Dans la nuit du 11 au 12 octobre 2026, les systèmes de régulation frigorifique de plusieurs centaines de supermarchés français ont été déréglés à distance : les meubles froids et les chambres froides sont passés en dégivrage maximal et la température est montée par endroits jusqu’à 50 °C, selon Le Monde. Des tonnes de denrées ont été jetées. Le groupement des Mousquetaires a expliqué que 300 de ses magasins Intermarché et Netto ont été touchés, et son président Thierry Cotillard a décrit sur BFMTV une gestion de crise inédite, avec des meubles froids mis en dégivrage et montés jusqu’à 50 °C. Une gérante de magasin a raconté à franceinfo avoir tout jeté après avoir constaté une température positive dans ses frigos, chiffrant sa perte à environ 60 000 euros, quand le président du groupement estime le préjudice à des dizaines de millions d’euros au niveau national. Selon BFMTV, le parquet de Paris a ouvert une enquête confiée à l’Office anticybercriminalité (OFAC) afin de recenser les victimes et d’établir le lien avec les pertes de denrées. Les développements qui suivent sont de portée générale : ils décrivent les démarches utiles pour tout commerçant placé dans une situation comparable et ne décrivent pas la situation d’une enseigne en particulier, sur laquelle l’article ne formule aucun constat. À la date de rédaction, les auteurs de l’attaque ne sont pas identifiés et aucune responsabilité n’est établie : seul le juge décidera des qualifications et des réparations.

I. Cyberattaque de supermarché : pour quels faits et qui peut porter plainte ?

A. Accès frauduleux, entrave, introduction de données : quelle qualification pénale ?

Lorsqu’un tiers prend la main à distance sur un système informatique pour le dérégler, plusieurs qualifications du code pénal peuvent être envisagées, et c’est au parquet puis au juge qu’il reviendra de les retenir. La première est l’accès et le maintien frauduleux dans un système de traitement automatisé de données. L’article 323-1 du code pénal, en vigueur au 13 octobre 2026, dispose : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. Lorsqu’il en est résulté soit la suppression ou la modification de données contenues dans le système, soit une altération du fonctionnement de ce système, la peine est de cinq ans d’emprisonnement et de 150 000 € d’amende. » Un logiciel de supervision des températures relié au réseau du magasin constitue un tel système : y entrer sans droit ou s’y maintenir pour modifier les consignes de froid entrerait dans ce cadre, sous réserve de l’appréciation du juge.

La deuxième qualification envisageable est l’entrave au fonctionnement du système. L’article 323-2 du code pénal punit de cinq ans d’emprisonnement et de 150 000 € d’amende « Le fait d’entraver ou de fausser le fonctionnement d’un système de traitement automatisé de données ». Programmer un dégivrage maximal qui fait monter les chambres froides à 50 °C pourrait être regardé comme une altération du fonctionnement, si l’enquête établit que les consignes ont été modifiées par un tiers non autorisé. La troisième piste est l’introduction frauduleuse de données : l’article 323-3 du code pénal réprime de la même peine « Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient ». L’envoi d’ordres de dégivrage au superviseur frigorifique serait susceptible de relever de cette incrimination.

Deux textes complètent cet arsenal. D’une part, l’article 323-3-1 du code pénal vise les outils de l’attaque : « Le fait, sans motif légitime, notamment de recherche ou de sécurité informatique, d’importer, de détenir, d’offrir, de céder ou de mettre à disposition un équipement, un instrument, un programme informatique ou toute donnée conçus ou spécialement adaptés pour commettre une ou plusieurs des infractions prévues par les articles 323-1 à 323-3 est puni des peines prévues respectivement pour l’infraction elle-même ou pour l’infraction la plus sévèrement réprimée. » D’autre part, l’article 323-4 du code pénal réprime « La participation à un groupement formé ou à une entente établie en vue de la préparation, caractérisée par un ou plusieurs faits matériels, d’une ou de plusieurs des infractions prévues par les articles 323-1 à 323-3-1 », punie des peines de l’infraction elle-même. Si l’enquête établit une action coordonnée de plusieurs auteurs, ce texte pourrait s’appliquer.

La jurisprudence récente donne la mesure de ces incriminations. Par un arrêt du 2 septembre 2025 (n° 24-83.605, publié au Bulletin), la chambre criminelle de la Cour de cassation juge « se rend coupable de l’infraction prévue par l’article 323-1 du code pénal celui qui se maintient dans un système de traitement automatisé de données en prenant connaissance du contenu des messages échangés au sein du réseau, à des fins étrangères à sa mission et à l’insu des titulaires des messages, même si, administrateur du réseau, il bénéficie, de par ses fonctions, d’un droit général d’accès à la messagerie ». Autrement dit, disposer d’un accès technique au système ne protège pas celui qui l’utilise à des fins étrangères à sa mission et à l’insu des titulaires. Plus ancien mais toujours appliqué, un arrêt du 20 mai 2015 (n° 14-81.336, publié au Bulletin), rendu à propos d’un intrus qui s’était maintenu dans l’extranet d’une agence sanitaire après y être entré par une défaillance technique, approuve la qualification de maintien frauduleux et juge que le téléchargement sans consentement de données protégées caractérise le vol. Le fait d’avoir profité d’une faille en connaissance de cause suffit donc à caractériser le maintien frauduleux, et le téléchargement de données protégées sans consentement a été qualifié de vol dans la même affaire. Pour le commerçant victime, ces décisions montrent que le droit pénal appréhende largement les intrusions, y compris lorsqu’elles exploitent une vulnérabilité du système plutôt qu’une effraction frontale.

B. Porter plainte contre X : l’exploitant, le groupement et l’enquête du parquet de Paris

Qui peut déposer plainte ? L’exploitant du magasin, personne physique ou personne morale représentée par son dirigeant, dès lors qu’il a subi un dommage. Chaque magasin constitue une victime distincte pour son propre préjudice : marchandises détruites, frais de nettoyage et de remise en service, fermeture partielle du point de vente. Le groupement ou la tête de réseau peut également agir pour son préjudice propre, par exemple l’atteinte à l’organisation commune ou les coûts de la cellule de crise. En revanche, un salarié qui n’a subi qu’une perte d’activité sans dommage personnel direct ne remplit pas, en cette seule qualité, la condition du préjudice direct examinée plus bas. Les auteurs étant inconnus à ce stade, la plainte est déposée « contre X » : l’identification des responsables relève de l’enquête, confiée selon BFMTV à l’Office anticybercriminalité sous la direction du parquet de Paris, qui doit recenser les victimes et établir le lien entre l’attaque et les dégâts, y compris les départs de feu signalés.

Où et comment déposer ? Dans tout commissariat de police ou toute brigade de gendarmerie, y compris hors du lieu du magasin. L’article 15-3 du code de procédure pénale, en vigueur au 13 octobre 2026, est formel : « Les officiers et agents de police judiciaire sont tenus de recevoir les plaintes déposées par les victimes d’infractions à la loi pénale, y compris lorsque ces plaintes sont déposées dans un service ou une unité de police judiciaire territorialement incompétents. » Le service transmet ensuite au service compétent. La plainte peut être préparée par une pré-plainte en ligne avant le rendez-vous de signature. Le dépôt doit intervenir sans tarder : les constatations techniques (journaux de connexion du superviseur, relevés de température) s’effacent vite, et la plainte précoce permet le rattachement à l’enquête nationale déjà ouverte, au lieu d’une procédure isolée.

Le temps joue aussi pour la prescription. L’article 8 du code de procédure pénale prévoit : « L’action publique des délits se prescrit par six années révolues à compter du jour où l’infraction a été commise. » Six ans laissent une marge confortable, mais attendre n’apporte rien : plus la plainte est précoce, plus les preuves techniques sont exploitables et plus la constitution de partie civile pèse dans la procédure. Si le procureur classe la plainte sans suite, tout n’est pas perdu, et l’audition de dépôt mérite préparation.

Lors du dépôt, l’agent recueille l’audition de la victime : exposer les faits dans l’ordre, chiffrer même approximativement, citer les témoins et remettre les premières pièces. Pour une personne morale, le dirigeant se présente avec un extrait Kbis récent et la justification de ses pouvoirs, afin que la plainte soit bien enregistrée au nom de la société exploitante. Demander et conserver le récépissé du dépôt : ce document fait foi de la date, et c’est à partir de la plainte adressée au procureur que court le délai de trois mois ouvrant, en cas de silence, la voie de la plainte avec constitution de partie civile. Se faire accompagner par son conseil dès ce stade aide à formuler les qualifications visées et à préparer la liste des pièces complémentaires promises au service enquêteur.

L’article 85 du code de procédure pénale ouvre à « Toute personne qui se prétend lésée par un crime ou un délit » la possibilité, « en portant plainte », de « se constituer partie civile devant le juge d’instruction compétent ». La suite du texte subordonne cette recevabilité au fait que le procureur ait fait connaître qu’il n’engagera pas de poursuites, ou à l’écoulement d’un délai de trois mois depuis la plainte adressée au procureur. Concrètement, le commerçant dépose d’abord une plainte simple, conserve le récépissé, puis, en cas de classement ou de silence de trois mois, saisit le juge d’instruction d’une plainte avec constitution de partie civile.

II. Frigos piratés au supermarché : comment prouver les pertes et obtenir réparation ?

A. Relevés de température, constat et factures : quelles preuves conserver ?

Le préjudice se prouve dès les premières heures, avant le nettoyage. Premier réflexe : figer l’état des lieux. Photographier et filmer les afficheurs de température des meubles et des chambres froides, les voyants d’alarme, les relevés du superviseur, les denrées jetées et les bennes, avec un horodatage conservé (métadonnées des clichés, envoi immédiat par courriel à soi-même ou à son conseil pour dater les pièces). Relever par écrit, heure par heure, la chronologie : à quelle heure l’anomalie a été découverte, par qui, quelles températures ont été constatées, quelles décisions ont été prises. Le récit du livreur qui découvre la réserve inondée à 4 heures du matin, rapporté par Le Monde, montre que les premiers témoins sont souvent extérieurs au magasin : livreurs, frigoristes de maintenance, agents de nettoyage. Recueillir sans attendre leurs attestations écrites, précises et datées, avec copie d’une pièce d’identité, donne à ces témoignages une force que le temps érode vite.

Deuxième réflexe : faire dresser un constat par un commissaire de justice. L’huissier décrit ce qu’il voit et mesure, sans qualifier juridiquement : températures affichées, état des meubles, contenu des bennes, coupures d’activité du rayon. Ce procès-verbal de constat, dressé par un officier public, fige des faits que la remise en service effacera. Il complète utilement les relevés automatiques du superviseur, dont la valeur probante peut être discutée précisément parce que le système a été compromis : des journaux issus d’un outil piraté demandent une lecture experte, alors que le constat externe parle de lui-même. Joindre au dossier les échanges avec le mainteneur et le fournisseur du système (appels, courriels, tickets d’incident), ainsi que les échanges avec la tête de réseau ou la centrale sur la conduite à tenir, établit la diligence de l’exploitant.

Quatrième réflexe : préserver les traces numériques. Demander par écrit au mainteneur du système de supervision l’export horodaté des journaux de connexion et d’événements couvrant la nuit de l’attaque, et exiger leur conservation : ces journaux indiquent quelles adresses se sont connectées, à quelle heure et quelles consignes ont été modifiées. Ne pas réinitialiser ni mettre à jour le superviseur avant l’examen technique, pour ne pas écraser des données utiles à l’enquête. Le service enquêteur peut ensuite les exploiter, et c’est sur cette base technique que l’Office anticybercriminalité établira le lien entre l’intrusion et les dégâts constatés dans chaque magasin.

Troisième réflexe : tracer chaque euro. Conserver les bordereaux de destruction et les bons d’enlèvement des denrées, les factures du frigoriste intervenu en urgence, du nettoyage et de la désinfection, du réassort exceptionnel, voire des heures supplémentaires payées aux équipes qui ont vidé les rayons toute la journée. Pour la perte d’exploitation — le rayon fermé, le chiffre d’affaires envolé — rassembler les livres de caisse, les tickets Z et la comptabilité des semaines comparables de l’exercice précédent, afin qu’un expert-comptable puisse chiffrer la marge perdue. Déclarer le sinistre à l’assureur dans le délai prévu par le contrat, par écrit, en joignant la plainte et le constat : les contrats signés priment sur toute analyse générale, et c’est le contrat qui fixe les délais, les franchises, les plafonds et les exclusions, notamment celles qui visent parfois le risque cyber. Enfin, demander au service enquêteur le numéro du procès-verbal de la plainte et signaler par écrit le souhait d’être tenu informé et rattaché à l’enquête nationale : le recensement des victimes, annoncé dans le cadre de l’enquête confiée à l’OFAC, commence par cette démarche.

B. Partie civile, assurance et préjudice à Paris et en Île-de-France : qui paie ?

Obtenir réparation suppose d’abord un responsable solvable, et à ce stade les auteurs sont inconnus. Deux voies se combinent sans s’exclure : l’action contre les auteurs devant le juge pénal, et la mise en jeu des garanties contractuelles. Devant le juge pénal, le commerçant invoque son préjudice direct. L’article 2 du code de procédure pénale dispose : « L’action civile en réparation du dommage causé par un crime, un délit ou une contravention appartient à tous ceux qui ont personnellement souffert du dommage directement causé par l’infraction. » La perte de marchandises, les frais de remise en état et la marge d’exploitation perdue constituent un tel dommage direct pour l’exploitant qui les supporte. Le fondement civil complète le dispositif : l’article 1240 du code civil énonce que « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer », et l’article 1241 du code civil ajoute que « Chacun est responsable du dommage qu’il a causé non seulement par son fait, mais encore par sa négligence ou par son imprudence ».

La constitution de partie civile transforme la victime en partie au procès pénal : elle peut demander des dommages et intérêts dans le procès des auteurs et accéder au dossier. Comme vu plus haut, elle intervient soit d’emblée devant le tribunal correctionnel, soit devant le juge d’instruction après classement ou silence de trois mois du procureur. Devant le juge d’instruction, une consignation peut être demandée. L’article 88 du code de procédure pénale, en vigueur au 13 octobre 2026, prévoit : « Le juge d’instruction constate, par ordonnance, le dépôt de la plainte. En fonction des ressources de la partie civile, il fixe le montant de la consignation que celle-ci doit, si elle n’a obtenu l’aide juridictionnelle, déposer au greffe et le délai dans lequel elle devra être faite sous peine de non-recevabilité de la plainte. Il peut dispenser de consignation la partie civile. » La consignation garantit le paiement d’une éventuelle amende civile en cas de plainte abusive ; elle est restituée pour l’essentiel à l’issue de la procédure. La jurisprudence admet largement le préjudice découlant des atteintes aux systèmes : dans son arrêt du 2 septembre 2025 (n° 24-83.605), la Cour de cassation approuve les juges qui ont retenu « à bon droit, que la perte de confiance éprouvée par M. [G], suite aux agissements de M. [L], était constitutive d’un préjudice moral découlant directement du délit prévu par l’article 323-1 du code pénal retenu à la charge du prévenu », avec 10 000 euros alloués pour ce préjudice moral. Pour une personne morale exploitante, ce sont les pertes matérielles et le trouble d’exploitation qui portent la demande, chiffrés pièce par pièce.

En parallèle, l’assureur et, le cas échéant, les recours contractuels contre les prestataires de la chaîne du froid suivent leur propre logique, fixée par les contrats : garanties pertes d’exploitation avec ou sans dommage matériel, franchises, exclusions cyber, obligation de déclarer et de limiter le dommage. Sur la conduite à tenir face au prestataire et à l’assureur après une attaque, les diligences du dirigeant — notification, preuve, mise en demeure — sont détaillées dans l’analyse consacrée au dirigeant confronté à une cyberattaque et à un prestataire défaillant. À Paris et en Île-de-France, la démarche suit le même circuit, avec une particularité pratique : l’enquête étant dirigée par le parquet de Paris selon BFMTV, les plaintes des exploitants franciliens ont vocation à être centralisées plutôt qu’éparpillées. Le dépôt reste possible dans tout commissariat parisien ou toute brigade de la petite et de la grande couronne, même hors du lieu du magasin, en vertu de l’article 15-3 du code de procédure pénale. Les pièces à préparer avant de se déplacer sont les mêmes : récépissé de pré-plainte en ligne, inventaire des pertes, photographies horodatées, factures déjà disponibles, coordonnées des témoins. Et le point d’attention propre au ressort : demander expressément le rattachement à l’enquête nationale, pour que le préjudice francilien soit recensé avec les autres et que la constitution de partie civile ultérieure rejoigne la procédure utile.

Conclusion

Face à des meubles froids déréglés et des rayons vidés, l’exploitant agit en trois temps : déposer plainte contre X sans attendre, pour rejoindre l’enquête nationale et préserver les preuves techniques ; constater et chiffrer chaque perte, du bordereau de destruction au constat du commissaire de justice ; puis se constituer partie civile pour obtenir réparation des auteurs, tout en actionnant ses garanties contractuelles selon les termes de ses contrats. Les textes répriment sévèrement l’accès frauduleux, l’entrave et l’introduction de données, et la jurisprudence récente confirme que ces incriminations s’appliquent largement, y compris en cas d’exploitation d’une faille. À la date de rédaction, les auteurs ne sont pas identifiés, aucune responsabilité n’est établie et les qualifications comme les montants relèvent de la seule appréciation du juge. Les contrats d’assurance et de maintenance priment sur toute analyse générale : les relire avant d’agir, c’est déjà préparer la réparation. Conserver l’ensemble du dossier — constats, factures, échanges avec le mainteneur et références de la plainte — jusqu’à l’issue définitive de la procédure, car le chiffrage du préjudice se rejoue à chaque étape, de l’enquête préliminaire jusqu’au procès.