Dans la nuit du lundi 12 au mardi 13 octobre 2026, les contrôleurs à distance qui pilotent les installations de réfrigération de plusieurs centaines de supermarchés français ont été compromis : les paramètres de dégivrage et de régulation de température ont été modifiés à distance, faisant brutalement grimper la température des meubles froids et des chambres de surgelés, selon les informations publiées par Le Monde les 12 et 13 octobre 2026. Un frigoriste interrogé par le journal décrit des consignes passées, pour des surgelés, de moins 22 degrés à 150 degrés. La nuit suivante, des matériels d’un second fabricant ont à leur tour été visés, et l’Agence nationale de la sécurité des systèmes d’information a publié un bulletin d’alerte, le bulletin CERTFR-2026-ALE-012 daté des 12 et 13 octobre 2026, qui recense les gammes de contrôleurs affectées et prescrit les premières mesures. À la date de rédaction du présent article, la cause technique exacte et l’attribution de l’attaque ne sont pas établies : la presse spécialisée relève qu’il n’est pas démontré que la faille signalée plusieurs semaines plus tôt ait été le vecteur utilisé, et aucune responsabilité n’est établie. Les développements qui suivent en tiennent compte : ils décrivent les réflexes juridiques de tout commerce victime d’une attaque comparable, les contrats signés priment sur toute analyse générale, et seul le juge, saisi des faits prouvés, décidera des responsabilités.

I. Cyberattaque supermarché : que faire quand les frigos sont déréglés à distance

A. Denrées et clients : sécuriser les produits et limiter la responsabilité du magasin face à la rupture de la chaîne du froid

La première urgence est sanitaire, et elle commande tout le reste. Des denrées réfrigérées ou surgelées restées plusieurs heures hors température ne peuvent pas être remises en rayon sur une simple vérification visuelle : le responsable du magasin doit faire relever les températures, consigner les relevés Heure par Heure, isoler les lots suspects et, au moindre doute, les retirer de la vente puis les détruire avec un bordereau de traçabilité. Cette rigueur n’est pas un excès de prudence, elle découle des obligations permanentes de l’exploitant du secteur alimentaire. L’article L. 231-1 du code rural et de la pêche maritime renvoie aux prescriptions générales d’hygiène alimentaire et aux règles sanitaires applicables aux exploitants, et le droit européen de la sécurité des denrées alimentaires impose de ne mettre sur le marché aucun produit dangereux pour la santé. Un commerçant qui, informé d’une dérive thermique, laisserait sciemment les produits en vente exposerait son entreprise à des poursuites pénales pour tromperie ou mise en danger, et à des actions civiles de clients qui démontreraient un dommage.

Le deuxième réflexe consiste à prévenir sans affoler. Les clients qui ont acheté des produits sensibles pendant la fenêtre d’incident doivent pouvoir être informés : affichage en magasin, message sur les canaux habituels de l’enseigne, et, si des lots identifiés présentent un risque avéré, signalement sur la plateforme publique de rappel des produits. Chaque communication doit rester strictement factuelle : dates et Heures de la dérive, rayons concernés, numéros de lots quand ils sont connus, conduite à tenir pour les acheteurs. Toute formulation qui anticiperait sur l’origine de l’attaque ou désignerait un responsable serait imprudente, car l’enquête technique et l’enquête judiciaire sont en cours et les qualifications ne sont pas tranchées. En droit de la consommation, la vente d’un produit impropre peut en outre caractériser une pratique commerciale déloyale, l’article L. 121-1 du code de la consommation disposant que « Les pratiques commerciales déloyales sont interdites », dès lors qu’elles altèrent le comportement économique du consommateur normalement informé. Le magasin victime d’une cyberattaque ne devient pas pour autant automatiquement fautif envers ses clients : s’il prouve qu’il a réagi avec diligence, retiré les produits et informé le public, il se place en position de démontrer l’absence de faute propre, la faute éventuelle se déplaçant vers l’auteur de l’intrusion ou vers un maillon défaillant de la chaîne technique.

Le troisième réflexe est comptable et assurantiel. Les pertes sont de deux ordres : la valeur des denrées détruites et la marge perdue pendant la remise en service, auxquelles s’ajoutent les coûts d’intervention des frigoristes et, parfois, le remplacement anticipé de matériel. Chaque poste doit être chiffré avec pièces : relevés de température, journaux de supervision, factures d’achat des lots, constats de destruction, attestations du personnel. L’assureur doit être déclaré dans le délai stipulé par la police, souvent de quelques jours, par courrier recommandé avec accusé de réception décrivant les faits sans les qualifier juridiquement. Sur ce point, l’article L. 113-1 du code des assurances prévoit que « Les pertes et les dommages occasionnés par des cas fortuits ou causés par la faute de l’assuré sont à la charge de l’assureur, sauf exclusion formelle et limitée contenue dans la police », tout en excluant la faute intentionnelle ou dolosive de l’assuré. Concrètement, l’assureur pourrait opposer une exclusion cyber ou discuter l’entretien des systèmes : le magasin a donc intérêt à produire dès la déclaration les preuves de ses mises à jour et de ses mots de passe renouvelés, et à vérifier si sa police comporte une garantie pertes d’exploitation après événement informatique. Faute de garantie adaptée, le préjudice résiduel devra être dirigé contre le ou les responsables, ce qui suppose un dossier probant irréprochable dès les premières heures.

B. Systèmes et preuves : isoler les contrôleurs, consigner les traces et déposer plainte pour intrusion dans un système automatisé de données

Parallèlement à la gestion des denrées, le magasin doit traiter ses installations comme une scène à préserver. La recommandation officielle est claire : le bulletin CERTFR-2026-ALE-012 du 12 octobre 2026, mis à jour le 13 octobre, demande de supprimer l’exposition sur Internet des contrôleurs concernés, de vérifier l’intégralité de la configuration, notamment les plages de dégivrage, puis de rétablir l’accès uniquement via un réseau protégé ou un VPN sécurisé, en appliquant les mises à jour du constructeur. Avant toute remise en service, il faut photographier les écrans de paramétrage, exporter les journaux de connexion et de supervision, conserver les fichiers de configuration modifiés et faire établir un constat par un commissaire de justice : ces éléments feront la preuve de l’intrusion, de son ampleur et de sa chronologie. Le prestataire frigoriste et le fournisseur des contrôleurs doivent être avisés par écrit, avec mise en demeure de fournir les correctifs et de communiquer les bulletins de sécurité applicables, car leurs réponses écrites serviront plus tard à établir qui savait quoi et depuis quand. On prendra soin de vérifier les conditions contractuelles avant de couper durablement la remontée des données vers un prestataire, le bulletin officiel lui-même invitant à cette vérification préalable.

Le dépôt de plainte s’impose ensuite, et il doit viser les bons textes. Le fait d’accéder ou de se maintenir frauduleusement dans tout ou partie d’un système de traitement automatisé de données relève de l’article 323-1 du code pénal, qui dispose : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. » Et lorsque l’intrusion a entraîné une altération du fonctionnement du système, comme le dérèglement des consignes de température, la peine est aggravée. La modification frauduleuse des données relève pour sa part de l’article 323-3 du code pénal, aux termes duquel « Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient est puni de cinq ans d’emprisonnement et de 150 000 € d’amende. » La plainte, déposée avec constitution de partie civile et accompagnée du constat, des journaux et du chiffrage provisoire, permet de se greffer à l’enquête et de demander réparation devant le juge répressif.

La jurisprudence la plus récente donne à cette démarche un appui net. Par un arrêt du 2 septembre 2025, la chambre criminelle de la Cour de cassation a jugé : « se rend coupable de l’infraction prévue par l’article 323-1 du code pénal celui qui se maintient dans un système de traitement automatisé de données en prenant connaissance du contenu des messages échangés au sein du réseau, à des fins étrangères à sa mission et à l’insu des titulaires des messages, même si, administrateur du réseau, il bénéficie, de par ses fonctions, d’un droit général d’accès à la messagerie » (Cass. crim., 2 sept. 2025, n° 24-83.605). Si un simple usage détourné d’un accès autorisé peut constituer un maintien frauduleux, la prise de contrôle à distance de contrôleurs frigorifiques par des tiers sans aucun droit s’inscrirait, sous réserve de l’appréciation souveraine des juges du fond, dans le champ de ces incriminations. Le magasin plaignant devra toutefois démontrer son préjudice personnel et direct pour obtenir des dommages et intérêts devant la juridiction répressive, d’où l’importance du chiffrage documenté dès le premier jour. Enfin, lorsque l’attaque a pu exposer des données personnelles, par exemple des journaux comportant des identifiants ou des images de vidéosurveillance, les obligations de notification de violation de données du règlement européen sur la protection des données s’ajoutent au tableau, avec un délai de soixante-douze heures pour l’autorité de contrôle : ce point doit être examiné avec le délégué à la protection des données sans attendre la fin de l’enquête technique.

II. Cyberattaque supermarché en France : qui paie les pertes et comment durcir les contrats

A. Vendeur et prestataire dans le viseur : conseil, mises à jour et vices cachés face aux clauses qui limitent la réparation

Une fois l’urgence passée, la question financière domine : le magasin qui a perdu des tonnes de denrées et des jours de chiffre d’affaires peut-il en demander le prix à ceux qui lui ont vendu et qui entretiennent ses installations frigorifiques connectées ? La réponse dépend des contrats, mais le droit commun fournit des leviers puissants, à commencer par l’obligation d’information et de conseil du vendeur professionnel. La chambre commerciale de la Cour de cassation l’a rappelée avec force dans un arrêt du 6 mai 2026 : « Il résulte du premier de ces textes que l’obligation d’information et de conseil du vendeur à l’égard de son client sur l’adaptation du produit vendu à l’usage auquel il est destiné existe à l’égard de l’acheteur professionnel lorsque sa compétence ne lui donne pas les moyens d’apprécier la portée exacte des caractéristiques techniques du dispositif en cause. En application du second, il incombe au vendeur professionnel de prouver qu’il s’est acquitté de l’obligation de conseil lui imposant de se renseigner sur les besoins de l’acheteur afin d’être en mesure de l’informer quant à l’adéquation de la chose proposée et à l’utilisation qui en est prévue » (Cass. com., 6 mai 2026, n° 25-12.541, visa des articles 1231-1 et 1353 du code civil). Transposée aux contrôleurs frigorifiques connectés, cette solution pèse lourd : un distributeur alimentaire, compétent dans son métier de commerçant mais pas dans la cybersécurité des automates, serait fondé à soutenir que son fournisseur devait l’alerter sur les risques d’une exposition directe des interfaces sur Internet, sur la nécessité de renouveler les mots de passe par défaut et sur l’urgence des mises à jour de sécurité, et c’est au vendeur professionnel de prouver qu’il a délivré ces avertissements.

Les faits rapportés par la presse alimentent concrètement cette discussion, sans préjuger de son issue. Selon franceinfo, une société de cybersécurité avait signalé dès le mois d’août des vulnérabilités affectant des milliers de contrôleurs de supervision, et l’équipementier avait déployé un correctif en recommandant de mettre à jour les systèmes et de remplacer les plus anciens, qui ne reçoivent plus de mises à jour de sécurité. Chaque magasin devra donc établir sa propre chronologie : quand a-t-il acheté ses contrôleurs, quelles notices et quelles alertes a-t-il reçues, a-t-il appliqué les correctifs, qui était contractuellement chargé de la maintenance et de la télésurveillance ? Si le vendeur ou le mainteneur a manqué à son devoir de conseil ou à son obligation de maintenance, l’article 1231-1 du code civil ouvre droit à des dommages et intérêts, puisqu’il dispose que « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure », et une cyberattaque massive ne constitue pas automatiquement un cas de force majeure exonératoire pour un professionnel de la sécurité des systèmes. À côté du terrain contractuel, la voie délictuelle reste ouverte contre tout intervenant fautif : l’article 1240 du code civil énonce que « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer », et l’article 1241 du même code ajoute que « Chacun est responsable du dommage qu’il a causé non seulement par son fait, mais encore par sa négligence ou par son imprudence », ce qui permettrait de viser une négligence caractérisée dans la conception, la sécurisation ou la surveillance des équipements.

Reste l’obstacle classique des contrats d’équipement et de maintenance : les clauses qui plafonnent ou excluent la réparation. Le magasin doit les relire ligne à ligne, car leur efficacité est encadrée : une clause qui viderait de sa substance l’obligation essentielle du prestataire, par exemple garantir la supervision sûre des températures qui est le cœur même de la prestation, serait privée d’effet par les tribunaux, et une clause abusive entre un professionnel et un non-professionnel ou une clause créant un déséquilibre significatif entre professionnels pourrait être combattue. La garantie des vices cachés offre un autre angle lorsque l’insécurité était inhérente au produit livré : l’article 1641 du code civil dispose que « Le vendeur est tenu de la garantie à raison des défauts cachés de la chose vendue qui la rendent impropre à l’usage auquel on la destine, ou qui diminuent tellement cet usage que l’acheteur ne l’aurait pas acquise, ou n’en aurait donné qu’un moindre prix, s’il les avait connus », et l’article 1648 du même code impose d’agir « dans un délai de deux ans à compter de la découverte du vice ». Un défaut de sécurité rendant les contrôleurs perméables à une prise de contrôle à distance pourrait être présenté comme un tel vice, à condition de le démontrer par expertise, et le vendeur professionnel est présumé connaître les vices de la chose vendue. En pratique, le magasin combinera ces fondements dans une mise en demeure unique, chiffrée et documentée, adressée à chacun des maillons, avant toute assignation, car les juges sanctionnent les demandes formées sans tentative préalable de résolution et sans preuve technique.

B. Le cadre qui se durcit en France et en Europe : règlement cyber-résilience, recommandations de l’ANSSI et hygiène contractuelle des objets connectés

L’attaque des frigos de supermarchés survient au moment précis où le droit européen fait basculer la sécurité des produits connectés du registre des bonnes pratiques vers celui des obligations sanctionnées. Le règlement européen sur la cyber-résilience, adopté en octobre 2024, impose des exigences de cybersécurité aux fabricants, importateurs et distributeurs de produits comportant des éléments numériques, dès la conception et tout au long du cycle de vie, avec une entrée en application progressive entre juin 2026 et décembre 2027 selon les dispositions. Pour un équipementier du froid commercial comme pour un distributeur qui fait installer des contrôleurs connectés, ce calendrier n’est plus théorique : les produits mis sur le marché devront intégrer des mises à jour de sécurité, une gestion documentée des vulnérabilités et une information claire des utilisateurs, et les manquements exposeront à des mesures des autorités de surveillance du marché. Les magasins victimes de l’attaque d’octobre 2026 auraient donc intérêt à dater précisément la mise en service de leurs équipements et à conserver toute la documentation de conformité, car le régime applicable à leur installation dépendra de ces dates, et les contentieux à venir se joueront aussi sur ce calendrier.

En attendant, l’autorité nationale donne le ton. Le bulletin CERTFR-2026-ALE-012 déjà cité ne se contente pas de lister les gammes affectées : il qualifie l’exposition d’une interface de gestion sur Internet de pratique contraire aux bonnes pratiques, et il prescrit la suppression de cette exposition, la vérification des configurations et le rétablissement des accès par des canaux sécurisés. Ces recommandations, bien que non sanctionnatrices en elles-mêmes, deviendront vite un étalon de la diligence : le magasin qui les aura appliquées sans délai démontrera sa prudence face à son assureur, face à ses clients et face au juge, tandis que celui qui aura laissé ses contrôleurs accessibles depuis Internet avec des mots de passe d’usine s’exposera au reproche de négligence. L’Agence relevait déjà, dans son guide sur la cybersécurité des systèmes industriels, des pratiques dangereuses consistant à laisser des appareils administrables à distance avec des protections dérisoires, son directeur rappelant publiquement des cas d’installations exposées avec des mots de passe par défaut jamais modifiés. Pour un commerce, la leçon opérationnelle est directe : inventaire exhaustif des équipements connectés du site, changement des identifiants par défaut, cloisonnement des réseaux entre bureautique et pilotage technique, mises à jour tracées, et clause contractuelle imposant au mainteneur une visite de sécurité après chaque alerte publique.

Enfin, l’hygiène contractuelle future doit tirer les leçons de l’incident jusque dans la rédaction des marchés. Tout nouveau contrat d’achat ou de maintenance d’équipements connectés devrait stipuler un engagement de fourniture des correctifs de sécurité pendant une durée définie, une obligation d’alerte du fournisseur en cas de vulnérabilité connue, des pénalités en cas de retard de correctif, un droit d’audit du client, une clause de réversibilité des données de supervision et un plafond de responsabilité calibré sur le risque réel, et non sur le prix du matériel. Côté assurance, la souscription ou la renégociation d’une garantie cyber couvrant la reconstitution des systèmes, les pertes d’exploitation et les frais de notification doit être étudiée avec un courtier, en vérifiant les exclusions et les obligations de prévention mises à la charge de l’assuré. Le dépôt de plainte, la déclaration à l’assureur, la mise en demeure des fournisseurs et la notification éventuelle à l’autorité de protection des données forment un tout : menées ensemble et dans les délais, ces démarches transforment une attaque subie en dossier de recours solide. Menées tard ou séparément, elles laissent le préjudice à la charge du seul commerçant.

Conclusion

La compromission des contrôleurs de réfrigération de supermarchés survenue dans la nuit du 12 au 13 octobre 2026, prolongée la nuit suivante sur d’autres matériels et documentée par le bulletin CERTFR-2026-ALE-012 des 12 et 13 octobre 2026, rappelle qu’une cyberattaque peut détruire des stocks sans toucher un seul fichier de bureau : il suffit de dérégler des températures. Pour le magasin concerné, l’ordre des priorités est intangible : protéger les consommateurs en retirant les denrées douteuses, préserver les preuves techniques, déclarer le sinistre à l’assureur, déposer plainte sur le fondement des articles 323-1 et 323-3 du code pénal, puis mettre en demeure le vendeur et le mainteneur sur le fondement de leur obligation d’information et de conseil, telle que la Cour de cassation l’a rappelée le 6 mai 2026, et des garanties légales. À la date de rédaction, la cause exacte de l’incident et son attribution ne sont pas établies, aucune responsabilité n’est démontrée et les qualifications évoquées dans cet article restent soumises à l’appréciation des juges saisis des faits prouvés. Les contrats signés par chaque exploitant priment sur toute analyse générale, et chaque situation appelle un examen individualisé des pièces, des délais et des polices d’assurance.