Dans la nuit du 11 au 12 octobre 2026, une cyberattaque d’ampleur a visé les systèmes frigorifiques de plusieurs centaines de supermarchés en France. Selon Le Monde du 12 octobre 2026, les congélateurs et les chambres froides ont surchauffé pendant la nuit, provoquant des tonnes de pertes de marchandises, avec une température montée jusqu’à 50 °C dans une chambre froide et des équipements qui auraient fondu sous l’effet d’une chaleur montée à 80 °C selon la page d’un magasin citée par le journal. D’après Le Figaro du 12 octobre 2026, l’attaque, qualifiée d’« inédite » et d’« une extrême gravité » par le dirigeant d’un groupement coopératif cité par le journal, aurait visé les installations de production de froid de plusieurs centaines de magasins et se chiffrerait en millions d’euros de marchandises détruites. Le Monde précise que la faille proviendrait d’un logiciel d’un éditeur européen de solutions de pilotage frigorifique, que les pirates auraient allongé la durée du cycle de dégivrage d’une heure à huit heures pour retarder le déclenchement des alarmes, et qu’une enquête a été ouverte par l’office anticybercriminalité. À la date de rédaction du présent article, aucune responsabilité n’est établie par une décision de justice, l’enquête suit son cours, et les contrats signés entre les parties priment sur toute analyse générale : seul le juge, saisi des faits et des pièces de chaque dossier, tranchera les litiges nés de cette nuit-là. Reste une question immédiate pour des milliers d’entreprises : quand le client ne peut plus vendre parce que ses frigos sont restés au chaud, comment le fournisseur se fait-il payer ? Le présent article répond à cette question du point de vue du fournisseur victime, avec les textes applicables et les décisions rendues par les juridictions françaises.

I. Se faire payer les marchandises livrées quand le client ne peut plus les vendre

A. Marchandises encore en nature : comment revendiquer grâce à la clause de réserve de propriété ?

Le premier réflexe du fournisseur impayé consiste à vérifier si ses marchandises existent encore en nature chez le client. Les produits frais et surgelés restés au chaud ont, pour une large part, été détruits : ils ne peuvent plus être revendiqués en nature. Mais tout n’est pas perdu pour autant. Les palettes non ouvertes conservées dans un entrepôt épargné, les marchandises stockées dans un magasin du même client resté hors d’atteinte de l’attaque, les produits secs livrés avec la même commande ou les lots déjà réexpédiés vers une plateforme logistique existent peut-être encore. C’est sur ces biens subsistants que joue la clause de réserve de propriété, l’arme la plus directe du fournisseur.

Le mécanisme est posé par l’article 2367 du code civil, aux termes duquel « La propriété d’un bien peut être retenue en garantie par l’effet d’une clause de réserve de propriété qui suspend l’effet translatif d’un contrat jusqu’au complet paiement de l’obligation qui en constitue la contrepartie. » Autrement dit, le fournisseur qui a stipulé une telle clause reste propriétaire des marchandises jusqu’à leur complet paiement, alors même qu’il les a livrées. La propriété ainsi réservée est, précise le même texte, « l’accessoire de la créance dont elle garantit le paiement ».

Trois conditions pratiques décident de l’efficacité de la clause. D’abord, elle doit exister par écrit au plus tard au moment de la livraison. L’article L. 624-16 du code de commerce dispose en effet que « Peuvent également être revendiqués, s’ils se retrouvent en nature au moment de l’ouverture de la procédure, les biens vendus avec une clause de réserve de propriété. » et que « Cette clause doit avoir été convenue entre les parties dans un écrit au plus tard au moment de la livraison. » Le même texte admet qu’« Elle peut l’être dans un écrit régissant un ensemble d’opérations commerciales convenues entre les parties », ce qui vise les conditions générales de vente acceptées par le client : un fournisseur dont les conditions générales, signées ou habituellement appliquées dans la relation d’affaires, stipulent la réserve de propriété remplit cette condition, tandis qu’une clause glissée après coup sur une facture adressée postérieurement à la livraison risque fort d’être écartée. Ensuite, les biens doivent se retrouver en nature : des denrées détruites parce que la chaîne du froid a été rompue ne se retrouvent plus en nature et ne peuvent plus être revendiquées comme telles. Le texte ouvre toutefois une souplesse pour les biens fongibles, ceux qui se confondent par leur nature et leur qualité. « La revendication en nature peut également s’exercer sur des biens fongibles lorsque des biens de même nature et de même qualité se trouvent entre les mains du débiteur ou de toute personne les détenant pour son compte. » Pour un fournisseur de produits alimentaires standardisés, cette porte mérite d’être examinée lot par lot avec les bons de livraison. Enfin, la revendication suppose d’agir vite et dans les formes : mise en demeure de restituer, inventaire contradictoire si possible, constat d’huissier, devenu commissaire de justice, des stocks subsistants, et, si le client fait l’objet d’une procédure collective, revendication exercée dans le cadre de cette procédure.

Le cas particulier des centrales d’achat et des groupements mérite une attention propre. Quand le fournisseur a contracté avec une centrale qui a ensuite réparti les marchandises entre des magasins adhérents juridiquement distincts, la revendication doit être dirigée contre le détenteur effectif des biens, et la clause doit être opposable à celui-ci. La chaîne documentaire, bons de commande, bons de livraison signés, factures mentionnant la clause, prend ici toute sa valeur : « Celui qui réclame l’exécution d’une obligation doit la prouver », rappelle l’article 1353 du code civil. Concrètement, le fournisseur victime de la cyberattaque d’octobre 2026 a donc intérêt à dresser sans attendre, client par client et site par site, l’état des marchandises subsistantes, à rapprocher chaque lot de son écrit de réserve de propriété et à faire constater l’existant avant toute négociation.

B. Marchandises détruites ou déjà revendues : comment déclarer, prouver et faire courir les intérêts ?

Quand les marchandises ont péri dans des meubles frigorifiques restés au chaud, la revendication en nature n’est plus possible et le fournisseur redevient un créancier de somme d’argent parmi d’autres. Sa créance n’en est pas moins exigible, et plusieurs leviers permettent d’en obtenir le paiement avec les accessoires.

Le premier levier est la facture, qui reste l’acte de base de tout recouvrement entre professionnels. L’article L. 441-9 du code de commerce dispose que « Tout achat de produits ou toute prestation de service pour une activité professionnelle fait l’objet d’une facturation. » et que « L’acheteur est tenu de la réclamer. » Une facture régulière, émise dès la livraison, mentionnant la dénomination précise des produits, les quantités, les prix unitaires et la date de règlement, constitue le titre dont le juge partira. Le fournisseur veillera à ce que ses factures mentionnent la clause de réserve de propriété et la date de règlement convenue : en cas de contestation ultérieure sur les délais ou sur la propriété, ces mentions feront foi jusqu’à preuve contraire.

Le deuxième levier est le délai de paiement, strictement encadré entre professionnels. L’article L. 441-10 du code de commerce prévoit que « le délai de règlement des sommes dues ne peut dépasser trente jours après la date de réception des marchandises ou d’exécution de la prestation demandée. » et que « Le délai convenu entre les parties pour régler les sommes dues ne peut dépasser soixante jours après la date d’émission de la facture. » Un client qui invoquerait la cyberattaque pour différer unilatéralement le paiement au-delà de ces plafonds se heurterait à ces bornes légales : la destruction des marchandises chez l’acheteur n’éteint pas l’obligation de payer le prix convenu, sauf stipulation contraire ou décision du juge. Dès le lendemain de la date de règlement figurant sur la facture, des pénalités de retard sont exigibles, et le créancier peut réclamer l’indemnité forfaitaire pour frais de recouvrement : son montant « est fixé à 40 euros » par l’article D. 441-5 du code de commerce. Ces pénalités et cette indemnité sont dues de plein droit, sans qu’une mise en demeure préalable soit nécessaire pour les faire courir, dès lors que les conditions de règlement les prévoyaient.

Le troisième levier est l’intérêt moratoire du droit commun, qui s’ajoute aux pénalités commerciales lorsque le retard cause un préjudice distinct ou lorsque le contrat n’avait pas prévu de taux. L’article 1231-6 du code civil dispose que « Les dommages et intérêts dus à raison du retard dans le paiement d’une obligation de somme d’argent consistent dans l’intérêt au taux légal, à compter de la mise en demeure. » et que « Ces dommages et intérêts sont dus sans que le créancier soit tenu de justifier d’aucune perte. » La mise en demeure, par lettre recommandée avec demande d’avis de réception ou par acte de commissaire de justice, fait donc courir l’intérêt légal sans que le fournisseur ait à démontrer un préjudice particulier. Et si le débiteur a, par sa mauvaise foi, causé un préjudice indépendant du simple retard, par exemple en laissant croire qu’il paierait pour obtenir de nouvelles livraisons, le même texte ouvre droit à des dommages et intérêts distincts de l’intérêt moratoire.

Le quatrième levier joue lorsque le client, fragilisé par la destruction de ses stocks, fait l’objet d’une procédure collective. L’article L. 624-18 du code de commerce permet alors de revendiquer « le prix ou la partie du prix des biens visés à l’article L. 624-16 qui n’a été ni payé, ni réglé en valeur, ni compensé entre le débiteur et l’acheteur à la date du jugement ouvrant la procédure. » Surtout, le même texte ajoute que « Peut être revendiquée dans les mêmes conditions l’indemnité d’assurance subrogée au bien. » Autrement dit, si l’assureur du magasin a indemnisé la destruction des stocks, le fournisseur muni d’une clause de réserve de propriété pourrait revendiquer cette indemnité d’assurance à proportion de ses marchandises impayées détruites. Cette perspective justifie à elle seule de déclarer la créance dans la procédure dans les délais, de faire reconnaître la clause et de surveiller le règlement du sinistre par l’assureur du client.

Face à l’argument de force majeure que le client ne manquera pas d’opposer, le fournisseur doit connaître le droit applicable sans le sous-estimer. L’article 1218 du code civil définit la force majeure en matière contractuelle comme l’événement qui réunit trois caractères cumulatifs : « un événement échappant au contrôle du débiteur, qui ne pouvait être raisonnablement prévu lors de la conclusion du contrat et dont les effets ne peuvent être évités par des mesures appropriées, empêche l’exécution de son obligation par le débiteur. » Une cyberattaque d’une ampleur inédite, visant simultanément plusieurs centaines de sites par une faille du logiciel de supervision du froid, pourrait être présentée comme répondant à cette définition. Mais deux nuances protègent le fournisseur. D’une part, la force majeure ne joue que si elle empêche réellement l’exécution : or payer le prix de marchandises déjà livrées et consommées ou détruites reste en principe possible, l’obligation de somme d’argent étant rarement rendue inexécutable par un événement extérieur. D’autre part, si l’empêchement n’est que temporaire, « l’exécution de l’obligation est suspendue à moins que le retard qui en résulterait ne justifie la résolution du contrat » : le client pourrait obtenir un délai, mais pas une extinction pure et simple de sa dette. Le fournisseur a donc intérêt à répondre par écrit à toute invocation de force majeure, à exiger la preuve des trois caractères légaux et à proposer un échéancier plutôt qu’à accepter un effacement de la créance.

II. Reporter le risque sur le responsable et sécuriser l’avenir

A. Prestataire informatique et cyberattaque : mise en demeure, résolution et clauses limitatives de responsabilité ?

Le fournisseur n’est pas la seule victime de la chaîne : son client commerçant, dont les stocks ont péri, se retournera vers son propre prestataire, l’éditeur ou le mainteneur du logiciel de pilotage des installations frigorifiques, et vers sa centrale ou son franchiseur selon les cas. Le fournisseur a intérêt à comprendre ce second litige, car la solvabilité de son client et donc le paiement de ses propres factures en dépendent. Et lorsqu’il est lui-même client d’un prestataire informatique pour ses propres outils, les mêmes règles lui sont directement applicables.

La première règle tient à la mise en demeure préalable à toute résolution unilatérale. L’article 1226 du code civil autorise le créancier à « résoudre le contrat par voie de notification » et à ses risques et périls, mais impose : « Sauf urgence, il doit préalablement mettre en demeure le débiteur défaillant de satisfaire à son engagement dans un délai raisonnable. » Cette mise en demeure n’est pas une simple relance : « La mise en demeure mentionne expressément qu’à défaut pour le débiteur de satisfaire à son obligation, le créancier sera en droit de résoudre le contrat. » Faute de cette mention expresse, la résolution est irrégulière. Une illustration récente a été donnée par la cour d’appel de Rouen dans un litige opposant le client d’un intégrateur de logiciel métier à son prestataire : la cour a jugé qu’un simple courrier électronique demandant au prestataire de rappeler d’urgence « afin de faire le point » ne constituait pas la mise en demeure exigée, car « Ce courrier électronique ne saurait constituer la mise en demeure visée par l’article 1226 du code civil dès lors que, formellement et littéralement, il ne fait peser sur la SAS Agorinfo qu’une obligation de rappel le lendemain afin de faire le point, ce qui ne constitue pas une mise en demeure de satisfaire à son engagement. » (cour d’appel de Rouen, chambre civile et commerciale, 24 avril 2025, n° 24/01010). Dans la même décision, la cour a estimé que « la résolution intervenue le 13 avril 2022 a été faite à contretemps et prématurément et a porté sur une inexécution dont la Cour ne peut estimer qu’elle était suffisamment grave pour la motiver », rappelant que « Le créancier doit alors prouver la gravité de l’inexécution. » selon les termes de l’article 1226. Pour le commerçant victime de la cyberattaque d’octobre 2026 comme pour son fournisseur, la leçon est directe : avant de rompre un contrat de maintenance ou de supervision au motif qu’il n’a pas empêché l’attaque, il faut mettre en demeure par écrit, viser expressément la résolution encourue, laisser un délai raisonnable et documenter la gravité de l’inexécution, sous peine de voir la rupture jugée abusive et d’en supporter le coût.

La deuxième règle concerne les clauses par lesquelles le prestataire informatique a limité par avance sa responsabilité : plafonds d’indemnisation, exclusions des préjudices indirects ou pertes d’exploitation, clauses de non-recours. Ces clauses sont en principe valables entre professionnels, mais elles trouvent leur limite dans la faute lourde du débiteur. La Cour de cassation l’a rappelé dans un arrêt du 10 avril 2025 : « Il résulte du premier de ces textes que la faute lourde, assimilable au dol, empêche le contractant auquel elle est imputable de limiter la réparation du préjudice qu’il a causé aux dommages prévus ou prévisibles lors du contrat et de s’en affranchir par une clause de non-recours. » (Cour de cassation, troisième chambre civile, 10 avril 2025, pourvoi n° 23-14.099, ECLI:FR:CCASS:2025:C300206). La haute juridiction précise ce qu’est une faute lourde : « Constitue une faute lourde le comportement d’une extrême gravité, confinant au dol et dénotant l’inaptitude du débiteur de l’obligation à l’accomplissement de la mission contractuelle qu’il avait acceptée. » et ajoute qu’« Cette faute lourde ne peut résulter du seul manquement à une obligation contractuelle, fût-elle essentielle, mais doit se déduire de la gravité du comportement du débiteur. » Appliquée au contentieux né de la cyberattaque d’octobre 2026, cette grille signifie qu’un simple manquement du prestataire de supervision, fût-ce à une obligation présentée comme essentielle, ne suffirait pas à écarter le plafond contractuel : il faudrait démontrer un comportement d’une extrême gravité, par exemple l’absence de correctif d’une faille connue et documentée, l’absence de sauvegarde ou de supervision annoncée mais jamais mise en œuvre, ou une désinvolture caractérisée face aux alertes. C’est une démonstration exigeante, qui suppose un audit technique contradictoire, la conservation des journaux d’exploitation et l’analyse des engagements précis du contrat de maintenance : le commerçant qui voudrait reporter sur son prestataire la destruction de ses stocks devra donc réunir ces pièces techniques avant d’assigner, et son fournisseur, créancier du commerçant, a tout intérêt à suivre ce contentieux dont l’issue conditionne le recouvrement de ses factures.

La troisième règle tient à la collaboration du créancier lui-même. Dans l’affaire jugée à Rouen, la cour a relevé qu’il n’était pas établi à laquelle des parties était imputable l’absence d’installation d’un logiciel, dès lors que les fichiers nécessaires n’avaient pas été transmis au prestataire, et en a tiré la conséquence qu’aucune inexécution suffisamment grave ne pouvait être retenue contre ce dernier. Transposée à la supervision frigorifique, cette exigence signifie que le commerçant devra démontrer qu’il a appliqué les mises à jour proposées, transmis les accès nécessaires et respecté les préconisations de son prestataire : un client qui aurait ignoré pendant des mois les alertes de mise à jour de son logiciel de froid fragiliserait son propre recours. Pour le fournisseur, la leçon est symétrique : dans ses propres contrats informatiques, il doit tracer sa collaboration autant que les manquements du prestataire.

B. Assurance et preuves : comment déclarer le sinistre, constater les pertes et déposer plainte ?

Le dernier volet du dispositif est probatoire et conservatoire, et il se joue dans les jours qui suivent l’attaque. Quatre gestes s’imposent, tant au commerçant dont les stocks ont péri qu’au fournisseur qui veut préserver ses recours.

D’abord, déclarer le sinistre à son assureur sans attendre. L’article L. 113-2 du code des assurances fait obligation à l’assuré « De donner avis à l’assureur, dès qu’il en a eu connaissance et au plus tard dans le délai fixé par le contrat, de tout sinistre de nature à entraîner la garantie de l’assureur. » et précise que « Ce délai ne peut être inférieur à cinq jours ouvrés. » En pratique, les contrats d’assurance dommages et pertes d’exploitation imposent souvent un délai contractuel de cinq jours : le commerçant victime de la nuit du 11 au 12 octobre 2026 devait donc aviser son assureur au plus tard dans les jours suivants, par lettre recommandée ou par envoi recommandé électronique, en décrivant les faits, les biens détruits et les mesures de sauvegarde prises. Le même texte encadre la sanction du retard : « Lorsqu’elle est prévue par une clause du contrat, la déchéance pour déclaration tardive au regard des délais prévus au 3° et au 4° ci-dessus ne peut être opposée à l’assuré que si l’assureur établit que le retard dans la déclaration lui a causé un préjudice. » Un retard de quelques jours n’est donc pas nécessairement fatal, mais il offre à l’assureur un moyen de contestation qu’il serait imprudent de lui donner. Le fournisseur, de son côté, vérifiera sa propre assurance-crédit s’il en a souscrit une : ces polices couvrent l’insolvabilité des clients et imposent elles aussi des délais de déclaration stricts, avec des plafonds par acheteur qu’il faut avoir fait agréer avant le sinistre. Quant au commerçant, il distinguera trois garanties potentiellement mobilisables : la garantie dommages directs pour les marchandises détruites, la garantie pertes d’exploitation pour la marge perdue pendant la fermeture ou la remise en état des rayons, et la garantie cyber quand le contrat en comporte une, qui peut prendre en charge les frais d’expertise informatique, de restauration des systèmes et de notification. Chacune a ses exclusions, ses franchises et ses plafonds : la lecture du contrat, ligne par ligne, prime sur toute promesse commerciale.

Ensuite, faire constater les pertes par un commissaire de justice. La preuve de la destruction, de son étendue et de sa cause appartiendra à celui qui réclame : relevés de température, journaux d’alarmes du système de supervision, photographies des meubles frigorifiques et des marchandises jetées, bons de destruction, attestations du personnel présent dans la nuit, factures d’enlèvement des denrées avariées. Un constat dressé dans les premières heures, avec inventaire chiffré des lots détruits rapprochés des bons de livraison et des factures des fournisseurs, servira à la fois la déclaration à l’assureur, la négociation avec les fournisseurs et un éventuel procès contre le prestataire informatique. Le fournisseur qui craint pour le paiement de ses factures peut lui-même faire constater l’état des stocks subsistants chez son client et adresser une mise en demeure de payer et de restituer, en visant sa clause de réserve de propriété.

Puis, déposer plainte pour les faits de cybercriminalité. L’article 323-1 du code pénal punit de répression l’intrusion dans un système informatique : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. » Le même texte ajoute que « Lorsqu’il en est résulté soit la suppression ou la modification de données contenues dans le système, soit une altération du fonctionnement de ce système, la peine est de cinq ans d’emprisonnement et de 150 000 € d’amende. » La modification des paramètres de dégivrage et l’allongement de sa durée, tels que décrits par la presse, pourraient correspondre à cette circonstance aggravante, sous réserve de l’appréciation du juge. Le dépôt de plainte, en se constituant partie civile, permet à la victime de suivre l’enquête ouverte par l’office anticybercriminalité et de demander réparation de son préjudice devant le juge pénal. Il ne remplace ni la déclaration à l’assureur ni l’action civile contre le prestataire, mais il fige les faits et donne accès aux constatations des enquêteurs.

Enfin, préserver les données techniques. Journaux de supervision, historique des mises à jour du logiciel de froid, échanges avec le prestataire, contrats de maintenance et leurs annexes de sécurité : ces pièces décideront, le moment venu, du sort du recours contre l’éditeur ou le mainteneur. Toute réinstallation hâtive qui effacerait les traces de l’intrusion affaiblirait ce recours : mieux vaut faire intervenir un expert informatique dans un cadre contradictoire, ou à défaut documenté, avant toute remise en service complète.

Conclusion

La cyberattaque de la nuit du 11 au 12 octobre 2026 a détruit des tonnes de marchandises dans les meubles frigorifiques de plusieurs centaines de supermarchés, pour des pertes chiffrées en millions d’euros selon la presse. Pour le fournisseur impayé, l’ordre des opérations est clair : vérifier sans attendre les stocks subsistants et activer la clause de réserve de propriété par écrit, facturer avec rigueur et faire courir pénalités, indemnité forfaitaire de 40 euros et intérêts moratoires après mise en demeure, répondre point par point à toute invocation de force majeure en exigeant la preuve de ses trois caractères légaux, surveiller une éventuelle procédure collective du client pour y déclarer sa créance et revendiquer l’indemnité d’assurance subrogée au bien, puis suivre le contentieux entre le commerçant et son prestataire informatique, où la mise en demeure régulière et la démonstration d’une faute lourde décideront du sort des plafonds de responsabilité. Chaque situation reste gouvernée par ses contrats et ses pièces : les développements qui précèdent décrivent les vérifications utiles dans toute situation comparable et ne préjugent d’aucun dossier particulier, sur lequel seul le juge, au vu des faits établis et des textes applicables, pourra statuer.