La cybersécurité IoT industriel consiste à protéger les équipements connectés qui pilotent un processus physique. Les attaques contre des régulateurs frigorifiques français en octobre 2026 montrent qu’un simple accès distant peut provoquer une hausse de température, endommager du matériel et interrompre l’activité. Pour une PME, la priorité est claire : supprimer l’exposition directe à Internet, contrôler les accès et surveiller les réglages critiques.
Que s’est-il passé dans les supermarchés français ?
Les 11 et 12 octobre 2026, des compromissions à distance ont perturbé les régulateurs frigorifiques de centaines de supermarchés français. Selon Associated Press, les enseignes touchées comprenaient notamment Intermarché, Netto, Coopérative U, Carrefour, E.Leclerc et Monoprix. Des réglages modifiés ont entraîné des pertes alimentaires et des dommages matériels.
Le CERT-FR a identifié le 13 octobre 2026 plusieurs familles d’équipements compromises : Danfoss AK-SM et AK-SC, Copeland XWEB et Dixell XWEB. L’alerte CERTFR-2026-ALE-012 indiquait alors que les campagnes d’attaque étaient probablement encore actives. La seconde vague visant des installations Dixell a surtout montré que l’incident ne concernait pas un seul constructeur.
Les conséquences sont sorties du système informatique. Des cycles de dégivrage ont été prolongés et des consignes de température manipulées. Le Monde a rapporté en 2026 qu’une chambre froide d’un Intermarché avait atteint 50 °C après le passage d’un cycle de dégivrage d’une heure à huit heures. Un autre magasin a signalé des équipements à 80 °C.
Le 13 octobre 2026, le ministre français de l’Économie estimait qu’environ 700 supermarchés sur 10 000 avaient été affectés, selon Associated Press. Ce chiffre reste une estimation rapportée par une source unique. L’unité cyber du parquet de Paris a ouvert une enquête couvrant les denrées détruites, les dégradations et les risques éventuels d’incendie.
Pourquoi la cybersécurité IoT industriel concerne-t-elle les PME ?
La cybersécurité IoT industriel concerne toute PME dont un équipement connecté agit sur le froid, le chauffage, l’énergie, l’accès aux locaux ou la production. Une compromission ne se limite pas au vol de données : elle peut modifier un processus physique, arrêter l’exploitation et engager des dépenses de remplacement ou de remise en conformité.
IoT signifie « Internet des objets » : ce sont des appareils capables d’échanger des données sur un réseau. OT, pour « technologies opérationnelles », désigne les systèmes qui surveillent ou commandent des machines et des processus physiques. Un régulateur de chambre froide connecté relève donc à la fois de l’IoT et de l’OT.
Le piège le plus fréquent n’est pas toujours une vulnérabilité spectaculaire. C’est une interface d’administration laissée accessible depuis Internet pour faciliter la maintenance d’un prestataire. Claroty a indiqué en 2026 avoir repéré 2 765 contrôleurs Danfoss AK-SM 800A exposés sur Internet avec le moteur de recherche technique Censys lors de ses travaux.
Cette facilité opérationnelle déplace le risque vers l’entreprise exploitante. Qui vérifie les mises à jour ? Qui ferme le compte d’un ancien technicien ? Qui détecte une consigne passée de −22 °C à une valeur aberrante ? Sur les projets que nous menons, nous voyons souvent ces responsabilités réparties entre l’informatique, la maintenance et le fournisseur, sans propriétaire clairement désigné.
La dépendance aux prestataires mérite également d’être cadrée dans les contrats. Les exigences de sécurité peuvent se propager aux petites entreprises par leurs donneurs d’ordre, comme l’explique notre analyse de l’effet de cascade de NIS2 sur les sous-traitants.
Le correctif logiciel suffit-il à protéger un équipement connecté ?
Un correctif réduit les failles connues, mais ne protège pas à lui seul un équipement IoT industriel. La défense repose aussi sur l’absence d’exposition publique, des identifiants individuels, un réseau séparé et une surveillance des changements. Le vecteur exact des attaques françaises d’octobre 2026 n’était pas confirmé au 13 octobre 2026.
Cette nuance évite une attribution hâtive. Des vulnérabilités existaient bien sur certains équipements Danfoss, mais aucune source disponible au 13 octobre 2026 ne permettait d’affirmer qu’elles avaient servi pendant cette campagne. Une interface exposée, un mot de passe compromis ou une autre faiblesse pouvaient également entrer en jeu.
En 2023, Synacktiv avait documenté sur le Danfoss AK-SM 800A antérieur au micrologiciel 3.3 des failles permettant d’extraire une empreinte de mot de passe et, en combinant les vulnérabilités avec un accès authentifié, d’exécuter des commandes à distance. Le micrologiciel est le logiciel interne de l’équipement.
En 2025, les vulnérabilités CVE-2025-41450, CVE-2025-41451 et CVE-2025-41452 ont affecté les contrôleurs Danfoss AK-SM 8xxA. Selon Claroty en 2026, le micrologiciel Danfoss 4.3.1 corrigeait notamment les failles d’injection de commandes et de contrôle de configuration. Installer un correctif en production exige toutefois une sauvegarde, un test et une possibilité de retour arrière ; notre guide sur le patch management sans interruption de production détaille cette discipline.
| Équipement ou famille | Constat documenté | Action prioritaire |
|---|---|---|
| Danfoss AK-SM 800A | Failles documentées en 2023 avant la version 3.3 | Vérifier la version et supprimer l’accès Internet direct |
| Danfoss AK-SM 8xxA | Trois CVE publiées en 2025 ; correctifs inclus dans la version 4.3.1 | Évaluer la mise à jour vers 4.3.1 ou une version ultérieure validée |
| Danfoss AK-SM et AK-SC | Compromissions signalées par le CERT-FR le 13 octobre 2026 | Contrôler tous les paramètres et les cycles de dégivrage |
| Copeland XWEB et Dixell XWEB | Équipements ajoutés à l’alerte du CERT-FR en 2026 | Fermer l’exposition publique et rétablir l’accès via un réseau protégé |
Honnêtement, mettre à jour tout en conservant une console d’administration ouverte au public laisse une porte inutile. La documentation Danfoss de 2026 recommande d’ailleurs de placer les appareils derrière un pare-feu, avec un accès distant sécurisé. Pour les logiciels commercialisés, les responsabilités évoluent aussi avec le Cyber Resilience Act et ses obligations en 2026.
Quelles mesures appliquer en priorité à un parc IoT industriel ?
Un plan de cybersécurité IoT industriel commence par l’inventaire, puis ferme les interfaces publiques avant de segmenter les réseaux et de corriger les équipements. En 2026, le CERT-FR recommande aussi de vérifier chaque réglage, de remplacer les mots de passe par défaut et de restaurer l’administration uniquement par un réseau protégé ou un VPN sécurisé.
Un VPN, ou réseau privé virtuel, crée un passage chiffré vers le réseau de l’entreprise. Il ne doit pas devenir un accès collectif permanent. Chaque prestataire reçoit un compte limité, ouvert pendant son intervention et associé à des traces permettant de savoir qui s’est connecté et quelles actions ont été réalisées.
Voici l’ordre d’action le plus efficace pour réduire rapidement le risque :
- Inventorier les actifs. Relevez le fabricant, le modèle, le numéro de série, la version du micrologiciel, l’adresse réseau, le responsable interne et le prestataire associé.
- Fermer l’exposition Internet. Retirez les interfaces d’administration publiques et bloquez les ports qui ne servent pas au fonctionnement métier.
- Revoir les accès. Supprimez les mots de passe par défaut, créez des comptes nominatifs et limitez les droits à la tâche prévue.
- Segmenter les réseaux. Séparez le réseau bureautique IT du réseau opérationnel OT afin qu’un poste compromis ne puisse pas joindre directement les automates.
- Mettre à jour avec méthode. Sauvegardez la configuration, vérifiez la compatibilité, testez le correctif et prévoyez un retour à la version précédente.
- Surveiller indépendamment. Déclenchez une alarme lors d’une modification inhabituelle de température, de calendrier de dégivrage ou de configuration réseau.
Les recommandations OT publiées par la CISA entre 2025 et 2026 insistent sur l’inventaire des équipements et des micrologiciels, la priorité donnée aux actifs critiques, la séparation IT/OT et le passage des accès fournisseurs par un serveur intermédiaire surveillé ou un VPN. Un serveur intermédiaire, parfois appelé bastion, centralise et journalise les connexions d’administration.
Comment surveiller les équipements sans dépendre du système attaqué ?
La surveillance d’un équipement IoT industriel doit rester indépendante de sa console d’administration. Une sonde réseau ou une alarme physique distincte peut signaler un trafic inhabituel, une consigne incohérente ou une modification de configuration. Les recommandations de sécurité industrielle de la CISA publiées entre 2022 et 2026 soutiennent ce principe de contrôle séparé.
Si un attaquant contrôle le régulateur et l’écran qui affiche son état, l’exploitant peut recevoir une information trompeuse ou trop tardive. Une sonde de température indépendante, reliée à un canal d’alerte distinct, permet de comparer la température réelle avec la consigne enregistrée. Pour une chambre froide, cette redondance protège directement les produits.
Les seuils doivent être adaptés au métier. Une connexion nocturne inhabituelle, plusieurs paramètres modifiés en quelques secondes ou un cycle de dégivrage fortement prolongé justifient une alerte. Le Monde a rapporté en 2026 qu’un prestataire avait observé deux ou trois paramètres Dixell modifiés par seconde, ce qui suggérait une action automatisée sans prouver le mécanisme d’intrusion.
Côté agence, le réflexe est de tester aussi le chemin de l’alerte : destinataire absent, boîte électronique saturée, notification bloquée ou numéro non maintenu. Un capteur qui détecte correctement l’incident mais n’avertit personne ne réduit pas la durée d’exposition.
Comment préparer un plan de réponse à une attaque IoT ?
Un plan de réponse IoT doit préciser qui isole l’équipement, qui vérifie le processus physique et qui autorise la remise en service. La priorité consiste à sécuriser les personnes et les installations, conserver les traces, contrôler tous les paramètres et restaurer une configuration connue. Une simple réinitialisation du mot de passe ne suffit pas.
Pour une installation frigorifique, l’équipe technique doit pouvoir basculer vers un mode local sûr si le constructeur le permet, relever les températures avec un dispositif indépendant et photographier les réglages avant toute modification. Les journaux de connexion, configurations exportées et horaires d’alarme aideront ensuite le prestataire, l’assureur ou les enquêteurs.
Le retour en ligne intervient seulement après la suppression de l’exposition publique, le renouvellement des identifiants et l’examen des réglages, y compris les calendriers de dégivrage. Le CERT-FR recommandait précisément ces contrôles le 13 octobre 2026. La reprise doit être progressive, sous surveillance renforcée.
La cybersécurité IoT industriel n’est donc pas un achat isolé, mais une organisation entre direction, informatique, maintenance et fournisseurs. Cadrer les responsabilités, les accès et les procédures avant l’incident évite une grande partie des mauvaises surprises. C’est souvent à cette étape qu’un regard extérieur fait gagner du temps.
FAQ sur la sécurité des équipements IoT industriels
Comment savoir si un équipement industriel est exposé sur Internet ?
Un audit réseau et l’examen des règles du pare-feu permettent d’identifier les interfaces accessibles publiquement. L’inventaire doit aussi relever les redirections de ports, les services d’administration distante et les accès installés par les prestataires.
Un VPN suffit-il pour sécuriser la maintenance à distance ?
Un VPN protège le canal de connexion, mais doit être complété par des comptes nominatifs, des droits limités, une journalisation et une durée d’accès restreinte. Un compte VPN partagé ou permanent conserve un risque élevé.
Faut-il couper immédiatement un automate compromis ?
La coupure d’un automate compromis dépend du risque physique et du processus piloté. L’exploitant doit d’abord protéger les personnes et les installations, puis isoler le réseau selon une procédure préparée avec le mainteneur afin d’éviter un arrêt dangereux.
Qui doit gérer les mises à jour des objets connectés professionnels ?
La responsabilité des mises à jour doit être attribuée par écrit à l’entreprise, au mainteneur ou au fabricant selon le contrat. Un responsable interne doit néanmoins vérifier les versions installées, les avis de sécurité et la réalisation effective des opérations.