Dans la nuit du 11 au 12 octobre 2026, des pirates ont pris à distance le contrôle des régulateurs frigorifiques de plusieurs centaines de supermarchés français et fait monter les températures jusqu’à 50 °C, selon les informations de franceinfo publiées le 12 octobre 2026. Le 13 octobre 2026, l’Agence nationale de la sécurité des systèmes d’information a publié puis mis à jour un bulletin d’alerte qui élargit le périmètre : toutes les entreprises exploitant les mêmes gammes de contrôleurs connectés seraient susceptibles d’être visées, et des campagnes d’attaques seraient probablement toujours en cours. La question ne concerne donc plus seulement les magasins déjà touchés. Elle concerne chaque entreprise qui fait tourner du froid connecté : restauration, hôtellerie, santé, industrie agroalimentaire, logistique. Que doit décider, cette semaine, le dirigeant qui découvre que ses propres installations embarquent les mêmes équipements que ceux des supermarchés attaqués ? La réponse tient en quatre gestes : vérifier l’exposition de ses contrôleurs sans précipitation, relire son contrat d’assurance avant de couper la supervision à distance, faire constater ce qui s’est éventuellement déjà produit, puis organiser la discussion avec son mainteneur et, le cas échéant, avec ses propres clients.

Aucun accident sanitaire, aucune intrusion ni aucun dommage n’a été constaté par une source officielle au-delà de ce que décrivent l’ANSSI et la presse citée dans cet article à la date de rédaction. Aucune responsabilité n’est établie : l’enquête ouverte par le parquet de Paris devra déterminer les faits, et les contrats signés entre chaque entreprise, son mainteneur et son assureur priment sur toute analyse générale. Seul le juge décidera, au cas par cas, qui répond de quoi. Les développements qui suivent décrivent les vérifications utiles dans toute situation comparable.

I. L’entreprise équipée face à l’alerte : vérifier, sécuriser, prouver

A. Vérifier l’exposition et sécuriser sans aggraver le risque assurable

Le bulletin d’alerte du CERT-FR portant la référence CERTFR-2026-ALE-012, dans sa version initiale du 12 octobre 2026 mise à jour le 13 octobre 2026, est précis sur le périmètre. Le CERT-FR y déclare avoir connaissance de nombreuses compromissions affectant les contrôleurs à distance des installations de réfrigération des séries Danfoss AK-SM et AK-SC ainsi que des gammes Copeland xweb et Dixell xweb. L’alerte ajoute un avertissement qui vaut pour toutes les entreprises équipées : selon le CERT-FR, des campagnes d’attaques visant ces équipements seraient probablement toujours en cours. Le premier réflexe du dirigeant consiste donc à faire l’inventaire : quels régulateurs pilotent mes installations, sont-ils exposés sur internet, avec quel niveau de firmware et quels mots de passe ? Selon franceinfo, la société danoise Danfoss, qui gère les meubles réfrigérés de plusieurs enseignes, a confirmé des incidents en France et déclaré recommander depuis longtemps à ses clients de maintenir les systèmes à jour et de migrer les installations obsolètes. D’après LSA, qui publie son point de situation le 13 octobre 2026 à 16h25, le fabricant a indiqué que nombre d’équipements touchés étaient anciens ou fonctionnaient avec un logiciel obsolète, et les enseignes chercheraient à savoir comment les alertes évoquées depuis le mois d’août ont été transmises aux frigoristes.

La tentation immédiate, après une telle alerte, serait de tout débrancher. Plusieurs gérants l’ont fait dans la nuit même : d’après LSA, un associé d’un magasin a été prévenu vers 1h30 d’une anomalie de température, s’est rendu sur place et a déconnecté le système d’internet autour de 2 heures, ce qui aurait parfois permis de sauver les marchandises. Une directrice de magasin citée par franceinfo explique avoir débranché la connexion numérique des rayons frais pour éviter une nouvelle attaque. Mais pour une entreprise, couper la remontée des données vers le prestataire frigoriste n’est pas un geste neutre : c’est précisément le point sur lequel l’ANSSI met en garde. Le bulletin demande de supprimer l’exposition internet des unités concernées, puis recommande à deux reprises de vérifier au préalable les conditions contractuelles d’assurance avant toute coupure de la remontée des données vers le prestataire frigoriste. Autrement dit, la coupure peut modifier l’exécution du contrat de maintenance et les conditions de la garantie. Le dirigeant avisé lit donc sa police avant d’agir, appelle son assureur et son mainteneur dans la même journée, et ne rétablit l’accès distant que par un canal sécurisé : le CERT-FR préconise un VPN sécurisé ou un réseau protégé, le simple filtrage des adresses IP des prestataires sur un pare-feu n’étant présenté que comme une solution d’urgence non pérenne. Il vérifie aussi l’intégralité de la configuration, notamment les plages de dégivrage, et met à jour le firmware selon les recommandations du constructeur : pour les équipements Danfoss, l’alerte cite la mise à jour du micrologiciel, le mode de sécurité strict et le changement des mots de passe par défaut. L’ANSSI prévient enfin qu’un simple retour aux réglages d’usine ne suffit pas sur un équipement obsolète sans correctif : l’appareil resterait vulnérable et serait certainement compromis de nouveau.

B. Constater, déclarer et déposer plainte : la preuve se joue dans les premières heures

Quand l’entreprise découvre des températures anormales, des produits potentiellement altérés ou des traces d’accès distant, la priorité juridique est la preuve, car tout le contentieux à venir — assurance, mainteneur, clients — dépendra de ce qui aura été fixé dans les premières heures. D’après LSA, les enseignes de distribution ont immédiatement fait établir une centaine de constats d’huissier et demandé aux magasins de déclarer leurs sinistres aux assureurs. Ce réflexe est transposable à toute entreprise équipée : faire dresser sans attendre un procès-verbal de constat par un commissaire de justice, qui fige les températures relevées, les réglages constatés, les journaux de connexion et l’état des marchandises. La valeur de ce document est établie par la jurisprudence : dans un arrêt du 27 novembre 2025, la cour d’appel de Paris a rappelé que le commissaire de justice, officier public ministériel, dresse des actes proches de l’authentique dont les constatations « font foi jusqu’à preuve contraire ». Un constat dressé à la demande d’une seule partie n’est donc pas une simple pièce complaisante ; il fait foi jusqu’à preuve contraire et structure tout le dossier.

Le deuxième geste consiste à déclarer. Déclarer le sinistre à l’assureur dans les délais de la police, avec le constat, l’inventaire des marchandises détruites, les relevés de température et les factures de dépannage. Signaler l’incident sur la plateforme de l’ANSSI, qui recense les cas et a indiqué chercher à identifier les autres entreprises concernées pour les alerter. Et déposer plainte, car les faits décrits seraient susceptibles de recevoir une qualification pénale : l’article 323-1 du code pénal dispose que « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende », et que « Lorsqu’il en est résulté soit la suppression ou la modification de données contenues dans le système, soit une altération du fonctionnement de ce système, la peine est de cinq ans d’emprisonnement et de 150 000 € d’amende. » S’y ajouterait, le cas échéant, l’article 323-3 du code pénal, qui dispose que « Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient est puni de cinq ans d’emprisonnement et de 150 000 € d’amende. » Selon franceinfo, le parquet de Paris a annoncé le 12 octobre 2026 l’ouverture d’une enquête de sa propre initiative sur cette cyberattaque, confiée à l’office anti-cybercriminalité, afin notamment de recenser les victimes. Se constituer partie civile le moment venu permettrait à l’entreprise de faire valoir son préjudice dans le cadre de cette procédure, sans préjudice de ses actions contractuelles. Le dirigeant conserve enfin toute la traçabilité des denrées : le règlement européen sur la sécurité alimentaire impose à chaque exploitant de pouvoir identifier ses fournisseurs et les entreprises auxquelles ses produits ont été fournis, ce qui sera développé plus loin.

II. La chaîne des responsabilités : du mainteneur aux clients de l’entreprise

A. Le mainteneur, le fabricant et l’assureur : trois contrats à relire en même temps

L’entreprise équipée se trouve au centre d’un triangle contractuel : d’un côté le fabricant ou l’éditeur du système de régulation, de l’autre le mainteneur ou frigoriste qui supervise les installations, et enfin l’assureur. Chaque relation obéit à ses propres règles, et c’est leur combinaison qui déterminera qui supporte finalement le coût.

Envers le mainteneur, le droit commun de la responsabilité contractuelle s’applique : l’article 1231-1 du code civil prévoit que « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » L’entreprise devra donc établir ce que le contrat de maintenance promettait exactement : supervision 24 heures sur 24, délais d’intervention, obligation de mise à jour des firmware, alertes de sécurité. D’après LSA, c’est précisément la circulation des alertes de maintenance qui serait désormais au cœur des vérifications, les enseignes cherchant à savoir comment les alertes évoquées depuis le mois d’août ont été transmises aux frigoristes et si les mises à jour nécessaires ont été effectuées. Si le mainteneur a manqué à une obligation de mise à jour ou de surveillance convenue, sa responsabilité contractuelle pourrait être recherchée ; s’il démontre au contraire que l’équipement était obsolète, que le client a refusé la migration proposée ou que l’attaque était irrésistible malgré des diligences conformes aux règles de l’art, il pourrait s’exonérer. La cyberattaque commise par un tiers ne constitue pas automatiquement un cas de force majeure : tout dépendra de sa prévisibilité et de son irrésistibilité au regard des mesures de sécurité convenues, et seul le juge tranchera.

Deux décisions récentes éclairent ce contentieux à venir. D’abord, un arrêt de la cour d’appel de Paris du 22 septembre 2022, rendu dans un litige opposant un exploitant à son prestataire de froid industriel, la société Johnson Controls Industries : la cour y a déclaré non écrite la clause par laquelle le prestataire excluait par avance sa responsabilité pour les dommages indirects et immatériels, au motif qu’elle privait d’effet son engagement de mettre à disposition en état de fonctionnement permanent le matériel frigorifique. Le fondement est l’article 1170 du code civil, selon lequel « Toute clause qui prive de sa substance l’obligation essentielle du débiteur est réputée non écrite. » Une clause qui exonérerait le mainteneur de toute conséquence d’une défaillance du froid qu’il s’est engagé à maintenir en fonctionnement permanent serait donc susceptible de subir le même sort. Ensuite, et en sens inverse, un arrêt de la même cour du 20 janvier 2023, dans un litige entre un cabinet d’architecture et son prestataire informatique chargé de l’antivirus et de l’infogérance, rappelle que tout manquement n’efface pas les plafonds contractuels : les manquements établis ne constituaient pas une « faute lourde » de nature à écarter le plafond contractuel. L’indemnisation y a donc été limitée au plafond semestriel prévu au contrat. Entre ces deux pôles, la leçon pour l’entreprise équipée est claire : relire dès maintenant les clauses limitatives ou exclusives de son contrat de maintenance, identifier l’obligation essentielle du prestataire et mesurer le plafond applicable, car le juge vérifiera d’abord ce que les parties ont écrit. Il faut ajouter que même en cas de faute lourde ou dolosive, l’article 1231-4 du code civil limite en principe la réparation : « Dans le cas même où l’inexécution du contrat résulte d’une faute lourde ou dolosive, les dommages et intérêts ne comprennent que ce qui est une suite immédiate et directe de l’inexécution. » Les pertes éloignées ou hypothétiques resteront donc difficiles à faire admettre. Dans le même sens, l’article 1231-3 du code civil rappelle que « Le débiteur n’est tenu que des dommages et intérêts qui ont été prévus ou qui pouvaient être prévus lors de la conclusion du contrat, sauf lorsque l’inexécution est due à une faute lourde ou dolosive. » Autant de raisons de documenter, dès la conclusion du contrat de maintenance comme après l’incident, ce que chacun pouvait prévoir : volumes de denrées sous froid, coûts d’interruption, existence d’équipements de secours. Les textes applicables figurent au Code civil et au Code pénal.

Envers le fabricant ou l’éditeur du système, la discussion se jouera sur le terrain du défaut de sécurité et de l’information. D’après franceinfo, Danfoss aurait affirmé recommander depuis longtemps les mises à jour et la migration des systèmes obsolètes, tandis que des experts cités par la presse relèveraient que des failles documentées, dont certaines remontant à avril 2025, auraient été exploitées. Si un défaut du produit ou un manquement à l’obligation d’information et de mise en garde était établi, la responsabilité du fabricant pourrait être recherchée, y compris par la voie de la responsabilité du fait des produits défectueux ; mais là encore, l’obsolescence connue, l’absence de maintenance et le comportement de chaque exploitant entreront dans l’appréciation, et aucune conclusion générale ne peut être tirée avant l’instruction des dossiers. L’entreprise équipée a donc intérêt à conserver ses bons de commande, les notices du fabricant, les échanges sur les mises à jour proposées ou refusées, et les journaux de supervision : c’est ce faisceau qui permettra, plus tard, de situer chaque manquement allégué.

Envers l’assureur, enfin, tout dépendra de la police souscrite, et une jurisprudence toute récente invite à la lecture attentive. Dans un arrêt du 10 juillet 2025, la deuxième chambre civile de la Cour de cassation s’est prononcée sur une garantie de pertes d’exploitation subordonnée à l’existence d’un dommage matériel : elle a rejeté le pourvoi des assurés en retenant que la condition litigieuse laissait subsister une « garantie nullement dérisoire » pour d’autres événements tels que l’incendie ou le dégât des eaux. Autrement dit, subordonner la garantie à un dommage matériel reste valable dès lors qu’une garantie non dérisoire subsiste pour d’autres événements. Pour l’entreprise dont le froid connecté a été déréglé sans dégât matériel apparent — simple dérive de température, marchandises détruites par précaution, interruption d’activité — la question sera donc de savoir si sa garantie pertes d’exploitation exige ou non un dommage matériel préalable, et ce que couvre exactement l’extension cyber si elle en a souscrit une. Le principe posé par l’article L. 113-1 du code des assurances — « Les pertes et les dommages occasionnés par des cas fortuits ou causés par la faute de l’assuré sont à la charge de l’assureur, sauf exclusion formelle et limitée contenue dans la police » — impose à l’assureur des exclusions formelles et limitées, mais laisse un large champ aux définitions contractuelles du sinistre garanti. D’où l’importance du constat initial, de la déclaration rapide et de la relecture croisée de la police avec le contrat de maintenance : l’ANSSI elle-même lie les deux en demandant de vérifier les conditions d’assurance avant toute coupure de la supervision. Un dirigeant qui documente ses pertes au jour le jour — tonnages détruits, chiffre d’affaires perdu, frais de dépannage, location de groupes froid de secours — se donne les moyens de discuter utilement avec l’expert d’assurance, comme avec le juge.

B. Vers les fournisseurs et les clients : tenir la chaîne du froid et la chaîne des informations

L’entreprise équipée n’est pas seulement une victime potentielle : elle est aussi le maillon dont dépendent ses propres fournisseurs et clients. Un restaurateur, un hôtel, une clinique ou un industriel dont les chambres froides ont dérivé doit décider du sort des denrées stockées, informer ses fournisseurs des marchandises devenues impropres, et prévenir ses clients professionnels des retards ou des ruptures à venir. Le droit européen de la sécurité alimentaire, avec le règlement (CE) n° 178/2002, encadre strictement ces décisions. Ce texte impose d’abord à chaque exploitant de veiller, à toutes les étapes de la production, de la transformation et de la distribution placées sous son contrôle, à ce que les denrées répondent aux prescriptions applicables, et d’en vérifier le respect. Surtout, son article 19 oblige l’exploitant qui considère ou a des raisons de penser qu’une denrée ne répond pas aux prescriptions de sécurité à engager aussitôt le retrait du marché et à prévenir les autorités compétentes ; lorsque le produit peut avoir atteint le consommateur, il doit informer celui-ci de manière effective et précise des motifs du retrait, et rappeler si nécessaire les produits déjà fournis. Le même règlement organise la traçabilité à chaque étape : tout exploitant doit pouvoir identifier ses fournisseurs comme les entreprises auxquelles ses propres produits ont été fournis, et tenir ces informations à disposition des autorités. Concrètement, l’entreprise qui a subi une dérive de température ne peut ni écouler silencieusement les stocks douteux ni attendre : elle retire, elle trace, elle informe. La Cour de cassation a du reste jugé, dans un arrêt criminel du 31 mars 2020 largement publié, que les prescriptions des articles 14, 17 et 19 de ce règlement constituent des obligations particulières de prudence et de sécurité susceptibles de fonder une responsabilité pénale en cas de violation manifestement délibérée.

Cette rigueur protège aussi l’entreprise vis-à-vis de ses partenaires. Le fournisseur dont les marchandises ont été détruites chez son client voudra être payé ; le client professionnel livré en retard ou avec des produits de substitution voudra être indemnisé. Dans les deux cas, les contrats — conditions générales de vente, clauses de réserve de propriété, pénalités de retard, cas de force majeure — fourniront le premier cadre de discussion, puisque l’article 1103 du code civil rappelle que « Les contrats légalement formés tiennent lieu de loi à ceux qui les ont faits. » Les constats dressés dans les premières heures serviront à démontrer la réalité, la date et l’ampleur de l’événement. L’entreprise qui a tenu ses relevés de température, fait constater la dérive, déclaré son sinistre et informé ses partenaires par écrit se présente dans la discussion contractuelle avec un dossier, là où celle qui a simplement jeté et passé commande suivante n’a que sa parole. Et cette information loyale des partenaires n’est pas une simple politesse commerciale : l’article 1104 du code civil dispose que « Les contrats doivent être négociés, formés et exécutés de bonne foi. Cette disposition est d’ordre public. » Les plateformes logistiques qui, selon LSA, auraient commencé à dépanner les magasins en produits surgelés montrent d’ailleurs que la solidarité de la chaîne existe ; mais chaque dépannage, chaque livraison de substitution et chaque avoir doivent être documentés, car ils deviendront des pièces du dossier d’assurance ou du contentieux contre le prestataire. Pour les entreprises parisiennes et franciliennes, dont les flux tendus laissent peu de stocks tampons, la rapidité de cette documentation conditionne directement la capacité à négocier avec les fournisseurs et à tenir les délais envers les clients. C’est précisément pour articuler ces contrats de maintenance, ces recours contre les fournisseurs de systèmes et cette gestion du risque en chaîne qu’un accompagnement en droit des affaires pour sécuriser les contrats de maintenance et organiser les recours entre professionnels peut aider le dirigeant à transformer une semaine de crise en dossier maîtrisé.

En conclusion, l’alerte du 13 octobre 2026 déplace le sujet : il ne s’agit plus seulement des supermarchés attaqués dans la nuit du 11 au 12 octobre, mais de toutes les entreprises qui exploitent les mêmes contrôleurs connectés et que l’ANSSI cherche à alerter avant que le problème ne s’étende. Vérifier l’exposition de ses installations, relire son assurance avant de couper la supervision, faire constater par commissaire de justice, déclarer et déposer plainte, puis relire ensemble le contrat de maintenance, la police d’assurance et les contrats avec fournisseurs et clients : telle est la feuille de route des prochains jours. Aucune responsabilité n’est établie à ce stade, les faits devront être vérifiés dossier par dossier, et les contrats primeront toujours sur les analyses générales. Mais les entreprises qui auront documenté chaque décision, chaque température et chaque échange disposeront, face à leur mainteneur, à leur assureur et à leurs partenaires, de ce que les autres n’auront pas : des preuves. Et dans un contentieux en chaîne, ce sont elles qui font la différence.