Cyberattaque Danfoss : quand la distribution alimentaire découvre l’hygiène numérique

« Je confirme qu’une cyberattaque touche depuis cette nuit les installations de production de froid de plusieurs magasins de notre réseau Coopérative U », indique, sur LinkedIn, Dominique Schelcher, PDG du groupement.

Une situation qu’il condamne avec véhémence : « s’attaquer à des équipements essentiels à la conservation des produits frais et à l’approvisionnement alimentaire des Français est d’une extrême gravité et est inédit. C’est inacceptable ».

Il n’est pas le seul concerné. Dans l’Hexagone, des magasins Leclerc, Monoprix ou encore Intermarché sont concernés : des pirates ont forcé un dégivrage continu, faisant monter les températures à des niveaux largement incompatibles avec leur conservation. Certains magasins évoquent déjà des pertes de plusieurs dizaines, sinon des centaines de milliers d’euros.

Si la cyberattaque en elle-même est injustifiable, ce qui l’a rendue possible ne l’est guère plus. Et là, certains pourraient bien avoir à s’expliquer.

Les systèmes frigorifiques concernés sont signés Danfoss. Selon les informations fournies par ce dernier à nos confrères de BFMTV, il s’agit des AK-SM800 et AK-SC355 – des équipements obsolètes qui ne reçoivent plus de mises à jour – et AK-SM800A pas à jour de correctifs. Et cette absence de mise à jour n’a rien d’anecdotique.

Les équipements AK-SM800A ont fait l’objet d’une alerte de sécurité… en mars 2025 : les versions antérieures à la 4.2 étaient affectées par une vulnérabilité de contournement de l’authentification, la CVE-2025-41450.

Ce sont les équipes de Claroty qui l’ont découverte. Elles ont été patientes et ont attendu jusqu’au 9 août 2026 pour en parler ouvertement. À cette date, ils avaient trouvé 2765 instances de la console Web d’administration de ces équipements directement accessibles sur Internet.

Aujourd’hui, nous en avons trouvé près de 3 000 en France, dont près de 2 330 à Paris. Certaines de ces interfaces Web mentionnent la date à laquelle elles ont été modifiées pour la dernière fois : septembre 2021, mai 2022, décembre 2022, mai 2023, juillet 2024… Certaines ont toutefois été mises à jour après l’alerte de mars 2025 de Danfoss, avec des dates de modification en mars ou juillet 2025, voire avril 2026. Mais elles ne semblent pas constituer une majorité.

Surtout, après la CVE-2025-41450, les équipes de Claroty ont trouvé la CVE-2025-41451, une vulnérabilité d’exécution de code arbitraire à distance. Ainsi que la CVE-2025-41452, une vulnérabilité permettant d’injecter des données de configuration arbitraires pour le serveur Web embarqué, Nginx.

Cette situation n’est pas, en elle-même, surprenante pour le monde de l’informatique opérationnelle (OT) : la priorité est à la continuité des opérations, avec la crainte que le fournisseur n’ait pas suffisamment testé sa mise à jour et que son application n’affecte le bon fonctionnement des équipements concernés.

Mais vulnérabilité ou pas, il n’a pas de raison que ne s’applique pas à ces systèmes frigorifiques ce qui s’applique, notamment, aux équipements réseau de bordure : exposer directement sur Internet une console d’administration n’est pas une bonne pratique. Bien au contraire.

Et Danfoss semble l’avoir compris. Plutôt que de chercher à pousser ses clients à adopter des bonnes pratiques, il a commencé à déployer un système qui doit leur permettre d’accéder aux consoles d’administration de leurs équipements sans s’y connecter directement. Il s’agit de Danfoss StoreView Web, une plateforme hébergée par le constructeur, à partir de laquelle ses équipements peuvent être administrés, en fournissant adresse IP/nom d’hôte, nom d’utilisateur et mot de passe.

Ce positionnement en couche d’abstraction entre l’équipement et son administrateur pourra permettre à Danfoss de renforcer graduellement la sécurité des accès, sans avoir à batailler avec des clients qui ne semblent pas tous motivés par l’application des bonnes pratiques.

Mais il y a encore du chemin à parcourir : StoreView Web nécessite d’indiquer l’adresse IP de l’équipement à administrer. Cela implique l’exposition directe, sur Internet, de certains services de l’équipement en question, en premier lieu desquels se situent ceux de l’authentification. Danfoss serait peut-être bien inspiré de supporter nativement des technologies réseau telles que Tailscale, ZeroTier ou Netbird pour proposer une solution de sécurisation de l’administration de ses équipements.