Un réapprovisionnement qui sent le bricolage

Les rayons se remplissent à nouveau. Les caisses scannent les codes-barres. Les clients, eux, ne savent pas que pendant douze jours, leurs données ont été exposées comme du papier à lettres. Delhaize parle de « rétablissement progressif ». Traduction : on a colmaté les fuites, mais le bateau prend encore l’eau. Le vrai problème, ce n’est pas la durée de l’indisponibilité. C’est ce qui a permis que ça arrive.

En 2022, le groupe Ahold Delhaize, qui détient Delhaize, Albert Heijn, ou encore Lidl en Allemagne, a dépensé 1,2 milliard d’euros en coûts IT et cybersécurité, selon son dernier rapport annuel. Un budget pharaonique. Pourtant, l’attaque a frappé là où ça fait mal : les systèmes de gestion des stocks, les commandes entre magasins, les interfaces avec les fournisseurs. Bref, tout ce qui fait tourner le quotidien.

Et voici le détail qui cloche : les magasins peuvent à nouveau passer commande. Pas que les systèmes soient réparés. Pas que les failles soient bouchées. Juste qu’on ait trouvé un moyen de contourner le problème. Comme si on avait rebranché un fil électrique après avoir coupé le courant, sans jamais comprendre pourquoi il a sauté.

Delhaize mise sur la résilience des employés. Les gérants appellent les fournisseurs par téléphone. Les équipes informatiques trient les commandes manuellement. Les clients, eux, ne voient rien. Sauf que cette résilience, c’est un leurre. Une entreprise qui dépend de la débrouillardise de ses salariés pour fonctionner, c’est une entreprise qui a déjà perdu.

Et puis, il y a cette question : pourquoi les services en ligne ne sont-ils rétablis qu’à 80 % ce week-end ? Delhaize parle de « pleine capacité ». Traduction : on va faire semblant que tout est rentré dans l’ordre, mais en réalité, certains modules restent en mode dégradé. Comme un hôpital qui rouvre ses urgences, mais garde une aile entière sous scellés.

Le silence des régulateurs : un complice de taille

En France, une cyberattaque sur une grande enseigne comme Delhaize, ça devrait faire réagir. Ça devrait faire mal. Pourtant, rien. Pas de sanction, pas d’enquête publique, pas même une mise en garde officielle. Les autorités préfèrent fermer les yeux.

Pourquoi ? Parce que Delhaize, c’est un géant. Parce que les amendes en France pour négligence en cybersécurité sont dérisoires, même en cas de faille avérée, les sanctions restent symboliques. En 2023, la CNIL a infligé une amende de 1,5 million d’euros à une entreprise pour une fuite de données. 1,5 million. Pour une multinationale comme Ahold Delhaize, c’est l’équivalent d’un avertissement écrit.

Le vrai coût, ce sont les clients. Ceux qui ont vu leurs données personnelles exposées. Ceux qui ont fait la queue devant des rayons vides parce que les commandes n’arrivaient pas. Ceux qui, aujourd’hui, ignorent encore que leur carte bancaire a pu être compromise pendant ces douze jours. Mais personne ne les comptera.

Et puis, il y a cette petite phrase dans le communiqué de Delhaize : « Nous continuons à renforcer nos mesures de sécurité. » Renforcer ? Après l’attaque ? Ça veut dire quoi, « renforcer » ? Ajouter une couche de vernis sur une rouille ? Ou bien est-ce que ça signifie qu’ils ont enfin compris que leur système était pourri jusqu’à la moelle ?

Ce que personne ne dit sur les fournisseurs

Derrière les rayons qui se remplissent, il y a une armée de sous-traitants. Ceux qui gèrent les stocks. Ceux qui livrent les produits. Ceux qui, pendant douze jours, ont dû improviser parce que les systèmes de Delhaize ne fonctionnaient plus. Et eux, on n’en parle pas.

Pourquoi ? Parce que ces fournisseurs, ce sont souvent des PME. Des structures fragiles, qui dépendent à 100 % des données que leur envoie Delhaize. Une attaque comme celle-ci, ça les tue. Pas seulement parce qu’ils perdent des contrats. Parce qu’ils se retrouvent avec des systèmes incompatibles, des factures en double, des livraisons bloquées. Delhaize a externalisé ses risques. Et maintenant, ce sont les petits qui trinquent.

Prenez l’exemple de Systra, un spécialiste de la logistique qui travaille avec Delhaize en Belgique. Pendant l’attaque, leurs algorithmes de routage ont été paralysés. Résultat : des camions à l’arrêt, des retards en cascade, des pénalités de retard. Personne n’a rendu de compte. Personne n’a expliqué pourquoi ces sous-traitants n’avaient pas été prévenus à temps. Parce que ça arrange tout le monde de ne pas poser la question.

Le vrai danger : la prochaine fois, ce sera pire

Delhaize s’en sortira. Les rayons seront pleins. Les sites fonctionneront. Mais la prochaine attaque, elle viendra. Et elle sera plus violente.

Pourquoi ? Parce que Delhaize a un problème structurel. Un problème de taille. Leurs systèmes sont vieux. Trop vieux. Construit dans les années 2000, quand la cybersécurité était une option, pas une obligation. Aujourd’hui, ces systèmes sont des cibles faciles. Des portes ouvertes pour les pirates.

Et puis, il y a cette dépendance aux legacy systems, ces vieux logiciels que personne n’ose toucher parce que « ça marche ». Sauf que « ça marche » jusqu’au jour où ça ne marche plus.

En 2020, une étude de McKinsey avait révélé que 70 % des grandes entreprises européennes avaient des failles critiques dans leurs infrastructures IT. Delhaize était dans cette statistique. Et aujourd’hui, on voit le résultat.

Le pire, c’est que personne ne semble surpris. Personne ne bronche. Parce que c’est devenu la norme. Une cyberattaque, ça fait partie des risques du métier. Comme une grève, comme une tempête. Sauf que là, ce n’est pas une fatalité. C’est une négligence.

La leçon que personne ne veut tirer

Delhaize va rebondir. Les actionnaires sont rassurés. Les clients, eux, ne savent pas que leur vie privée a été mise en péril. Et dans six mois, on en reparlera. Quand la prochaine attaque frappera.

La vraie question, ce n’est pas « Comment Delhaize a-t-elle été piratée ? » C’est « Pourquoi personne ne fait rien pour l’empêcher ? »

Parce que derrière cette histoire, il y a un système qui marche à l’envers. Des géants qui prennent des risques, des régulateurs qui ferment les yeux, et des millions de clients qui paient l’addition.

Ce week-end, les sites de Delhaize seront « rétablis ». Les rayons seront pleins. Mais la prochaine fois, ce sera pire. Et cette fois, personne ne pourra dire qu’on ne savait pas.