Dans la nuit du dimanche 11 au lundi 12 octobre 2026, les contrôleurs frigorifiques à distance de plusieurs centaines de supermarchés français ont été compromis : les températures de meubles froids et de chambres de congélation ont été modifiées à distance, avec une consigne de dégivrage forcé fixée à 50 degrés selon BFMTV, et des stocks entiers de produits frais et surgelés ont été détruits. Le groupement Les Mousquetaires a indiqué à BFMTV que 300 magasins de ses enseignes Intermarché et Netto avaient été affectés, pour des pertes estimées à plusieurs millions d’euros selon Le Figaro ; moins d’une centaine de supermarchés de la Coopérative U sont concernés d’après Le Figaro, tandis qu’E.Leclerc a confirmé une attaque informatique ayant affecté l’un de ses fournisseurs de matériel frigorifique, que Carrefour a fait état d’environ 80 supermarchés touchés sur 6 000 magasins et que le groupe Casino a évoqué 5 % du parc Monoprix. Le 12 octobre 2026, le CERT-FR, rattaché à l’ANSSI, a publié le bulletin d’alerte CERTFR-2026-ALE-012 visant d’abord les contrôleurs Danfoss des séries AK-SM et AK-SC, étendu le 13 octobre aux contrôleurs Copeland xweb et Dixell xweb, puis mis à jour le 16 octobre, en prévenant que des campagnes d’attaques étaient probablement toujours en cours. L’ANSSI, saisie par le Premier ministre, a identifié une vulnérabilité dans un logiciel fourni par une société danoise et pris contact avec l’éditeur, selon BFMTV.
La réponse tient en trois constats. D’abord, le magasin qui découvre des meubles à température anormale doit retirer immédiatement les denrées douteuses, prévenir les autorités compétentes et figer les preuves : relevés de température, journaux du contrôleur, constat et traçabilité des lots. Ensuite, la destruction des stocks ne désigne pas d’office son payeur : chaque contrat — vente de denrées, maintenance du froid, fourniture du contrôleur, assurance — s’apprécie séparément, la force majeure suppose trois conditions cumulatives strictes, et la simple imputabilité du dommage à un équipement ne suffit pas à établir son défaut. Enfin, nul ne doit rebrancher à l’identique : le CERT-FR recommande de supprimer l’exposition des contrôleurs sur Internet, de vérifier les conditions du contrat d’assurance avant de couper la remontée des données vers le prestataire frigoriste, puis de rétablir l’accès par un réseau protégé avec les correctifs du constructeur.
Aucune intrusion, aucun dommage ni aucune responsabilité ne sont établis par ces lignes au-delà de ce que disent les sources citées : les qualifications juridiques sont formulées au conditionnel, les contrats signés priment sur toute analyse générale, et seul le juge, saisi d’un dossier documenté, décidera qui supporte quoi. Les développements qui suivent sont de portée générale : ils décrivent les vérifications utiles dans toute situation comparable et ne décrivent pas la situation de Danfoss, d’Intermarché, de Netto ou de Super U, sur laquelle l’article ne formule aucun constat.
I. Le froid coupé : ce que les magasins et leurs fournisseurs doivent faire dans les premières heures
A. Retirer, déclarer, tracer : l’obligation sanitaire ne négocie pas
Lorsqu’un meuble frigorifique affiche 26 degrés au lieu de 4, ou qu’une chambre de congélation a chauffé pendant des heures, le commerçant ne peut ni remettre les produits en vente après un simple re-refroidissement, ni attendre l’expert de l’assureur pour vider les rayons. Le droit européen de la sécurité alimentaire est direct : l’article 14 du règlement (CE) n° 178/2002 dispose que « Aucune denrée alimentaire n’est mise sur le marché si elle est dangereuse. » Une denrée est notamment dite dangereuse si elle est impropre à la consommation humaine, et le même texte précise qu’il est tenu compte, pour cette appréciation, « de la question de savoir si cette denrée alimentaire est inacceptable pour la consommation humaine compte tenu de l’utilisation prévue, pour des raisons de contamination, d’origine externe ou autre, ou par putréfaction, détérioration ou décomposition. » Une rupture de la chaîne du froid de plusieurs heures, avec des températures relevées à plusieurs dizaines de degrés, rend les produits frais concernés suspects par nature : le doute ne profite pas à la remise en rayon, il impose le retrait.
L’exploitant du magasin doit ensuite agir vite et prévenir. L’article 19 du même règlement prévoit que « Si un exploitant du secteur alimentaire considère ou a des raisons de penser qu’une denrée alimentaire qu’il a importée, produite, transformée, fabriquée ou distribuée ne répond pas aux prescriptions relatives à la sécurité des denrées alimentaires, il engage immédiatement les procédures de retrait du marché de la denrée alimentaire en question, lorsque celle-ci ne se trouve plus sous le contrôle direct de ce premier exploitant du secteur alimentaire, et en informe les autorités compétentes. » Le commerce de détail n’est pas dispensé : le même article ajoute que « Tout exploitant du secteur alimentaire responsable d’activités de commerce de détail ou de distribution qui n’affectent pas l’emballage, l’étiquetage, la sécurité ou l’intégrité des denrées alimentaires engage, dans les limites de ses activités propres, les procédures de retrait du marché des produits ne répondant pas aux prescriptions relatives à la sécurité des denrées alimentaires et contribue à la sécurité des denrées alimentaires en transmettant les informations nécessaires pour retracer le cheminement d’une denrée alimentaire et en coopérant aux mesures prises par les producteurs, les transformateurs, les fabricants et/ou les autorités compétentes. » Concrètement, le magasin isole les lots suspects, les identifie, conserve les bons de livraison et les températures relevées, et tient à disposition des services de contrôle la liste des fournisseurs concernés. Lorsque les produits ont déjà été vendus avant la découverte de l’anomalie, l’information des consommateurs et, au besoin, leur rappel s’imposent dans les mêmes conditions.
Il faut souligner ce qui, dans les faits rapportés, joue en faveur des enseignes touchées : le groupement Les Mousquetaires a déclaré à BFMTV, le 12 octobre 2026, qu’une cyberattaque aurait touché un prestataire de la gestion des systèmes frigorifiques dans les magasins, que certains matériels de frais et de surgelés étaient de ce fait hors service, et que les enseignes Intermarché et Netto avaient pris toutes les précautions nécessaires pour retirer au plus vite les produits présents dans ces matériels. Retirer vite, c’est à la fois protéger les consommateurs et se constituer la première preuve de diligence. Carrefour a pour sa part assuré que la très grande majorité de son parc n’était pas touchée, et le groupe Casino que les autres marques du groupe n’étaient pas affectées : circonscrire le périmètre, magasin par magasin, évite que la suspicion ne s’étende à l’ensemble des stocks et fonde les demandes adressées ensuite aux fournisseurs et aux assureurs.
La traçabilité mérite une attention particulière quand des centaines de points de vente sont frappés en même temps. L’article 14 du règlement précité prévoit que « Lorsqu’une denrée alimentaire dangereuse fait partie d’un lot ou d’un chargement de denrées alimentaires de la même catégorie ou correspondant à la même description, il est présumé que la totalité des denrées alimentaires de ce lot ou chargement sont également dangereuses, sauf si une évaluation détaillée montre qu’il n’y a pas de preuve que le reste du lot ou du chargement soit dangereux. » Chaque magasin doit donc raisonner par lot et par meuble : numéro de lot, date de réception, relevé de température du meuble concerné, durée d’exposition. Les enregistreurs de température des installations, les journaux du contrôleur de régulation et les tickets des groupes frigorifiques sont les pièces maîtresses du dossier ; leur extraction et leur sauvegarde doivent intervenir avant toute réinitialisation des équipements, car une remise à zéro efface souvent l’historique qui prouve la durée et l’ampleur de l’anomalie.
B. Figer les preuves avant de réparer : constats, journaux et assurance
En matière de preuve, la règle de départ est simple et sévère. L’article 1353 du code civil dispose que « Celui qui réclame l’exécution d’une obligation doit la prouver. Réciproquement, celui qui se prétend libéré doit justifier le paiement ou le fait qui a produit l’extinction de son obligation. » Le magasin qui réclamera à son fournisseur, à son mainteneur ou à son assureur le prix des denrées détruites devra prouver la rupture du froid, sa durée, les lots concernés et leur valeur ; le prestataire qui invoquera la force majeure devra prouver, lui, les trois conditions légales de l’exonération. Tout se joue donc dans les premières heures, avant le nettoyage et la remise en service.
Le réflexe utile consiste à faire constater par un commissaire de justice l’état des installations : afficheurs de température photographiés avec date et heure, relevés des sondes, journaux d’événements du contrôleur exportés sur support externe, liste des meubles et chambres concernés, estimation des quantités détruites par famille de produits. Les salariés présents pendant la nuit de l’attaque, qui ont parfois sauvé une partie des marchandises dans les magasins touchés plus tard, doivent rédiger sans délai des attestations circonstanciées : heure d’arrivée, température constatée, consignes reçues, produits écartés. Les échanges avec le prestataire frigoriste — appels, messages, interventions — sont conservés dans leur intégralité, car ils établiront qui a été alerté, quand, et ce qui a été fait.
Le CERT-FR ajoute une mise en garde que beaucoup d’exploitants découvrent trop tard : avant de couper la remontée des données des contrôleurs vers le prestataire, il faut vérifier le contrat d’assurance. Le bulletin CERTFR-2026-ALE-012 du CERT-FR, publié le 12 octobre 2026 puis mis à jour le 16 octobre, invite ainsi à contrôler le contrat d’assurance avant toute coupure de la remontée des données Internet vers le prestataire frigoriste. Couper brutalement la télésurveillance pour stopper l’attaque peut en effet priver l’assureur des données de supervision qu’il exigera, voire constituer un manquement aux obligations de prévention stipulées dans la police. La bonne séquence consiste donc à lire la police avant d’agir : délais de déclaration du sinistre, obligations de prévention et de sauvegarde des preuves, exclusions éventuelles liées aux actes de malveillance informatique, puis à déclarer le sinistre dans les délais du contrat en joignant le constat, les relevés et la référence du bulletin du CERT-FR.
Sur ce point, une décision récente illustre pourquoi la lecture des polices ne souffre aucun à-peu-près. Le 20 août 2026, le tribunal judiciaire de Lyon, statuant sur la garantie d’un assureur sollicitée par deux sociétés prestataires de solutions logicielles après le piratage informatique subi de la part d’un tiers et déclaré en sinistre le 29 juin 2021, a relevé que les fraudes informatiques n’étaient garanties que lorsqu’elles étaient commises par les préposés de l’assuré, et que l’exclusion stipulée en caractères apparents écartait les conséquences provenant de fraudes y compris informatiques, à l’exclusion de celles engageant la responsabilité de l’assuré en sa qualité de commettant ; il en a déduit que le risque de cyberattaque de la part d’un tiers était exclu de manière claire de la garantie souscrite, et a rejeté les demandes (tribunal judiciaire de Lyon, 20 août 2026, RG 22/10048, décision publiée sur le portail Judilibre). L’enseignement, de portée générale, vaut pour tout commerce comme pour tout prestataire : une responsabilité civile professionnelle classique ne couvre pas nécessairement le piratage par un tiers, les extensions cyber ont leur champ propre, et l’obligation de conseil sur ces distinctions repose notamment sur le distributeur du contrat. Le magasin victime d’une compromission de ses équipements doit donc vérifier sans tarder s’il dispose d’une garantie cyber distincte, ce qu’elle couvre exactement, et dans quels délais elle doit être appelée.
Enfin, l’attaque elle-même relève du droit pénal, et le dépôt de plainte fait partie des décisions à prendre. L’article 323-1 du code pénal dispose que « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. Lorsqu’il en est résulté soit la suppression ou la modification de données contenues dans le système, soit une altération du fonctionnement de ce système, la peine est de cinq ans d’emprisonnement et de 150 000 € d’amende. » La modification à distance des consignes de température d’un contrôleur frigorifique serait susceptible de relever de ces qualifications, sous l’appréciation du juge et du parquet. La plainte, déposée avec le constat, les journaux et la référence au bulletin du CERT-FR, ouvre la voie à l’enquête, permet de signaler les faits sur la plateforme dédiée et préserve les droits à indemnisation devant la juridiction répressive. Si des données personnelles ont été compromises dans le même mouvement — ce que les sources consultées n’établissent pas à ce stade pour les contrôleurs frigorifiques —, une notification à la CNIL devrait en outre être envisagée : la Commission nationale de l’informatique et des libertés attend si possible une première notification dans les 72 heures suivant la constatation de la violation, tout dépassement devant être expliqué lors de la notification. Chaque acteur doit donc vérifier ce que l’attaque a réellement atteint : des consignes de température seules, ou aussi des données identifiantes.
II. Qui supporte les pertes : la carte des recours entre magasins, fournisseurs et prestataires
A. Contrats passés au crible : force majeure, défaut du produit et charge de la preuve
Le réflexe naturel du magasin sinistré consiste à se retourner contre son fournisseur de denrées pour être réapprovisionné sans payer deux fois, contre son mainteneur frigoriste pour n’avoir pas empêché l’intrusion, et contre le fabricant du contrôleur pour avoir livré un système vulnérable. Chacun de ces recours obéit à son propre contrat et à son propre régime, et aucun ne se déduit automatiquement de la matérialité des pertes.
Le point de départ commun est l’inexécution. L’article 1231-1 du code civil dispose que « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » Le créancier prouve l’inexécution — denrées non livrées, froid non maintenu, système non sécurisé — puis c’est au débiteur de justifier l’empêchement. La force majeure, elle, est strictement définie : l’article 1218 du code civil prévoit qu’« Il y a force majeure en matière contractuelle lorsqu’un événement échappant au contrôle du débiteur, qui ne pouvait être raisonnablement prévu lors de la conclusion du contrat et dont les effets ne peuvent être évités par des mesures appropriées, empêche l’exécution de son obligation par le débiteur. » Trois conditions cumulatives, donc : extériorité, imprévisibilité à la conclusion du contrat, irrésistibilité malgré des mesures appropriées. Le même texte ajoute que « Si l’empêchement est temporaire, l’exécution de l’obligation est suspendue à moins que le retard qui en résulterait ne justifie la résolution du contrat. Si l’empêchement est définitif, le contrat est résolu de plein droit et les parties sont libérées de leurs obligations dans les conditions prévues aux articles 1351 et 1351-1 . »
Appliquée à une compromission de contrôleurs frigorifiques, cette grille conduit à des questions précises plutôt qu’à des réponses toutes faites. Le mainteneur qui invoquerait la force majeure devrait établir que l’attaque échappait à son contrôle alors même qu’il était chargé de la télésurveillance, qu’elle était imprévisible à la date de son contrat alors que les vulnérabilités des objets connectés exposés sur Internet sont documentées depuis des années, et que ses effets ne pouvaient être évités par des mesures appropriées alors que le CERT-FR rappelle qu’exposer une interface de gestion sur Internet est contraire aux bonnes pratiques et recommande le correctif du constructeur, le mode de sécurité strict et le changement des mots de passe par défaut. Le fabricant du contrôleur, s’il était recherché sur le terrain du défaut, se heurterait à une jurisprudence exigeante pour les victimes : dans un arrêt rendu le 27 juin 2018 et publié au Bulletin, la première chambre civile de la Cour de cassation, saisie du cas d’un coffret de commande et de régulation de chambres froides installé dans un local exploité en boucherie et à l’origine d’un incendie survenu le 6 juillet 2006, a rappelé que « Attendu qu’un produit est défectueux lorsqu’il n’offre pas la sécurité à laquelle on peut légitimement s’attendre ; » puis a censuré la cour d’appel au motif que « Qu’en statuant ainsi, alors que la simple imputabilité du dommage au produit incriminé ne suffit pas à établir son défaut ni le lien de causalité entre ce défaut et le dommage, la cour d’appel a violé le texte susvisé ; » qui avait déclaré le producteur responsable au seul motif que l’expert avait situé le départ du feu dans le coffret (Cour de cassation, première chambre civile, 27 juin 2018, pourvoi n° 17-17.469, publié au Bulletin). Autrement dit, prouver que le dommage vient du contrôleur ne suffit pas : il faut caractériser en quoi le contrôleur n’offrait pas la sécurité légitimement attendue, et relier ce défaut précis au dommage par un lien de causalité démontré, ce qui suppose en pratique une expertise technique contradictoire sur les versions logicielles, les correctifs disponibles et les conditions d’exposition.
Le régime légal des produits défectueux encadre du reste strictement ces actions. L’article 1245 du code civil pose que « Le producteur est responsable du dommage causé par un défaut de son produit, qu’il soit ou non lié par un contrat avec la victime. », et l’article 1245-3 définit le défaut comme le non-respect de « la sécurité à laquelle on peut légitimement s’attendre » en tenant compte notamment de la présentation du produit, de l’usage raisonnablement attendu et du moment de sa mise en circulation. Mais le producteur dispose d’exonérations qu’il lui appartient de prouver, dont deux intéressent directement les équipements anciens : l’article 1245-10 du code civil prévoit qu’il est responsable de plein droit sauf s’il prouve « Que, compte tenu des circonstances, il y a lieu d’estimer que le défaut ayant causé le dommage n’existait pas au moment où le produit a été mis en circulation par lui ou que ce défaut est né postérieurement » ou encore « Que l’état des connaissances scientifiques et techniques, au moment où il a mis le produit en circulation, n’a pas permis de déceler l’existence du défaut ». Or les sources de presse indiquent que l’attaque aurait ciblé d’anciennes versions du logiciel de régulation, antérieures à la version 4 : la date de mise en circulation des contrôleurs, les mises à jour proposées depuis, les fins de vie annoncées et les recommandations du constructeur seront donc des pièces déterminantes, à charge ou à décharge selon ce qu’elles révèlent.
Les délais, enfin, commandent d’agir sans attendre la fin des investigations techniques. L’article 1245-16 du code civil dispose que « L’action en réparation fondée sur les dispositions du présent chapitre se prescrit dans un délai de trois ans à compter de la date à laquelle le demandeur a eu ou aurait dû avoir connaissance du dommage, du défaut et de l’identité du producteur. » Et l’article 1245-15 ajoute que « Sauf faute du producteur, la responsabilité de celui-ci, fondée sur les dispositions du présent chapitre, est éteinte dix ans après la mise en circulation du produit même qui a causé le dommage à moins que, durant cette période, la victime n’ait engagé une action en justice. » Pour des contrôleurs installés depuis de longues années, ces deux butoirs doivent être vérifiés dès l’ouverture du dossier : identifier précisément le produit en cause, sa date de mise en circulation et ce que le demandeur savait ou aurait dû savoir, avant d’engager des frais d’expertise. La mise en demeure du fournisseur ou du mainteneur, expédiée en recommandé avec l’inventaire des pertes et le constat, interrompt utilement les discussions et fige la date à laquelle chacun a été informé.
B. Reconstruire sans récidive : contrats, assurance et continuité des flux
Une fois les denrées détruites évacuées et les constats dressés, l’entreprise doit à la fois se réapprovisionner, remettre son froid en service et renégocier ce qui a failli, sans recréer la vulnérabilité qui vient d’être exploitée. Le CERT-FR donne la séquence technique : sortir de la zone de danger en supprimant l’exposition Internet des unités concernées et de toutes les unités exposées sur une adresse IP publique, vérifier l’intégralité de la configuration et notamment les plages de dégivrage, puis rétablir l’accès uniquement via un réseau privé virtuel sécurisé ou un réseau protégé, avec les bonnes pratiques du constructeur telles que la mise à jour du micrologiciel, le mode de sécurité strict et le changement des mots de passe par défaut. Le même bulletin signale un risque de poursuite des campagnes d’attaques contre ces équipements. Il avertit que maintenir en ligne un équipement sans correctif en fin de vie, c’est l’exposer à une très forte probabilité de compromission, la simple réinitialisation d’usine étant alors insuffisante. Avant tout redémarrage, le magasin doit donc se faire confirmer par écrit par son prestataire que les unités remises en service sont corrigées ou isolées, et conserver cette attestation.
C’est le moment de relire les contrats qui lient le magasin à son prestataire frigoriste, à son fournisseur de denrées et, le cas échéant, à sa tête de réseau. Qui devait appliquer les mises à jour du contrôleur : le fabricant, l’installateur, le mainteneur ou l’exploitant lui-même ? Le contrat de maintenance prévoit-il une télésurveillance permanente, des délais d’intervention et des pénalités, ou une simple obligation de moyens ? Les clauses limitatives ou exclusives de responsabilité doivent être relues à la lumière des manquements allégués, car leur portée dépend de ce qui sera judiciairement retenu. Lorsque le prestataire a été référencé par une centrale ou une tête de réseau, le magasin vérifie aussi ce que le contrat d’enseigne ou d’affiliation met à sa charge et ce qu’il peut attendre de la centrale : information du réseau, négociation collective d’une solution de remplacement, prise en charge partielle des coûts de remise en service. Si l’exécution du contrat de maintenance ou de fourniture est devenue excessivement onéreuse du fait des mesures de sécurisation imposées, l’article 1195 du code civil ouvre une voie de renégociation en disposant que « Si un changement de circonstances imprévisible lors de la conclusion du contrat rend l’exécution excessivement onéreuse pour une partie qui n’avait pas accepté d’en assumer le risque, celle-ci peut demander une renégociation du contrat à son cocontractant. » en rappelant qu’elle continue d’exécuter ses obligations pendant la renégociation. Le texte vise l’onérosité excessive, non la simple difficulté, et suppose un risque non accepté : son invocation se prépare pièces en main, devis de remplacement et surcoûts chiffrés à l’appui.
Du côté des fournisseurs de produits frais, la crise se propage en sens inverse : le magasin sinistré annule ou reporte ses commandes, demande des avoirs, tarde à payer les livraisons antérieures, tandis que le fournisseur lui-même a parfois perdu des marchandises en transit ou en chambre froide. Ici encore, chaque contrat s’apprécie séparément : le fournisseur impayé conserve ses recours contre le magasin selon leurs conditions générales et leurs délais de paiement, et la compromission des frigos du client ne l’oblige pas à accorder des délais qu’il n’a pas consentis. La bonne pratique consiste à traiter vite et par écrit : confirmer les annulations et reports par message daté, chiffrer les avoirs demandés lot par lot, proposer un échéancier réaliste plutôt que de cesser tout paiement, et informer l’assureur-crédit si la créance est couverte. Les entreprises dont l’activité dépend d’un petit nombre de clients de la distribution ont intérêt à diversifier leurs débouchés et à vérifier leurs propres garanties contre le risque d’impayés, car une attaque sectorielle frappe tous les magasins d’un même réseau au même moment.
L’ensemble de ces questions — répartition contractuelle des pertes après une attaque informatique, recours contre un prestataire ou un fabricant, lecture des polices d’assurance et sécurisation des flux avec les fournisseurs — relève de l’accompagnement en droit des affaires des entreprises confrontées à une cyberattaque de leur chaîne logistique, qui suppose l’examen concret des contrats, des constats et des relevés de chaque dossier. Le magasin qui a tout tracé depuis la première heure — bulletin du CERT-FR versé au dossier, constat, journaux du contrôleur, attestations, mises en demeure et déclarations d’assurance datées — aborde ces discussions en position de force, qu’elles se concluent par un accord ou devant le juge.
Conclusion
La compromission des contrôleurs frigorifiques dans la nuit du 11 au 12 octobre 2026 rappelle qu’un équipement industriel partagé peut paralyser en quelques heures des centaines de commerces et contaminer leurs fournisseurs : le froid s’arrête au magasin, mais la perte remonte toute la chaîne. Le droit applicable ne désigne aucun payeur automatique : il impose au commerçant de retirer les denrées douteuses et d’en informer les autorités, à chacun de prouver ce qu’il allègue, au débiteur qui invoque la force majeure d’en établir strictement les trois conditions, à la victime d’un produit supposé défectueux de démontrer le défaut et le lien causal au-delà de la simple imputabilité, et à tous de respecter les délais de prescription propres à chaque action. Les contrats signés — vente, maintenance, assurance, affiliation — priment sur toute analyse générale, aucune responsabilité n’est établie par ces lignes, et seul le juge, au vu des pièces conservées depuis les premières heures, tranchera les litiges nés de cette attaque.