiers encore visibles. La déconnexion française explique peut-être une partie de l’écart, sans suffire.

La Belgique est aussi, parmi les grands parcs, le mieux à jour et le plus touché. Si seule la faille comptait, elle aurait dû l’être moins. Cet indice penche vers les mots de passe ou les prestataires, avec une forte réserve : la mesure suit l’attaque. Avant, rien ne la distinguait de la France : le 11 octobre, 76 % de ses boîtiers contre 74 % n’avaient pas tous les correctifs. Ces chiffres sont plus élevés que les 63 % cités plus haut, qui ne visaient qu’une seule faille.

Une deuxième explication suit les listes de clients : les pirates viseraient moins des pays que des réseaux, à travers un prestataire ou un même compte d’accès. Cela éclairerait une régularité : Intermarché touché en France, en Belgique et au Portugal, Carrefour en France et en Belgique, Delhaize en Belgique et au Luxembourg. Au Portugal, les Mousquetaires disent que l’attaque semble avoir visé un prestataire externe. En Allemagne, l’association qui exploite un magasin de Wetter dit la même chose de sa société de maintenance. Forescout rappelle qu’un même accès peut valoir pour de nombreux magasins.

Elle a ses faiblesses aussi. Aucun prestataire n’a confirmé, ni n’est nommé. Les grandes enseignes reviennent peut-être simplement parce qu’elles sont partout. Le hacker éthique néerlandais Sijmen Ruwhof voit au contraire dans la variété des victimes le signe que personne ne visait une enseigne précise. Un seul installateur n’explique pas non plus le cas Delhaize : Sabcobel dit connaître une vingtaine d’installations touchées sur plusieurs centaines qu’il gère, quand Delhaize déclare environ 44 magasins. Les deux chiffres ne comptent pas la même chose, et on ne sait pas quelle part de Delhaize il gère.

Une troisième explication tient à la façon de compter. Le chiffre belge est précis parce que les enseignes et le ministre ont parlé tôt. L’Allemagne et le Royaume-Uni n’ont donné que quelques cas, et un petit commerce sans enseigne connue n’apparaît nulle part.

Comparer la liste des magasins touchés à celle des boîtiers exposés et à celle des prestataires permettrait de trancher. Les enquêteurs peuvent le faire ; rien n’en a été publié.

08 Ce que le droit impose

Les textes européens examinés n’obligent pas un magasin à protéger son boîtier, sauf si l’État l’a désigné comme opérateur indispensable ; les lois nationales restent à vérifier une à une.

La directive NIS 2 s’arrête au commerce de gros. Ce texte européen oblige les entreprises concernées à gérer leurs risques informatiques et à déclarer leurs incidents. Pour l’alimentation, son annexe II vise la distribution en gros et la production industrielle. Les autorités finlandaise et suédoise de l’alimentation lisent le texte de la même façon : le magasin qui vend au consommateur n’y entre normalement pas. Un grand groupe peut être concerné pour ses centrales d’achat ou ses usines. Presque tous les sites déclarés touchés sont des magasins ; on ne sait pas si l’entrepôt néerlandais et l’entreprise toscane sont couverts. Un État peut aller plus loin que la directive, et ces lois n’ont pas toutes été examinées.

En France, la loi attend toujours. La directive devait entrer dans le droit français en octobre 2024. Le projet de loi dit Résilience, qui doit l’y faire entrer, adopté par le Sénat en mars 2025, a été retiré le 6 octobre 2026 de l’ordre du jour de l’Assemblée. En juillet 2026, la Commission avait renvoyé la France, l’Irlande, l’Espagne et les Pays-Bas devant la Cour de justice de l’Union pour ce retard, en demandant des sanctions financières. Le lien avec les attaques reste faible : une loi reprenant la limite de NIS 2 n’aurait pas couvert ces magasins. Selon le site français Génération-NT, l’ANSSI a rappelé n’avoir aucun moyen de contraindre la grande distribution à sécuriser ces équipements.

La Belgique pose une question précise. Une autre directive, dite CER, permet à un État de désigner une « entité critique », un opérateur jugé indispensable, soumis à des obligations particulières. En Belgique, la loi de décembre 2025 couvre l’alimentation jusqu’à la distribution, l’autorité devait désigner ces entités au plus tard le 17 juillet 2026, et une entité désignée devient automatiquement soumise à NIS 2. Une grande enseigne belge a-t-elle été désignée ? Rien de public ne le dit. Si c’était le cas, NIS 2 s’appliquerait à elle.

Côté fabricants, le droit arrive trop tard pour ce matériel. Le règlement européen sur la cyber-résilience oblige depuis le 11 septembre 2026 à signaler les failles activement exploitées, y compris pour les produits déjà vendus. La sécurité dès la conception et le suivi des mises à jour ne vaudront que pour les produits mis sur le marché après le 11 décembre 2027. Aucun correctif ne sera donc imposé par ce texte pour un boîtier abandonné en 2016 ou 2021.

Reste une recommandation sans force obligatoire : le guide de l’ANSSI déconseille depuis 2014 d’exposer ces systèmes. Son directeur regrette qu’elle ne soit pas toujours suivie.

09 Qui paie

Pour l’instant, les pertes sont déclarées par les commerçants, et personne n’a annoncé les prendre en charge : aucun juge n’a statué, et la nouvelle directive sur les produits ne s’appliquera pas.

Les sommes en jeu sont connues par bribes. Le patron des Mousquetaires avançait en octobre des dizaines de millions d’euros pour la France, une estimation sans inventaire ; rien de comparable n’existe pour novembre.

La nouvelle directive européenne sur la responsabilité du fait des produits semble la voie naturelle, puisqu’elle couvre désormais les logiciels. Elle ne jouera pas ici. Elle vise les produits mis sur le marché à partir du 9 décembre 2026, et elle exclut les dommages aux biens à usage exclusivement professionnel. Un stock de supermarché est dans ce cas.

Restent les contrats et les assurances, qui ne sont pas publics. Intermarché disait en octobre que l’assurance de ses magasins ne couvrait pas ce type d’incident, sans que cela vaille pour tous les contrats. Aucune action en justice contre un fabricant ou un installateur n’est connue. La première obligerait à ouvrir ces contrats.

Trois métiers se renvoient la question. Le fabricant conçoit le boîtier et décide combien de temps il le met à jour. L’installateur le pose, le connecte et l’entretient. Le commerçant l’exploite et paie, parfois seul face à son frigoriste.

10 Les aliments : quel risque pour le client ?

Aucune intoxication n’est rapportée, mais le contrôle des produits est laissé au magasin lui-même.

La règle a été dite le jour même en Belgique. L’agence belge de sécurité alimentaire (AFSCA) rappelle que chaque magasin se contrôle lui-même : il mesure la température de ses meubles et surtout celle des produits. En cas de dépassement ou de doute, il retire et ne vend plus. Les seuils sont de −18 °C pour le surgelé, 7 °C pour la plupart des produits frais, 4 °C pour la viande et le poisson frais.

Pour le client, cela veut dire qu’aucun contrôle extérieur connu n’a porté sur les produits restés en rayon le lundi matin. Aucun rappel de produits ni consigne publique aux acheteurs de cette matinée-là n’a été trouvé. Plusieurs alarmes ont fonctionné, mais pas partout à temps : un magasin de Stockholm n’a remarqué l’attaque que des heures plus tard. Claroty a par ailleurs montré qu’on pouvait couper le froid en affichant des températures normales ; rien de tel n’a été rapporté dans ces attaques.

L’odeur ne renseigne pas. Selon le microbiologiste Frank Devlieghere, de l’université de Gand, un produit qui sent bon n’est pas forcément sûr, et les bactéries ne se voient pas. Il est plus strict pour le réfrigérateur, où le risque monte au-delà de 7 à 9 °C, que pour le congélateur.

Tout ce qui a été jeté n’était pas forcément dangereux. Le même Devlieghere applique la règle mais la juge trop stricte : selon lui, un surgelé ne devient risqué qu’au-dessus de 0 °C, et une analyse éviterait de jeter. C’est son avis, précise-t-il, pas la loi. En Suède, une inspectrice de l’environnement a indiqué à la radio publique qu’un produit resté sous 8 °C peut parfois être utilisé, par exemple cuisiné, si le magasin garantit sa sûreté. Le média qui la cite précise que rien ne prouve que les stocks déjà jetés pouvaient être sauvés, surtout là où l’appareil a vraiment chauffé.

L’approvisionnement général n’est pas en cause selon les responsables. Le commissaire européen à l’agriculture, Christophe Hansen, juge la sécurité alimentaire non menacée pour l’instant. Le ministre belge de l’Intérieur, Bernard Quintin, ne voit aucun problème général, les centres de distribution belges n’étant pas touchés.

11 Les feux : une question sans réponse

Des départs de feu ont été signalés en France en octobre, mais personne n’en a publié le nombre, la gravité ni la cause.

Le parquet de Paris a fait état de pertes alimentaires et de départs de feu. Reuters écrit que certains appareils ont pris feu sous l’effet de la chaleur. Aucun feu n’est signalé en novembre.

Ce point dépasse le gaspillage. Un meuble qu’on peut faire chauffer à distance, dans un magasin fermé, pose une question de sécurité physique, à laquelle aucune autorité n’a encore répondu publiquement.

12 Qui est derrière ?

On ne le sait pas : personne n’a revendiqué, aucune autorité n’a désigné de responsable, et cette technique laisse trop peu de traces pour distinguer un amateur d’un État.

Les enquêtes restent nationales, a rappelé la Commission européenne après ses deux réunions du 3 novembre, consacrées selon elle à l’échange d’informations. Le parquet fédéral belge en conduit une, la police allemande examine plusieurs cas, la police suédoise avait reçu une dizaine de plaintes. Aucune interpellation n’a été annoncée.

La porte-parole du CCB belge estime qu’on ne le saura peut-être jamais. Pour Tom Hegel, de SentinelOne, se connecter à une page exposée ne laisse presque aucune trace, et un adolescent ressemble alors à un service de renseignement. Cette limite pèse sur toutes les thèses, qui restent inégales.

Le lien entre les deux nuits n’est pas établi. Les méthodes se ressemblent. Sabcobel parle d’un mécanisme identique. La Commission juge que ce ne sont pas des incidents isolés. Mais la recette était publique dès août, avec les travaux de Claroty, et décrite partout après le 12 octobre. La ressemblance ne prouve donc pas qu’il s’agisse des mêmes auteurs. Reuters dit n’avoir pu établir ni ces auteurs ni ce lien.

Certains voient une attaque préparée à l’avance. L’argument est moins solide qu’il n’en a l’air. Il repose sur la simultanéité et sur les essais relevés par Lupovis jusqu’au 30 octobre, dont son dirigeant tire l’idée d’une mise en place avant un déclenchement commun. Or les heures connues sont celles des signalements, étalées sur plusieurs heures. Une seule société voit ces essais. Et un programme parcourant une liste publique d’appareils produirait le même effet sans grands moyens.

Christophe Hansen parle d’une tentative délibérée de perturber la chaîne alimentaire. Cela veut seulement dire que ces réglages n’ont pas changé seuls : le mot ne dit rien des auteurs.

13 Bilan de l’enquête

Ce qui est établi. Dans la nuit du 1er au 2 novembre, le froid de magasins a été déréglé dans plusieurs pays, et des denrées ont été détruites. Enseignes, installateurs ou autorités parlent d’attaque dans la plupart de ces pays ; la cause reste à l’étude chez Kesko en Finlande. Danfoss et Copeland reconnaissent que des boîtiers à eux ont été visés. Les alertes publiques remontaient à trois semaines. Pour la France, l’ANSSI a décrit des équipements exposés et mal protégés.

Ce qui ne l’est pas. Les auteurs, le motif, le lien entre les deux nuits. La voie d’entrée de novembre. La raison de la concentration belge. Le nombre total de sites et le coût. Le nombre et la gravité des feux d’octobre. La part de responsabilité de chacun.

Ce qu’il faut en retenir. La leçon la plus sûre porte sur la France, où une autorité a parlé : l’attaque n’avait pas besoin de moyens rares, et les précautions étaient connues. Pour novembre, la même lecture reste probable, sans être démontrée. Une chose vaut partout : les textes européens examinés laissaient la décision à des milliers de commerçants et de frigoristes, et l’alerte, même répétée, n’a pas suffi à retirer tous ces boîtiers d’Internet en trois semaines. La suite dépendra de deux réponses : qui devait agir, et qui paiera. Le 3 novembre, Richard Horne, directeur du Centre national de cybersécurité britannique, décrivait ces attaques comme un signe précoce de perturbations plus fréquentes causées par du matériel ancien.

Ce qu’il faudra regarder. Un nouvel incident, en particulier une nuit de dimanche à lundi. Une attribution ou une revendication. La comparaison, par les enquêteurs, des magasins touchés et des prestataires. La désignation ou non de grandes enseignes comme entités critiques en Belgique. Le sort du projet de loi Résilience. Une première action en justice.

Panorama médiatique

Panorama médiatique

Corpus : articles et reportages de l’AFP (via Euronews et Toute l’Europe), Reuters, AP, NBC, CNBC, TechCrunch, Cybersecurity Dive, Help Net Security, NOS, VRT, RTBF, dpa, franceinfo, Public Sénat, Génération-NT, Latin Times et France 24, publiés entre le 12 octobre et le 3 novembre 2026.

Sources et méthode

Sources et méthode

Démarche. Enquête menée sur Internet dans la nuit du 3 au 4 novembre 2026, à partir de sources conservées. Les pages ont été téléchargées peu après la clôture des faits et peuvent avoir évolué. Les calculs (somme des sites, parts de réseau, évolutions, rapports par habitant) sont de Facta ; les populations sont des chiffres arrondis (Belgique 11,8 millions, France 68,5, Pays-Bas 18, Suède 10,6).

Ce qui a changé depuis l’article de Facta du 13 octobre. Cet article portait sur la France et ne contient aucun fait à rectifier. Il ne donnait pas encore le chiffre national de 700 magasins, annoncé le jour même, et ne citait pas les cas signalés hors de France. Il tenait la voie d’entrée pour non établie ; depuis, l’ANSSI s’est prononcée pour la France.

Sources principales.

• Alerte du CERT-FR CERTFR-2026-ALE-012, versions des 12, 13 et 16 octobre.
• Rapports de Censys des 14 octobre et 2 novembre.
• Audition de Vincent Strubel, d’après Public Sénat : le compte rendu officiel n’a pas été lu.
• Reuters, 3 novembre, 2 novembre via CNBC, 13 octobre via Business Insurance, 29 octobre via Devdiscourse.
• AFP via Euronews et Toute l’Europe ; AP via PBS et Spectrum News ; dpa via Ariva.
• NOS (1, 2), VRT (direct, article), RTBF, RetailDetail, Security.NL, NU.
• Cybersecurity Dive via Yahoo, Help Net Security, SecurityWeek.
• Études de Claroty et de Forescout.
• Droit : annexe II de NIS 2 reproduite par Advisera, autorités finlandaise et suédoise, AOCSI, Leto, Dig Watch, notes de Hogan Lovells, CMS, Gibson Dunn, Deloitte et KPMG.

Limites.

• Censys ne compte qu’une famille de boîtiers d’une marque ; le relevé du 2 novembre suit l’attaque. Hors de France, le chiffre de cette date est un ordre de grandeur déduit de la formule « un peu plus de 1 000 ». Il n’existe aucune mesure équivalente pour Copeland sur la période.
• Le « douze pays » de RetailDetail repose sur un relevé de réseau social, non vérifié dans ces pays.
• L’absence d’incident français le 2 novembre repose sur le silence des articles lus, pas sur une déclaration officielle.
• La nature des capteurs de Lupovis est déduite de son activité : la société n’en donne pas le détail. Le mécanisme par lequel l’allongement du dégivrage retarde les alarmes n’est pas précisé par la source.
• Les lois nationales reprenant NIS 2 n’ont pas été examinées pays par pays. L’annexe II vient d’une reproduction, et le texte du projet de loi Résilience n’a pas été lu.
• La position du CCB vient d’un résumé de Security.NL : l’avis original n’a pas été lu.
• Aucun accès aux contrats, aux assurances, aux dossiers d’enquête ou aux installations. Danfoss n’a pas été interrogé par Facta sur les propos des Mousquetaires.

Accès refusés ou incomplets. The Hacker News, Xenospectrum, 7sur7, LSA, CNews, Labomaison, Brussels Times et Lovguiden n’ont pas répondu au téléchargement automatique. France 24 a été lu seulement sous forme de résumé. Le Monde, Bloomberg, BBC, The Guardian, 01net, Le Soir et Børsen ne sont connus que par les reprises citées. Aucun accès payant n’a été contourné.