Dans la nuit du 11 au 12 octobre 2026, les installations de production de froid pilotées à distance de nombreux magasins alimentaires français ont été déréglées. Selon les informations publiées le 12 octobre 2026 par BFMTV et franceinfo, un dégivrage forcé aurait été déclenché à distance sur ces équipements, avec des températures programmées jusqu’à 50 degrés. D’après franceinfo, moins d’une centaine de magasins d’un réseau et une centaine de magasins d’un autre réseau seraient affectés. D’après BFMTV, deux supermarchés situés en Alsace déploreraient à eux seuls 270 000 euros de marchandises perdues, et un autre établissement 220 000 euros, tandis que le préjudice national pourrait se chiffrer en millions d’euros. Une communication interne d’un réseau, que BFMTV dit avoir consultée, confirmerait une cyberattaque survenue dans la nuit chez le fournisseur des systèmes de régulation, et une réunion de crise entre prestataires du froid était prévue le 12 octobre à 11 heures. À la date de rédaction du présent article, aucune autorité officielle n’a confirmé publiquement l’intrusion ni chiffré le dommage, et les montants avancés par la presse restent exprimés au conditionnel. Les développements qui suivent sont donc rédigés pour tout commerçant, artisan des métiers de bouche ou dirigeant de magasin dont le stock frais est détruit après la compromission du système piloté par son prestataire : que faire dans les premières heures, comment déposer plainte, contre qui agir et comment faire payer les marchandises perdues.

I. Cyberattaque sur vos installations pilotées à distance : que faire dans les premières heures quand le stock frais est détruit

A. Couper, constater et sauver ce qui peut l’être : relevés de température, constat et retrait des denrées impropres

La première heure décide souvent de l’indemnisation. Un stock de produits frais ou surgelés exposé à une rupture de la chaîne du froid devient impropre à la vente, et toute remise en rayon de denrées ayant subi une remontée en température expose le commerçant à la responsabilité de sa propre négligence. L’article 1241 du Code civil dispose en effet que « Chacun est responsable du dommage qu’il a causé non seulement par son fait, mais encore par sa négligence ou par son imprudence » (article 1241 du Code civil). Revendre des produits dont la conservation n’est plus garantie, c’est prendre le risque d’une intoxication alimentaire dont le commerçant répondrait personnellement, sans pouvoir se retrancher derrière la cyberattaque subie par son prestataire.

Concrètement, dès la découverte du dérèglement, le dirigeant fait isoler les meubles et chambres froides concernés, relève par écrit les températures affichées, l’heure de la découverte et l’heure présumée du début de l’incident, photographie les afficheurs, les écrans de supervision et les messages d’alerte, et conserve les tickets de caisse des destructions. Les enregistreurs automatiques de température, les journaux du système de télégestion et les courriels ou messages du prestataire forment le dossier de preuve : l’article 1353 du Code civil rappelle que « Celui qui réclame l’exécution d’une obligation doit la prouver. Réciproquement, celui qui se prétend libéré doit justifier le paiement ou le fait qui a produit l’extinction de son obligation » (article 1353 du Code civil). Autrement dit, c’est au commerçant de prouver la rupture de froid et l’étendue du stock détruit, et c’est au prestataire de prouver qu’il serait libéré.

Le réflexe qui protège le mieux la preuve, c’est le constat par un commissaire de justice, avec relevé des températures, inventaire des marchandises détruites et capture des écrans du système de pilotage. Ce constat fige la situation avant toute intervention du frigoriste ou du fournisseur, dont la remise en service efface les traces. En parallèle, le dirigeant fait établir par écrit l’inventaire chiffré des pertes, rayon par rayon, avec les factures d’achat correspondantes : l’assurance n’indemnise que la valeur prouvée des biens au jour du sinistre, comme le rappelle l’article L. 121-1 du Code des assurances, selon lequel « L’assurance relative aux biens est un contrat d’indemnité ; l’indemnité due par l’assureur à l’assuré ne peut pas dépasser le montant de la valeur de la chose assurée au moment du sinistre » (article L. 121-1 du Code des assurances). Sans inventaire précis et sans factures, une partie du préjudice reste non indemnisée.

Les denrées devenues impropres doivent être retirées de la vente et détruites dans les conditions prévues par la réglementation sanitaire, avec des bons de destruction conservés au dossier. Les denrées encore conformes, sauvées par l’intervention rapide des équipes pendant la nuit, peuvent être maintenues à la vente à condition que la continuité de leur conservation soit établie par les relevés. Enfin, le dirigeant adresse immédiatement une notification écrite au prestataire qui pilote les installations, par lettre recommandée avec accusé de réception et par courriel, décrivant les faits, l’heure de découverte et les premières pertes, et lui demandant de conserver l’ensemble des journaux techniques : cette lettre fixe le point de départ des recours et empêche le prestataire de soutenir qu’il n’a été informé que tardivement.

B. Déposer plainte pour piratage et faire établir l’origine de l’attaque : à Paris comme ailleurs, la plainte conditionne les recours

Le dérèglement à distance d’installations frigorifiques relève du droit pénal de la cybercriminalité. L’article 323-1 du Code pénal punit de trois ans d’emprisonnement et de 100 000 euros d’amende « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données », et précise que « Lorsqu’il en est résulté soit la suppression ou la modification de données contenues dans le système, soit une altération du fonctionnement de ce système, la peine est de cinq ans d’emprisonnement et de 150 000 € d’amende » (article 323-1 du Code pénal). La reprogrammation forcée des consignes de température, qui altère le fonctionnement du système de régulation, correspond à cette circonstance aggravante. De son côté, l’article 323-3 du Code pénal punit de cinq ans d’emprisonnement et de 150 000 euros d’amende « Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient » (article 323-3 du Code pénal). L’injection de consignes de dégivrage à 50 degrés dans le système de pilotage entre dans ce texte.

Le commerçant victime dépose donc plainte dans les meilleurs délais, contre auteur inconnu si l’origine de l’attaque n’est pas établie, en joignant le constat, les relevés de température, l’inventaire des pertes et la correspondance avec le prestataire. La plainte produit trois effets concrets : elle ouvre une enquête capable d’identifier le point d’entrée de l’attaque, par exemple le serveur du fournisseur de régulation ou le boîtier de télégestion du magasin ; elle fournit un procès-verbal qui crédibilise les demandes adressées à l’assureur et au prestataire ; et elle permet au commerçant de se constituer partie civile pour obtenir réparation devant le juge pénal. Lorsque le procureur de la République n’engage pas de poursuites, l’article 85 du Code de procédure pénale ouvre la voie de la plainte avec constitution de partie civile : « Toute personne qui se prétend lésée par un crime ou un délit peut en portant plainte se constituer partie civile devant le juge d’instruction compétent en application des dispositions des articles 52, 52-1 et 706-42 » (article 85 du Code de procédure pénale). Cette plainte n’est recevable qu’après un refus de poursuites du parquet ou après un délai de trois mois sans réponse, et elle suppose le versement d’une consignation dont le juge fixe le montant.

À Paris et en Île-de-France, le parcours est balisé. La plainte peut être déposée dans tout commissariat ou brigade de gendarmerie du lieu du magasin, ou par pré-plainte en ligne avant signature sur place. Les signalements d’attaques informatiques relèvent également de la plateforme PHAROS et, pour les contenus et comportements illicites en ligne, des services spécialisés de la préfecture de police de Paris. Sur le plan civil et commercial, le litige contre le prestataire francilien relève du tribunal de commerce de Paris lorsque les deux parties sont commerçantes, et du tribunal judiciaire de Paris dans les autres configurations, avec des délais d’audiencement qu’un dossier bien documenté dès le départ permet de mettre à profit : relevés horodatés, constat de commissaire de justice établi par une étude parisienne ou francilienne dans les heures qui suivent, inventaire chiffré et mise en demeure préalable. Les commerçants parisiens dont les chambres froides dépendent d’un contrat national de maintenance doivent vérifier quel établissement est signataire du contrat et devant quelle juridiction la clause attributive de compétence, si elle existe, porte le litige, car les groupes de distribution concentrent souvent leurs contrats au siège.

Le dirigeant signale aussi l’incident à l’Agence nationale de la sécurité des systèmes d’information par ses canaux de signalement, surtout si le système de télégestion reste accessible à distance et menace d’autres sites. Ce signalement ne remplace pas la plainte, mais il documente la diligence du commerçant et peut éclairer l’enquête sur le mode opératoire. Enfin, lorsque des données de clients ou de salariés ont aussi été exposées par la même attaque, par exemple via un système de caisse connecté au même réseau, les obligations de notification de violation de données personnelles s’ajoutent au dossier, avec leurs délais propres de soixante-douze heures : le présent article traite du stock détruit, et le dirigeant concerné par un volet de données personnelles consultera utilement l’article du site consacré à la conduite à tenir quand l’entreprise subit une cyberattaque avec exposition de données (cyberattaque dans l’entreprise, notification, clients et recours contre le prestataire).

II. Qui paie les marchandises détruites : prestataire du froid, assurance et action en réparation

A. Obtenir réparation du prestataire qui pilote vos équipements : inexécution du contrat, force majeure invoquée et clauses de limitation

Le prestataire qui installe, maintient ou pilote à distance les équipements frigorifiques est lié au commerçant par un contrat, et ce contrat lui impose de fournir des installations qui fonctionnent. L’article 1231-1 du Code civil dispose que « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure » (article 1231-1 du Code civil). Le point de départ du raisonnement est donc simple : des meubles frigorifiques portés à 50 degrés au lieu de maintenir le froid promis, c’est l’inexécution de l’obligation du prestataire, et c’est à lui de justifier qu’il serait libéré.

Face à la demande, le prestataire invoquera presque toujours la force majeure : l’attaque viendrait d’un tiers, de pirates inconnus, et personne ne pouvait l’empêcher. Cette défense ne prospère que si trois conditions cumulatives sont réunies. L’article 1218 du Code civil prévoit qu’« Il y a force majeure en matière contractuelle lorsqu’un événement échappant au contrôle du débiteur, qui ne pouvait être raisonnablement prévu lors de la conclusion du contrat et dont les effets ne peuvent être évités par des mesures appropriées, empêche l’exécution de son obligation par le débiteur » (article 1218 du Code civil). Chacun des trois termes compte. Un événement qui échappe au contrôle du débiteur, d’abord : le fait d’un pirate tiers peut remplir cette condition, mais le prestataire qui administre lui-même les accès distants, les mots de passe et les mises à jour du système de régulation contrôle précisément le point d’entrée attaqué. Un événement qui ne pouvait être raisonnablement prévu lors de la conclusion du contrat, ensuite : les cyberattaques contre les objets connectés industriels et les systèmes de télégestion sont documentées depuis des années, et un professionnel du froid connecté qui prétendrait découvrir le risque en 2026 aura fort à faire pour convaincre un tribunal. Des effets qui ne peuvent être évités par des mesures appropriées, enfin : cloisonnement des réseaux, authentification renforcée des accès distants, correctifs de sécurité, supervision des consignes anormales comme un dégivrage programmé à 50 degrés, plan de reprise. Si l’enquête ou l’expertise montre que des mesures appropriées auraient évité la compromission, la force majeure est écartée et le prestataire répond de l’inexécution.

Le contrat de maintenance ou de télégestion contient souvent des clauses qui plafonnent la responsabilité du prestataire à quelques mois d’abonnement, ou qui excluent les dommages indirects comme la perte de marchandises. Ces clauses ne sont pas intouchables. D’une part, le commerçant vérifie si la clause a été effectivement négociée et acceptée, si elle figure dans les conditions signées et non dans un simple document commercial, et si elle vise précisément le type de dommage subi : une clause floue ou dissimulée s’interprète contre celui qui l’a proposée. D’autre part, une clause qui viderait de sa substance l’obligation même du prestataire, maintenir le froid en continu, peut être écartée par le juge. La Cour de cassation a ainsi rappelé, à propos d’une clause limitative contestée, qu’« est réputée non écrite la clause limitative de réparation, ou de garantie, qui contredit la portée de l’obligation essentielle souscrite par le débiteur », dans un arrêt du 12 octobre 2023 relatif à une garantie de pertes d’exploitation (Cass. 2e civ., 12 oct. 2023, n° 22-13.759, publié au Bulletin). Et dans un litige de consommation où un transporteur plafonnait ses indemnisations à des montants inférieurs aux plafonds réglementaires, la première chambre civile a approuvé les juges d’appel en ces termes : « Ayant relevé que les clauses critiquées fixaient des plafonds d’indemnisation inférieurs aux plafonds réglementaires, dont elles ne rappelaient pas l’existence et ainsi fait ressortir qu’elles n’accordaient pas une indemnisation conforme ou supérieure aux dispositions supplétives qu’elles évinçaient, la cour d’appel, sans être tenue de procéder à une recherche relative à un fait inexact ni de suivre les parties dans le détail de leur argumentation, en a exactement déduit qu’elles étaient abusives » (Cass. 1re civ., 8 nov. 2023, n° 21-22.655, rejet). Transposée au froid commercial, la logique est lisible : un contrat dont l’objet même est la conservation des denrées ne peut pas, par une clause de plafond dérisoire, priver le commerçant de toute réparation du stock détruit.

L’évaluation du préjudice suit des règles strictes. L’article 1231-4 du Code civil limite la réparation, même en cas de faute lourde ou dolosive, à « ce qui est une suite immédiate et directe de l’inexécution » (article 1231-4 du Code civil). La valeur des marchandises détruites, prouvée par l’inventaire et les factures d’achat, constitue la suite immédiate et directe du dérèglement : elle est indemnisable. Les pertes d’exploitation liées à la fermeture du rayon frais pendant la remise en service, le coût du frigoriste appelé en urgence, les frais de destruction et de désinfection des meubles et les frais de constat et d’expertise s’y ajoutent lorsqu’ils sont justifiés par des pièces. En revanche, la simple baisse de fréquentation du magasin dans les semaines suivantes, sans lien direct établi, sera discutée. Quant à l’auteur inconnu de l’attaque, il répond de son côté sur le terrain délictuel : l’article 1240 du Code civil dispose que « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer » (article 1240 du Code civil), ce qui fonde la constitution de partie civile du commerçant au procès pénal du pirate, le jour où il est identifié.

La procédure contre le prestataire commence par une mise en demeure détaillée, chiffrée et accompagnée des pièces, qui interrompt les discussions informelles et fait courir les intérêts. Si le prestataire conteste, une expertise judiciaire permet de déterminer le point d’entrée de l’attaque, l’état des mises à jour, l’existence d’accès distants non sécurisés et la conformité de l’installation aux règles de l’art. Le commerçant agit dans le délai de prescription de droit commun : l’article 2224 du Code civil prévoit que « Les actions personnelles ou mobilières se prescrivent par cinq ans à compter du jour où le titulaire d’un droit a connu ou aurait dû connaître les faits lui permettant de l’exercer » (article 2224 du Code civil). Cinq ans semblent longs, mais les preuves techniques s’effacent vite et les interlocuteurs changent : agir dans les premiers mois, c’est se donner les moyens de prouver. Lorsque le prestataire mis en cause est lui-même victime de la compromission de son propre fournisseur, par exemple l’éditeur du logiciel de régulation, le commerçant n’a pas à reconstituer toute la chaîne : il agit contre son cocontractant direct, à charge pour celui-ci d’appeler son propre fournisseur en garantie.

B. Faire jouer l’assurance des marchandises et des pertes d’exploitation : déclaration rapide, exclusions contestées et indemnité prouvée

Le deuxième payeur potentiel, c’est l’assureur du commerçant. Les polices multirisque professionnelle couvrent généralement les dommages aux marchandises, y compris les denrées réfrigérées à la suite d’un accident affectant les installations frigorifiques, et une garantie optionnelle couvre les pertes d’exploitation consécutives à la fermeture partielle ou totale du point de vente. La première vérification porte sur l’étendue exacte des garanties souscrites : le contrat couvre-t-il les marchandises en chambre froide et en meubles de vente, la garantie joue-t-elle en cas d’acte de malveillance ou de cyberattaque, les pertes d’exploitation sont-elles garanties et pour quelle durée, avec quelle franchise et quel plafond. Les refus d’assurance se construisent souvent sur une exclusion lue trop vite : le dirigeant exige de l’assureur le texte exact de la clause invoquée et la met en balance avec les garanties promises.

La rapidité de la déclaration conditionne le dossier. L’article L. 113-2 du Code des assurances oblige l’assuré « De donner avis à l’assureur, dès qu’il en a eu connaissance et au plus tard dans le délai fixé par le contrat, de tout sinistre de nature à entraîner la garantie de l’assureur. Ce délai ne peut être inférieur à cinq jours ouvrés » (article L. 113-2 du Code des assurances). Concrètement, le commerçant qui découvre le sinistre le 12 octobre déclare au plus tard dans les cinq jours ouvrés, par lettre recommandée ou par tout moyen prévu au contrat, en décrivant les faits, les biens atteints et l’évaluation provisoire des pertes. La sanction du retard mérite d’être connue avec précision : le même article prévoit que « la déchéance pour déclaration tardive […] ne peut être opposée à l’assuré que si l’assureur établit que le retard dans la déclaration lui a causé un préjudice », et qu’elle « ne peut également être opposée dans tous les cas où le retard est dû à un cas fortuit ou de force majeure ». Un assureur ne peut donc pas opposer automatiquement la déchéance à un commerçant qui a déclaré avec quelques jours de retard s’il ne démontre pas son préjudice, et encore moins à un dirigeant mobilisé jour et nuit par la sauvegarde du magasin. Cela ne dispense pas de déclarer vite : chaque jour de retard complique l’expertise et affaiblit la négociation.

Le second terrain de discussion, ce sont les exclusions de garantie. L’article L. 113-1 du Code des assurances pose que « Les pertes et les dommages occasionnés par des cas fortuits ou causés par la faute de l’assuré sont à la charge de l’assureur, sauf exclusion formelle et limitée contenue dans la police », tout en précisant que « l’assureur ne répond pas des pertes et dommages provenant d’une faute intentionnelle ou dolosive de l’assuré » (article L. 113-1 du Code des assurances). Deux conséquences pour le dossier de froid détruit. D’abord, l’assureur ne peut pas se retrancher derrière une exclusion vague du type cyberattaque ou acte de malveillance si cette exclusion n’est pas formelle et limitée, c’est-à-dire rédigée en termes précis qui permettent à l’assuré de savoir exactement ce qui est exclu. Ensuite, l’exclusion ne peut pas vider la garantie de sa substance. La Cour de cassation juge en effet qu’« Il résulte du second que les clauses d’exclusion de garantie qui privent l’assuré du bénéfice de la garantie en considération de circonstances particulières de la réalisation du risque doivent être formelles et limitées », et qu’« une clause d’exclusion n’est pas limitée lorsqu’elle vide la garantie de sa substance, en ce qu’après son application elle ne laisse subsister qu’une garantie dérisoire », en rappelant que « la validité des clauses d’exclusion de garantie, régie par ce texte spécial qui exige qu’elles ne vident pas la garantie de sa substance, ne peut être cumulativement examinée au regard de l’article 1131 du code civil » (Cass. 2e civ., 12 oct. 2023, n° 22-13.759, publié au Bulletin). Dans cette affaire, la garantie promise couvrait les pertes d’exploitation liées à une fermeture administrative pour épidémie, et la clause qui la réduisait à un cas infinitésimal a été sanctionnée. Le parallèle avec une garantie marchandises réfrigérées vidée par une exclusion générale des cyberattaques est direct : si le risque cyber est précisément celui qui détruit aujourd’hui les stocks des commerces connectés, l’exclure en bloc après avoir promis la couverture des denrées, c’est ne laisser qu’une garantie dérisoire.

L’indemnisation elle-même obéit au principe indemnitaire : l’assureur paie la valeur prouvée des marchandises au jour du sinistre, déduction faite de la franchise et dans la limite des plafonds, sans jamais enrichir l’assuré. Le commerçant prépare donc le dossier que l’expert d’assurance viendra vérifier : inventaire des destructions, factures d’achat, relevés de température, constat du commissaire de justice, bons de destruction, chiffrage des frais annexes et, pour les pertes d’exploitation, comptabilité des exercices précédents permettant de calculer la marge perdue pendant la fermeture du rayon. S’il conteste les conclusions de l’expert de la compagnie, le dirigeant peut mandater son propre expert d’assuré, dont les honoraires sont parfois pris en charge par la garantie honoraires d’expert de la police. Et lorsque l’assureur a indemnisé, il est subrogé dans les droits du commerçant contre le prestataire responsable : le cumul d’une indemnité d’assurance et d’une condamnation du prestataire pour le même préjudice est exclu, mais le commerçant peut agir contre les deux dans le même temps, l’assurance payant vite et le recours contre le prestataire complétant ce que l’assurance ne couvre pas, comme la franchise, le dépassement de plafond ou le préjudice moral de l’entreprise.

Un dernier point mérite l’attention des dirigeants dont l’activité dépend d’un prestataire unique, comme c’est le cas des commerces dont tout le froid est piloté par le même système. L’arrêt prolongé des rayons frais peut placer l’entreprise en difficulté de trésorerie, et les échéances fiscales, sociales et bancaires continuent de courir. Le dirigeant anticipe : demande de délais de paiement à l’Urssaf et aux créanciers, activation de la garantie perte d’exploitation pour couvrir les charges fixes, et, si la situation se dégrade durablement, consultation sur les procédures de prévention des difficultés des entreprises. Ces démarches n’ont rien d’alarmiste : elles montrent un dirigeant diligent, ce qui sert aussi son dossier contre le prestataire et l’assureur. Les entreprises confrontées à l’arrêt de leur prestataire informatique ou technique trouveront des repères complémentaires dans l’article du site consacré aux décisions à prendre quand un fournisseur essentiel est à l’arrêt (prestataire à l’arrêt après une cyberattaque, décisions des entreprises clientes).

Conclusion

Le commerçant dont le froid a été déréglé à distance dans la nuit du 11 au 12 octobre 2026 n’est pas démuni, à condition d’agir dans l’ordre et vite. Isoler les installations et relever les températures, faire constater par commissaire de justice avant toute remise en service, inventorier et chiffrer les destructions avec les factures, retirer de la vente les denrées impropres, notifier le prestataire par écrit, déclarer le sinistre à l’assureur dans les cinq jours ouvrés et déposer plainte contre l’auteur inconnu : chacune de ces démarches conditionne la suivante. Sur le fond, le prestataire qui pilote les équipements répond de leur inexécution sauf à établir une force majeure dont les trois conditions cumulatives seront vérifiées de près, et ses clauses de plafond ne peuvent pas vider de sa substance l’obligation de maintenir le froid. L’assureur, de son côté, ne peut opposer que des exclusions formelles et limitées, jamais une clause qui réduirait la garantie promise à une garantie dérisoire, et la déchéance pour déclaration tardive suppose un préjudice démontré. À Paris comme en province, la prescription de cinq ans laisse le temps d’aller au bout, mais les preuves techniques s’effacent en quelques semaines : le dossier se gagne dans les premiers jours.