En octobre 2026, une cyberattaque contre des systèmes de réfrigération de supermarchés français a provoqué des perturbations opérationnelles et d’importantes pertes de marchandises. Cet incident, impliquant notamment des équipements Danfoss, illustre les enjeux de cybersécurité industrielle et souligne l’importance du Cyber Resilience Act pour les fabricants de produits connectés.
Quand une vulnérabilité numérique affecte les opérations physiques
Dans la nuit du 11 au 12 octobre 2026, plusieurs enseignes de la grande distribution ont été confrontées à des dysfonctionnements de leurs installations frigorifiques, à la suite de compromissions de systèmes de contrôle à distance.
Les attaquants ont pu modifier les paramètres de fonctionnement de certains équipements, notamment les cycles de dégivrage et les consignes de température. Les conséquences ont été immédiates pour les magasins concernés, avec des pertes de denrées alimentaires, des interruptions d’exploitation et des opérations de remise en service.
Le 12 octobre, le Centre gouvernemental de veille, d’alerte et de réponse aux attaques informatiques (CERT-FR) a publié une alerte visant plusieurs familles de contrôleurs de réfrigération, dont les séries Danfoss AK-SM et AK-SC, ainsi que des équipements Copeland et Dixell.
Dans le secteur industriel, cet incident rappelle que la cybersécurité d’un produit connecté conditionne directement la fiabilité des activités qu’il permet d’assurer.
Un système de supervision, un capteur ou un équipement industriel constitue désormais un point d’interaction entre les environnements numériques et physiques. Sa compromission peut affecter la production, la qualité de service, la sécurité des installations et la continuité d’activité, sans parler des enjeux réputationnels et financiers associés.
Des vulnérabilités connues aux difficultés de mise à jour
L’affaire Danfoss met également en lumière un enjeu récurrent de la cybersécurité des équipements industriels. La découverte d’une vulnérabilité, la publication d’un correctif et son déploiement effectif constituent trois étapes distinctes.
Des travaux de recherche en sécurité avaient déjà documenté des vulnérabilités affectant certains contrôleurs de réfrigération. Toutefois, les investigations disponibles à ce stade permettent encore difficilement d’établir précisément le mécanisme utilisé lors de chaque compromission.
Dans les environnements industriels, la maintenance des produits connectés mobilise souvent plusieurs intervenants. Fabricants, intégrateurs, exploitants et prestataires techniques interviennent à différentes étapes du cycle de vie des équipements.
Une mise à jour peut nécessiter une intervention planifiée, une validation technique ou une interruption temporaire du service. La maîtrise du risque dépend alors de la qualité des informations transmises, de l’identification des équipements concernés et de la coordination entre les acteurs.
La disponibilité d’un correctif prend toute sa valeur lorsque son déploiement peut être organisé, suivi et vérifié.
Ce que le Cyber Resilience Act change pour les fabricants
Le Cyber Resilience Act (CRA), règlement européen 2024/2847, établit un cadre commun de cybersécurité pour les produits comportant des éléments numériques.
Depuis le 11 septembre 2026, ses obligations de signalement imposent aux fabricants concernés de notifier les vulnérabilités activement exploitées et les incidents graves affectant la sécurité de leurs produits.
Une première alerte doit être transmise dans les 24 heures suivant la prise de connaissance de l’événement, puis une notification plus complète sous 72 heures. Le dispositif s’appuie sur la plateforme européenne de signalement opérée par l’ENISA.
Ces obligations concernent également les produits déjà mis sur le marché, dès lors qu’ils relèvent du champ d’application du règlement. Leur mise en œuvre dans le cas précis de l’incident Danfoss dépend de la qualification des faits et des conditions prévues par le texte.
Le 11 décembre 2027 marquera l’application générale des principales exigences du CRA. Les fabricants devront notamment intégrer la cybersécurité dès la conception, organiser le traitement des vulnérabilités, documenter la conformité et assurer le suivi des produits pendant leur période de support.
L’affaire des systèmes de réfrigération illustre ainsi toute la portée du règlement. La conformité repose sur une connaissance précise des produits, de leurs composants, des risques associés et des actions engagées au cours de leur cycle de vie.
Une responsabilité qui s’organise sur toute la chaîne de valeur
Pour les fabricants de produits numériques, plusieurs priorités se dégagent.
La première concerne la cartographie des produits et de leurs composants. Identifier rapidement les références, versions logicielles et équipements exposés permet de mesurer l’impact potentiel d’une vulnérabilité.
La deuxième porte sur la gestion des vulnérabilités et des correctifs. Chaque alerte doit pouvoir être qualifiée, reliée aux produits concernés et suivie jusqu’à la mise en œuvre des mesures appropriées.
La troisième relève de la coordination et de la traçabilité. Les équipes Produit, Ingénierie, Cybersécurité, Support et Conformité doivent disposer d’informations cohérentes et de responsabilités clairement établies.
Enfin, la maîtrise des risques implique une capacité à documenter les décisions, les communications et les actions correctives. Cette continuité facilite les opérations de maintenance, les évaluations de conformité et la préparation aux obligations réglementaires.
Pour les entreprises, le CRA encourage ainsi une évolution des pratiques de gouvernance produit. La cybersécurité s’inscrit dans la durée, depuis les premières décisions de conception jusqu’au suivi des équipements en exploitation.
Hoctave, une approche de la conformité centrée sur chaque produit
L’actualité récente confirme l’importance d’une information structurée et accessible pour piloter la cybersécurité des produits numériques. C’est dans cette perspective que s’inscrit Hoctave CRA Manager, une plateforme SaaS européenne dédiée au pilotage de la conformité au Cyber Resilience Act. Elle permet, entre autres, aux fabricants et aux éditeurs de centraliser leurs produits, leurs composants, les exigences réglementaires, les vulnérabilités, les risques et les preuves de conformité dans un environnement commun.
Cette approche vise à faciliter la coordination des équipes, le suivi des actions et la préparation des échéances réglementaires.
Sources et références
- CERT-FR, Incident de sécurité ciblant les contrôleurs à distance des installations de réfrigération, alerte CERTFR-2026-ALE-012, octobre 2026.
- Claroty Team82, France Supermarket Hacks Expose Risks of Internet-Facing Refrigeration Systems, 12 octobre 2026.
- Commission européenne, Cyber Resilience Act – Reporting obligations.
- Règlement (UE) 2024/2847 du Parlement européen et du Conseil relatif aux exigences horizontales en matière de cybersécurité pour les produits comportant des éléments numériques.