Une deuxième vague de cyberattaques contre la réfrigération frappe plus de 115 supermarchés en Europe

Le 2 novembre 2026, une deuxième vague de cyberattaques contre les systèmes de réfrigération a frappé plus de 115 supermarchés et commerces alimentaires dans au moins neuf pays européens, dans une quasi-répétition du sabotage de systèmes industriels qui avait touché des centaines de magasins français trois semaines plus tôt. Au cours de la nuit de dimanche à lundi, les attaquants ont modifié à distance les réglages de température de contrôleurs de réfrigération connectés à internet — en arrêtant les unités, en relevant leurs consignes ou en les forçant en mode dégivrage — de sorte que les produits frais et surgelés se sont réchauffés et ont dû être jetés.

La Belgique a été la plus touchée. Ahold Delhaize a indiqué que la réfrigération de « plusieurs dizaines de magasins » — environ 40, majoritairement en Belgique avec quelques-uns au Luxembourg — avait été affectée par ce qu'elle a qualifié d'« incident informatique », tandis que Carrefour a signalé 15 de ses plus de 700 implantations belges perturbées, en soulignant qu'« aucun hypermarché n'en fait partie ». Colruyt a dénombré cinq magasins Spar franchisés et Intermarché environ 15 magasins en Belgique, et un magasin IKEA à Mons a également été touché. Au-delà de la Belgique, SuperValu a retiré les produits frais et surgelés de 13 magasins irlandais équipés d'un modèle de réfrigération particulier, ICA et Coop ont fait état d'impacts sur un nombre limité de magasins suédois, Kesko a relevé des perturbations de température dans de plus petits magasins finlandais, Selver a confirmé un magasin en Estonie, et le fournisseur de réfrigération Danfoss a indiqué qu'au moins 17 commerces néerlandais — principalement des boucheries et des épiceries de quartier — avaient été touchés. Des supermarchés de l'enseigne Coop en Sicile et sept magasins Intermarché au Portugal auraient également été affectés.

Comment l'attaque a fonctionné

Comme lors de la campagne française, les attaquants ont abusé de contrôleurs de réfrigération dont les interfaces de gestion étaient accessibles depuis internet, forçant dans plusieurs cas les évaporateurs des unités à un dégivrage prolongé. Stephan Moelans, directeur général du fournisseur belge de réfrigération Sabcobel, a déclaré que les intrus avaient exploité « la même vulnérabilité que les attaques en France le mois dernier », et que les techniciens avaient commencé à déconnecter les unités concernées vers 1 heure du matin. Le chercheur en sécurité Kevin Beaumont a indiqué que chaque congélateur touché ce jour-là disposait d'une interface de gestion exposée en ligne. Certaines unités auraient été réglées jusqu'à +50 °C (122 °F), et dans un magasin ICA le personnel a affirmé ne plus pouvoir modifier les réglages. Moelans a averti qu'une mise à jour logicielle à elle seule ne corrigerait pas la faiblesse, car nombre des appareils en fin de vie concernés nécessitent aussi une modification physique.

Enquête et attribution

Le parquet fédéral belge a ouvert une enquête, et les autorités n'ont pas expliqué dans l'immédiat comment les attaquants avaient obtenu l'accès, ni si les magasins avaient été frappés lors d'une seule opération coordonnée ou visés individuellement. Aucun groupe n'a revendiqué l'attaque, et les enquêteurs n'avaient pas confirmé si la vague de novembre était liée aux attaques d'octobre contre environ 700 supermarchés français, que le CERT-FR avait rattachées à des contrôleurs Danfoss AK-SM/AK-SC et Copeland/Dixell XWEB exposés sur internet et utilisant souvent encore des identifiants par défaut documentés. Le commissaire européen à l'agriculture Christophe Hansen a qualifié ces incidents répétés de « profondément préoccupants » et de tentative délibérée de perturber la chaîne d'approvisionnement alimentaire et d'éroder la confiance des consommateurs, tout en ajoutant que la sécurité alimentaire de l'Union n'était pas menacée pour l'heure. Les enseignes ont fait état de la destruction de quantités importantes de denrées avariées — une estimation chiffrait les pertes de Delhaize à environ 100 000 € — même si aucun bilan financier global n'a été publié.