Début novembre 2026, la presse belge rapporte que la France attribue à l’Iran le piratage des réfrigérateurs connectés de plusieurs supermarchés français, avec cette précision qui résume toute l’affaire : les attaquants seraient entrés « par la porte du voisin », c’est-à-dire non pas en forçant la porte principale du système informatique des enseignes, mais en compromettant des équipements connectés placés en magasin. Le chef de la diplomatie française dénonce, selon la RTBF, la responsabilité de l’Iran dans cette attaque contre des frigos connectés en France. À ce stade, cette attribution reste celle qu’affirment les autorités françaises telles que la presse la rapporte : aucune décision de justice publiée n’établit aujourd’hui l’identité des auteurs, l’étendue exacte des dommages ni le montant d’un préjudice. Pour le commerçant dont les installations ont servi de point d’entrée ou ont été mises hors service, la question n’est pourtant pas diplomatique : qui constate, qui paie les denrées perdues et l’exploitation interrompue, contre qui agir quand le matériel censé protéger le froid est devenu la faille. Cet article décrit la démarche complète du commerce victime d’une cyberattaque passée par un équipement connecté : la plainte pénale pour atteinte au système de traitement automatisé de données et la réparation devant le juge répressif, puis les recours civils contre le vendeur et le mainteneur du matériel, avec ce que l’attribution de l’attaque à un État étranger change, et surtout ce qu’elle ne change pas.
I. Faire constater l’attaque et enclencher la réponse pénale
A. Porter plainte pour accès, maintien et entrave frauduleux au système informatique
Le premier réflexe du commerce victime consiste à faire qualifier pénalement les faits, parce que la qualification pénale conditionne tout le reste : l’enquête technique, l’identification des auteurs et l’accès à la réparation devant le juge répressif. Le code pénal incrimine avec précision chaque geste de l’attaquant. « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. » (article 323-1 du code pénal). Quand l’intrusion a servi à prendre la main sur des équipements connectés en magasin, le maintien frauduleux dans le système couvre toute la durée pendant laquelle l’attaquant a gardé le contrôle, même s’il est entré par un boîtier mal sécurisé plutôt que par le serveur central. « Le fait d’entraver ou de fausser le fonctionnement d’un système de traitement automatisé de données est puni de cinq ans d’emprisonnement et de 150 000 € d’amende. » (article 323-2 du code pénal). Des réfrigérateurs bloqués, déréglés ou rendus inaccessibles à distance relèvent de cette entrave dès lors que le fonctionnement du système est faussé. « Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient est puni de cinq ans d’emprisonnement et de 150 000 € d’amende. » (article 323-3 du code pénal). La copie ou la suppression des journaux de température, des relevés de maintenance ou des données clients transitant par les mêmes équipements entre dans ces prévisions.
La plainte se dépose auprès du procureur de la République ou des services de police et de gendarmerie, avec constitution de partie civile pour obtenir réparation du préjudice dans le procès pénal. La jurisprudence montre que cette voie reste ouverte même quand les traces techniques pointent vers l’étranger. Dans une affaire où une société avait subi des « attaques informatiques survenues entre mars et novembre 2017 depuis des adresses IP aux Philippines et en Chine », la Cour de cassation a eu à trancher non pas le fond mais la répartition de la compétence entre juges d’instruction, et elle a désigné un juge d’instruction pour poursuivre l’information au visa des règles de compétence du pôle national de lutte contre la criminalité organisée en matière d’atteintes aux systèmes de traitement automatisé de données (Cass. crim., 20 août 2018, n° 18-84.728 ; article 706-72-6 du code de procédure pénale). Le commerce victime d’une attaque attribuée, même publiquement, à un État étranger, n’a donc pas à renoncer à la plainte sous prétexte que les auteurs présumés se trouveraient hors de France : l’enquête française peut être ouverte et confiée aux magistrats spécialisés.
La constitution de partie civile présente un intérêt direct pour l’indemnisation. Le juge répressif statue sur les intérêts civils en même temps que sur la culpabilité, de sorte que le commerçant qui chiffre ses pertes peut les voir réparer dans le jugement pénal lui-même. La Cour de cassation l’a rappelé récemment en rejetant le pourvoi d’un ancien administrateur réseau poursuivi pour maintien frauduleux dans le système de son ancien employeur : la cour d’appel « l’a condamné à trois mois d’emprisonnement avec sursis et a prononcé sur les intérêts civils » (Cass. crim., 2 sept. 2025, n° 24-83.605). Cette décision illustre un point que les commerces sous-estiment : l’auteur d’une atteinte au système informatique se trouve souvent à l’intérieur du cercle des prestataires, des mainteneurs ou des anciens intervenants techniques, et la voie pénale permet d’obtenir à la fois la sanction et la réparation. La citation directe devant le tribunal correctionnel et la plainte avec constitution de partie civile devant le juge d’instruction répondent à deux situations distinctes que le commerçant doit identifier avec son conseil dès le dépôt. Quand l’auteur est identifié ou identifiable et que les pièces techniques sont réunies, la citation directe fait juger rapidement la culpabilité et les intérêts civils. Quand l’auteur reste inconnu, ce qui est le cas ordinaire des attaques menées depuis l’étranger, la plainte avec constitution de partie civile déclenche l’ouverture d’une information, avec un juge d’instruction qui disposera des pouvoirs d’investigation nécessaires aux réquisitions internationales et aux expertises techniques. Dans les deux cas, la consignation éventuellement demandée au plaignant ne doit pas dissuader la démarche : elle est fixée en fonction des ressources et reste sans commune mesure avec l’enjeu d’un préjudice d’exploitation qui se compte en semaines de chiffre d’affaires. Le choix de la voie procédurale se fait donc sur létat des pièces réunies, jamais sur la crainte d’une procédure présentée à tort comme réservée aux grandes entreprises.
Concrètement, la plainte doit décrire avec précision les équipements concernés, les dates et heures des anomalies relevées, les journaux techniques conservés et l’estimation chiffrée des pertes, denrées détruites et heures d’exploitation perdues comprises, parce que c’est ce dossier qui orientera les investigations techniques.
B. Préserver les preuves, alerter et activer l’assurance avant de réparer
Avant toute remise en service, le commerçant doit figer l’état des lieux technique, car une remise en route précipitée efface les traces dont dépendront la plainte et l’expertise d’assurance. Les journaux de connexion des équipements, les relevés d’anomalies de température, les courriels et messages échangés avec le mainteneur, les factures d’achat et les contrats de maintenance se conservent en l’état et se copient sur un support distinct. Toute manipulation des boîtiers compromis se fait, si possible, sous la direction des enquêteurs ou d’un expert, parce qu’une réinitialisation d’usine décidée seul peut être interprétée ensuite comme une perte volontaire de preuve dans le litige contre le vendeur. Le constat d’huissier, devenu constat de commissaire de justice, dressé dans les heures qui suivent la découverte, fixe la panne, les messages d’erreur affichés et l’état des denrées, et il servira dans chaque procédure ultérieure.
Lorsque des données personnelles ont transité par les équipements compromis, fichiers clients du programme de fidélité, images de vidéosurveillance ou données des salariés, le commerçant responsable du traitement doit évaluer s’il notifie l’autorité de contrôle et s’il informe les personnes concernées, selon les articles 32 à 34 du règlement (UE) 2016/679 du 27 avril 2016. La notification ne se présume pas et son contenu se prépare avec les mêmes pièces techniques que la plainte, en distinguant la simple anomalie de fonctionnement de la violation de données avérée. Parallèlement, les entités soumises aux obligations de cybersécurité sectorielles vérifient si elles relèvent du champ de la directive (UE) 2022/2555 du 14 décembre 2022, dite NIS 2, qui organise la gestion des incidents et leur signalement aux autorités nationales, dont l’Agence nationale de la sécurité des systèmes d’information pour la France.
L’attestation de l’expert-comptable mérite une attention particulière parce qu’elle transforme des chiffres internes en preuve présentable au juge et à l’assureur. Elle compare, semaine par semaine, le chiffre d’affaires de la période d’interruption avec celui des mêmes semaines des deux exercices précédents, corrige les écarts saisonniers et isole la part de baisse imputable à l’attaque des variations ordinaires de l’activité. Les tickets de caisse, les relevés du terminal de paiement et les plannings du personnel confirment la baisse de fréquentation et les heures perdues. Les photographies datées des denrées avariées, les bons d’enlèvement du prestataire chargé de leur destruction et les factures de remplacement du stock complètent un dossier que ni l’assureur ni le tribunal ne pourront écarter comme approximatif. Ce travail comptable se commence dès la première semaine d’interruption, pendant que les pièces sont fraîches et que les témoins, salariés et fournisseurs, restent disponibles pour attester.
Le troisième geste consiste à déclarer le sinistre à l’assureur, au titre de la garantie cyber quand elle existe et, à défaut, au titre de la perte d’exploitation et de la détérioration des marchandises. La déclaration reprend le constat, l’estimation des denrées détruites et la durée d’interruption, en séparant ce qui relève du matériel, des marchandises et de la marge perdue, parce que l’expert d’assurance appliquera à chaque poste le plafond et la franchise propres à la garantie invoquée. Le commerçant qui attend l’issue de l’enquête pénale pour déclarer risque de se voir opposer une déclaration tardive, alors que les deux démarches se mènent en parallèle : l’enquête pénale cherche les auteurs, l’expertise d’assurance chiffre les conséquences. Conserver chaque échange avec l’assureur et ne signer aucun protocole transactionnel avant d’avoir fait évaluer l’ensemble du préjudice par son propre conseil évite de solder pour une somme forfaitaire un sinistre dont l’ampleur apparaîtra avec les investigations.
II. Faire payer le préjudice d’exploitation au terme des recours civils
A. Agir contre le vendeur et le mainteneur de l’équipement connecté
Quand la faille qui a laissé entrer l’attaquant tient au matériel lui-même, mot de passe d’usine non modifiable, absence de mises à jour de sécurité ou défaut de conception du boîtier connecté, le vendeur professionnel répond des défauts cachés de la chose vendue. « Le vendeur est tenu de la garantie à raison des défauts cachés de la chose vendue qui la rendent impropre à l’usage auquel on la destine, ou qui diminuent tellement cet usage que l’acheteur ne l’aurait pas acquise, ou n’en aurait donné qu’un moindre prix, s’il les avait connus. » (article 1641 du code civil). Un équipement professionnel de froid dont la sécurité informatique rend l’usage dangereux pour l’exploitation, parce qu’il expose le magasin à une prise de contrôle à distance, peut être analysé comme impropre à l’usage professionnel auquel le commerçant le destinait, à condition de démontrer par expertise que le défaut existait au jour de la vente et qu’il n’était pas décelable par un acheteur non spécialiste de cybersécurité. L’action aboutit, selon le choix du commerçant et l’ampleur du défaut, à la restitution contre remboursement ou à une réduction du prix, sans préjudice des dommages et intérêts complémentaires pour le préjudice d’exploitation.
Quand le manquement tient au suivi, mises à jour jamais proposées, alertes de vulnérabilité ignorées ou télésurveillance défaillante, c’est le contrat de maintenance ou de service qui fonde le recours. « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » (article 1231-1 du code civil). Le commerçant rassemble le contrat, les bons d’intervention, les échanges sur les mises à jour et la preuve que la vulnérabilité exploitée était connue du mainteneur ou aurait dû l’être au regard de l’état de l’art. La cyberattaque, même attribuée à un État étranger, n’exonère pas le mainteneur par principe : l’irrésistibilité de l’attaque s’apprécie concrètement, et un défaut de correctif disponible depuis des mois plaide contre la force majeure. Au-delà du contrat, « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » (article 1240 du code civil), ce qui permet d’atteindre le fabricant tiers au contrat quand une faute de conception est établie par expertise.
L’expertise technique constitue le pivot commun de la plainte pénale et des actions civiles, et le commerçant a intérêt à la demander tôt plutôt qu’à la subir tard. Sur le terrain pénal, l’expert désigné par le magistrat dira par où les attaquants sont entrés, si la vulnérabilité exploitée était connue et corrigible, et si les journaux du système permettent d’identifier une origine. Sur le terrain civil, l’expert judiciaire dira si le défaut de sécurité existait au jour de la vente, si le mainteneur a manqué à ses obligations contractuelles de mise à jour et de surveillance, et quel préjudice matériel découle directement de la compromission. Le commerçant prépare cette expertise en versant au dossier chaque document contractuel, descriptifs commerciaux vantant la sécurité du matériel, engagements écrits du mainteneur sur les délais d’intervention, historique des mises à jour installées ou proposées, parce que l’expert ne constatera que ce qui lui est soumis. Une vulnérabilité documentée publiquement depuis des mois avant l’attaque, avec un correctif disponible que ni le vendeur ni le mainteneur n’ont proposé d’installer, pèse lourd dans l’appréciation des responsabilités, quel que soit le commanditaire présumé de l’attaque.
Le chiffrage du préjudice d’exploitation se construit poste par poste : denrées devenues impropres à la vente, évaluées au coût d’achat et justifiées par les relevés de destruction et les attestations du prestataire d’équarrissage ou de traitement des déchets ; marge perdue pendant la fermeture ou le fonctionnement dégradé, établie par comparaison avec le chiffre d’affaires des mêmes semaines des exercices précédents, corrigé des tendances constatées ; surcoûts de remise en service, location de matériel de remplacement, heures supplémentaires du personnel et honoraires d’expertise. Chaque poste s’appuie sur une pièce, parce que le juge civil comme le juge pénal n’indemnisent que le préjudice démontré. Le commerçant qui tient sa comptabilité à jour et qui fait constater les pertes au jour le jour place son dossier d’indemnisation dans les meilleures conditions, que la réparation soit demandée dans le procès pénal par la constitution de partie civile ou devant le tribunal judiciaire contre le vendeur et le mainteneur.
B. L’attribution à un État étranger : ce qu’elle change et ce qu’elle ne change pas
L’attribution publique d’une cyberattaque à un État étranger, telle que la presse belge la rapporte pour l’affaire des frigos connectés, produit d’abord des effets politiques et diplomatiques qui n’appartiennent pas au prétoire du commerçant : sanctions, mesures de rétorsion et négociations entre États se jouent entre gouvernements. Devant le juge français, cette attribution ne crée par elle-même ni un débiteur solvable ni une procédure simplifiée. L’État étranger désigné comme commanditaire présumé ne devient pas défendeur d’une action en réparation ordinaire du commerçant : l’immunité de juridiction des États étrangers fait en pratique obstacle à une assignation directe, et aucune décision de justice publiée n’a, à la date de rédaction de cet article, condamné un État dans le dossier des frigos connectés ni chiffré un préjudice. Le commerçant qui attendrait une réparation versée par l’auteur présumé désigné dans les communiqués attendrait donc un règlement qui n’existe pas dans le cadre judiciaire actuel.
Ce que l’attribution change, en revanche, c’est le sérieux avec lequel les autres acteurs traiteront le dossier. Une attaque présentée par les autorités comme pilotée par un État rend plus difficile pour un assureur ou un mainteneur de soutenir qu’il s’agissait d’un incident bénin ou d’une négligence exclusive du commerçant, et elle justifie des mesures d’instruction ambitieuses, expertises et commissions rogatoires internationales, qu’un dossier de panne ordinaire n’obtiendrait pas. Elle oriente aussi la plainte vers les magistrats et services spécialisés dans la cybercriminalité, habitués aux investigations à dimension internationale, comme l’illustre la désignation d’un juge d’instruction dédié dans l’affaire des attaques venues d’adresses étrangères examinée par la Cour de cassation (Cass. crim., 20 août 2018, n° 18-84.728). Le commerçant mentionne donc l’attribution rapportée par la presse dans sa plainte, en citant précisément les articles qui la rapportent, sans la présenter comme un fait établi par la justice : elle est un élément de contexte qui justifie des moyens d’enquête, pas une preuve.
Face à l’assureur comme face au vendeur, le commerçant garde la maîtrise du calendrier en distinguant les actions urgentes des actions définitives. Les actions urgentes, constat, plainte, notification, déclaration de sinistre et mesures conservatoires sur le matériel, se font dans les premiers jours et ne préjugent d’aucune responsabilité. Les actions définitives, assignation au fond, chiffrage final du préjudice et négociation transactionnelle, attendent les premiers résultats de l’enquête et de l’expertise, parce qu’assigner trop tôt sur un chiffrage provisoire expose à sous-évaluer la demande, tandis qu’attendre sans agir expose à la dispersion des preuves. Entre les deux, la mise en demeure adressée au vendeur et au mainteneur, précise sur les manquements reprochés et les pièces qui les établissent, interrompt les discussions informelles qui s’enlisent et fait courir les intérêts sur les sommes qui seront finalement allouées. Cette mise en demeure reste mesurée dans ses termes : elle décrit des faits et vise des obligations, elle n’accuse pas publiquement et ne préjuge pas de l’issue de l’enquête pénale sur l’identité des auteurs.
La prudence s’impose enfin dans la communication du commerce victime. Tant que l’enquête est en cours, aucune déclaration publique ne doit désigner nommément un prestataire, un fabricant ou un mainteneur comme responsable de la faille, sous peine de voir une action en diffamation ou en concurrence déloyale se greffer sur le dossier de la cyberattaque. Les mises en demeure et les assignations s’écrivent au conditionnel technique, en visant des manquements précis démontrés par expertise, et les communiqués grand public s’en tiennent aux faits constatés : des équipements compromis, une plainte déposée, des mesures de protection prises pour les clients. Cette discipline protège la demande d’indemnisation elle-même, car un commerçant qui aurait publiquement accusé à tort affaiblirait sa crédibilité devant le tribunal qui doit ensuite évaluer son préjudice. En résumé, l’attribution étatique justifie de viser haut dans les moyens d’enquête et de ne rien céder sur l’expertise, mais la réparation du commerçant se joue contre des débiteurs proches et solvables, le vendeur, le mainteneur et l’assureur, sur des fondements de droit commun démontrés pièce par pièce.
Conclusion
Le commerce dont les équipements connectés ont servi de porte d’entrée à une cyberattaque, fût-elle attribuée publiquement à un État étranger, dispose d’une démarche complète en droit français : plainte pour accès, maintien, entrave ou introduction frauduleux dans un système de traitement automatisé de données, avec constitution de partie civile pour faire réparer le préjudice dans le procès pénal ; conservation des preuves, notification des violations de données personnelles et déclaration à l’assurance menées en parallèle de l’enquête ; recours contre le vendeur sur la garantie des défauts cachés et contre le mainteneur sur l’inexécution de ses obligations, avec un préjudice d’exploitation chiffré poste par poste. L’attribution à un État étranger, à ce jour rapportée par la presse sans décision de justice publiée qui l’établisse, justifie des investigations ambitieuses mais ne crée pas de débiteur direct : la réparation se gagne contre le vendeur, le mainteneur et l’assureur, sur des fondements démontrés. Le dossier qui aboutit est celui qui a été figé dès les premières heures, constat, journaux techniques et chiffrage, et conduit sans faiblir sur les deux terrains, pénal et civil, jusqu’à l’indemnisation intégrale.