Dans la nuit du 11 au 12 octobre 2026, les installations frigorifiques de plusieurs centaines de magasins alimentaires ont été déréglées à distance, selon les informations rapportées par TF1 Info, RFI et l’AFP le 12 octobre 2026. Les températures des meubles froids auraient été modifiées à distance, imposant de jeter l’ensemble des produits frais et surgelés concernés, avec des départs de feu signalés sur certains sites. Le parquet de Paris a annoncé l’ouverture d’une enquête confiée à l’Office anti-cybercriminalité pour recenser les victimes et établir le lien entre l’attaque et les dégâts déclarés. Une enseigne aurait indiqué à l’AFP que les assurances en magasin ne couvriraient pas ce type d’incident. À ce stade, aucune responsabilité n’est établie par une décision de justice, les contrats signés priment sur toute analyse générale et seul le juge décidera des imputations définitives. Pour le commerçant qui découvre ses frigos à l’arrêt et son stock à détruire, l’urgence est double : protéger les clients et figer la preuve, puis déclarer vite et bien pour sauver la garantie perte d’exploitation et préparer le recours contre le prestataire.

I. Frigos coupés par une cyberattaque et stock à jeter : les réflexes qui sauvent le commerçant

A. Ne rien revendre, faire constater la panne et déposer plainte : que faire quand le froid a lâché

Quand la température d’une enceinte réfrigérée a dépassé le seuil réglementaire, le réflexe commercial de sauver une partie du stock est l’erreur qui coûte le plus cher. En droit alimentaire, l’exploitant qui met sur le marché un produit qu’il sait ou devrait savoir dangereux engage sa responsabilité, et la revente après rupture de la chaîne du froid expose à des contrôles, des retraits et des actions en responsabilité de clients. Le cadre général est posé par le code rural : dans l’intérêt de la protection de la santé publique, il est procédé au contrôle officiel des produits d’origine animale, des denrées alimentaires en contenant et des conditions d’hygiène dans lesquelles ces produits sont préparés et conservés (article L231-1 du code rural et de la pêche maritime). Concrètement, tout lot frais ou surgelé resté à température non conforme doit être écarté de la vente, identifié, pesé, photographié puis détruit avec un bon de destruction. Les relevés automatiques de température, les journaux du système de supervision, les alertes SMS et les courriels du frigoriste forment le socle de la preuve : il faut les exporter et les horodater avant toute réinitialisation du système, car une remise en route efface souvent les courbes qui démontrent la durée du dépassement.

Le constat par commissaire de justice, dressé le jour même, change l’issue des litiges d’assurance et de responsabilité. Il fige l’affichage des températures, l’état des groupes froid, les codes d’erreur du superviseur, les quantités détruites et la fermeture partielle du rayon. Entre commerçants, la preuve reste libre : « A l’égard des commerçants, les actes de commerce peuvent se prouver par tous moyens à moins qu’il n’en soit autrement disposé par la loi » (article L110-3 du code de commerce). Mais la liberté de la preuve ne dispense pas de la charge de la preuve : « Celui qui réclame l’exécution d’une obligation doit la prouver. Réciproquement, celui qui se prétend libéré doit justifier le paiement ou le fait qui a produit l’extinction de son obligation » (article 1353 du code civil). Le commerçant qui réclamera sa perte d’exploitation devra donc démontrer le sinistre, sa durée et son chiffrage, et le constat initial sera sa pièce numéro un. Il faut y joindre les factures d’achat du stock détruit, les bons de livraison, les inventaires, les tickets de caisse montrant la chute des ventes, les plannings des salariés maintenus et les factures du frigoriste intervenu en urgence.

Sur le plan pénal, l’attaque décrite par la presse, un dérèglement à distance d’un système de régulation, correspondrait, si elle est confirmée par l’enquête, au délit d’accès et de maintien frauduleux dans un système de traitement automatisé de données : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende » (article 323-1 du code pénal), avec des peines aggravées lorsque des données sont supprimées ou modifiées ou que le fonctionnement du système est altéré. Le dépôt de plainte rapide auprès du commissariat ou de la gendarmerie, avec constitution de partie civile possible, permet d’être rattaché à l’enquête du parquet de Paris et de l’Office anti-cybercriminalité, de verser constats et logs au dossier et de préserver l’action civile. Il faut conserver les journaux de connexion du superviseur froid, ne pas réinstaller le système avant copie complète et demander par écrit au prestataire froid et au fournisseur d’accès les journaux conservés chez eux. Toute victime qui tarde à déposer plainte prend le risque de voir ses pièces contestées et son préjudice discuté.

B. Déclarer le sinistre à l’assurance dans les délais : marchandises détruites et perte d’exploitation

La déclaration de sinistre est le geste qui conditionne toute la suite. Le code des assurances impose à l’assuré « De donner avis à l’assureur, dès qu’il en a eu connaissance et au plus tard dans le délai fixé par le contrat, de tout sinistre de nature à entraîner la garantie de l’assureur. Ce délai ne peut être inférieur à cinq jours ouvrés » (article L113-2 du code des assurances). En pratique, les polices multirisque commerce prévoient souvent cinq jours ouvrés pour un sinistre classique et des délais plus courts pour certains événements, avec une déchéance possible en cas de retard si l’assureur démontre un préjudice, sauf cas fortuit ou force majeure. Après une cyberattaque du froid un dimanche soir avec découverte le lundi matin, il faut déclarer le jour même par lettre recommandée électronique et par téléphone, en visant chaque garantie : denrées périssables et marchandises en atmosphère contrôlée, bris de machine sur les groupes froid, frais de remise en état, frais supplémentaires d’exploitation et perte d’exploitation. Une déclaration qui ne mentionne que le stock et oublie la perte d’exploitation complique l’extension ultérieure de la prise en charge.

Le principe de garantie est large mais encadré par la police : « Les pertes et les dommages occasionnés par des cas fortuits ou causés par la faute de l’assuré sont à la charge de l’assureur, sauf exclusion formelle et limitée contenue dans la police. Toutefois, l’assureur ne répond pas des pertes et dommages provenant d’une faute intentionnelle ou dolosive de l’assuré » (article L113-1 du code des assurances). La formule « exclusion formelle et limitée » est le point de contrôle central quand l’assureur répond que ce type d’incident cyber ne serait pas couvert en magasin : une exclusion doit figurer noir sur blanc dans la police et être limitée dans sa portée pour être opposable. Une clause vague qui écarterait « tout dommage d’origine informatique » sans définir le périmètre, ou un renvoi à une annexe cyber jamais remise lors de la souscription, se discute sérieusement. De même, l’assureur ne peut pas opposer une simple absence de mention de la cyberattaque dans les garanties si le dommage entre dans une garantie souscrite, par exemple le bris de machine ou la détérioration des denrées après panne frigorifique. L’indemnité reste indemnitaire : « L’assurance relative aux biens est un contrat d’indemnité ; l’indemnité due par l’assureur à l’assuré ne peut pas dépasser le montant de la valeur de la chose assurée au moment du sinistre » (article L121-1 du code des assurances), et l’assureur doit exécuter la prestation convenue : « Lors de la réalisation du risque ou à l’échéance du contrat, l’assureur doit exécuter dans le délai convenu la prestation déterminée par le contrat et ne peut être tenu au-delà » (article L113-5 du code des assurances). Pour la perte d’exploitation, il faut transmettre immédiatement le chiffre d’affaires mensuel des deux derniers exercices, la marge brute, les charges fixes maintenues, les salaires, les loyers et les factures d’énergie, afin que l’expert de l’assureur ne réduise pas la période indemnisable au seul jour de la réparation.

À Paris et en Île-de-France, où les magasins alimentaires de centre-ville travaillent avec des stocks tendus et des chambres froides de petite taille, une coupure de froid d’une nuit peut vider un rayon frais entier et imposer une fermeture partielle de plusieurs jours, avec une perte de clientèle durable vers les commerces voisins. Les commerçants parisiens doivent joindre à la déclaration les arrêtés éventuels de la préfecture de police ou les mises en demeure de la direction départementale de la protection des populations, les attestations du bailleur sur la fermeture et les échanges avec la centrale ou le franchiseur sur l’arrêt des livraisons. Le tribunal de commerce de Paris reste le juge naturel des litiges entre commerçants franciliens sur ces sinistres, et un dossier parisien bien horodaté, avec constat du jour même et déclaration du lendemain, pèse nettement plus qu’une réclamation chiffrée six mois plus tard sans pièce contemporaine.

II. Assurance qui refuse ou minimise après une cyberattaque du froid : contester et faire payer le bon débiteur

A. Refus de garantie ou chiffrage au rabais : comment contester une exclusion ou une perte d’exploitation réduite

Quand l’assureur répond que l’incident cyber ne serait pas couvert en magasin ou limite la perte d’exploitation à quelques jours, il faut exiger par écrit le fondement exact du refus : article de la police, texte de l’exclusion, plafond et franchise appliqués, rapport d’expertise sur lequel il se fonde. Une exclusion n’est opposable que si elle est formelle et limitée, et c’est à l’assureur de la produire. Le commerçant doit vérifier trois points dans sa police : la garantie denrées périssables ou marchandises réfrigérées et son plafond, la garantie bris de machine qui conditionne souvent la perte d’exploitation, et la garantie perte d’exploitation elle-même avec sa période d’indemnisation, son plafond exprimé en pourcentage du capital et sa franchise en jours. Si la police garantit les pertes pécuniaires subies du fait de l’interruption ou de la réduction d’activité consécutive à un dommage matériel indemnisé au titre du bris de machine, avec une période d’indemnisation définie comme la période pendant laquelle les résultats de l’entreprise sont affectés par le sinistre, alors toute réduction de la période au seul temps de la réparation doit être motivée pièce par pièce. L’assureur qui se contente d’un rapport amiable non contradictoire et non communiqué prend un risque probatoire réel devant le juge.

La jurisprudence récente sur les pannes de froid montre que le juge fait peser sur l’assuré la preuve de la durée du trouble, mais sanctionne aussi les chiffrages approximatifs. Dans un jugement du 19 mars 2026 sur une panne de groupes froid dans un local du marché d’intérêt national de Marseille, avec deux sinistres successifs et une demande de complément de 45 549 euros au titre de la perte d’exploitation, le tribunal des activités économiques de Marseille a retenu que la garantie perte d’exploitation couvrait bien le sinistre mais a débouté l’assurée sur le complément : « Attendu qu’il y a lieu de constater que la durée considérée pour le calcul de l’indemnité de perte d’exploitation est du 26 juin 2023 au 13 juillet 2023, date à laquelle les installations frigorifiques étaient réparées et opérationnelles » et « Attendu qu’en l’état de ce qui précède, il y a lieu de débouter la société [T] [H] de toutes ses demandes, fins et conclusions avec dépens » (tribunal des activités économiques de Marseille, 19 mars 2026, n° 2025F01590). Le tribunal a relevé qu’une baisse du chiffre d’affaires était visible avant le sinistre et que « que rien de prouve que la baisse du chiffre d’affaires après la date de réparation de l’installation frigorifique soit la conséquence du sinistre et qu’elle peut être liée à d’autre causes ». La leçon pour le commerçant victime de la cyberattaque d’octobre 2026 est directe : pour obtenir une période d’indemnisation longue, il faut démontrer par des pièces contemporaines que le chiffre d’affaires restait dégradé à cause du sinistre après la remise en route, avec une comparaison rigoureuse aux mêmes mois des exercices précédents, corrigée des autres causes de baisse, et une expertise contradictoire. À défaut, le juge limitera l’indemnité à la période de panne avérée, déduction faite de la franchise contractuelle.

La contestation suit un chemin gradué. D’abord une réclamation écrite au service sinistres avec les pièces manquantes : comptabilité mensuelle, attestation de l’expert-comptable sur la marge brute, comparatif de chiffre d’affaires, preuves de la fermeture partielle et des charges maintenues, rapport du frigoriste sur la durée réelle d’indisponibilité. Ensuite la saisine du médiateur de l’assurance après deux mois sans réponse satisfaisante, puis l’assignation devant le tribunal judiciaire ou le tribunal des activités économiques selon la qualité des parties, avec demande d’expertise judiciaire si les deux rapports amiables divergent. Devant le juge, la charge de la preuve reste partagée : l’assuré prouve le sinistre et son préjudice, l’assureur prouve l’exclusion qu’il invoque. Le commerçant qui a déclaré dans les cinq jours ouvrés, conservé ses logs de température, fait dresser un constat et fait chiffrer sa perte par son expert-comptable aborde ce contentieux en position forte. Celui qui a attendu, revendu une partie du stock douteux ou réinitialisé le superviseur sans sauvegarde se verra opposer ses propres manquements, y compris sur la subrogation de l’assureur contre le prestataire.

B. Reporter la charge sur le prestataire du froid et sécuriser la subrogation de l’assureur

La cyberattaque ne fait pas disparaître les contrats : le commerçant paie un prestataire pour installer, maintenir et superviser ses installations frigorifiques, souvent avec une télésurveillance et des mises à jour du logiciel de régulation. Quand le froid est déréglé à distance, deux fautes sont examinées : le défaut de sécurité du système fourni et le défaut de maintenance et de sauvegarde. Le droit commun des contrats s’applique : « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure » (article 1231-1 du code civil), et hors contrat, « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer » (article 1240 du code civil). Le prestataire informatique ou frigoriste qui laisse un accès distant sans mot de passe robuste, qui ne déploie pas les correctifs de sécurité ou qui ne finalise pas la sauvegarde promise engage sa responsabilité, même si l’attaquant reste inconnu. La cyberattaque constitue rarement une force majeure pour le prestataire professionnel, car elle est prévisible dans son principe et doit être combattue par des mesures raisonnables.

Un arrêt récent illustre ce partage des responsabilités après un rançongiciel. Après une attaque par rançongiciel ayant crypté ses fichiers en avril 2020, une société a reproché à son prestataire informatique une sauvegarde non parachevée et des lenteurs persistantes. La cour d’appel de Reims a jugé le prestataire responsable à hauteur de la moitié des dommages et l’a condamné à verser 12 097,59 euros de réparations, détaillés ainsi : « Dit que la société 3 services informatiques est responsable à hauteur de 50 % des dommages subis par la société MISA » et « Condamne la société 3 services informatiques à verser à la société MISA la somme de 12 097,59 euros en réparation de ses préjudices », dont « 7 862,47 euros au titre de la perte d’exploitation » (cour d’appel de Reims, 28 avril 2026, n° 24/01502). La cour a en revanche écarté le temps interne de remise en service résumé dans un tableau fait par la victime elle-même et le coût d’un audit décidé seul, faute de preuve et de lien direct avec la faute. Transposé aux frigos piratés d’octobre 2026, ce raisonnement signifie que le commerçant doit faire établir par un expert indépendant le lien entre le manquement du prestataire froid, par exemple l’absence de correctif ou de cloisonnement des accès distants, et l’ampleur du dommage, et chiffrer chaque poste par facture : stock détruit, remise en état, perte d’exploitation attestée par l’expert-comptable. Les tableaux internes et les audits commandés seul, sans contradictoire, seront écartés comme dans l’arrêt de Reims.

Le montage financier final repose sur la subrogation : une fois indemnisé, le commerçant transmet ses droits contre le prestataire à son assureur, qui poursuit le responsable. Le code des assurances dispose que « l’assureur qui a payé l’indemnité d’assurance est subrogé, jusqu’à concurrence de cette indemnité, dans les droits et actions de l’assuré contre les tiers qui, par leur fait, ont causé le dommage ayant donné lieu à la responsabilité de l’assureur » (article L121-12 du code des assurances). Le commerçant ne doit donc ni transiger seul avec le prestataire après paiement de l’assureur, ni renoncer à ses droits dans un protocole de maintenance sans l’accord de l’assureur, sous peine de voir sa garantie réduite. Il doit mettre en demeure le prestataire dès les premiers jours, par lettre recommandée avec constat et logs, l’inviter aux opérations d’expertise et conserver les pièces du contrat : devis, conditions générales, engagements de supervision, journaux d’intervention et de mise à jour. Quand le prestataire oppose le secret de son logiciel, le commerçant peut rappeler que la protection du secret des affaires suppose une information réellement secrète, à valeur commerciale et protégée par des mesures raisonnables : « Est protégée au titre du secret des affaires toute information répondant aux critères suivants : 1° Elle n’est pas, en elle-même ou dans la configuration et l’assemblage exacts de ses éléments, généralement connue ou aisément accessible […] ; 2° Elle revêt une valeur commerciale […] ; 3° Elle fait l’objet de la part de son détenteur légitime de mesures de protection raisonnables […] » (article L151-1 du code de commerce). Le secret ne fait pas obstacle à l’expertise judiciaire, qui se déroule sous confidentialité. Pour approfondir la gestion des litiges de réseau et de centrale, les lecteurs peuvent utilement relire l’analyse des recours entre adhérent, centrale et prestataire après une cyberattaque du froid et celle des démarches d’indemnisation du stock frais détruit. En Île-de-France, les commerces affiliés à un réseau doivent articuler la mise en cause du prestataire commun avec les stipulations du contrat d’enseigne : certains contrats imposent le prestataire et organisent un recours collectif porté par la tête de réseau, d’autres laissent chaque affilié agir seul, et le choix de la voie collective ou individuelle conditionne les délais et le coût de l’expertise.

Conclusion

La cyberattaque des installations frigorifiques d’octobre 2026 impose au commerçant une discipline de fer : écarter et détruire tout produit douteux, figer la preuve par constat et logs, déposer plainte dans le cadre de l’enquête du parquet de Paris, déclarer chaque garantie dans les cinq jours ouvrés et chiffrer la perte d’exploitation par des pièces contemporaines et contradictoires. L’assureur qui refuse la garantie doit produire une exclusion formelle et limitée, et celui qui réduit la période indemnisée doit motiver pourquoi l’activité n’aurait plus été affectée après la réparation. À défaut de démonstration rigoureuse de la durée du trouble, le juge limitera l’indemnité comme l’a fait le tribunal de Marseille en mars 2026, tandis qu’un prestataire dont la sauvegarde ou la sécurité était défaillante répondra d’une part du dommage comme l’a jugé la cour de Reims en avril 2026. Aucune intrusion, aucun dommage ni aucune responsabilité ne sont établis par une décision à la date de rédaction, les contrats signés priment sur toute analyse générale et seul le juge tranchera, mais le commerçant qui agit dans les quarante-huit heures conserve toutes ses cartes pour être indemnisé puis laisser l’assureur subrogé poursuivre le responsable.