Des pirates chauffent les frigos de supermarchés à 50 °C, premiers cas allemands en Bavière et en Rhénanie-du-Nord-Westphalie

L'exploitant du magasin Edeka de Reisbach s'est exprimé publiquement sur Facebook, rapporte heise online. Il a indiqué que d'énormes quantités de nourriture avaient dû être jetées. "Und das macht uns einfach nur wütend", a-t-il écrit au-dessus d'une photo de marchandises dans un conteneur à déchets, une déclaration reprise par heise le 3 novembre. La direction de la police de Basse-Bavière enquête. Elle dit qu'elle coordonnera son action avec les autorités des autres pays touchés. La police n'a pas confirmé qu'une cyberattaque était à l'origine de la panne.

Des cas ont aussi été signalés en Rhénanie-du-Nord-Westphalie. Le lien entre eux et l'identité des auteurs restent inconnus.

Les incidents allemands s'inscrivent dans un tableau bien plus large. Lundi, des supermarchés en Belgique, au Luxembourg, en Suède, en France, en Finlande, en Irlande et en Estonie ont signalé des perturbations de leurs systèmes de réfrigération et de congélation. Au moins un magasin a enregistré des températures allant jusqu'à 50 °C (122 °F). CNBC rapportait le 3 novembre que des dizaines de magasins Delhaize du groupe Ahold Delhaize avaient été touchés en Belgique et au Luxembourg. Carrefour a déclaré à la BBC que 15 de ses magasins belges avaient été attaqués, et Intermarché a indiqué que 15 de ses 153 points de vente belges étaient concernés. Colruyt Group a précisé que cinq magasins Spar en Belgique avaient été visés, selon Reuters.

"Dans la plupart des cas, les mesures de sécurité en place ont permis de contenir rapidement l'attaque", a déclaré un porte-parole d'Intermarché à CNBC. "Quelques magasins ont toutefois subi des pertes de stock, sans commune mesure avec l'attaque de la mi-octobre." Le même porte-parole a désigné d'autres responsables : "À ce stade, les informations dont nous disposons indiquent que l'essentiel de l'attaque a touché d'autres acteurs du secteur, notamment Carrefour et Delhaize."

Bruxelles réunit une cellule de crise

La Commission européenne est en contact direct avec les autorités nationales. Elle a convoqué mardi matin une réunion de la task force interinstitutionnelle de l'UE avec l'ENISA, Europol et les services concernés de la Commission, a confirmé un porte-parole à CNBC. C'est la réponse officielle la plus concrète à ce jour. Aucune attribution n'a été rendue publique.

IKEA a indiqué à CNBC qu'un incident informatique avait touché les réfrigérateurs et congélateurs de son magasin de Mons, en Belgique, entre dimanche et lundi. L'enseigne inspecte ses équipements et vérifie les installations de ses autres magasins belges. "L'incident a un impact limité sur l'offre de notre restaurant et de notre Swedish Food Market", a déclaré un porte-parole d'IKEA par courriel. ICA, le plus grand distributeur alimentaire suédois, a fait état d'un "nombre limité de magasins" touchés sur des réseaux situés hors de ses systèmes centraux, et indiqué leur apporter son soutien. Kesko en Finlande, SuperValu en Irlande et One Selver en Estonie ont également signalé des perturbations.

La méthode rappelle une attaque contre des supermarchés français à la mi-octobre. Selon heise online, les attaquants de cette vague exploitaient des failles dans d'anciens contrôleurs Danfoss connectés à internet. Ils n'éteignaient pas les frigos mais poussaient fortement les températures vers le haut pour que les aliments se gâtent. Tom's Hardware rapportait le 2 novembre que le même procédé avait été réutilisé : les pirates déclenchaient à distance le mode de dégivrage intégré des appareils, en contournant la température et la durée de dégivrage. Belga News Agency, citée par Tom's Hardware, indiquait que l'attaque belge avait commencé vers minuit dans la nuit de dimanche à lundi. L'entreprise de réfrigération Sabcobel estimait qu'au moins une vingtaine d'unités avaient été touchées dans le pays. Rien ne confirme que les nouveaux cas reposent sur la technique identique.

Le problème des contrôleurs

L'exploitant d'Edeka à Reisbach a défendu le raccordement de sa réfrigération à internet. Il a fait valoir qu'il s'agit d'une pratique courante au service de la sécurité alimentaire : les appareils sont surveillés en permanence. Les coupures de courant, les pertes de fluide frigorigène ou d'autres pannes nocturnes déclenchent des alarmes automatiques et des appels téléphoniques. Les systèmes concernés ont depuis été déconnectés et ne seront pas rebranchés pour l'instant, rapporte heise.

L'agence fédérale allemande de cybersécurité, la BSI, a publié un avertissement. Elle avait déjà signalé des attaques en Pologne, les qualifiant de "rein destruktive Sabotageakte" qui étaient "einfach vermeidbar". Son conseil principal est direct : la protection la plus importante et en même temps la plus simple consiste à déconnecter les systèmes d'internet. Les tunnels VPN, les accès protégés par authentification multifacteur, les listes de blocage, le filtrage des protocoles et les mises à jour compliquent la tâche des attaquants, indique l'agence.

La réglementation se durcit en parallèle. Avec le Cyber Resilience Act, des obligations de diligence renforcées pour les fabricants d'appareils connectés s'appliquent à partir de décembre 2027. Les fabricants doivent signaler les vulnérabilités activement exploitées et les incidents de sécurité graves depuis le 11 septembre 2026, selon heise online.

Les attaques contre les supermarchés ne sont pas la seule activité proche des gouvernements dans l'actualité. Palo Alto Networks Unit 42 a révélé une campagne d'espionnage informatique contre des infrastructures Linux d'entités gouvernementales, suivie sous le nom de CL-UNK-1211 et observée entre octobre 2025 et avril 2026, rapporte The Hacker News le 2 novembre. Les chercheurs Roey Porat et Tom Fakterman ont indiqué que les attaquants avaient tenté d'exfiltrer des bases de données sensibles et des boîtes mail gouvernementales. Plusieurs scripts contenaient des notes de raisonnement conversationnelles, étape par étape, selon les chercheurs. Cela suggère que le code a été copié depuis la sortie d'un prompt d'IA ou déployé par un agent automatisé.

Séparément, Dream Research Labs a rapporté qu'un groupe aligné sur l'Iran appelé DarkBlinders avait compromis une personnalité de premier plan en Israël et un environnement cloud gouvernemental dans la région du Kurdistan irakien entre août et octobre 2026, également relayé par The Hacker News. Kaspersky a de son côté détaillé NetamLoader, un framework de chargement d'assemblages .NET trouvé dans une archive cabinet Windows sur une version personnalisée de Windows 10 utilisée exclusivement par des entités gouvernementales en Asie.