lundi 19 octobre 2026
La GSA ciblée par une cyberattaque d’une ampleur inédite
Grande distributionCyberattaqueSHOP! Le SalonRetail
Intermarché, Coopérative U, Carrefour, Monoprix, E.Leclerc, Auchan : dans la nuit du 11 au 12 octobre, plus de 700 points de ventes de la grande distribution ont subi une cyberattaque d’une ampleur exceptionnelle visant leurs installations frigorifiques. En fonction de la taille des magasins, les pertes se chiffrent entre 60.000 et près de 300.000 €. Une crise qui met en lumière la fragilité de toute la chaîne face aux enjeux de cybersécurité industrielle.
En matière de cybersécurité, le degré de maturité des entreprises face aux risques encourus est extrêmement variable. Si l’on a coutume de dire que les PME (et dans une moindre mesure les ETI) sont souvent très vulnérables, les grands groupes sont - a priori - bien mieux équipés pour faire face aux attaques cyber. C’est vrai en ce qui concerne la sécurité des systèmes d’informations, régulièrement ciblés par des rançongiciels pour du vol de données (facilement monétisables par les hackers). C’est beaucoup moins vrai en ce qui concerne la sécurité des équipements industriels.
UNE ATTAQUE D’UNE AMPLEUR INÉDITE
L’attaque dont ont été victimes la plupart des grandes enseignes de la distribution alimentaire en est malheureusement la preuve. En effet, dans la nuit du 11 au 12 octobre derniers, plus de 700 points de ventes de la grande distribution ont subi une cyberattaque d’une ampleur exceptionnelle visant leurs installations frigorifiques.
D’Intermarché (le groupement le plus touché avec près de 300 magasins ciblés) à Auchan (seulement 3 points de vente touchés), en passant par Coopérative U, Carrefour, Monoprix, E.Leclerc ou encore Aldi, le procédé est identique : les hackers ont profité de failles de sécurité dans les systèmes frigorifiques du fournisseur danois Danfoss, qui équipe la plupart des enseignes (les fabricants Dixell et Copeland auraient également été ciblés) et dont le pilotage des régulateurs de températures est opéré à distance, via internet. En quelques heures, les systèmes frigorifiques sont ainsi passés de -20°C à +50° ou +60°C.
Pour les magasins ayant subi une rupture du froid, les premières estimations chiffrent les pertes entre 60.000€ dans un petit point de vente à près de 300.000€ dans les plus gros hypermarchés. Dans certains magasins, des meubles de froid devront être aussi remplacés. Ainsi, si le coût total est encore inconnu, il pourrait avoisiner plusieurs dizaines de millions d’euros.
UNE GOUVERNANCE CYBER EN QUESTION
Les vulnérabilités de ces systèmes industriels avaient pourtant été identifiées. Le fabricant Danfoss avait émis une alerte le 18 septembre sur son site et dans ses mails d’avis de sécurité. Une étude de la société Claroty, spécialiste de la cybersécurité industrielle, publiée dès le 9 août, expliquait également comment un contrôleur Danfoss AK-SM 800A compromis pouvait désactiver le refroidissement tout en falsifiant les relevés de températures, cachant ainsi des défaillances de la chaîne du froid.
Alors, pourquoi les alertes n’ont-elles pas été prises en compte par les magasins ? Sont-elles seulement arrivées jusqu’aux points de vente ? Comment les informations ont-elles circulé entre le fabricant (Danfoss), les frigoristes (chargés de l’installation et de la maintenance), les prestataires informatiques (parfois les enseignes elles-mêmes) et les magasins ? Si aucune responsabilité n’est encore clairement établie, cette attaque met cruellement en lumière l’absence d’une gouvernance cyber clairement établie, dans un contexte où le risque ne se limite plus aux systèmes IT et à la protection des données informatiques - qui a jusqu’ici concentré une grande partie de l’attention des distributeurs – mais qui s’étend aux équipements industriels connectés et pilotables à distance et qui concerne désormais l’ensemble de l’écosystème numérique, incluant partenaires, fournisseurs et prestataires.
UNE RÉGLEMENTATION DE PLUS EN PLUS DRASTIQUE
Pourtant, le sujet se fait de plus en plus critique pour les enseignes, alors que la directive européenne NIS2 (sur la sécurité des réseaux et des systèmes d'information), en vigueur depuis le 18 octobre 2024 - mais qui attend encore sa transposition dans le droit français – crée de nouvelles obligations : veille de la sécurité de la supply chain, renforcement des exigences dans le choix des fournisseurs et prestataires, protection des réseaux... En cas de manquements, les sanctions sont lourdes : la responsabilité personnelle des dirigeants peut être engagée et l’enseigne peut être sanctionnée d’une amende de 7 millions d’euros ou 1,4 % du chiffre d’affaires annuel mondial !
Et un autre texte européen viendra aussi très prochainement renforcer l’arsenal législatif et les exigences en matière de cybersécurité industrielle : le nouveau Règlement Machines (UE) 2023/1230, applicable au 20 janvier 2027. Avec ce texte, la cybersécurité des machines deviendra, pour la première fois, une exigence de sécurité à part entière : protection contre la corruption (volontaire ou non) des systèmes de commande et des logiciels, traçabilité des interventions et des modifications, maîtrise des mises à jour et des upgrades logiciels, formation des techniciens de maintenance, souvent en première ligne avec leurs accès à distance.