Dans la nuit du 11 au 12 octobre 2026, des pirates ont pris le contrôle à distance des systèmes frigorifiques de plusieurs centaines de magasins français. Intermarché, Netto, Super U, E.Leclerc, Carrefour et Monoprix figurent parmi les enseignes touchées. Les meubles réfrigérés ont été portés à 50 °C. En 48 heures, le Groupement Mousquetaires avait rétabli ses 300 points de vente. L'ANSSI a été saisie, le parquet de Paris a ouvert une enquête. Derrière la sidération médiatique, l'incident dit quelque chose de précis sur une lacune que beaucoup de programmes NIS2 partagent encore.
Ce qui s'est passé techniquement
L'ANSSI a confirmé le 13 octobre 2026 la compromission de contrôleurs Copeland XWEB et Dixell XWEB, deux systèmes de supervision frigorifique fabriqués par Danfoss. Les modèles en cause, AK-SM800 et AK-SC355, sont en fin de vie officielle : Danfoss n'y publie plus de correctifs de sécurité depuis plusieurs années.
Ces équipements étaient exposés directement sur Internet, sans VPN ni segmentation réseau. Un article de La Clé Publique du 15 octobre 2026 révèle qu'au moins un équipement avait été compromis dès le mois d'août 2026, soit un délai de présence de l'attaquant d'au moins deux mois avant la phase destructive. L'attaque finale n'a pas consisté à exfiltrer des données : elle a modifié les paramètres de consigne pour provoquer une montée en température.
Ce profil est caractéristique. Un attaquant qui veut du bruit opte pour l'action visible. Un attaquant qui veut du temps reste discret pendant des semaines. Deux mois sans détection sur des équipements de production constituent un niveau de persistance associé à des acteurs bien organisés.
Pourquoi les distributeurs sont dans le périmètre NIS2
La directive NIS2, annexe II, inclut les entreprises de production, de transformation et de distribution alimentaire dépassant 250 salariés ou 50 millions d'euros de chiffre d'affaires annuel. Les groupes de grande distribution française répondent à ces critères : ils sont des entités importantes au sens de la directive.
En tant qu'entités importantes, ils sont soumis à l'obligation de mettre en place des mesures de gestion des risques portant notamment sur la sécurité des réseaux et des systèmes d'information, la gestion des actifs et la continuité des activités. Cette obligation s'étend à l'ensemble des systèmes qui soutiennent leurs services essentiels. Les systèmes de régulation frigorifique pilotés par réseau en font partie.
La transposition française, une fois adoptée, confirmera cette lecture. En attendant, le cadre communautaire s'impose directement pour les entités dont les autorités compétentes ont engagé les travaux de désignation. Ignorer les actifs OT dans un programme NIS2 ne réduit pas l'obligation : cela crée un angle mort documentable lors d'un contrôle.
L'OT, absent de la plupart des inventaires NIS2
Les programmes NIS2 ont été construits, dans leur grande majorité, autour des systèmes IT : serveurs, postes de travail, applications métier, messagerie. Les actifs de technologie opérationnelle (OT) ont été traités à part, ou ignorés.
Cette séparation est une relique organisationnelle. Les contrôleurs XWEB sont connectés au même réseau IP que les systèmes IT. Ils utilisent des protocoles standards. Ils sont administrés à distance via des interfaces web. Ce sont des équipements réseau, qu'ils soient ou non étiquetés "technique" dans les organigrammes.
La situation dépasse les frigos. Automates industriels, contrôleurs de climatisation, systèmes de contrôle d'accès physique connectés, équipements de pesée et de mesure, bornes de paiement autonomes : tous peuvent être exposés sur Internet. Aucun n'est nécessairement dans votre inventaire NIS2. Notre article sur le shadow IT et les actifs inconnus dans le périmètre NIS2 documente ce phénomène pour les actifs IT classiques. L'incident d'octobre montre que le même risque, avec les mêmes conséquences réglementaires, s'applique aux actifs OT.
Deux mois sans détection : une défaillance réglementaire
La NIS2 impose deux délais de notification : 24 heures pour l'alerte initiale, 72 heures pour le rapport complet. Ces délais supposent que l'incident soit détecté. Un attaquant présent depuis deux mois sur votre infrastructure n'a pas déclenché de notification parce qu'il n'avait pas été détecté.
Les équipements OT ne génèrent pas, par défaut, des journaux exploitables dans un SIEM. Ils ne font pas l'objet de surveillance par les équipes SOC. Ils n'apparaissent pas dans les tableaux de bord de détection. Sans journalisation centralisée de ces équipements et sans corrélation avec votre dispositif de détection, le délai de présence aurait pu être bien supérieur à deux mois.
La mise en conformité NIS2 ne se limite pas à des politiques documentées et à des mesures techniques sur les serveurs. Elle implique de couvrir l'ensemble du périmètre, OT inclus, par un dispositif de détection cohérent avec les délais de notification imposés.
Ce que l'ANSSI recommande
L'ANSSI a publié des recommandations immédiatement après la confirmation de l'incident. Deux points méritent d'être retenus au-delà du cas Danfoss.
Premier point : supprimer l'exposition directe des équipements OT sur Internet. La télémaintenance est autorisée, mais uniquement via un réseau protégé ou une connexion VPN avec authentification forte. Cette recommandation figure dans le Guide d'hygiène informatique de l'ANSSI depuis 2017. Elle n'est pas nouvelle. Elle est massivement ignorée.
Second point : pour les équipements en fin de vie sans correctifs disponibles, l'isolation ou le remplacement sont les seules options valables. Maintenir en production un équipement réseau non maintenu dans un périmètre NIS2 constitue une non-conformité caractérisée, documentable lors d'un audit de maturité.
Trois actions à conduire sans attendre
Intégrez vos actifs OT dans votre inventaire NIS2. Demandez à vos équipes techniques la liste de tous les équipements connectés au réseau qui ne sont pas des postes de travail ou des serveurs classiques. Automates, contrôleurs, interfaces homme-machine, équipements de mesure : ils doivent figurer dans votre registre avec leur version logicielle, leur état de maintenance et leur mode d'accès réseau.
Vérifiez l'exposition Internet de ces équipements. Un scan de surface d'attaque externe sur votre plage d'adresses vous donnera, en quelques heures, la liste des actifs directement joignables depuis Internet. Si des contrôleurs OT figurent dans ce résultat, mettez-les hors ligne ou isolez-les derrière un VPN avant toute autre action.
Identifiez les équipements OT en fin de vie sans correctifs. Un actif en fin de vie sur un réseau NIS2, sans plan de remplacement documenté, est un risque à formaliser dans votre registre. Il devra faire l'objet d'une mesure compensatoire explicite dans votre évaluation des risques.
Si cette revue n'a pas encore été conduite dans votre organisation, notre prestation de diagnostic NIS2 inclut une analyse du périmètre des actifs soumis aux obligations de sécurité, OT inclus.