À deux reprises en trois semaines, des inconnus ont manipulé à distance, de nuit, les contrôleurs d’installations frigorifiques : d’abord dans des centaines de supermarchés français, puis dans plus d’une douzaine de pays européens, dont l’Allemagne et la Suisse. Passés en mode dégivrage, les meubles frigorifiques et les chambres froides se sont réchauffés, et des marchandises se sont avariées. Aucun logiciel malveillant n’a été nécessaire. Il a suffi de contrôleurs librement accessibles depuis Internet, souvent avec un mot de passe par défaut ou un firmware obsolète. Notre point de situation présente ce qui est établi, ce que NIS2 et le règlement sur la cyberrésilience (CRA) exigent des exploitants et des fabricants, et pourquoi la chaîne d’approvisionnement fait la différence.
Les attaques contre les installations frigorifiques n’avaient rien d’un piratage de haute technologie : elles résultaient de manquements connus et évitables. Des contrôleurs étaient librement accessibles sur Internet, les accès étaient restés en configuration d’usine, les mises à jour manquaient ou n’étaient même plus disponibles pour les appareils anciens. Les exploitants de chaînes du froid, les fabricants d’équipements frigorifiques et les prestataires de télémaintenance devraient vérifier dès maintenant si leurs systèmes sont accessibles, et intégrer le résultat, de manière vérifiable, à leur gestion des risques au titre de NIS2 et du CRA.
De l’analyse de Claroty en août jusqu’à l’alerte commune des autorités américaines. Les consignes ne sont pas des températures mesurées : la température réellement atteinte dépendait de la rapidité de l’intervention.
Claroty Team82 montre comment prendre le contrôle de l’AK-SM 800A au moyen d’un « code du jour » basé sur la date et d’une injection de commandes. Les failles sont corrigées depuis 2025 dans le firmware actuel ; les appareils plus anciens restent vulnérables. [18][19]
Dans au moins six commissaries, les supermarchés des bases militaires américaines, la réfrigération tombe en panne. Selon Reuters, le Pentagone traite ces cas comme une cyberattaque présumée ; cela n’est pas confirmé, pas plus qu’un lien avec l’Europe. [34]
Les contrôleurs frigorifiques de supermarchés français sont basculés à distance en dégivrage permanent, avec des consignes allant jusqu’à 50 °C. Sont notamment touchés des magasins Intermarché, Carrefour, Super U, Monoprix et E.Leclerc. Le ministre des Finances, Roland Lescure, fait état d’environ 700 magasins ; le parquet examine également des incendies signalés. [7][8][9][10]
Des leurres (honeypots) de Lupovis et de Previdian enregistrent des tentatives d’accès et de connexion sur des contrôleurs Danfoss simulés, chez Previdian avec le mot de passe d’usine d’un ancien modèle. Selon Lupovis, seuls les leurres situés en Europe ont été sollicités ; reste à savoir si les auteurs des attaques en sont à l’origine. [26][27][62]
Plus de 100 commerces sont touchés. L’agence AFP recense douze pays, dont l’Allemagne, la Belgique, les Pays-Bas, la Suède, l’Irlande, l’Italie, la Grande-Bretagne et l’Estonie ; la Belgique figure parmi les pays les plus touchés. Des cas en Suisse sont ensuite également rendus publics. Le même jour, en France, des chambres froides de l’Établissement français du sang (EFS) sont manipulées via la télésurveillance d’un prestataire frigorifique ; aucun produit sanguin n’est perdu. [11][12][13][14][15][17][61]
Un canal Telegram de NoName057(16) revendique les attaques, conjointement avec Z-Pentest, dans une vidéo générée par l’IA. Selon des vérificateurs de faits suédois, les prétendues preuves proviennent d’anciennes fuites de données ; les spécialistes jugent la revendication non étayée. Le Kremlin rejette toute implication. [28][29][32]
Lüthi’s Fleischwaren, à Köniz, signale une attaque contre le contrôleur de ses installations de réfrigération et de congélation ; Volg signale des paramètres modifiés dans trois magasins. Le BACS a reçu jusqu’à présent un signalement obligatoire concernant des installations frigorifiques commerciales ; il ne s’exprime pas sur les cas individuels. [14][15]
D’après les analyses publiées jusqu’à présent, les attaques ont suivi un schéma simple, facile à reproduire à grande échelle. Rien n’indique l’exploitation de vulnérabilités inconnues ; le facteur décisif a été la présence de contrôleurs directement accessibles depuis Internet.
Les interfaces web des contrôleurs frigorifiques sont repérées au moyen de moteurs de recherche spécialisés dans les appareils connectés et de scans automatisés.
Des inconnus relèvent les numéros de version et essaient les mots de passe d’usine ; selon Lupovis, seuls les leurres situés en Europe ont été sollicités. Reste à savoir s’il s’agissait des auteurs des attaques.
Ils obtiennent l’accès avec des identifiants par défaut non modifiés ; en cas de firmware obsolète, des failles connues, comme le contournement de l’authentification, sont envisageables.
À l’aide de fonctions standard, ils basculent des postes froids en mode dégivrage et modifient les consignes et les seuils d’alarme ; dans un cas ayant fait l’objet d’une analyse forensique, des commandes de mise en sourdine des alarmes et de verrouillage du clavier figurent également dans les journaux.
Les modifications sont apparemment scriptées et simultanées, dans la nuit du dimanche au lundi, lorsqu’aucun personnel n’est sur place. Les dégâts sont repérés grâce aux alarmes, ou seulement le matin.
Des fonctions prévues par le fabricant ont suffi pour la manipulation. Les modifications malveillantes ressemblent donc à une utilisation normale. Un antivirus qui recherche du code malveillant est ici inopérant. Les facteurs décisifs sont l’accessibilité, la protection des accès et la surveillance des consignes, des modifications de configuration et des connexions.
Les étapes décrites publiquement peuvent être rattachées à des techniques du référentiel ATT&CK pour les systèmes de contrôle industriels. Ce rattachement est notre propre analyse, fondée sur les études publiées jusqu’à présent.
| Technique | Nom | Lien avec les attaques |
|---|---|---|
| T0883 | Internet Accessible Device | Les contrôleurs étaient directement accessibles depuis Internet, souvent via des redirections de port ou des modems cellulaires. |
| T0859 | Valid Accounts | Des comptes administrateur valides, souvent avec des mots de passe par défaut non modifiés, ont permis des modifications qui ressemblent à une utilisation normale. |
| T0836 | Modify Parameter | Les consignes, les intervalles de dégivrage et les valeurs de fin de dégivrage ont été modifiés ; en France, selon Le Monde, des cycles de dégivrage d’une heure ont été prolongés jusqu’à huit heures. |
| T0838 | Modify Alarm Settings | Les seuils et les temporisations d’alarme ont été réglés sur des valeurs extrêmes. |
| T0878 | Alarm Suppression | Des commandes de mise en sourdine des alarmes visaient à empêcher que quelqu’un réagisse à temps. |
| T0813 | Denial of Control | Dans au moins un cas documenté, des commandes de verrouillage du clavier ont été envoyées afin de compliquer l’intervention sur place. |
| T0879 | Damage to Property | Marchandises avariées et installations mises à rude épreuve ; les autorités américaines mettent en outre en garde contre un risque d’incendie. |
À ce jour, il n’existe aucune attribution établie : aucun gouvernement ni aucune autorité n’a désigné d’auteur. Il y a une revendication, des analyses de chercheurs en sécurité et un démenti de Moscou.
Le 3 novembre, un canal Telegram de NoName057(16) a revendiqué les attaques, conjointement avec Z-Pentest, dans une vidéo générée par l’IA. Selon des vérificateurs de faits suédois, les prétendues preuves proviennent d’anciennes fuites de données ; aucun élément technique ne vient étayer cette revendication.
Selon les autorités américaines, le groupe est apparu en 2024 dans la mouvance des hacktivistes prorusses et s’est spécialisé dans les attaques contre des systèmes de contrôle industriels. L’UE l’a sanctionné en juillet 2026 pour des attaques contre des infrastructures critiques, par exemple contre un distributeur d’eau danois, et non pour les attaques contre les installations frigorifiques.
Sekoia ne voit pour l’instant aucune preuve technique impliquant des groupes russophones. Lupovis relève des recoupements avec une infrastructure attribuée à des acteurs russes, mais ne peut pas identifier les auteurs avec certitude. L’autorité roumaine de cybersécurité qualifie le mode opératoire de semi-amateur.
Des acteurs proches de l’Iran ont déjà attaqué des systèmes de contrôle industriels librement accessibles ; pour les vagues actuelles, aucune preuve ne va dans ce sens. Sekoia juge également possible l’implication de différents groupes ou d’imitateurs.
Selon un acte d’accusation américain, des hacktivistes prorusses ont paralysé en 2024 la réfrigération d’une entreprise de transformation de viande en Californie. Un bulletin de Danfoss d’octobre 2025 mentionne des attaques contre des magasins en Russie et en Israël en 2022 ; les installations israéliennes ne disposaient pas d’une protection suffisante par pare-feu ou VPN.
La Commission européenne évoque une tentative ciblée de perturber l’approvisionnement alimentaire, sans désigner d’auteur. La fiche d’information américaine ne nomme ni auteurs ni fabricants. Le Kremlin rejette comme absurde toute implication.
Pour la défense, la question des auteurs est secondaire. Acteurs pilotés par un État, hacktivistes ou imitateurs : tous exploitent la même faille, à savoir des contrôleurs joignables dont les accès sont faiblement protégés. Combler cette faille, c’est se prémunir contre tous ces cas de figure. Les revendications de tels groupes ne devraient pas être reprises sans vérification ; les autorités américaines et européennes mettent expressément en garde contre les affirmations exagérées ou fausses.
La directive NIS 2 ne concerne pas tous les exploitants de vitrines réfrigérées, mais bien une grande partie de la chaîne du froid. Les critères déterminants sont l’activité et la taille : en règle générale, à partir de 50 salariés ou de plus de 10 millions d’euros de chiffre d’affaires annuel et de total du bilan annuel. En Allemagne, NIS2 s’applique depuis le 6 décembre 2025 par l’intermédiaire de la nouvelle loi BSI.
| Secteur | Qui, dans la chaîne du froid | NIS2 | Remarque |
|---|---|---|---|
| Alimentaire : commerce de gros et industrie | Grossistes, producteurs et transformateurs de denrées alimentaires | couvert | Couverts en tant qu’entités importantes dès la taille d’une moyenne entreprise. Il n’est pas clairement établi si les entrepôts centraux des chaînes de distribution relèvent du commerce de gros. |
| Alimentaire : commerce de détail | Supermarchés, points de vente, boucheries | pas directement | Le commerce de détail, le stockage et le transport ne sont pas couverts. En Allemagne, les grands distributeurs peuvent néanmoins être des entités particulièrement importantes via les seuils KRITIS (infrastructures critiques). |
| Santé | Hôpitaux, laboratoires, fabricants de médicaments | couvert | Couverts dès la taille d’une moyenne entreprise, les grandes entités relevant de la catégorie la plus stricte. NIS2 ne mentionne pas expressément les services de transfusion sanguine ; en Allemagne, les grands services sont couverts via les seuils KRITIS. |
| Fabricants d’équipements frigorifiques et de systèmes de contrôle | Construction mécanique, électrotechnique, électronique | couvert | Couverts en tant qu’entités importantes dès la taille d’une moyenne entreprise. Les entreprises qui se limitent à l’installation et à la maintenance ne sont pas couvertes en tant que telles. |
| Télémaintenance et télésurveillance | Prestataires qui gèrent à distance les systèmes de leurs clients | en partie | En tant que fournisseurs de services gérés, ils peuvent être couverts s’ils gèrent les réseaux et systèmes d’information de leurs clients ou en assurent la maintenance, y compris à distance. Pour la télésurveillance d’installations frigorifiques, la question n’est pas tranchée à ce jour. |
| Transport et logistique | Transport frigorifique routier | pas directement | Le transport routier de marchandises n’est pas un secteur NIS2, contrairement au transport de marchandises par rail, par voie d’eau ou par voie aérienne. La logistique alimentaire critique peut en outre relever des règles sur la résilience des entités critiques. |
Présentation simplifiée, sans valeur de conseil juridique. L’assujettissement d’une entreprise dépend de son activité, de sa taille et du droit national. Même les entreprises non couvertes sont indirectement concernées lorsque leurs clients sont soumis à NIS2 et répercutent des exigences de sécurité sur leurs fournisseurs.
Les contrôleurs frigorifiques, la gestion technique du bâtiment et les accès de télémaintenance doivent figurer dans l’inventaire des actifs et dans l’analyse des risques, pas seulement les serveurs et les postes de travail.
Remplacer les mots de passe par défaut, attribuer des comptes nominatifs, sécuriser les accès à distance par une authentification multifacteur.
Maintenir le firmware à jour, suivre les avis des fabricants, remplacer ou isoler les appareils qui ne sont plus pris en charge.
Pas de connexion directe des contrôleurs à Internet ; accès uniquement via une télémaintenance sécurisée et des zones réseau séparées.
Surveiller les variations de température et les modifications de configuration, transmettre les alarmes à une astreinte, y compris la nuit, gérer les incidents de manière structurée.
Notifier les incidents importants : alerte précoce dans les 24 heures, notification d’incident dans les 72 heures, rapport final un mois plus tard.
Prévoir la réfrigération de secours, le forçage manuel et la protection des marchandises en cas d’urgence, et s’y exercer.
Définir des exigences de sécurité pour les fabricants, les frigoristes et les prestataires de télémaintenance, les inscrire dans les contrats et en vérifier le respect.
La direction doit mettre en œuvre les mesures, en superviser l’application et suivre régulièrement des formations ; elle engage sa responsabilité en cas de manquement fautif à ses obligations. Les amendes peuvent atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, et, pour les entités importantes, 7 millions d’euros ou 1,4 %, le montant le plus élevé étant chaque fois retenu.
La loi allemande de transposition de NIS2 s’applique depuis le 6 décembre 2025. Le BSI estime à environ 29 500 le nombre d’entités concernées ; fin septembre 2026, un peu plus de 20 000 s’étaient enregistrées. Les grandes entreprises du commerce et de la logistique ainsi que les services de transfusion sanguine peuvent être des entités particulièrement importantes via les seuils KRITIS.
La Suisse n’est pas liée par NIS2. Depuis le 1er avril 2025, les exploitants d’infrastructures critiques doivent toutefois signaler au BACS les cyberattaques visant leurs propres systèmes dans les 24 heures suivant leur découverte et transmettre les informations manquantes dans les 14 jours ; sont notamment concernés les hôpitaux, les entreprises qui fournissent des biens de consommation courante indispensables et les fabricants de produits de télémaintenance et de produits OT. Les fournisseurs de plus petite taille en sont exemptés, et les signalements volontaires sont expressément souhaités. Les fabricants qui livrent dans l’UE sont déjà soumis aux obligations de notification du CRA ; une loi suisse spécifique sur la cybersécurité est en préparation.
L’Autriche transpose NIS2 par la loi NISG 2026, applicable depuis le 1er octobre 2026 ; l’enregistrement initial court jusqu’au 1er janvier 2027. Selon la Chambre économique autrichienne, environ 4 000 entreprises sont concernées. En octobre, le CERT.at n’a trouvé que quatre interfaces d’installations frigorifiques librement accessibles.
Pour aller plus loinConseil NIS2 NIS2 en bref Conseil KRITIS
Le règlement sur la cyberrésilience (CRA) encadre la cybersécurité des produits comportant des éléments numériques. Dans leur FAQ, les services de la Commission européenne citent expressément, parmi les exemples, des appareils frigorifiques intelligents, des appareils IoT industriels et des machines. Le CRA impose des obligations aux fabricants, importateurs et distributeurs, pas aux exploitants. Les contrôleurs frigorifiques relèvent vraisemblablement de la catégorie par défaut, dans laquelle les fabricants peuvent évaluer eux-mêmes la conformité. Selon l’appréciation du BSI, en l’état actuel des connaissances, les accès des contrôleurs concernés étaient apparemment déjà insuffisamment sécurisés à la livraison ; à l’avenir, cela devrait idéalement être détecté lors de l’évaluation de la conformité.
Le règlement est entré en vigueur ; ses obligations s’appliquent de manière échelonnée.
Les règles relatives à la notification des organismes d’évaluation de la conformité s’appliquent.
Les fabricants doivent notifier les vulnérabilités activement exploitées et les incidents graves, et informer les utilisateurs concernés, y compris pour les produits plus anciens et au-delà de la fin du support.
Toutes les exigences essentielles s’appliquent à chaque produit mis sur le marché à partir de cette date, même si le modèle est plus ancien. Dès cette date, les amendes encourues peuvent atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial.
Les obligations des fabricants ne concernent pas seulement les fabricants de contrôleurs. Toute personne qui assemble des composants pour en faire un nouveau produit connecté et le met sur le marché, qui commercialise un produit sous son propre nom ou qui le modifie de manière substantielle est elle-même considérée comme fabricant au sens du CRA. Les frigoristes et les fabricants de meubles frigorifiques devraient donc clarifier leur rôle.
Alerte précoce dans les 24 heures, notification dans les 72 heures, rapport final 14 jours après la mise à disposition d’une mesure corrective et, pour les incidents, un mois après la notification. Le délai court à compter de la prise de connaissance, après une première évaluation menée sans tarder, y compris à la suite de signalements de clients, d’autorités ou de médias. La notification s’effectue via la plateforme unique de signalement de l’ENISA auprès du CSIRT compétent, en Allemagne le BSI ; les fabricants sans établissement dans l’UE, par exemple les fabricants suisses, notifient au CSIRT du pays de leur mandataire ou, à défaut, de leur importateur ou distributeur.
Configuration sécurisée par défaut, protection contre les accès non autorisés, par exemple grâce à l’authentification, et surface d’attaque aussi réduite que possible. Le CRA ne contient pas d’interdiction expresse des mots de passe par défaut ; selon les lignes directrices de la Commission européenne, des défauts de conception ne doivent toutefois pas être compensés en reportant les risques sur les utilisateurs.
Mises à jour de sécurité sans délai et en principe gratuites. La période d’assistance est fonction de la durée d’utilisation prévue et dure au moins cinq ans ; sa date de fin doit être indiquée lors de l’achat.
Documenter les composants dans une nomenclature logicielle (SBOM), tester régulièrement, divulguer les vulnérabilités de manière coordonnée et y remédier sans délai.
Pour les appareils mis sur le marché avant le 11 décembre 2027, seule l’obligation de notification s’applique, sans obligation de mise à niveau ; cela vaut aussi pour les appareils encore achetés aujourd’hui. Les exploitants de ces appareils doivent maîtriser eux-mêmes le risque : durcir, isoler ou remplacer.
Une vulnérabilité doit être notifiée lorsqu’il existe des preuves fiables de son exploitation malveillante. Les considérants du règlement citent comme exemple les faiblesses d’identification et d’authentification ; il convient d’examiner juridiquement, au cas par cas, si l’utilisation abusive de mots de passe par défaut en relève.
Le CRA impose des obligations aux fabricants, pas aux exploitants. Il constitue néanmoins un levier pour ces derniers : lors de l’achat d’équipements frigorifiques, ils peuvent exiger contractuellement la conformité au CRA, une nomenclature logicielle (SBOM), une période d’assistance définie et des engagements en matière de traitement des vulnérabilités, et couvrir ainsi une partie des exigences de NIS2 relatives à la chaîne d’approvisionnement.
Pour aller plus loinConseil CRA Obligation de notification CRA Le CRA en bref
Une installation frigorifique est rarement le produit d’un seul fournisseur. Le contrôleur provient du fabricant ; il est installé et entretenu par le frigoriste, qui en assure souvent la gestion à distance de manière permanente. De nombreux magasins touchés n’étaient même pas clients directs du fabricant, mais d’entreprises frigoristes. C’est précisément là qu’intervient NIS2 : les entités couvertes doivent prendre en compte les risques de sécurité liés à leurs fournisseurs et prestataires directs.
Contrôleur, firmware, interface web
Conception, installation, mise en service
Maintenance, dépannage, portails cloud
Magasin, entrepôt, clinique, production
Clients finaux, autorités
Des chambres froides de trois sites ont été manipulées via la télésurveillance d’un prestataire frigorifique. Le prestataire met en cause un composant d’un fournisseur tiers, soit un risque situé chez le fournisseur du fournisseur. [12]
Le 13 octobre, Danfoss avait conseillé à ses clients néerlandais de déconnecter les systèmes d’Internet. Après l’attaque en France, la plupart des établissements avaient réagi, à quelques exceptions près. Selon le fabricant, les systèmes touchés n’étaient pas raccordés à un réseau sécurisé et utilisaient un mot de passe par défaut. [44]
Selon Coopérative U, les magasins touchés n’étaient pas des clients directs de Danfoss, mais des clients d’entreprises frigoristes qui avaient fourni le système. Dans de tels cas, la maintenance et l’accès à distance relèvent souvent de tiers, et la décision de remplacement revient fréquemment à chaque magasin. [45]
Dans un supermarché AWO de Wetter-Volmarstein, l’attaque visait, selon la dpa, l’entreprise qui assure la maintenance à distance des installations frigorifiques. À Lilienthal, près de Brême, un magasin touché a dû jeter des marchandises d’une valeur de plus de 360 000 euros. [13]
NIS2 exige expressément des mesures relatives à la sécurité de la chaîne d’approvisionnement, y compris en ce qui concerne les relations avec les fournisseurs et prestataires directs. Il faut tenir compte des vulnérabilités propres à chaque fournisseur direct, de la qualité de ses produits et de ses pratiques en matière de sécurité. Selon le BSI, quiconque rend des systèmes OT librement accessibles depuis Internet sans protection suffisante manque en principe à ses obligations ; le BSI recommande aux exploitants d’exiger activement des mesures de la part des intégrateurs et des prestataires.
Pour aller plus loinLa sécurité de la chaîne d’approvisionnement en bref Gestion des fournisseurs Sécurité OT et industrielle
Répondez aux questions pour vos sites. L’analyse s’effectue uniquement dans votre navigateur ; elle ne remplace pas un contrôle, mais indique par où commencer.
Réponses : 0 sur 6. Le résultat s’affiche dès que vous avez répondu à toutes les questions.
Vos réponses ne sont ni enregistrées ni transmises.
Ces étapes regroupent les recommandations des autorités américaines, du CERT-FR, du BSI et du BACS, et les complètent par notre expérience des audits OT et des projets GRC.
Si vos installations frigorifiques ont été manipulées : couper l’accès à distance, documenter l’état et l’horodatage par des captures d’écran, mesurer directement la température des produits et évaluer la marchandise, restaurer les consignes à partir d’une configuration sauvegardée et ne reconnecter l’appareil qu’après l’avoir durci ; une simple réinitialisation aux paramètres d’usine ne suffit pas. Vérifiez les obligations de signalement, par exemple au titre de NIS2 auprès du BSI ou, en Suisse, auprès du BACS, déposez plainte, en Allemagne auprès du point de contact central cybercriminalité (ZAC) de la police de votre Land, et informez rapidement votre assureur. Notre CSIRT vous assiste 24 h/24.
Les attaques montrent où le bât blesse : les équipements frigorifiques sont souvent absents de l’inventaire, de la gestion des fournisseurs et de la vue externe. VamiGRC ancre NIS2 et le CRA dans l’exploitation courante, VamiAppSec accompagne les fabricants en matière de sécurité des logiciels et des produits, VamiRedteam garde un œil 24 h/24 sur votre surface d’attaque autorisée.
Plateforme GRC agentiqueVamiGRC est la plateforme GRC agentique de VamiSec. Les exploitants l’utilisent pour mettre en œuvre NIS2 et garder un œil sur leurs fournisseurs, les fabricants pour piloter leurs obligations au titre du CRA – les uns comme les autres sur la base des mêmes actifs, fournisseurs et preuves. Des agents d’IA prennent en charge les tâches de routine selon vos règles de validation ; votre équipe décide.
VamiGRC est un système de management intégré agentique pour fabricants et exploitants : NIS2 pour l’entreprise et CRA pour vos produits, dans un seul système. Sur un même graphe GRC, ISMS, PIMS, AIMS, CSMS et BCMS partagent les mêmes actifs, fournisseurs, risques et preuves ; risques et mesures sont évalués en euros. Des agents IA prennent en charge les tâches de routine, selon vos règles de validation.
Gratuit jusqu’à la mise en production : un mois de Proof of Value avec des données de démonstration ou vos données réelles, puis, après commande ferme, une mise en œuvre accompagnée – la licence ne court qu’à partir de la mise en production. Toutes les formules incluent un nombre illimité de comptes utilisateurs.
Pour les fabricants de contrôleurs, de firmware et d’équipements frigorifiques connectés : VamiAppSec intègre les contrôles de sécurité dans le pipeline CI/CD que vous utilisez déjà et rend gérable le traitement des vulnérabilités au titre du CRA. Le modèle de langage assiste, votre équipe prend les décisions.
Pour les exploitants : le cas d’usage central de VamiRedteam est le 24/7 Zero-Day Vulnerability Management. Trois agents d’IA surveillent 24 h/24 votre surface d’attaque autorisée, la confrontent aux vulnérabilités nouvellement connues et vérifient ce qui est réellement exploitable. Les systèmes librement accessibles et les nouvelles failles sont ainsi repérés rapidement, et pas seulement lors du prochain pentest.
Qu’il s’agisse d’une vue externe de vos équipements frigorifiques, de votre assujettissement à NIS2, d’une feuille de route CRA ou de la gestion des fournisseurs : Valeri Milke et l’équipe VamiSec vous aident à définir, à partir de ce point de situation, des prochaines étapes concrètes.
« La sécurité IT et la conformité sans IA, c'est une vulnérabilité. »
Dans la nuit du 11 au 12 octobre 2026, des inconnus ont manipulé les contrôleurs frigorifiques de centaines de supermarchés français ; le gouvernement a évoqué environ 700 magasins. Dans la nuit du 1er au 2 novembre a suivi une deuxième vague, avec plus de 100 commerces touchés dans plus d’une douzaine de pays européens, dont l’Allemagne et la Suisse. Des postes froids ont été basculés en mode dégivrage et les consignes relevées ; des marchandises se sont avariées.
En l’état actuel des connaissances, par des contrôleurs directement accessibles depuis Internet, principalement des gestionnaires système Danfoss des séries AK-SM et AK-SC ainsi que des superviseurs XWEB de Copeland et de Dixell. Des mots de passe par défaut non modifiés sont attestés dans plusieurs cas ; en cas de firmware obsolète, des failles connues sont envisageables. Aucun logiciel malveillant n’a été utilisé.
La question reste ouverte. Un canal du groupe prorusse NoName057(16) a revendiqué les attaques conjointement avec Z-Pentest, mais aucune preuve ne vient étayer cette revendication. Aucun gouvernement ni aucune autorité n’a désigné d’auteur ; le Kremlin dément.
Oui. En Allemagne, la police enquête sur plusieurs cas, notamment en Rhénanie-du-Nord-Westphalie, en Basse-Saxe, en Bavière et en Rhénanie-Palatinat ; le BSI a confirmé des incidents dans certains supermarchés. En Suisse, une boucherie de Köniz et trois magasins Volg ont été touchés.
Pas le commerce de détail alimentaire en tant que tel. Dans le secteur alimentaire, NIS2 couvre le commerce de gros ainsi que la production et la transformation industrielles ; elle couvre en outre la santé et de nombreuses branches industrielles, dont les fabricants d’équipements frigorifiques et de systèmes de contrôle. En Allemagne, les grandes entreprises de distribution peuvent néanmoins être couvertes via les seuils KRITIS.
Le CRA impose aux fabricants de produits connectés, donc aussi de contrôleurs frigorifiques, une configuration sécurisée par défaut, une protection contre les accès non autorisés, des mises à jour de sécurité pendant la période d’assistance et une gestion structurée des vulnérabilités. Ces exigences s’appliqueront à partir du 11 décembre 2027. Les obligations de notification des vulnérabilités activement exploitées s’appliquent déjà depuis le 11 septembre 2026, y compris pour les produits plus anciens.
Au titre du CRA, les fabricants doivent notifier les vulnérabilités activement exploitées et les incidents graves : alerte précoce dans les 24 heures, notification dans les 72 heures, rapport final 14 jours après la mise à disposition d’une mesure corrective et, pour les incidents, un mois après la notification. La question de savoir si l’utilisation abusive de mots de passe par défaut constitue, dans un cas donné, une vulnérabilité activement exploitée relève d’un examen juridique.
Cela dépend de votre rôle. En Allemagne, les entreprises soumises à NIS2 notifient les incidents importants via le portail de signalement du BSI : alerte précoce dans les 24 heures, notification dans les 72 heures, rapport final un mois plus tard. Les établissements non couverts, comme des supermarchés isolés ou des boucheries, ne sont pas soumis à l’obligation de notification ; ils peuvent informer le BSI sur une base volontaire et devraient porter plainte auprès du point de contact central cybercriminalité (ZAC) de la police de leur Land. En Suisse, les exploitants d’infrastructures critiques effectuent un signalement auprès du BACS dans les 24 heures ; tous les autres peuvent le faire volontairement. Les fabricants notifient les vulnérabilités activement exploitées au titre du CRA via la plateforme de signalement de l’ENISA.
Un rôle déterminant. Les contrôleurs proviennent du fabricant ; l’installation, la maintenance et l’accès à distance relèvent généralement de frigoristes et de prestataires. Dans le cas de l’Établissement français du sang (EFS), l’attaque est passée par la télésurveillance d’un prestataire. C’est pourquoi NIS2 exige d’intégrer les fournisseurs et les prestataires dans la gestion des risques.
Vérifiez dans le routeur si des redirections de port ou des règles NAT ou UPnP pointent vers des contrôleurs, et ouvrez depuis l’extérieur, par exemple avec un smartphone sans Wi-Fi, l’adresse IP publique du site : aucune page de connexion de contrôleur ne doit s’y afficher. Vous pouvez également vérifier si l’adresse est répertoriée par des moteurs de recherche comme Shodan ou Censys. Les modems cellulaires installés dans l’armoire électrique disposent souvent de leur propre connexion Internet ; interrogez donc votre prestataire frigorifique sur tous les accès à distance. Vérifiez en outre les mots de passe, le firmware et la fin du support, et testez si les alarmes de température parviennent à une astreinte la nuit. VamiSec vous accompagne avec un contrôle depuis l’extérieur et un état des lieux de vos fournisseurs.
Avec VamiGRC, vous mettez en œuvre NIS2 et le CRA dans un seul système et pilotez vos fournisseurs. Avec VamiAppSec, les fabricants intègrent les contrôles de sécurité dans leur développement et préparent les notifications au titre du CRA. Avec VamiRedteam, vous gardez un œil 24 h/24 sur votre surface d’attaque autorisée, accessible depuis l’extérieur. S’y ajoutent des pentests OT et IoT, du conseil NIS2 et CRA, ainsi que notre CSIRT en cas d’incident.
Les informations reposent sur des publications d’autorités, de fabricants, de chercheurs en sécurité et de médias parues jusqu’au 8 novembre 2026. Les revendications et les analyses sont signalées comme telles ; les consignes ne sont pas des températures mesurées.
Ce point de situation ne remplace pas un conseil juridique. L’existence et la nature des obligations applicables à votre entreprise dépendent du cas d’espèce.
Convenez d’un premier entretien sans engagement : nous faisons le point sur votre situation et sur les prochaines étapes.
