Dans la nuit du dimanche 11 au lundi 12 octobre 2026, les systèmes de pilotage à distance des meubles frigorifiques de plusieurs centaines de supermarchés français ont été pris en main par des attaquants. La température est montée par endroits jusqu’à 50 degrés, selon BFMTV, et des rayons entiers de produits frais ont dû être détruits dès le lundi matin. D’après Le Monde, qui relaie les déclarations des deux groupements de distribution concernés à l’AFP, l’attaque vise le logiciel de supervision d’un fabricant nord-européen d’équipements frigorifiques, commun à de nombreuses enseignes. La presse locale décrit, le 12 octobre, des gérants contraints de jeter des rayons entiers de marchandises. Derrière l’émotion, une question brutale pour chaque commerçant affilié à un réseau : qui paie les stocks détruits, le manque à gagner et les frais de remise en route ? Le magasin qui exploite le point de vente, la centrale ou la tête de réseau qui a référencé le prestataire et négocié le contrat-cadre, le prestataire dont le système a cédé, ou l’assureur ? Cet article répond du point de vue du commerçant indépendant en réseau : figer la preuve dans les premières heures, actionner le contrat de supervision malgré ses plafonds, appeler la centrale à ses engagements, déclarer le sinistre sans perdre sa garantie, puis traiter les denrées exposées au chaud sans engager sa responsabilité envers les clients.

I. Cyberattaque du froid en supermarché : comment faire payer le prestataire de supervision ?

A. Froid coupé en supermarché : quels relevés et quel constat pour prouver la panne ?

Le premier réflexe du commerçant n’est pas juridique, il est probatoire. L’article 1353 du code civil dispose : « Celui qui réclame l’exécution d’une obligation doit la prouver. Réciproquement, celui qui se prétend libéré doit justifier le paiement ou le fait qui a produit l’extinction de son obligation. » Concrètement, c’est au magasin qui réclame des dommages-intérêts à son prestataire de démontrer la panne, sa durée, les températures atteintes et le lien avec les marchandises détruites. Or les journaux de supervision appartiennent souvent au système même qui a été attaqué : ils peuvent être altérés, écrasés ou rendus inaccessibles par le prestataire lors de la remise en service. La preuve doit donc être figée avant toute réinstallation, et sur des supports que le magasin maîtrise.

Dès les premières heures, le gérant fait établir un constat par un commissaire de justice, avec relevé des températures affichées, photographies horodatées des meubles, des affichettes de retrait et des bennes de destruction. Il exporte les courbes de température, l’historique des alertes et les journaux de connexion de la supervision, y compris les accès distants suspects, et il en conserve une copie hors du système du prestataire. Il consigne par écrit la chronologie : heure de la première alerte, appels au support, consignes reçues, heure de coupure et de remise en froid, liste des références détruites avec quantités et valeurs d’achat. Les tickets de caisse des clients remboursés, les bons de destruction et les factures du loueur de groupes froid de secours complètent le dossier. Chaque pièce manquante sera, des mois plus tard devant le tribunal de commerce, un poste d’indemnité perdu.

Quand une pièce est détenue par le prestataire ou risque de disparaître, le magasin ne se contente pas de la réclamer par courrier. L’article 145 du code de procédure civile dispose : « S’il existe un motif légitime de conserver ou d’établir avant tout procès la preuve de faits dont pourrait dépendre la solution d’un litige, les mesures d’instruction légalement admissibles peuvent être ordonnées à la demande de tout intéressé, sur requête ou en référé. » Une ordonnance sur requête permet de faire désigner un expert ou un huissier pour copier les journaux, saisir les versions du logiciel et préserver les configurations, y compris dans les locaux du prestataire, avant tout débat au fond. La requête se dépose au choix devant la juridiction susceptible de connaître du litige ou devant celle du lieu où la mesure doit être exécutée, ce qui autorise une action rapide même quand le prestataire est établi hors de France. Pour un magasin parisien ou francilien, le tribunal judiciaire de Paris statue en quelques jours sur ce type de demande, et le constat dressé dans ce cadre fige des données que le temps effacerait.

En parallèle, le magasin adresse au prestataire une mise en demeure par lettre recommandée avec accusé de réception : description datée des désordres, rappel des engagements de disponibilité et de maintenance, sommation de rétablir le service et de communiquer les journaux, avec un délai bref et exprès. Cette lettre n’est pas une formalité : elle fait courir les intérêts et les pénalités, elle interdit au prestataire de soutenir plus tard qu’il ignorait l’ampleur du sinistre, et elle conditionne la résolution du contrat aux torts du prestataire. Le même jour, le magasin dépose plainte pour atteinte aux systèmes de traitement automatisé de données. L’article 323-1 du code pénal dispose : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. » La plainte, déposée avec constitution de partie civile dès que le préjudice est chiffrable, ouvre l’accès au dossier pénal, aux réquisitions techniques et à l’identification des attaquants, autant d’éléments qui serviront ensuite contre le prestataire défaillant. Le signalement sur le guichet de l’agence nationale de la sécurité des systèmes d’information complète le dispositif et atteste du sérieux du commerçant face à son assureur comme face au juge.

B. Contrat de maintenance du froid : obligation de résultat, faute lourde et plafond de responsabilité

Une fois la preuve figée, le contrat de supervision et de maintenance devient le champ de bataille. Les prestataires de systèmes critiques invoquent presque toujours la même défense : l’attaque viendrait d’un tiers, elle était imprévisible et irrésistible, le prestataire serait lui-même une victime. Cette défense se heurte à la nature de son engagement. La cour d’appel de Paris a jugé, à propos d’un contrat de maintenance informatique après une panne et une perte de données : « S’agissant d’un contrat de maintenance, cette obligation apparaît essentielle et consiste en une obligation de résultat, sauf cas de force majeure, fait d’un tiers ou faute de la victime » (CA Paris, pôle 5, chambre 11, 25 novembre 2022, RG 21/05032, jurica). La supervision du froid d’un supermarché, qui conditionne la conservation de tonnes de denrées périssables, relève de la même logique : le prestataire a promis un froid maintenu et surveillé, pas de simples moyens. C’est donc à lui de démontrer qu’il a tout mis en œuvre, et non au magasin de démontrer une faute précise dans le code ou dans l’infrastructure.

Le cadre légal de cette responsabilité est posé par l’article 1231-1 du code civil : « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » La force majeure, définie par l’article 1218 du code civil, suppose « un événement échappant au contrôle du débiteur, qui ne pouvait être raisonnablement prévu lors de la conclusion du contrat et dont les effets ne peuvent être évités par des mesures appropriées ». Pour un professionnel dont le métier est précisément la sécurité des systèmes connectés, chaque critère est redoutable. Les cyberattaques visant les objets connectés industriels sont documentées depuis des années et pouvaient être raisonnablement prévues lors de la conclusion du contrat. Les mesures appropriées existent et portent un nom : segmentation des réseaux, correctifs de sécurité appliqués sans retard, supervision des accès distants, sauvegardes des configurations, plan de reprise. Un prestataire qui laisse des équipements sans maintenance chez le constructeur, qui tarde à déployer les correctifs ou qui ne journalise pas les connexions aura beaucoup de mal à soutenir que les effets de l’attaque ne pouvaient être évités. La cour d’appel de Paris l’a illustré dans l’affaire précitée : le prestataire avait alerté son client sur l’obsolescence des matériels, mais il avait manqué à son obligation de conseil sur le périmètre des sauvegardes, et la cour en a déduit une faute lourde qui privait d’effet le plafond contractuel de responsabilité, le manquement portant sur une obligation essentielle que le prestataire s’était montré inapte à accomplir. Transposée au froid, la leçon est directe : un superviseur qui n’alerte pas son client sur des équipements non maintenus, qui ne documente pas les risques et qui ne propose pas de parades commet une faute sur une obligation essentielle, et cette faute peut faire sauter le plafond contractuel.

Car les contrats de supervision contiennent presque toujours une clause qui plafonne la responsabilité du prestataire à quelques mois de redevances, parfois à quelques milliers d’euros, quand le sinistre du magasin se chiffre en dizaines ou en centaines de milliers d’euros de marchandises détruites. Deux verrous permettent de dépasser ce plafond. Le premier est la faute lourde, qui rend la clause inopposable dans les conditions rappelées par l’arrêt parisien. Le second tient à la résolution du contrat : beaucoup de prestataires soutiennent que la résolution anéantit le contrat et, avec lui, le plafond, ou à l’inverse que le client résolu ne peut plus rien réclamer. La Cour de cassation vient de trancher ce débat dans un litige informatique : « en cas de résolution d’un contrat pour inexécution, les clauses limitatives de réparation des conséquences de cette inexécution demeurent applicables » (Cass. com., 13 novembre 2025, n° 22-22.225, ECLI:FR:CCASS:2025:CO00575). Le plafond survit donc à la résolution, mais il survit aussi contre le prestataire : il s’applique tel qu’il est écrit, sans pouvoir être effacé par la résolution, et sans pouvoir être étendu au-delà de sa lettre. Le magasin a donc intérêt à faire constater l’inexécution, à résoudre le contrat aux torts du prestataire pour se libérer des redevances futures et changer de superviseur, tout en réclamant l’intégralité du préjudice prévisible dans la limite du plafond, sauf à démontrer la faute lourde qui l’écarte.

En pratique, le dirigeant du magasin relit trois clauses le soir même du sinistre : les engagements de disponibilité et de temps de rétablissement, avec les pénalités associées qui se liquident sans débat sur le principe ; le périmètre exact de la maintenance, correctifs et surveillance inclus, pour vérifier si le vecteur de l’attaque entrait dans la mission payée ; et le plafond de responsabilité, son assiette et ses exclusions, notamment l’atteinte aux données et les manquements aux obligations essentielles. Si le contrat a été négocié par la centrale pour tout le réseau, il réclame à la tête de réseau l’exemplaire signé, les annexes techniques et l’historique des incidents, car la centrale qui a choisi le prestataire détient souvent les pièces décisives. Et si le contrat impose au commerçant des obligations créant un déséquilibre au profit du prestataire, l’article L. 442-1 du code de commerce sanctionne notamment le fait : « De soumettre ou de tenter de soumettre l’autre partie à des obligations créant un déséquilibre significatif dans les droits et obligations des parties », une arme utile quand le petit adhérent fait face à un fournisseur en position de force.

II. Stocks détruits dans un magasin en réseau : centrale, assurance et clients

A. Commerçant en réseau après une cyberattaque : qui supporte les stocks détruits, adhérent, centrale ou assureur ?

Le supermarché attaqué n’est presque jamais un commerçant isolé : il appartient à un groupement coopératif ou à un réseau d’enseigne, dont la centrale achète, référence les prestataires et édicte les normes d’équipement. La répartition des pertes commence par la lecture du contrat qui lie le magasin à sa tête de réseau. L’article L. 124-1 du code de commerce définit les coopératives de commerçants comme des sociétés qui « ont pour objet d’améliorer par l’effort commun de leurs associés les conditions dans lesquelles ceux-ci exercent leur activité commerciale », notamment en fournissant « les marchandises, denrées ou services, l’équipement et le matériel nécessaires à l’exercice de leur commerce ». Quand la centrale a référencé le superviseur du froid, négocié le contrat-cadre et parfois imposé son adoption aux points de vente, elle ne peut pas se retrancher derrière l’indépendance juridique de l’adhérent : le règlement intérieur, le contrat d’enseigne et les accords de référencement déterminent qui a choisi, qui a négocié les garanties et qui perçoit une marge sur la prestation. Si la centrale a manqué à son devoir de sélection d’un prestataire sûr ou si elle a tardé à diffuser l’alerte et les consignes à tout le réseau dans la nuit de l’attaque, sa responsabilité contractuelle envers l’adhérent est engagée sur le fondement du contrat qui les lie.

Le contrat d’enseigne lui-même mérite un examen attentif, dans les deux sens. D’un côté, la tête de réseau qui met à disposition marque et savoir-faire doit une information loyale à ses membres. L’article L. 330-3 du code de commerce impose à celui qui « met à la disposition d’une autre personne un nom commercial, une marque ou une enseigne, en exigeant d’elle un engagement d’exclusivité ou de quasi-exclusivité pour l’exercice de son activité », de fournir « un document donnant des informations sincères, qui lui permette de s’engager en connaissance de cause ». Un réseau qui impose un équipement connecté unique sans informer ses membres des risques connus, des incidents passés et des parades disponibles s’expose à des reproches sur ce terrain. De l’autre côté, l’adhérent reste un commerçant indépendant, seul responsable de son fonds, de ses salariés et de ses denrées : il ne peut pas attendre que la centrale gère le sinistre à sa place, ni lui imputer ses propres négligences, comme des alertes ignorées ou des consignes de retrait appliquées avec retard. La bonne position est donc cumulative : le magasin agit vite pour son propre compte, déclare, constate et met en demeure, tout en notifiant à la centrale chaque étape pour préserver son recours contre elle et bénéficier des actions collectives du réseau, expertises communes, négociations groupées avec le prestataire et l’assureur.

Le troisième payeur potentiel est l’assureur, et c’est souvent le plus rapide. Le magasin active sans attendre sa multirisque professionnelle, ses garanties stocks et marchandises réfrigérées, et sa perte d’exploitation. L’article L. 121-1 du code des assurances dispose : « L’assurance relative aux biens est un contrat d’indemnité ; l’indemnité due par l’assureur à l’assuré ne peut pas dépasser le montant de la valeur de la chose assurée au moment du sinistre. » Ce principe impose un inventaire précis des références détruites à leur valeur d’achat, et non à leur prix de vente espéré. La déclaration de sinistre part dans les jours qui suivent, par écrit, avec le constat, la chronologie et les premières factures. Sur ce point, la Cour de cassation protège l’assuré pressé : « l’assureur ne peut opposer à l’assuré une déchéance pour déclaration tardive lorsque le contrat applicable ne comporte pas de clause l’édictant ou lorsque la clause la prévoyant n’est pas conforme à ces dispositions, qui n’autorisent pas d’autres modifications conventionnelles que la prorogation du délai de déclaration de sinistre » (Cass. 2e civ., 21 janvier 2021, n° 19-13.347, ECLI:FR:CCASS:2021:C200073). Autrement dit, un délai contractuel inférieur à cinq jours ouvrés n’est pas opposable, et la déchéance suppose en outre une clause expresse et un préjudice démontré par l’assureur. Le commerçant déclare donc vite, mais il ne se laisse pas intimider par un refus fondé sur un délai abusif. Il vérifie aussi la franchise, le délai de carence de la perte d’exploitation et les exclusions cyber : beaucoup de contrats excluent les dommages immatériels d’origine cyber sauf extension souscrite, et c’est la lecture croisée de la multirisque et de l’éventuelle cyber-extension qui dira si le manque à gagner des jours de fermeture partielle est couvert.

Enfin, le magasin organise la subrogation : l’assureur qui indemnise récupère les droits du commerçant contre le prestataire et, le cas échéant, contre la centrale, dans la limite des sommes versées. Le commerçant y a intérêt, car l’assureur dispose d’experts et d’avocats rompus à ces recours, mais il veille à ne signer aucune quittance globale qui éteindrait ses droits propres au-delà des postes indemnisés. Les fournisseurs dont les marchandises ont péri dans les meubles du magasin forment le dernier cercle : réserve de propriété à exercer par écrit, avoirs à négocier, factures à contester quand la centrale devait les régler. Chaque euro récupéré côté fournisseur est un euro de moins dans le préjudice final, et un dossier d’indemnisation sincère est aussi un dossier crédible devant l’assureur comme devant le juge.

B. Denrées exposées au chaud en supermarché : retrait, remboursement et preuve pour les clients

Le magasin dont les meubles sont montés à 50 degrés ne raisonne plus en commerçant, il raisonne en responsable de la sécurité des aliments. L’article L. 411-1 du code de la consommation dispose : « Dès la première mise sur le marché, les produits et les services doivent répondre aux prescriptions en vigueur relatives à la sécurité et à la santé des personnes, à la loyauté des transactions commerciales et à la protection des consommateurs. » Une denrée périssable restée des heures hors température réglementaire ne répond plus à cette exigence, même si son aspect n’a pas changé. Le réflexe du lundi matin est donc le retrait immédiat des rayons de tout ce qui a subi la rupture de la chaîne du froid, sans tri approximatif et sans remise en vente après re-refroidissement. Les équipes consignent les relevés de température par meuble et par tranche horaire, car ces relevés feront foi à la fois envers l’administration et envers les clients : ils prouvent quelles références ont été exposées, pendant combien de temps et à quelle température.

Quand des produits douteux ont déjà été vendus entre le début de l’attaque et le retrait, le magasin organise le rappel. Il affiche en entrée de magasin et en rayon un avis précis : références concernées, période de vente, motif sanitaire, conduite à tenir avec le produit, modalités de remboursement sans ticket quand l’achat est établi par d’autres moyens. Il publie la fiche correspondante sur la plateforme publique de rappel des produits, qui centralise les alertes et permet aux clients de vérifier leurs achats, et il prévient la direction départementale de la protection des populations, qui contrôle les retraits et peut ordonner des mesures complémentaires. Cette discipline administrative n’est pas un aveu de faute, c’est l’exécution d’une obligation de sécurité, et un dossier de rappel bien tenu constitue la meilleure défense si un client allègue une intoxication. Le magasin conserve les numéros de lots, les factures fournisseurs, les relevés de température et les registres de destruction, autant de pièces qui permettront de remonter jusqu’au maillon défaillant et d’appeler en garantie le prestataire ou le fournisseur.

Du côté des clients, le droit au remboursement ne fait guère de doute quand le produit est impropre à la consommation, et le magasin avisé rembourse vite, sans exiger un ticket de caisse introuvable, dès lors que l’achat est plausible et que la référence figure parmi les lots retirés. Ce geste commercial immédiat éteint la plupart des litiges avant qu’ils naissent, et son coût reste marginal au regard d’une procédure. Si un client déclare une intoxication, le magasin ne conteste pas les symptômes, il demande le certificat médical initial, la preuve d’achat et, quand c’est possible, le reliquat du produit pour analyse, puis il transmet le tout à son assureur responsabilité civile. La charge de la preuve suit ici les règles ordinaires : au client d’établir l’achat, le dommage et le lien avec la denrée, au magasin d’établir qu’il a respecté ses obligations de retrait et de conservation. Les lecteurs qui veulent approfondir le volet sanitaire et indemnitaire de ces cyberattaques du froid liront utilement l’analyse consacrée à la responsabilité du dirigeant et au recours contre le prestataire après la panne des systèmes frigorifiques, qui complète le présent article par l’angle de la gouvernance et de l’obsolescence des systèmes.

Les fournisseurs du magasin ne sont pas oubliés dans ce second temps. Celui dont les produits ont été détruits dans les meubles du distributeur exerce sa réserve de propriété par écrit s’il en a stipulé une, et négocie des avoirs pour les lots que le magasin ne peut plus écouler. Celui dont les produits auraient été vendus malgré la rupture du froid coopère au rappel, car sa propre responsabilité de producteur peut être recherchée aux côtés de celle du distributeur. Dans tous les cas, la règle d’or reste la traçabilité : lots, températures, heures, factures. Un litige alimentaire se gagne presque toujours sur pièces, et les pièces de la nuit du 11 au 12 octobre 2026 s’écrivent dans les heures qui suivent, pas six mois plus tard devant l’expert judiciaire.

Conclusion

La cyberattaque qui a coupé le froid de centaines de supermarchés dans la nuit du 11 au 12 octobre 2026 frappe d’abord les rayons, mais elle se paie ensuite sur trois tables : celle du prestataire de supervision, tenu à une obligation de résultat et exposé à la faute lourde quand il manque à ses devoirs essentiels ; celle de la centrale et du réseau, qui ont choisi les équipements et doivent assumer leur part ; et celle de l’assureur, qui indemnise vite quand la déclaration est régulière et complète. Le commerçant qui fige ses preuves avant la remise en service, qui met en demeure par écrit, qui dépose plainte, qui déclare son sinistre dans les délais et qui retire ses denrées sans tergiverser transforme une journée noire en dossier d’indemnisation solide. Chaque heure perdue sans constat, sans relevé et sans courrier est une part du préjudice qui restera définitivement à sa charge.