Dans la nuit du dimanche 11 au lundi 12 octobre 2026, une cyberattaque a visé les installations frigorifiques de plusieurs centaines de supermarchés en France, avec des meubles réfrigérés dont la température a été portée jusqu’à 50 °C selon les informations rapportées par la presse. Le journal Le Monde, se fondant sur des déclarations des deux distributeurs à l’Agence France-Presse, fait état de 150 à 200 magasins Intermarché touchés et de moins d’une centaine de points de vente de Coopérative U, tandis que franceinfo, citant le groupe Les Mousquetaires, évoque entre 200 et 300 magasins affectés et précise que l’enseigne E.Leclerc confirme, elle aussi, une attaque informatique ayant transité par l’un de ses fournisseurs de matériel frigorifique. Les magasins concernés ont dû vider leurs bacs réfrigérés, faire établir un constat par commissaire de justice et jeter les denrées périssables, d’après la procédure décrite par franceinfo. Le Premier ministre a saisi l’Agence nationale de la sécurité des systèmes d’information, toujours selon franceinfo. Derrière les rayons vidés se joue un autre contentieux, moins visible mais immédiat : celui des fournisseurs qui avaient livré ces marchandises quelques heures plus tôt et qui attendent leur paiement. Les développements qui suivent sont de portée générale : ils décrivent les règles applicables à tout fournisseur confronté à la destruction de marchandises déjà livrées et ne décrivent la situation d’aucune enseigne en particulier, sur laquelle cet article ne formule aucun constat. À la date de rédaction, aucune responsabilité n’est établie par une source officielle, les contrats signés entre les parties priment sur toute analyse générale, et seul le juge, saisi des pièces de chaque dossier, tranchera les litiges éventuels.

I. Marchandises livrées puis détruites : le prix reste-t-il dû au fournisseur ?

La question se pose dès le lendemain de l’attaque pour chaque livreur de produits frais : les yaourts, viandes et plats cuisinés livrés la veille ont été jetés, le magasin peut-il refuser de payer la facture en invoquant la cyberattaque ? La réponse du droit français part d’un principe simple, puis se heurte à la pratique des contrats de distribution.

A. Le prix d’une marchandise livrée reste dû même si elle est ensuite jetée

En droit français, la propriété et les risques sont en principe transférés à l’acheteur dès la conclusion du contrat. L’article 1196 du code civil, en vigueur depuis le 1er octobre 2016, dispose : « Dans les contrats ayant pour objet l’aliénation de la propriété ou la cession d’un autre droit, le transfert s’opère lors de la conclusion du contrat. Ce transfert peut être différé par la volonté des parties, la nature des choses ou par l’effet de la loi. Le transfert de propriété emporte transfert des risques de la chose. » Le texte ajoute que le débiteur chargé de délivrer retrouve cette charge à compter de sa mise en demeure, sous réserve des règles prévues pour la perte de la chose due. Concrètement, une fois la marchandise livrée et acceptée sans réserve, sa destruction ultérieure, même par un événement aussi spectaculaire qu’une cyberattaque, ne fait pas disparaître l’obligation de payer le prix. Le risque de perte pèse sur celui qui était propriétaire au moment du sinistre, c’est-à-dire, sauf clause contraire, le magasin acheteur. La Cour de cassation applique ce raisonnement avec constance : dans un arrêt de la première chambre civile du 3 février 2021 (pourvoi n° 19-21.046), elle a cassé une décision qui avait déchargé un vendeur au motif qu’un transporteur avait égaré le colis, en rappelant, au visa de l’article L. 216-4 du code de la consommation, que le risque ne passe à l’acheteur qu’au moment où celui-ci, ou un tiers qu’il a désigné, prend physiquement possession des biens. Si le principe est posé en droit de la consommation, la logique est identique entre professionnels : celui qui a pris possession supporte la perte. Le fournisseur qui prouve la livraison, par ses bons de livraison émargés, ses factures et ses relevés de tournées, détient donc une créance de prix exigible, indépendante du sort ultérieur des denrées. Le magasin resterait fondé à discuter la conformité de la livraison, les quantités ou les dates, mais la seule destruction des stocks par l’incident frigorifique ne constitue pas, en elle-même, un moyen de refuser le paiement. L’article 1351-1 du code civil confirme cette analyse : « Lorsque l’impossibilité d’exécuter résulte de la perte de la chose due, le débiteur mis en demeure est néanmoins libéré s’il prouve que la perte se serait pareillement produite si l’obligation avait été exécutée. » Ici, l’obligation du fournisseur, la livraison, a déjà été exécutée avant l’attaque : il n’a donc pas besoin d’invoquer ce texte, c’est au contraire l’acheteur qui, ayant reçu la chose, en doit le prix. Reste l’argument de la force majeure, que certains débiteurs pourraient être tentés d’opposer pour suspendre leurs paiements. L’article 1218 du code civil la définit strictement : « Il y a force majeure en matière contractuelle lorsqu’un événement échappant au contrôle du débiteur, qui ne pouvait être raisonnablement prévu lors de la conclusion du contrat et dont les effets ne peuvent être évités par des mesures appropriées, empêche l’exécution de son obligation par le débiteur. » Or l’obligation de payer une somme d’argent est traditionnellement regardée comme insusceptible d’empêchement : la cyberattaque a détruit des marchandises, elle n’a pas vidé le compte bancaire de l’acheteur. Un magasin qui invoquerait la force majeure pour ne pas régler ses fournisseurs s’exposerait à une fin de non-recevoir, sauf à démontrer une impossibilité véritable de payer, ce qui suppose bien plus que la perte des stocks. La première chambre civile, dans un arrêt du 8 mars 2023 (pourvoi n° 21-24.783), a rappelé que les contrats légalement formés tiennent lieu de loi à ceux qui les ont faits, avant d’examiner concrètement si l’événement invoqué rendait impossible l’exécution de l’obligation précise du débiteur. Transposée à notre situation, cette méthode commande d’examiner chaque contrat de fourniture pour ce qu’il est : le fournisseur a livré, le prix est dû, et l’attaque contre les meubles froids n’efface pas la dette. Le débiteur qui ne paie pas s’expose aux dommages et intérêts, car l’article 1231-1 du code civil dispose : « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » En pratique, le fournisseur doit donc adresser sans tarder une mise en demeure de payer, par lettre recommandée avec accusé de réception, rappelant la livraison, joignant les bons émargés et faisant courir les intérêts et pénalités prévus au contrat ou, à défaut, par la loi.

B. La clause de réserve de propriété : l’arme du fournisseur impayé, avec ses limites

Le fournisseur avisé a souvent stipulé, dans ses conditions générales de vente acceptées par le magasin, une clause de réserve de propriété : il reste propriétaire des marchandises jusqu’au paiement intégral du prix. Lorsque l’acheteur fait l’objet d’une procédure collective, cette clause permet de revendiquer les biens. L’article L. 624-16 du code de commerce, en vigueur depuis le 15 février 2009, dispose : « Peuvent également être revendiqués, s’ils se retrouvent en nature au moment de l’ouverture de la procédure, les biens vendus avec une clause de réserve de propriété. Cette clause doit avoir été convenue entre les parties dans un écrit au plus tard au moment de la livraison. Elle peut l’être dans un écrit régissant un ensemble d’opérations commerciales convenues entre les parties. » Trois conditions se dégagent : un écrit antérieur ou concomitant à la livraison, des biens retrouvés en nature à l’ouverture de la procédure, et une revendication exercée dans le délai de l’article L. 624-9 du code de commerce, qui dispose : « La revendication des meubles ne peut être exercée que dans le délai de trois mois suivant la publication du jugement ouvrant la procédure. » La chambre commerciale de la Cour de cassation veille strictement à l’application de ce régime : dans un arrêt du 26 octobre 2022 (pourvoi n° 20-23.150), elle a jugé, au visa des articles L. 624-9 et L. 624-16 du code de commerce, que le juge-commissaire n’est compétent pour la revendication que lorsque le droit de propriété invoqué est né avant l’ouverture de la procédure collective. Le fournisseur doit donc agir vite et devant le bon juge, en adressant sa revendication au mandataire ou au liquidateur dans les trois mois et, en cas de refus d’acquiescement, en saisissant le juge-commissaire. Mais l’affaire des frigos piratés révèle la limite majeure de l’arme : les denrées jetées ne se retrouvent plus en nature. Des yaourts détruits ne peuvent être revendiqués, et la clause de réserve de propriété ne ressuscite pas une marchandise périmée ou détruite. La revendication en nature suppose des biens identifiables entre les mains du débiteur, ce qui exclut les stocks déjà jetés et, plus largement, les biens fongibles consommés ou revendus, sauf à démontrer que des biens de même nature et de même qualité subsistent entre les mains du débiteur, hypothèse que le texte admet pour les biens fongibles. En revanche, la clause conserve toute son utilité pour les livraisons postérieures à l’attaque et pour les stocks non affectés : le fournisseur qui continue de livrer un magasin fragilisé a intérêt à systématiser l’écrit de réserve de propriété, à le faire accepter avant chaque livraison et à conserver la preuve de cette acceptation. À défaut de revendication possible, le fournisseur impayé redevient un créancier ordinaire qui doit déclarer sa créance à la procédure, en espérant un dividende. C’est pourquoi la prévention contractuelle, avant tout sinistre, vaut mieux que la revendication après : clause écrite, acceptation documentée, et suivi rigoureux des encours par client. Pour le fournisseur de produits frais, dont les marges sont étroites et les volumes quotidiens élevés, l’encours sur un seul groupement de magasins peut représenter plusieurs semaines de chiffre d’affaires : plafonner contractuellement cet encours et suspendre les livraisons en cas de dépassement sont des mesures de sauvegarde élémentaires, que l’actualité de la semaine rend plus audibles que jamais.

II. Se faire payer après la cyberattaque : les recours concrets du fournisseur

Le droit au paiement ne suffit pas : encore faut-il le recouvrer, vite et au moindre coût, dans un contexte où le débiteur invoque le sinistre pour négocier des délais. Deux séries d’actions s’offrent au fournisseur, d’abord pour sécuriser sa créance, ensuite pour la faire sanctionner par le juge et, le cas échéant, remonter vers les responsables de l’attaque.

A. Sécuriser la créance : délais légaux, assurance-crédit et preuves de la livraison

Le premier réflexe est calendaire : la loi plafonne les délais de paiement entre professionnels, et ces plafonds s’appliquent même quand l’acheteur traverse une passe difficile. L’article L. 441-10 du code de commerce, dans sa version en vigueur, dispose : « Sauf dispositions contraires figurant aux conditions de vente ou convenues entre les parties, le délai de règlement des sommes dues ne peut dépasser trente jours après la date de réception des marchandises ou d’exécution de la prestation demandée. Le délai convenu entre les parties pour régler les sommes dues ne peut dépasser soixante jours après la date d’émission de la facture. Par dérogation, un délai maximal de quarante-cinq jours fin de mois après la date d’émission de la facture peut être convenu entre les parties, sous réserve que ce délai soit expressément stipulé par contrat et qu’il ne constitue pas un abus manifeste à l’égard du créancier. » Le fournisseur doit donc vérifier le délai contractuel, constater son dépassement et appliquer les pénalités de retard et l’indemnité forfaitaire pour frais de recouvrement prévues par ses conditions de vente. La mise en demeure fait courir les intérêts et interrompt la prescription ; elle constitue aussi le préalable usuel avant toute action judiciaire. Le deuxième réflexe est assurantiel : le fournisseur qui a souscrit une assurance-crédit doit déclarer sans délai la menace d’impayé à son assureur, selon les délais et formes de sa police, en joignant factures, bons de livraison et relances. L’attention se portera sur les exclusions : l’article L. 113-1 du code des assurances, en vigueur depuis le 8 janvier 1981, dispose : « Les pertes et les dommages occasionnés par des cas fortuits ou causés par la faute de l’assuré sont à la charge de l’assureur, sauf exclusion formelle et limitée contenue dans la police. Toutefois, l’assureur ne répond pas des pertes et dommages provenant d’une faute intentionnelle ou dolosive de l’assuré. » Autrement dit, seule une exclusion formelle et limitée, lisible dans la police, permet à l’assureur d’écarter sa garantie, par exemple une exclusion des pertes liées à un acte de cybercriminalité ou à une défaillance des systèmes du débiteur. Le fournisseur doit relire sa police ligne à ligne et contester toute exclusion ambiguë, la jurisprudence interprétant strictement les clauses d’exclusion contre l’assureur. Le troisième réflexe est probatoire : le constat établi par commissaire de justice dans les magasins, décrivant les bacs vidés et les denrées jetées, prouve la destruction, pas la livraison. C’est au fournisseur de prouver qu’il a livré, par ses propres pièces : bons de livraison émargés par le réceptionnaire, tickets de pesée, enregistrements de tournées, factures détaillées et échanges de commandes. En cas de contestation sur les quantités, ces pièces feront la différence devant le juge. Le fournisseur doit aussi conserver toute la correspondance où le magasin reconnaît, même implicitement, la livraison, comme les demandes d’avoir partiel ou les propositions d’échéancier. Enfin, le fournisseur qui redoute l’insolvabilité de son débiteur peut solliciter des garanties pour l’avenir : paiement comptant des prochaines livraisons, caution bancaire, ou délégation de paiement sur les indemnités d’assurance que le magasin percevrait au titre de sa propre perte d’exploitation. Ces sûretés se négocient quand le rapport de force est encore favorable, c’est-à-dire avant que la trésorerie du débiteur ne se tende davantage. La vigilance s’impose également sur les délais de prescription : une créance commerciale impayée se prescrit par cinq ans, mais attendre est toujours une faute de gestion pour une entreprise dont la trésorerie dépend de ses encaissements.

B. Agir en justice : injonction de payer, action contre l’auteur du piratage et sort du prestataire informatique

Lorsque la relance amiable échoue, la voie la plus rapide pour le fournisseur est l’injonction de payer devant le tribunal de commerce : une requête, sans audience initiale, fondée sur la facture, le bon de livraison et la mise en demeure restée sans réponse, permet d’obtenir une ordonnance portant condamnation du débiteur, qui ne sera débattue que si celui-ci forme opposition. Cette procédure convient aux créances contractuelles non sérieusement contestables, ce qui est le cas d’une livraison prouvée dont seul le paiement est éludé au motif du sinistre. Si le débiteur forme opposition en invoquant la cyberattaque, le juge tranchera au fond en appliquant les principes rappelés plus haut : prix dû après livraison, force majeure inopérante contre une obligation de somme d’argent, pénalités dues. Le fournisseur peut également assigner au fond en paiement devant le tribunal judiciaire ou le tribunal de commerce selon la qualité des parties, en sollicitant l’exécution provisoire pour obtenir le règlement sans attendre l’issue d’un éventuel appel. Au-delà du magasin, se pose la question de l’auteur de l’attaque : le piratage d’un système de traitement automatisé de données constitue un délit pénal. L’article 323-1 du code pénal, dans sa version en vigueur depuis le 26 janvier 2023, dispose : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. Lorsqu’il en est résulté soit la suppression ou la modification de données contenues dans le système, soit une altération du fonctionnement de ce système, la peine est de cinq ans d’emprisonnement et de 150 000 € d’amende. » Le dérèglement des meubles frigorifiques, avec une température portée à 50 °C, pourrait être regardé, si les faits étaient établis par l’enquête, comme une altération du fonctionnement d’un système, ce qui porterait les peines encourues au second niveau. Le fournisseur qui subit un préjudice direct du fait de l’infraction, par exemple la perte de marchandises dont il serait resté propriétaire en vertu d’une clause de réserve, pourrait alors déposer plainte et se constituer partie civile pour obtenir réparation devant le juge pénal. En pratique, l’identification et la solvabilité des attaquants rendent souvent cette voie illusoire à court terme, mais la plainte reste utile : elle fige les faits, permet de verser au dossier civil les pièces de l’enquête et interrompt la prescription de l’action civile. Reste la question du prestataire informatique qui supervisait les meubles froids : la société danoise Danfoss, citée par la presse, indique à franceinfo que la majorité des appareils concernés seraient des produits obsolètes, notamment les systèmes AK-SM800 et AK-SC355 parvenus en fin de vie et ne bénéficiant plus de mises à jour logicielles ni de sécurité, et assure recommander depuis longtemps à ses clients de maintenir à jour les systèmes pris en charge et de migrer les installations obsolètes vers des solutions de dernière génération. Ces déclarations, si elles étaient confirmées, joueraient en faveur du prestataire et déplaceraient le débat vers l’obligation d’entretien et de mise à jour pesant sur l’exploitant des magasins. À l’inverse, un prestataire qui aurait manqué à son devoir de conseil, en laissant fonctionner sans alerte des systèmes notoirement vulnérables, ou qui aurait négligé ses propres obligations de sécurité et de notification d’incident, serait susceptible d’engager sa responsabilité contractuelle envers ses clients magasins, sur le fondement de l’article 1231-1 du code civil, voire sa responsabilité délictuelle. Le fournisseur de denrées, lui, n’est pas le cocontractant du prestataire informatique : il ne peut agir contre lui que sur le fondement délictuel de l’article 1240 du code civil, qui dispose : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » Cette action suppose de prouver une faute précise du prestataire, un préjudice propre du fournisseur et un lien de causalité direct, triple preuve redoutable quand le préjudice découle d’abord du non-paiement par le magasin. En pratique, le recours contre le prestataire appartient d’abord aux enseignes elles-mêmes, qui se retourneront contre leur fournisseur de supervision si les contrats de maintenance le permettent, et le fournisseur de denrées n’en bénéficiera qu’indirectement, par la solvabilité restaurée de son débiteur. La stratégie réaliste du fournisseur reste donc concentrée sur son débiteur direct : mise en demeure rapide, injonction de payer, garanties pour les livraisons futures, déclaration à l’assurance-crédit, et plainte avec constitution de partie civile pour préserver ses droits dans l’enquête pénale. Chaque jour de retard affaiblit sa position, car les stocks se renouvellent, les preuves de livraison s’égarent et les trésoreries se tendent des deux côtés de la relation commerciale.

Conclusion

La cyberattaque qui a chauffé les meubles froids de centaines de supermarchés dans la nuit du 11 au 12 octobre 2026 laissera des rayons vidés, des denrées jetées et des constats de commissaire de justice ; elle laissera aussi des factures. Pour le fournisseur qui a livré la veille, le droit applicable est lisible : la marchandise livrée et acceptée est aux risques de l’acheteur, le prix reste dû malgré la destruction, la force majeure ne libère pas d’une obligation de payer une somme d’argent, et seule une clause de réserve de propriété écrite avant la livraison, portant sur des biens retrouvés en nature et revendiqués dans les trois mois d’une procédure collective, permet de reprendre ses marchandises. Le recouvrement, lui, se joue sur la rapidité : mise en demeure documentée, pénalités appliquées, déclaration à l’assurance-crédit après relecture des exclusions, garanties exigées pour les livraisons suivantes, puis injonction de payer si le dialogue se grippe, sans négliger la plainte pénale qui préserve les droits dans l’enquête. Le recours contre le prestataire informatique ou contre les auteurs du piratage relève du conditionnel et suppose des fautes établies pièce par pièce ; il ne doit jamais retarder l’action contre le débiteur direct. À la date de rédaction, aucune intrusion n’est constatée par une source officielle, aucune responsabilité n’est établie, les contrats signés entre fournisseurs, magasins et prestataires priment sur toute analyse générale, et seul le juge, au vu des pièces de chaque dossier, dira qui doit payer quoi. Les fournisseurs qui sécurisent dès aujourd’hui leurs preuves de livraison, leurs clauses de réserve et leurs encours par client traverseront ce sinistre en créanciers diligents plutôt qu’en victimes résignées.