Le jour où les frigos sont devenus des fours sans que personne ne demande d’argent
C’est une scène de fin du monde, version supermarché. Dans la nuit du 11 au 12 octobre, quelque chose a forcé les frigos Danfoss de 400 magasins à monter leur température jusqu’à 50 °C. Pas un incident, pas une panne isolée : un coup précis, ciblé, et surtout, gratuit. Pas de rançon. Pas de note de l’attaquant. Juste des aliments qui pourrissent, des pertes estimées à plusieurs millions, et un silence gêné de la part des autorités.
Pourtant, ça aurait pu être pire. Beaucoup pire. Parce que cette attaque, c’est la preuve qu’on a sous-estimé un danger bien plus grand que le piratage classique : celui des infrastructures critiques qu’on ne voit pas. Les frigos, c’est le début. Le reste, ça pourrait être les hôpitaux, les centrales électriques, les usines. Et personne n’est prêt.
L’attaque qui n’en était pas une
D’abord, il faut comprendre ce qui s’est passé. Une cyberattaque, oui. Mais pas celle qu’on imagine. Pas de ransomware qui crypte les données en échange d’un paiement. Pas de demande d’argent. Juste une intrusion qui a désactivé des milliers de systèmes de régulation de température, comme si quelqu’un avait appuyé sur un gros bouton rouge marqué « Panique ».
Les supermarchés touchés ? Carrefour, Leclerc, Intermarché, Casino. Des enseignes qui dépendent massivement des mêmes fournisseurs de matériel, dont Danfoss, un géant danois des systèmes de contrôle climatique. Une faille dans leur logiciel, une porte dérobée, ou simplement une négligence ? Personne ne sait. Danfoss a parlé d’une « anomalie », le parquet de Paris d’une « enquête en cours ». Bref, des réponses qui en disent long sur l’absence de réponses.
Ce qui intrigue, c’est l’absence de rançon. Pourquoi attaquer sans exiger d’argent ? Deux hypothèses. La première, c’est l’esprit de vengeance : un ancien employé, un concurrent, ou un groupe qui en avait marre d’un système trop verrouillé. La deuxième, c’est l’entraînement : tester les défenses avant un coup plus gros. Comme un cambrioleur qui force une serrure pour voir si elle cède, avant de revenir avec un camion.
Sauf que là , le cambrioleur a laissé la porte ouverte.
Le silence des autorités, ou l’art de ne pas voir
Matignon s’est fendu d’un communiqué. « La situation est sous contrôle. » Le parquet de Paris a ouvert une enquête. « On investigue. » Les ministères concernés ? Muets. Comme si on avait affaire à un incident mineur, alors que c’en est un majeur.
Pourquoi ce mutisme ? Parce que reconnaître l’ampleur du problème, c’est admettre une faille systémique. La France, comme beaucoup de pays, mise sur la dissuasion : « On ne paiera pas, donc les attaquants iront ailleurs. » Sauf que là , on n’a rien payé, et pourtant, l’attaque a eu lieu. Preuve que la dissuasion, c’est comme un cadenas sur une porte en verre : ça fait joli, mais ça ne sert à rien.
Et puis, il y a le déni. On préfère parler de « cybermenace » de manière abstraite, comme une guerre lointaine, alors que là , c’était concret : des étagères vides, des clients en colère, et des pertes en cascade. Le rapport 2023 de l’ANSSI (Agence nationale de la sécurité des systèmes d’information) le disait clairement : « 80 % des entreprises françaises sont vulnérables à une attaque par chaîne d’approvisionnement. » Traduction : si Danfoss est piraté, c’est 400 magasins, 2 000, 20 000 qui tombent. Et personne ne bronche.
La vraie cible n’était pas les frigos
Voilà le problème. Cette attaque, aussi bizarre soit-elle, n’était pas vraiment contre les supermarchés. C’était un message. Un test. Une façon de dire : « Vos systèmes sont pourris, et on peut les faire sauter quand on veut. »
Danfoss, c’est un maillon faible. Mais ce qui fait peur, c’est ce qu’on ne voit pas. Les hôpitaux qui dépendent de systèmes similaires pour leurs réserves de sang ou de médicaments. Les centrales nucléaires qui utilisent des logiciels vieillissants. Les usines qui automatisent tout, sans se soucier des failles. Une attaque comme celle-là , si elle était ciblée sur un secteur stratégique, pourrait paralyser un pays en quelques heures.
Et le pire ? On n’est pas prêts. Pas parce qu’on manque d’experts, mais parce qu’on manque de volonté politique. La cybersécurité, c’est cher. C’est long. Et ça ne fait pas de bons discours. Alors on attend le prochain incident. Comme un enfant qui touche le feu en se disant « Ça va pas me brûler », jusqu’au jour où ça brûle.
Ce que ça change pour vous, client lambda
Vous, vous allez peut-être rien remarquer. Sauf si vous avez fait vos courses entre le 11 et le 13 octobre dans un magasin touché. Là , vous avez peut-être trouvé des yaourts tièdes, des légumes mollassons, et des caisses de bière à 18 °C. Pas le drame du siècle. Mais un avant-goût.
Parce que la prochaine fois, ce ne sera pas les frigos. Ce sera autre chose. Un hôpital qui ne peut plus refroidir ses vaccins. Une usine qui s’arrête net. Une ville dont les feux tricolores s’éteignent. Et là , vous allez comprendre.
Le vrai scandale, ce n’est pas que 400 magasins aient eu chaud. C’est que personne ne semble s’en soucier avant que ça ne devienne un vrai problème.
La leçon (si on en tire une)
Alors, que faire ? D’abord, arrêter de croire que « ça n’arrivera pas ici ». Ensuite, exiger des comptes. Pas des communiqués lisses, pas des « on fait le nécessaire », mais des actions concrètes : audits obligatoires, sanctions pour les entreprises négligentes, et un vrai plan national de résilience.
Parce que la prochaine fois, la rançon ne sera pas en bitcoins. Elle sera en vies humaines.
Et là , on ne pourra plus dire qu’on ne savait pas.
