# Froid connecté : comment une commande distante peut détruire une chaîne du froid

> Le CERT-FR confirme des contrôleurs frigorifiques compromis. Nous expliquons le chemin réseau, les consignes de dégivrage, les limites des preuves et la réponse OT.

Publié le: 2026-11-04  
Canonical: https://rootzero.eu/research/froid-connecte-attaque-controleurs-2026/

**Première alerte CERT-FR : 12 octobre 2026. Nouveaux incidents européens : 2 novembre. Analyse rédigée le 4 novembre.** Le [CERT-FR](https://cert.cyber.gouv.fr/alerte/CERTFR-2026-ALE-012/) confirme de nombreuses compromissions de contrôleurs de réfrigération à distance, notamment Danfoss AK-SM et AK-SC, Copeland xweb et Dixell xweb. Ces équipements pilotent ou supervisent des installations qui conservent des denrées et des produits sensibles. Lorsque leurs consignes changent, la conséquence est physique : température, dégivrage, perte de produits et interruption d’activité. Les nouveaux incidents rapportés début novembre dans des supermarchés européens et dans trois sites de stockage de plasma français montrent l’importance de la surface, mais le lien technique exact entre chaque événement reste à établir. ([AFP sur les commerces](https://bourse.fortuneo.fr/actualites/une-cyberattaque-frappe-des-refrigerateurs-a-travers-l-europe-3181373), [AP sur l’EFS](https://apnews.com/article/12b80bcf93b8404264209e519c204919))

## Le contrôleur est un ordinateur relié à une installation physique

Un superviseur frigorifique reçoit des mesures de sondes, applique des seuils, programme des périodes de dégivrage et peut être administré à distance par l’exploitant ou son frigoriste. Ces fonctions sont nécessaires à l’exploitation. Elles deviennent une surface d’attaque si l’interface d’administration est joignable directement depuis Internet ou si l’accès d’un prestataire est détourné. Le [CERT-FR](https://cert.cyber.gouv.fr/alerte/CERTFR-2026-ALE-012/) insiste précisément sur l’exposition des interfaces de gestion et demande de contrôler les plages de dégivrage. Il ne désigne pas une CVE unique ni un exploit commun à tous les modèles touchés.

Le chemin d’effet peut se représenter ainsi :

```text
Accès à l’administration → changement de consigne → automate frigorifique
          │                       │                       │
   identité et réseau       journal de configuration    température réelle
```

L’attaque peut réussir sans modifier le firmware ni « pirater » chaque compresseur. Si le système accepte une consigne administrative malveillante, la logique normale de l’équipement exécute ensuite la mauvaise instruction. Inversement, observer une hausse de température ne suffit pas à prouver une intrusion : une panne de sonde, de réseau ou d’alimentation doit être écartée par les journaux et les mesures physiques.

## Comment établir la cause, sans inventer une CVE

La recherche doit lier trois séries temporelles : connexions à l’interface, modifications de configuration, et mesures des chambres ou meubles froids. Un événement particulièrement parlant serait une plage de dégivrage changée peu avant l’augmentation des températures, depuis une origine ou une identité inattendue. Il faut aussi vérifier les sessions des prestataires, les comptes partagés, les mots de passe par défaut, la version du firmware et l’exposition Internet effective. Cette méthode peut distinguer une commande volontaire d’un défaut matériel ; elle ne prétend pas décrire les preuves déjà recueillies dans chaque enquête.

Le CERT-FR recommande de **retirer l’accès direct depuis Internet**, de vérifier toute la configuration, puis de rétablir l’administration via VPN ou réseau protégé. Un filtrage d’adresses IP peut aider en urgence mais n’est pas une solution durable. Pour un équipement déjà compromis, redémarrage ou réinitialisation peuvent retirer une persistance, mais ne corrigent pas une faiblesse exploitable sur un équipement obsolète : la réexposition recrée le risque. Le bulletin demande aussi mise à jour du firmware, mode de sécurité strict et remplacement des mots de passe par défaut lorsqu’applicables. ([Alerte CERT-FR](https://cert.cyber.gouv.fr/alerte/CERTFR-2026-ALE-012/))

## Ce que les événements du 2 au 4 novembre ajoutent

Selon [l’AFP](https://bourse.fortuneo.fr/actualites/une-cyberattaque-frappe-des-refrigerateurs-a-travers-l-europe-3181373), plusieurs enseignes dans différents pays européens ont subi des perturbations de froid le 2 novembre. Les fournisseurs et modèles cités diffèrent selon les magasins, et personne n’a publiquement établi une cause technique unique. [L’EFS, cité par AP](https://apnews.com/article/12b80bcf93b8404264209e519c204919), indique que des seuils de température et de dégivrage ont été portés à des valeurs anormales le 2 novembre sur trois sites de stockage de plasma. Sa surveillance a détecté la modification à temps ; aucun produit sanguin ou échantillon n’a été compromis selon l’établissement. Il serait incorrect de déduire de ces seuls faits que tous les sites utilisaient le même contrôleur, le même mot de passe ou la même vulnérabilité.

L’enjeu de réponse dépasse l’informatique. Quand les mesures deviennent suspectes, l’exploitant doit confirmer la température avec une chaîne de mesure indépendante, protéger ou déplacer les stocks et documenter la durée de toute excursion thermique avant de remettre l’installation en service. Une console affichant de nouveau « normal » ne prouve pas la qualité sanitaire des produits pendant l’incident.

La leçon de cette campagne est la **séparation entre accès de maintenance et contrôle physique**. L’interface distante est utile aux frigoristes, mais elle doit être joignable seulement via un chemin protégé, avec identités traçables, changements de consigne surveillés et alarmes qui restent opérationnelles même si la supervision centrale est compromise.

L’inventaire décrit dans notre note sur la [surface d’attaque oubliée](/research/surface-attaque-oubliee/) concerne aussi les équipements de maintenance et leurs accès distants. Le [référentiel de comptes par défaut](/outils/default-creds/) peut soutenir une revue de configuration autorisée ; il ne teste aucun équipement et ne permet pas d’attribuer ces incidents à un identifiant particulier.

**Sources principales :** [alerte CERT-FR](https://cert.cyber.gouv.fr/alerte/CERTFR-2026-ALE-012/), [AFP sur les magasins européens](https://bourse.fortuneo.fr/actualites/une-cyberattaque-frappe-des-refrigerateurs-a-travers-l-europe-3181373), [AP sur l’EFS](https://apnews.com/article/12b80bcf93b8404264209e519c204919).