Piratage des frigos : l’Anssi pointe des erreurs élémentaires
Le piratage des frigos de supermarchés n'exploite aucune faille récente, selon le directeur de l'Anssi, Vincent Strubel.
Le piratage des frigos de supermarchés, survenu à la mi-octobre, ne repose pas sur une faille récente. C’est ce qu’a affirmé Vincent Strubel, directeur général de l’Anssi, le mercredi 21 octobre 2026. Il s’exprimait ainsi lors d’une audition devant la commission des affaires étrangères et de la défense du Sénat. Celle-ci portait sur la cybersécurité et les ingérences étrangères.
Selon lui, le problème est ancien et banal : un manque de rigueur dans la protection des systèmes. Pourtant, l’agence publie des conseils sur le sujet depuis douze ans.
Piratage des frigos : retour sur une attaque nocturne
L’attaque a eu lieu dans la nuit du 11 au 12 octobre 2026. Des pirates ont pris la main sur des régulateurs frigorifiques de marque Danfoss. Des magasins Intermarché, Leclerc et Super U ont été touchés. Ainsi, certains réfrigérateurs se sont retrouvés réglés à 50 degrés.
Dès le 13 octobre, les régulateurs d’un autre fournisseur, Dixell, ont également été visés. Ces équipements ont de bonnes raisons d’être connectés, par exemple pour la supervision à distance. En revanche, la manière dont ils l’ont été pose un vrai problème.
Des défauts de sécurisation élémentaires, pas des CVE récentes
Plusieurs analyses tierces ont circulé après l’incident. Elles évoquaient en effet des failles de type CVE 2025 ou CVE 2026. Autrement dit, il s’agirait de vulnérabilités rendues publiques par des chercheurs au cours des deux dernières années.
Vincent Strubel appelle toutefois à la prudence. D’après l’analyse de l’agence, ce ne sont pas ces failles qui ont été exploitées. Rappelons qu’une CVE (Common Vulnerabilities and Exposures) est une faille recensée publiquement sous un identifiant précis. Elle reçoit également un score CVSS, qui mesure sa gravité de 0 à 10.
Ici, les causes seraient donc bien plus basiques. Le directeur général cite d’abord l’exposition directe d’équipements frigorifiques sur Internet. Il évoque ensuite leur administration sans sécurisation particulière. Enfin, il mentionne des mots de passe faibles. Il parle de « vulnérabilités assez classiques ».
Une agence qui recommande, mais ne peut rien imposer
Le ton de Vincent Strubel a été piquant devant les sénateurs. Selon lui, ces points font l’objet de recommandations depuis 2014. L’Anssi publie et met à jour un guide sur la sécurisation des systèmes industriels. Sa version la plus récente, intitulée « La cybersécurité des systèmes industriels – Mesures détaillées », date de novembre 2025. Pourtant, ces règles ne sont pas appliquées systématiquement. C’est le cas, notamment, de celle qui interdit d’exposer directement ces systèmes sur Internet.
L’agence est habituée à ces rappels. En effet, elle avait déjà dû redire les règles à suivre dès janvier 2015. Cela faisait suite à l’attaque de milliers de sites français. De son côté, Michel-Édouard Leclerc a reconnu le 14 octobre une faiblesse. Son groupe n’avait pas eu « cette culture de la sécurité ».
Le problème tient aussi au cadre juridique. « L’Anssi n’a pas de pouvoir aujourd’hui de contrainte des supermarchés dans le déploiement de leurs frigos », a admis son directeur. Par ailleurs, l’agence édicte des règles, formule des recommandations et publie des alertes. Ensuite, c’est aux entreprises de les appliquer.
Dans le secteur privé, l’Anssi ne contrôle que les opérateurs d’importance vitale. Ces entreprises sont jugées indispensables au pays. Elles sont donc soumises à des règles de cybersécurité depuis la loi de programmation militaire de 2013. On en compte environ 300, pour « un petit millier » de systèmes informatiques concernés.
Pour toutes les autres, la responsabilité revient à l’entreprise. Elle doit déployer ses systèmes de façon sécurisée, qu’elle suive ou non les règles de l’agence. L’Anssi peut certes intervenir en cas de situation critique. Cependant, elle n’a ni les effectifs ni le budget pour sécuriser tout le monde en permanence.
Après le piratage des frigos, NIS 2 se fait attendre
La directive européenne NIS 2 doit changer la donne. Elle étendra le contrôle de l’Anssi à environ 15 000 entités en France. Cependant, sa transposition prend du retard.
Le projet de loi Résilience doit intégrer NIS 2 au droit français. Le Sénat l’a adopté le 12 mars 2025. Toutefois, il attend toujours son examen en séance à l’Assemblée nationale. Le débat était prévu le 7 octobre. Il a pourtant été retiré de l’ordre du jour la veille, sans nouvelle date.
Par conséquent, la Commission européenne a saisi la Cour de justice de l’Union européenne le 8 juillet 2026. Elle réclame des sanctions financières contre la France pour ce retard.
Ce qu’il faut retenir
- L’attaque des 11 et 12 octobre 2026 n’exploiterait pas de CVE récente, selon l’Anssi.
- Les causes citées sont l’exposition directe sur Internet, l’administration non sécurisée et les mots de passe faibles.
- Par ailleurs, les recommandations de l’agence existent depuis 2014 et ont été mises à jour en novembre 2025.
- Ainsi, les équipements industriels ne doivent pas être accessibles directement depuis Internet.
- En outre, les mots de passe par défaut ou faibles doivent être remplacés sans attendre.
- Enfin, l’Anssi ne peut contraindre que les quelque 300 opérateurs d’importance vitale, en attendant NIS 2.