Le lundi 12 octobre 2026, au petit matin, les équipes de centaines de supermarchés français ont trouvé leurs meubles froids en train de chauffer. Pendant la nuit, des attaquants avaient pris la main à distance sur les systèmes de régulation du froid, déclenché des cycles de dégivrage et relevé les consignes de température, jusqu’à 50 °C selon plusieurs médias. Le 13 octobre, le ministre de l’Économie a annoncé devant le Parlement qu’environ 700 magasins avaient été touchés. Ces objets connectés, installés pour faciliter la maintenance, ne figuraient visiblement dans l’inventaire de sécurité de personne.
Ce que l’on sait de l’attaque des systèmes frigorifiques
Intermarché et Netto, Coopérative U, Carrefour, Monoprix et E.Leclerc ont été concernés. Les pertes de marchandises se sont comptées en dizaines de milliers d’euros pour un petit magasin et jusqu’à près de 200 000 euros pour un hypermarché. Des départs de feu ont été signalés et la section cybercriminalité du parquet de Paris a ouvert une enquête. Aucun vol de données n’a été rapporté.
Les équipements visés sont des modules de pilotage à distance de fabricants comme Danfoss et Copeland. Danfoss a indiqué que la plupart des unités touchées étaient d’anciennes générations qui ne recevaient plus de mises à jour. Entendu par la commission des affaires étrangères du Sénat le 21 octobre, Vincent Strubel, directeur général de l’ANSSI, a écarté la piste de failles sophistiquées. D’après Public Sénat, il a décrit des équipements exposés directement sur internet, administrés sans mesure de sécurité particulière et protégés par des mots de passe faibles. L’ANSSI recommande pourtant depuis 2014, dans son guide sur les systèmes industriels, de ne pas exposer ces systèmes à internet.
Le directeur de l’ANSSI a aussi rappelé que l’agence ne peut pas imposer ces mesures aux enseignes : la protection relève des entreprises et de leurs prestataires techniques. Dans la pratique, le frigoriste ou l’installateur ouvre souvent l’accès distant pour intervenir sans se déplacer.
Un rappel à la loi européenne
Le Monde a présenté l’épisode comme un rappel à la loi européenne pour la France. La directive NIS 2 et la directive sur la résilience des entités critiques (REC) devaient être transposées au plus tard le 17 octobre 2024. Deux ans plus tard, le projet de loi qui les porte n’est toujours pas adopté, et la Commission européenne a saisi la Cour de justice de l’Union en juillet 2026 pour défaut de transposition de NIS 2. Le secteur alimentaire, la santé et une partie des collectivités entrent dans le champ de NIS 2. L’attente du texte ne change rien à l’obligation de sécurité déjà posée par l’article 32 du RGPD pour tout équipement qui traite des données personnelles, ni au bon sens.
Les objets connectés hors inventaire, y compris à l’hôpital
Lors de la même audition, Vincent Strubel a fait remarquer que les hôpitaux, les laboratoires de recherche et les pharmacies utilisent ce type de réfrigérateurs, notamment pour conserver des vaccins, et que l’ANSSI avait travaillé avec les acteurs de santé pour les sécuriser. Une enceinte de stockage de vaccins ou de produits sanguins qui chauffe pendant la nuit pose un problème de sécurité des soins, bien au-delà de la perte de marchandise.
Le froid n’est qu’un exemple. Dans un établissement, la liste des équipements connectés que la DSI ne gère pas directement est souvent longue : gestion technique du bâtiment, chauffage et climatisation, ascenseurs, contrôle d’accès, vidéoprotection, onduleurs, sondes de température, automates de laboratoire, pompes et moniteurs biomédicaux. Beaucoup sont installés et maintenus par un prestataire qui dispose de son propre accès à distance.
Certains traitent des données personnelles. Un système de contrôle d’accès enregistre les passages de badges nominatifs, une caméra filme agents et visiteurs, un dispositif biomédical conserve des données de santé. Ces équipements relèvent alors du registre des traitements et de l’article 32 du RGPD. Les autres, comme le froid ou le chauffage, n’en relèvent pas toujours, mais ils partagent souvent le réseau des postes de travail et peuvent servir de porte d’entrée.
Ce que l’organisme doit vérifier sur ses objets connectés
- Recenser les équipements connectés au réseau ou à internet, avec leur fonction, leur fabricant, leur version et le prestataire qui les maintient. Les services techniques et biomédicaux connaissent souvent mieux cette liste que la DSI.
- Vérifier depuis l’extérieur qu’aucune interface d’administration n’est joignable sur internet. À défaut de pouvoir la couper, appliquer un filtrage strict sur les adresses autorisées, comme le recommande l’ANSSI.
- Remplacer les mots de passe par défaut ou faibles, et ne pas utiliser le même identifiant sur tous les sites.
- Isoler ces équipements dans un réseau séparé des postes de travail et des serveurs qui hébergent des données personnelles.
- Encadrer les accès distants des prestataires : passerelle unique, double authentification, ouverture à la demande, traces conservées.
- Repérer les matériels qui ne reçoivent plus de mises à jour et planifier leur remplacement.
- Relire les contrats de maintenance : exigences de sécurité, obligation d’alerte en cas d’incident et, si l’équipement traite des données personnelles, clauses de l’article 28 du RGPD.
En établissement de santé, l’inventaire doit inclure le biomédical et le stockage des produits de santé. Un incident affectant ces équipements peut relever de la déclaration des incidents graves de sécurité des systèmes d’information prévue par le code de la santé publique, et d’une notification à la CNIL si des données personnelles sont touchées.
Quand je demande la liste des équipements connectés d’un site, la réponse arrive rarement d’un seul service. L’exercice prend du temps. Il fait souvent apparaître un accès distant ouvert par un prestataire et oublié depuis plusieurs années.
DPO FRANCE, réseau national de DPO indépendants, aide les établissements à intégrer ces équipements à leur cartographie et à leurs contrats. DPO SUITE, le logiciel de conformité du réseau, permet de rattacher chaque équipement et chaque prestataire aux traitements concernés, de suivre les audits de sous-traitants et de garder la trace des incidents.
