Dans la nuit du dimanche 11 au lundi 12 octobre 2026, les installations frigorifiques de plusieurs centaines de supermarchés français ont été déréglées à distance, selon les informations rapportées par la presse nationale. D’après La Dépêche du 12 octobre 2026, les systèmes de régulation frigorifique de plusieurs enseignes, dont Intermarché et Coopérative U, ont été piratés pour imposer un dégivrage forcé et continu, avec une température fixée à 50 degrés. Le président de Coopérative U a confirmé publiquement le même jour que plusieurs magasins du réseau étaient touchés. En Alsace, deux supermarchés déploreraient à eux seuls 270 000 euros de pertes, 150 magasins Intermarché seraient concernés et la directrice du magasin de Marmande évalue à 75 000 euros la valeur des denrées perdues, selon Sud Ouest du 12 octobre 2026. À la date de rédaction, les auteurs ne sont pas identifiés, aucune décision de justice ne désigne un responsable et aucune responsabilité n’est établie. Les développements qui suivent sont de portée pratique : ils décrivent les vérifications utiles pour tout commerçant dont le stock a été détruit par un équipement défaillant, et ne préjugent d’aucune responsabilité. Les contrats signés priment sur toute analyse générale et seul le juge décide.

I. Faire reconnaître le défaut du système de régulation et obtenir le remboursement intégral

A. Le système de froid livré avec une faille de sécurité est-il un produit défectueux ?

Le commerçant dont les meubles froids sont montés à 50 degrés au cours de la nuit du 11 au 12 octobre 2026 se trouve face à une question première : le système de régulation qui a laissé un tiers prendre la main à distance présentait-il un défaut au sens du droit de la responsabilité du fait des produits défectueux. La réponse conditionne toute l’architecture des recours, car elle désigne un débiteur solvable distinct du pirate inconnu : le producteur de l’équipement. L’article 1245 du code civil dispose que « Le producteur est responsable du dommage causé par un défaut de son produit, qu’il soit ou non lié par un contrat avec la victime. » Le commerçant n’a donc pas besoin d’avoir acheté directement l’équipement au fabricant : même lorsque le système a été posé par un installateur, imposé par un contrat d’enseigne ou fourni dans le cadre d’un contrat de maintenance, l’action contre le producteur reste ouverte, à condition de démontrer un défaut, un dommage et un lien causal entre les deux.

Le défaut s’apprécie au regard de la sécurité à laquelle le public peut légitimement s’attendre. Un système de régulation frigorifique connecté, dont la fonction est précisément de maintenir la chaîne du froid et de protéger des denrées périssables, ne répond pas à cette attente légitime lorsqu’un tiers parvient à en modifier les paramètres à distance pour imposer un dégivrage continu. L’experte en cybersécurité interrogée par Sud Ouest le 12 octobre 2026 explique que la vulnérabilité exploitée avait déjà été renseignée sur Internet et qu’il suffisait de développer un outil pour retrouver les équipements frigorifiques exposés. Si ces éléments techniques se confirment par une expertise judiciaire, ils caractérisent un produit mis en circulation avec une faiblesse de sécurité connue et accessible, ce qui nourrit directement la démonstration du défaut. Le commerçant doit donc, dès les premiers jours, faire constater par écrit l’état des installations, la version du logiciel de régulation, les journaux de connexion et les réglages modifiés, car ces traces constituent le socle de la preuve du défaut.

Le contexte réglementaire européen renforce cette analyse sans la remplacer. Le règlement européen sur la cyber-résilience impose progressivement aux fabricants de produits connectés des obligations de sécurité dès la conception, de gestion des vulnérabilités et de mises à jour, et l’experte citée par Sud Ouest rappelle que ce texte encadre désormais la sécurité des équipements et des logiciels. Ces obligations nouvelles ne créent pas à elles seules une présomption de défaut pour des équipements mis en service avant leur pleine application, et le commerçant ne peut pas se contenter de les invoquer : il doit établir concrètement en quoi le système installé dans son magasin n’offrait pas la sécurité attendue. En pratique, cela passe par une expertise technique qui compare le niveau de protection du système (authentification, chiffrement, cloisonnement, correctifs disponibles) aux règles de l’art et aux usages professionnels du froid commercial. Lorsque l’expert constate l’absence d’authentification robuste sur une interface d’administration accessible depuis Internet, la démonstration du défaut devient solide et l’action contre le producteur prend corps.

Le dommage, lui, se chiffre sans attendre : valeur d’achat des denrées détruites, coût de la destruction et du nettoyage, perte de marge sur les jours de fermeture des rayons, frais de remise en froid et, le cas échéant, atteinte à l’image du magasin. Chaque poste doit être documenté par des pièces contemporaines : factures d’achat, inventaires avant et après sinistre, relevés de température, photographies, constats et attestations du personnel. Le lien causal relie la prise de main à distance à la destruction du stock : les journaux du système, les alertes de température et la chronologie des événements établissent que les denrées ont péri parce que le froid a été coupé par l’intrusion, et non par une panne ordinaire ou une négligence d’exploitation. Le commerçant qui tient ces trois piliers, défaut, dommage et lien causal, dispose d’un dossier recevable contre le producteur, indépendamment de la plainte pénale qui suit son propre cours.

B. Commerçant utilisateur : comment obtenir le remboursement intégral des sommes versées ?

Le commerçant victime cumule souvent les casquettes : il a indemnisé ses propres clients par des avoirs ou des remboursements, il a supporté la destruction du stock et il a parfois engagé sa responsabilité envers des tiers, par exemple un traiteur livré en produits avariés ou un client intoxiqué. La Cour de cassation offre à ce professionnel un levier puissant contre le producteur. Dans un arrêt du 18 février 2026, la première chambre civile juge que « le producteur est responsable du dommage causé par un défaut de son produit, qu’il soit ou non lié par un contrat avec la victime » et elle en déduit que « le professionnel, qui a utilisé un produit défectueux à l’origine d’un dommage et engagé sa responsabilité à l’égard de la victime sur le fondement d’une obligation de sécurité de résultat, peut solliciter du producteur le remboursement de l’intégralité des sommes versées à la victime, en l’absence de toute faute dans l’utilisation du produit » (Cass. 1re civ., 18 févr. 2026, n° 24-19.881). Concrètement, le supermarché qui a remboursé ses clients ou indemnisé un partenaire après la vente de produits restés exposés dans des meubles montés à 50 degrés peut réclamer au producteur du système l’intégralité de ces sommes, dès lors qu’il n’a commis aucune faute dans l’utilisation de l’équipement.

La condition d’absence de faute dans l’utilisation mérite une attention particulière, car le producteur ne manquera pas de la discuter. Il soutiendra que le commerçant aurait dû cloisonner le réseau, changer les mots de passe par défaut, installer les correctifs ou couper l’accès distant. Le commerçant doit donc démontrer qu’il a exploité le système conformément aux préconisations du fabricant et aux usages de la profession : contrats de maintenance honorés, mises à jour appliquées quand elles étaient proposées, consignes du fournisseur respectées. Les échanges écrits avec l’installateur et le mainteneur, les rapports d’intervention et les attestations de mise à jour deviennent des pièces décisives. À l’inverse, un paramétrage manifestement négligent, comme le maintien d’identifiants d’usine sur une interface exposée sur Internet malgré une alerte écrite du fournisseur, fragiliserait le recours. La discipline documentaire des semaines qui suivent le sinistre vaut donc autant que le fond du droit.

La mise en œuvre procédurale suit un chemin balisé. Le commerçant adresse d’abord au producteur une mise en demeure détaillée, chiffrée et accompagnée des constats, qui interrompt les discussions et fixe le point de départ des intérêts. Il agit ensuite en responsabilité du fait des produits défectueux devant la juridiction compétente, en demandant si nécessaire une expertise judiciaire pour établir le défaut et le lien causal. La preuve obéit au principe rappelé par l’article 1353 du code civil : « Celui qui réclame l’exécution d’une obligation doit la prouver. » En matière commerciale, cette preuve se rapporte librement, puisque l’article L. 110-3 du code de commerce dispose qu’« A l’égard des commerçants, les actes de commerce peuvent se prouver par tous moyens à moins qu’il n’en soit autrement disposé par la loi. » Relevés de température, journaux informatiques, constats de commissaire de justice, factures et correspondances forment ensemble un faisceau probant que le juge apprécie souverainement. Le commerçant parisien ou francilien saisit le tribunal des activités économiques de Paris, dont la compétence spécialisée et l’habitude des contentieux techniques du commerce en font la juridiction naturelle des litiges de cette ampleur en Île-de-France, tandis que les constats peuvent être dressés par tout commissaire de justice du ressort du lieu du sinistre.

Lorsque le système a été imposé par un contrat d’enseigne, le dossier s’enrichit d’une corde supplémentaire sans changer de nature : le commerçant vérifie qui a choisi l’équipement, qui l’a négocié et qui en assure le suivi, car ces stipulations orientent la répartition des responsabilités entre l’enseigne, l’installateur et le producteur. Les lecteurs qui s’interrogent sur l’articulation avec le contrat de maintenance et le prestataire informatique trouveront les réflexes utiles dans l’analyse consacrée aux recours du commerçant contre son prestataire après une cyberattaque passée par son équipement, qui complète utilement la présente action dirigée contre le producteur.

II. Articuler l’action contre le fabricant avec le pénal et l’assurance sans tout perdre

A. Plainte pénale et action civile : la relaxe du fabricant bloque-t-elle l’indemnisation ?

Le dérèglement à distance d’installations frigorifiques entre dans le champ des infractions informatiques que le code pénal réprime sévèrement. L’article 323-1 du code pénal punit de trois ans d’emprisonnement et de 100 000 euros d’amende « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données », avec des peines aggravées lorsqu’il en est résulté une altération du fonctionnement du système. L’article 323-3 du code pénal punit de cinq ans d’emprisonnement et de 150 000 euros d’amende le fait de modifier frauduleusement les données d’un tel système. La Cour de cassation précise la portée de ce second texte : « L’article 323-3 du code pénal réprime notamment le fait de modifier ou supprimer frauduleusement les données contenues dans un STAD » (Cass. crim., 8 juin 2021, n° 20-85.853). Le paramétrage imposé à distance, dégivrage forcé et consigne portée à 50 degrés, correspond à ce schéma de modification frauduleuse de données, ce qui fonde le dépôt d’une plainte du commerçant et sa constitution de partie civile pour obtenir réparation de son préjudice commercial.

La plainte produit des effets qui dépassent la seule sanction des auteurs inconnus. Elle permet au commerçant de faire constater officiellement le sinistre, de verser ses constats et ses relevés au dossier de l’enquête et de solliciter des actes d’investigation technique sur les serveurs et les journaux de connexion, actes qu’il ne pourrait pas ordonner seul. La constitution de parte civile ouvre en outre la voie à l’indemnisation dans le procès pénal si les auteurs sont identifiés et renvoyés devant le tribunal. Le commerçant chiffre dès la plainte son préjudice poste par poste, en distinguant la valeur du stock détruit, les frais de remise en état et la perte de marge, car un préjudice documenté tôt pèse davantage à chaque étape de la procédure. Il conserve parallèlement l’intégralité de son action civile contre le producteur, qui ne dépend pas de l’issue des poursuites contre les pirates.

Cette indépendance des deux voies vient d’être solennellement confirmée par la Cour de cassation dans un arrêt publié au Bulletin du 23 septembre 2026. La première chambre civile juge qu’« Il résulte de l’article 4-1 du code de procédure pénale que l’autorité de la chose jugée au pénal sur le civil ne reste attachée qu’à ce qui a été définitivement décidé par le juge pénal sur l’existence du fait qui forme la base commune de l’action civile et de l’action pénale, sur sa qualification ainsi que sur la culpabilité de celui à qui le fait est imputé » et elle en déduit que « le prononcé d’une relaxe du chef d’homicide involontaire à l’égard du fabricant ne fait pas obstacle à l’exercice devant la juridiction civile d’une action fondée sur le régime de la responsabilité du fait des produits défectueux, prévue aux articles 1386-1 et suivants, devenus 1245 et suivants, du code civil, qui exige la preuve d’un défaut, d’un dommage et du lien causal entre les deux » (Cass. 1re civ., 23 sept. 2026, n° 25-12.051). Autrement dit, même si le volet pénal de l’affaire des frigos s’éteignait par une relaxe ou un classement, l’action du commerçant contre le producteur devant le juge civil demeurerait entière, pourvu que le défaut, le dommage et le lien causal soient établis. Le commerçant mène donc les deux actions en parallèle sans craindre que l’échec de l’une ne contamine l’autre, et il utilise les constatations techniques de l’enquête pénale pour nourrir son dossier civil.

Sur le terrain délictuel général, l’article 1240 du code civil rappelle que « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » Ce fondement permet d’atteindre, au-delà du producteur, tout intervenant dont la faute est démontrée : installateur qui a exposé l’interface d’administration sur Internet sans protection, prestataire de télésurveillance qui n’a pas alerté malgré des remontées anormales, ou prestataire informatique chargé de la sécurité du réseau du magasin. Chaque débiteur potentiel fait l’objet d’une mise en demeure distincte et d’une analyse propre de sa faute, car la multiplication des recours augmente les chances de recouvrement effectif sans dispenser de prouver chaque faute individuellement.

B. Assurance du stock et perte d’exploitation : déclarer vite et contrer les exclusions

L’assurance multirisque professionnelle et la garantie perte d’exploitation constituent la première ligne de recouvrement du commerçant, avant même l’aboutissement des recours contre le producteur qui prendront des mois ou des années. La discipline de déclaration conditionne tout. L’article L. 113-2 du code des assurances impose à l’assuré de déclarer le sinistre dans le délai fixé par le contrat, et la Cour de cassation rappelle le régime applicable : « l’assuré est obligé de donner avis à l’assureur, de tout sinistre de nature à entraîner la garantie de celui-ci, dès qu’il en a eu connaissance et au plus tard dans le délai fixé par le contrat, qui ne peut être inférieur à cinq jours ouvrés » (Cass. 2e civ., 21 janv. 2021, n° 19-13.347). Le commerçant frappé dans la nuit du 11 au 12 octobre 2026 déclare donc chaque garantie mobilisable, multirisque, perte d’exploitation, cyber quand elle existe, dans les cinq jours ouvrés, par écrit et contre récépissé, en joignant les constats et le dépôt de plainte. Une déclaration tardive n’est pas automatiquement fatale : « la déchéance pour déclaration tardive d’un sinistre ne peut être opposée à l’assuré que si l’assureur établit que ce retard lui a causé un préjudice » (Cass. 3e civ., 9 avr. 2026, n° 24-12.608), mais le commerçant diligent ne s’expose pas à ce débat et déclare immédiatement.

Le second front est celui des exclusions, que l’assureur ne manquera pas d’opposer à un sinistre cyber d’une ampleur inédite. Le principe protecteur de l’assuré est solidement établi par la Cour de cassation en application de ce texte : « les clauses d’exclusion de garantie qui privent l’assuré du bénéfice de la garantie en considération de circonstances particulières de la réalisation du risque doivent être formelles et limitées » et « Une clause d’exclusion n’est pas formelle lorsqu’elle ne se réfère pas à des critères précis et nécessite interprétation » (Cass. 2e civ., 23 janv. 2025, n° 23-14.482). Une clause qui exclurait vaguement les « actes de malveillance informatique » ou les « défaillances de systèmes connectés » sans critères précis encourt la censure pour défaut de formalité. De même, « une clause d’exclusion n’est pas limitée lorsqu’elle vide la garantie de sa substance, en ce qu’après son application elle ne laisse subsister qu’une garantie dérisoire » (Cass. 2e civ., 12 oct. 2023, n° 22-13.759). L’assureur qui, après avoir encaissé des années de primes multirisque couvrant le stock, prétendrait exclure toute conséquence d’une intrusion informatique vide en pratique la garantie de sa substance, et le commerçant est fondé à le lui opposer point par point.

La perte d’exploitation appelle une vigilance particulière, car les polices distinguent le dommage matériel direct et les pertes indirectes. La Cour de cassation a jugé que « les clauses d’exclusion de garantie ne peuvent être tenues pour formelles et limitées dès lors qu’elle doivent être interprétées », dans une espèce où l’assureur excluait les pertes indirectes pour refuser la perte de revenus tirée de l’arrêt de l’exploitation (Cass. 2e civ., 26 nov. 2020, n° 19-16.435). Le commerçant dont les rayons frais sont restés vides pendant plusieurs jours réclame donc la marge brute perdue sur pièces comptables, en exigeant de l’assureur qu’il désigne l’exclusion précise, formelle et limitée qui justifierait son refus. Le principe indemnitaire borne la demande : l’article L. 121-1 du code des assurances prévoit que l’indemnité ne peut pas dépasser la valeur de la chose assurée au moment du sinistre, et l’article L. 113-1 du code des assurances met à la charge de l’assureur les pertes causées par la faute non intentionnelle de l’assuré, sauf exclusion formelle et limitée. Le commerçant chiffre donc au réel, sans enrichissement, avec l’appui de son expert-comptable, et conteste toute minoration forfaitaire non motivée. Les démarches détaillées de déclaration et de chiffrage sont exposées dans le guide consacré à la déclaration du sinistre cyber auprès de son assureur, et la situation du stock invendu et des relations avec les fournisseurs est traitée dans l’analyse dédiée au stock à jeter et aux réflexes du commerçant après la cyberattaque des frigos.

En Île-de-France, le commerçant parisien ajoute à ce dispositif une contrainte locale : la destruction de plusieurs dizaines de milliers d’euros de denrées périssables relève des circuits d’élimination des déchets d’activités économiques, avec des bordereaux de suivi à conserver comme preuve du volume détruit, et les contrôles sanitaires de la direction départementale de la protection des populations peuvent immobiliser les rayons le temps des vérifications. Ces pièces administratives, procès-verbaux de contrôle et bordereaux d’enlèvement, rejoignent le dossier d’indemnisation et confortent le chiffrage face à l’assureur comme face au producteur.

Conclusion

Le commerçant dont le stock a péri dans la nuit du 11 au 12 octobre 2026 n’est pas condamné à supporter seul la perte : l’action contre le producteur du système de régulation défaillant, fondée sur le défaut, le dommage et le lien causal, ouvre la voie au remboursement intégral des sommes versées aux victimes en l’absence de faute d’utilisation ; la plainte pénale et la constitution de partie civile font constater le sinistre et préparent l’indemnisation sans conditionner l’action civile, qui survit à une relaxe ; l’assurance du stock et de la perte d’exploitation, déclarée dans les cinq jours ouvrés, ne peut être écartée que par des exclusions formelles et limitées qui ne vident pas la garantie de sa substance. Aucune responsabilité n’est établie à la date de rédaction, les qualifications juridiques restent soumises à l’appréciation du juge au vu des expertises, et les contrats signés, police d’assurance, contrat d’enseigne et contrat de maintenance, priment sur toute analyse générale.