Dimanche 11 octobre, vers 23 heures, des régulateurs de froid installés dans des supermarchés français commencent à recevoir des ordres incongrus. Dégivrage forcé, consignes de température relevées de plusieurs dizaines de degrés, alarmes qui tardent à se manifester. Au lever du jour, des centaines de magasins découvrent une attaque d’un genre que peu de dirigeants avaient envisagé : aucune donnée dérobée, aucune rançon, aucun écran figé. Simplement des surgelés tièdes et des rayons frais à vider dans des bennes.
Trouver le coupable est l’affaire des enquêteurs. La nôtre est de regarder ce que l’attaque révèle, et la révélation tient en une question que bien des comités de direction n’ont jamais inscrite à leur ordre du jour : à qui appartenait la sécurité du froid ?
Cet article ne fait le procès d’aucune enseigne : les magasins touchés sont des victimes. Mais la cybersécurité de la chaîne du froid vient de quitter le registre de l’hypothèse d’école, et en tant que cabinet de recrutement cybersécurité, nous pensons qu’elle pose deux questions très concrètes à toute entreprise dont l’activité repose sur des machines connectées, du magasin à l’usine : comment s’organiser, et qui recruter.
Ce qui s’est passé, et ce que l’on sait vraiment
Selon l’Agence France-Presse, au moins 300 points de vente Intermarché et Netto ont été touchés, ainsi que 80 supermarchés Carrefour, moins d’une centaine de magasins de la Coopérative U, une trentaine de Monoprix et « plusieurs magasins » E.Leclerc. Aucune donnée n’a été volée. La presse spécialisée rapporte une perte totale à La Haye, dans la Manche, et la destruction de l’ensemble des produits réfrigérés à Grand-Couronne, en Seine-Maritime. La Normandie, d’ordinaire plus réputée pour ses produits laitiers que pour ses incidents informatiques, se serait volontiers passée de cette notoriété.
Les attaquants ont pris la main à distance sur des régulateurs du fabricant danois Danfoss. D’après Le Monde, cité par InformatiqueNews, ils auraient porté la température de dégivrage à 50 °C et prolongé sa durée jusqu’à 8 heures, retardant certaines alarmes. Danfoss a indiqué à l’AFP que « la majorité des unités touchées » étaient des produits en fin de vie, qui ne reçoivent plus de mises à jour.
Un détail mérite l’attention de tout directeur financier. Le 9 août 2026, la cellule de recherche Team82 de Claroty publiait une étude sur les contrôleurs Danfoss AK-SM 800A : un mécanisme caché de « code du jour » permettait d’ouvrir une session d’administrateur sans mot de passe, et 2 765 de ces contrôleurs étaient accessibles depuis internet dans le monde. Un correctif existait. Rien ne prouve que l’attaque d’octobre ait exploité cette faille, mais l’étude dit l’essentiel : des équipements chargés de garder nos aliments au frais étaient joignables depuis n’importe où.
Dominique Schelcher, président de la Coopérative U, a qualifié l’attaque « d’une extrême gravité ». Intermarché a indiqué que ses assurances ne couvraient pas ce type d’incident. Le parquet de Paris a ouvert une enquête confiée à l’Office anti-cybercriminalité, et le Premier ministre a demandé à l’ANSSI de se saisir du dossier. L’auteur, le mobile, le vecteur d’intrusion et le montant des pertes restent inconnus. Nous nous garderons donc de toute conclusion technique. Les conclusions d’organisation, elles, n’attendent pas le rapport d’enquête.
Le froid relevait de tout le monde, sauf de la sécurité
La maîtrise des températures n’a rien d’une zone grise. Le règlement européen 852/2004 impose à chaque exploitant des procédures fondées sur la méthode HACCP : identifier les points critiques, les surveiller, réagir lorsqu’ils dérivent. La température d’un meuble de surgelés est l’exemple canonique du point critique. Cette responsabilité est attribuée, documentée, contrôlée.
Ce qui l’était beaucoup moins, c’est la sécurité de l’outil qui exerce cette surveillance. En 20 ans, le thermostat est devenu un ordinateur : interface web, compte d’administration, accès distant pour la maintenance, parfois adresse publique sur internet. Il en a tous les attributs, sauf un : personne ne le traite comme tel.
Faisons le tour de la table. L’exploitation possède le froid au sens sanitaire. Le frigoriste l’a configuré et le maintient, souvent à distance. La direction technique l’a acheté et l’amortit sur une durée sans rapport avec le rythme des correctifs. La DSI ne le voit pas, puisqu’il ne figure dans aucun de ses inventaires. Chacun détient une part du froid. Personne n’en détient la sécurité.
Deux détails rendent ce constat tangible. D’abord, si les alarmes ont pu être retardées en même temps que les consignes étaient modifiées, c’est que la surveillance n’était pas indépendante de la commande : le contrôleur et le contrôlé dormaient dans la même chambre. Ensuite, conserver un équipement hors support n’a rien de scandaleux, l’industrie vit avec des machines plus âgées que certains de ses ingénieurs. Le garder accessible à distance sans l’avoir recensé ni assuré relève en revanche d’une décision de gouvernance, même lorsque personne n’a eu conscience de la prendre.
S’ajoute un trait propre à la distribution française : plusieurs des réseaux touchés sont des groupements de commerçants indépendants, où chaque magasin est une entreprise distincte. L’attaque frappe le réseau d’un seul coup, la défense s’organise magasin par magasin. Des enseignes intégrées ont toutefois aussi été touchées : le sujet n’est pas le modèle coopératif, mais une question commune à toute organisation multisite. La sécurité d’un équipement présent sur des centaines de sites relève-t-elle du site, du siège ou du fournisseur ? Tant qu’elle reste sans réponse écrite, c’est l’attaquant qui la tranche.
Le vrai sujet : des fonctions en silo face à des machines qui parlent toutes
Dans l’organigramme type, la DSI gère serveurs, postes et applications, et le responsable de la sécurité des systèmes d’information, souvent rattaché à elle, en épouse le périmètre. La direction technique gère machines et prestataires, la sûreté protège sites et personnes. Chacun est compétent dans son couloir. Or un magasin contemporain cumule régulation du froid, gestion technique du bâtiment, caisses, étiquettes électroniques, vidéoprotection et bornes en libre-service. Autant d’équipements connectés qui tombent entre les couloirs.
Nous décrivions ce phénomène côté usine dans cybersécurité et industrie 4.0, des robots qui ont plus de connexions que de protections. Le magasin vient de démontrer qu’il n’est autre qu’une petite usine à température dirigée.
Notre observation de terrain en tant que cabinet de recrutement cybersécurité rejoint ici l’actualité. Dans nos échanges avec des directions générales et des ressources humaines, nous voyons encore très peu d’entreprises de la distribution qui aient créé une fonction de résilience englobant les technologies opérationnelles, ou étendu par écrit le mandat de leur DSI, de leur directeur de la sécurité ou de leur responsable cyber à l’ensemble des équipements connectés. C’est une observation empirique : aucune étude publique, à notre connaissance, ne mesure ce point dans la distribution française. À l’échelle internationale, le rapport 2025 de Fortinet, établi auprès de plus de 550 professionnels des technologies opérationnelles, indique que 52 % des organisations confient désormais leur sécurité au responsable de la sécurité, contre 16 % en 2022. Enquête d’éditeur, mondiale et industrielle : elle indique une direction, pas un état des lieux hexagonal.
Nous avons déjà défendu l’évolution de la DSI vers une direction de la résilience numérique, sans y revenir ici. L’attaque du froid y ajoute un corollaire : une résilience qui s’arrête aux frontières du système d’information de gestion est une résilience à mi-temps.
Ce que la banque a déjà tranché
Un secteur a dû répondre à cette question avant les autres, faute de choix : la banque. Les orientations de l’Autorité bancaire européenne de 2019, puis le règlement DORA, applicable depuis janvier 2025, exigent que la gestion du risque technologique soit confiée à une fonction de contrôle indépendante, et que gestion, contrôle et audit soient séparés selon le modèle des trois lignes de défense.
Dans plusieurs établissements que nous connaissons, la conséquence est visible. Le responsable de la sécurité quitte l’orbite de la DSI pour rejoindre la direction des risques, en deuxième ligne : il définit, contrôle, alerte. En première ligne apparaît un directeur des opérations cyber, qui dirige les équipes chargées de surveiller, durcir et réagir. Celui qui fait n’est plus celui qui vérifie.
La distribution n’a ni les marges ni les obligations de la banque. La directive NIS 2 vise, dans l’alimentaire, la distribution en gros et la production industrielle, pas le commerce de détail, et sa transposition française n’est toujours pas promulguée. Le Cyber Resilience Act, lui, oblige depuis le 11 septembre 2026 les fabricants à signaler sous 24 heures les vulnérabilités activement exploitées, comme nous l’expliquions dans notre analyse du Cyber Resilience Act. Mais il ne désignera personne, chez l’exploitant, pour lire l’alerte. Personne n’imposait au magasin de s’organiser. C’est précisément le problème.
L’organisation à construire : quatre décisions de direction générale
Ce que la banque enseigne n’est pas un organigramme à photocopier, mais une méthode. En tant que cabinet de recrutement cybersécurité, nous en avons esquissé une, traduite pour le commerce et l’industrie.
Première décision : définir le périmètre par les conséquences, pas par la propriété. La question n’est plus « qu’est-ce qui appartient à la DSI ? », mais « qu’est-ce qui est connecté et dont la défaillance arrête l’activité ou met en jeu la sécurité alimentaire ? ». Froid, gestion technique, automates, caisses : tout ce qui répond oui entre dans le périmètre de sécurité, quel que soit le budget qui l’a payé.
Deuxième décision : séparer celui qui opère de celui qui contrôle. Une première ligne opérationnelle, chargée d’inventorier, de cloisonner, de surveiller et de réagir, couvre indistinctement système d’information et équipements techniques. Une deuxième ligne, rattachée à la direction générale ou aux risques, fixe les exigences, vérifie leur application et alerte quand elles ne le sont pas. Dans une entreprise de taille moyenne, ces deux rôles peuvent être tenus par peu de personnes, à condition qu’elles ne se contrôlent pas elles-mêmes.
Troisième décision : écrire qui fait quoi. Le tableau suivant n’a rien de réglementaire, mais il tient sur une page et évite bien des matins difficiles.
| Question | Qui décide | Qui exécute | Qui contrôle |
|---|---|---|---|
| Un équipement peut-il être joignable à distance ? | Responsable des opérations de sécurité | Frigoriste ou intégrateur, sur accès nominatif | Deuxième ligne |
| Un équipement hors support est-il remplacé ? | Direction financière, sur avis technique | Direction technique | Deuxième ligne, qui en rend compte au comité de direction |
| Un fournisseur est-il référencé ? | Achats, sur exigences de sécurité écrites | Achats | Deuxième ligne |
| Une alerte de température est-elle crédible ? | Exploitation | Exploitation, par un moyen de mesure indépendant | Audit interne |
Quatrième décision : mutualiser ce qui doit l’être. Dans un réseau multisite, la première ligne doit être portée là où se trouvent les compétences et les contrats, c’est-à-dire au siège ou à la centrale. Le magasin garde ses décisions d’investissement, mais dans un socle d’exigences imposé par le référencement des fournisseurs : pas d’accès distant sans authentification forte, pas d’équipement exposé directement sur internet, inventaire tenu à jour. C’est moins une perte d’autonomie qu’une assurance que personne, ni l’adhérent ni la centrale, n’aura à gérer seul la prochaine attaque.
Ajoutez 4 indicateurs suivis en comité de direction : part des équipements connectés inventoriés, part des accès distants nominatifs, nombre d’équipements hors support encore en service, délai moyen d’application des correctifs. 4 chiffres, une ligne chacun, et la sécurité du froid sort enfin de l’angle mort.
Recruter dans le bon ordre, et les bons profils
L’erreur la plus fréquente, après un incident, consiste à recruter avant d’avoir organisé. La séquence que nous recommandons est inverse, et elle dépend de votre maturité.
Si le froid n’a pas encore de propriétaire sécurité, ne recrutez pas tout de suite. Confiez une mission de quelques semaines à un profil confirmé en sécurité industrielle, à temps partagé : inventaire, cartographie des accès distants, revue des contrats de maintenance, puis proposition d’organisation. C’est ce diagnostic qui dira combien de postes créer, et lesquels.
Si une fonction sécurité existe mais s’arrête aux portes de la DSI, votre recrutement prioritaire est un ingénieur sécurité des systèmes industriels, rattaché à la première ligne, avec un mandat écrit étendu aux équipements techniques.
Si vous êtes un réseau multisite, un groupe agroalimentaire ou un logisticien, le sujet devient la direction : un responsable de la deuxième ligne d’un côté, un directeur des opérations cyber de l’autre, et des équipes mutualisées.
3 profils méritent d’être décrits précisément, parce qu’ils sont mal compris.
L’ingénieur sécurité des systèmes industriels.
Il comprend un automate, un protocole de terrain et un réseau cloisonné, et il sait qu’on n’arrête pas une chambre froide pour appliquer un correctif un samedi de forte affluence. Le vivier le plus prometteur ne se trouve pas toujours chez les spécialistes de la cybersécurité, mais chez les automaticiens, les techniciens de génie climatique et les responsables de maintenance qui ont pris le virage de la sécurité. En entretien, une mise en situation vaut tous les questionnaires : « Votre frigoriste demande un accès distant permanent pour gagner du temps sur ses interventions. Que lui répondez-vous, et que lui proposez-vous ? ». Le bon candidat ne dit ni oui ni non : il négocie une solution qui préserve à la fois la maintenance et la sécurité.
Le responsable de la sécurité des équipements techniques.
Il relie maintenance, sûreté et cybersécurité, pilote les prestataires et tient l’inventaire. Rare sous cet intitulé, il se construit souvent par mobilité interne, à partir d’un responsable technique ou d’un acheteur de prestations, à condition d’être formé et soutenu. C’est souvent le recrutement le plus rentable, parce que la personne connaît déjà les sites, les contrats et les interlocuteurs.
Le directeur des opérations cyber.
Fonction de direction, couvrant toutes les équipes opérationnelles de sécurité, système d’information et technologies opérationnelles confondus. Ce profil ne répond pas aux annonces : il se chasse, se convainc et se recrute avec un mandat écrit qui précise son périmètre (en positif comme en négatif), son pouvoir d’arbitrage, ses ressources sur 3 ans et son rattachement. Sans ce mandat, les meilleurs candidats déclinent au deuxième entretien, et ceux qui acceptent ne sont pas toujours ceux que vous espériez.
Reste le piège classique : l’annonce qui fusionne tout. « RSSI maîtrisant les systèmes industriels, la conformité, la sûreté des sites et, si possible, le génie frigorifique ». Ce candidat, s’il existe, est déjà en poste et ne partira pas pour un intitulé qui trahit l’absence de décision. Le poste reste ouvert, et le coût réel d’un poste cyber non pourvu dépasse largement celui du recrutement.
L’avis de Rehackt
Un régulateur de froid est un ordinateur qui a la politesse de ne pas en avoir l’air. Tant qu’il sera acheté comme un meuble, maintenu comme un compresseur et oublié comme un radiateur, il restera la porte la plus discrète de votre système d’information.
La fin de vie d’un équipement n’est pas une date technique, c’est une décision financière. Elle appartient au directeur financier autant qu’au directeur technique. Un équipement amorti qui fonctionne encore paraît gratuit. Il l’est jusqu’au matin où il faut vider 300 rayons.
Responsabilité n’est pas culpabilité. Les enseignes touchées sont victimes, et quiconque leur fait la leçon sans avoir audité ses propres chambres froides mérite un séjour prolongé au rayon surgelés. La question n’est pas « à qui la faute ? », c’est « à qui le mandat ? ».
L’organisation précède le recrutement, jamais l’inverse. Embaucher un expert la semaine suivant une attaque, sans avoir tranché son périmètre ni son rattachement, c’est lui offrir une place d’observateur privilégié pour la prochaine.
Trois questions que l’on nous pose en comité de direction
Faut-il rattacher la sécurité des équipements techniques à la DSI ou à la direction technique ? Ni à l’une ni à l’autre seule. La première ligne doit être commune aux deux mondes et rattachée à celui qui a autorité sur les prestataires, sinon elle prescrira sans être obéie. Le contrôle, lui, doit se situer ailleurs, auprès de la direction générale ou des risques.
Un groupement d’indépendants peut-il imposer un socle de sécurité à ses adhérents ? Le levier le plus naturel nous paraît être le référencement : un fournisseur qui ne respecte pas les exigences écrites n’entre pas au catalogue. C’est moins spectaculaire qu’une directive interne, mais nettement plus efficace qu’une recommandation que chacun lira à sa convenance.
Combien de temps pour recruter un directeur des opérations cyber ? Dans notre expérience, plusieurs mois pour une fonction de direction, davantage lorsque le mandat n’est pas écrit au lancement de la recherche. C’est une raison supplémentaire de commencer par l’organisation : elle se décide en quelques semaines et raccourcit d’autant la chasse.
Ce qui est établi, ce qui relève de notre lecture
Faits vérifiables et sourcés. La chronologie, le décompte de l’AFP, les déclarations des enseignes et de Danfoss, l’enquête et la saisine de l’ANSSI. L’étude de Claroty. Les textes cités : règlement 852/2004, DORA, NIS 2, Cyber Resilience Act.
Données à lire avec prudence. Les températures et durées de dégivrage, issues de sources non officielles. Les situations par magasin, fondées sur des témoignages. Les chiffres de Fortinet, enquête d’éditeur internationale.
Hypothèses et lecture Rehackt. L’absence de propriétaire de la sécurité du froid, grille de lecture et non constat établi pour chaque enseigne. La rareté des fonctions de résilience englobant les technologies opérationnelles, observation de terrain. Les quatre décisions d’organisation, le tableau, les indicateurs et la séquence de recrutement, qui relèvent de notre expérience et non d’un référentiel.
Zones incertaines. L’auteur, le mobile et le vecteur de l’attaque. Le lien avec les failles publiées en août. Le nombre total de sites touchés. Le montant des pertes. Le contenu des contrats de maintenance.
Pour aller plus loin
Que vous dirigiez l’entreprise, en teniez les comptes ou portiez le sujet depuis la direction des ressources humaines, la question n’est pas « sommes-nous équipés comme eux ? ». C’est « qui, chez nous, a le mandat de protéger ce qui est connecté, et le sait-il ? ».
Rehackt est un cabinet de recrutement cybersécurité et informatique qui part de votre maturité réelle. Nous vous aidons à dessiner le périmètre, la séparation des rôles et le rattachement des fonctions de sécurité, de la chaîne du froid à la chaîne de production, puis nous allons chercher les ingénieurs en sécurité industrielle et les dirigeants qui ne répondent pas aux annonces. Une heure de cadrage suffit généralement à savoir qui, chez vous, surveille le thermostat.
Et si vous venez de la maintenance ou de l’automatisme et que la sécurité vous attire, savoir expliquer un risque technique à un comité de direction fait partie de ce que travaille notre Académie Cyber.
Sources
- Agence France-Presse, « Des supermarchés français touchés par une cyberattaque inédite de leurs installations frigorifiques », 12 octobre 2026 : https://www.boursorama.com/bourse/actualites-amp/des-supermarches-francais-touches-par-une-cyberattaque-inedite-de-leurs-installations-frigorifiques-d53950f3510078125e9f4b571d62aa19
- InformatiqueNews, « L’attaque des frigos Danfoss expose l’angle mort de l’OT », 13 octobre 2026 : https://www.informatiquenews.fr/magasins-systeme-intermarche-leclerc-et-monoprix-touches-par-cyberattaque-250707
- La Revue du Digital, « Cyber attaque contre les systèmes de froid de supermarchés français », 12 octobre 2026 : https://www.larevuedudigital.com/cyber-attaque-contre-les-systemes-de-froid-de-supermarches-francais/
- Je Bosse en Grande Distribution, témoignages par magasin, 12 octobre 2026 : https://www.jebosseengrandedistribution.fr/2026/10/12/intermarche-u-market-monoprix-leclerc-une-cyberattaque-coupe-le-froid-dans-les-supermarches/
- Points de Vente, « Cyberattaque sur les systèmes frigorifiques de plusieurs enseignes », 12 octobre 2026 : https://pointsdevente.fr/fil-info/2026-10-12-cyberattaque-sur-les-systemes-frigorifiques-de-plusieurs-enseignes/
- Claroty Team82, « Freeze the controller, defrost the food », 9 août 2026 : https://claroty.com/team82/research/freeze-the-controller-defrost-the-food-uncovering-vulnerabilities-in-danfoss-refrigeration-controllers
- Règlement (CE) n° 852/2004 relatif à l’hygiène des denrées alimentaires : https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32004R0852
- Règlement (UE) 2022/2554 (DORA), article 6 : https://www.springlex.eu/fr/packages/dora/dora-regulation/article-6/
- Autorité bancaire européenne, orientations sur la gestion des risques liés aux TIC et à la sécurité (EBA/GL/2019/04) : https://www.eba.europa.eu/regulation-and-policy/internal-governance/guidelines-on-ict-and-security-risk-management
- Directive (UE) 2022/2555 (NIS 2), annexe II : https://eur-lex.europa.eu/eli/dir/2022/2555/oj
- Next, « Cyber Resilience Act : les obligations de signalement entrent en vigueur le 11 septembre » : https://next.ink/255197/cyber-resilience-act-les-obligations-de-signalement-entrent-en-vigueur-le-11-septembre/
- Fortinet, rapport 2025 sur l’état des technologies opérationnelles et de la cybersécurité, synthèse : https://drj.com/industry_news/fortinet-report-ot-cybersecurity-risk-elevates-within-executive-leadership-ranks/
Un recrutement cyber à confier ? On en parle directement avec vous.
