Le froid industriel est devenu une cible. Le 4 novembre 2026, les groupes de hackers prorusses NoName057(16) et Z-Pentest ont revendiqué de nouvelles attaques contre des installations frigorifiques européennes. Selon leur message, ils n’auraient installé aucun logiciel malveillant : ils se seraient contentés d’utiliser les fonctions prévues par les fabricants sur les contrôleurs Danfoss et les superviseurs Dixell XWEB. Leur responsabilité n’est pas établie, mais la méthode décrite parle directement aux équipes de maintenance.
Plan de l'article
Un sabotage qui ressemble à une intervention normale #
Comme le détaille Les Smartgrids, un attaquant qui obtient un accès privilégié à un superviseur frigorifique peut modifier les consignes de température, prolonger les cycles de dégivrage ou toucher aux paramètres d’alarme. Autrement dit, exactement les opérations qu’un frigoriste effectue à distance dans le cadre de son travail.
C’est ce qui rend ce type d’attaque difficile à repérer. Pas de rançongiciel, pas d’écran bloqué, pas de fichier chiffré : seulement des réglages qui changent. Sans historique des modifications, une dérive de température peut passer pour une panne de compresseur ou une sonde défaillante, et l’équipe de maintenance risque de chercher la cause au mauvais endroit.
À lire Calais : un salarié de Paprec meurt pendant une maintenance dans un tube de méthanisation
Le précédent des supermarchés français
La revendication de novembre fait suite à une vague d’incidents survenue en France à la mi-octobre. Le Monde avait décrit une journée noire pour des supermarchés dont les installations de réfrigération avaient été visées. D’après les éléments rapportés, certains cycles de dégivrage avaient été allongés d’une à huit heures.
Ce que demande le CERT-FR #
Dès le 12 octobre, le centre gouvernemental de veille et d’alerte a publié l’alerte CERTFR-2026-ALE-012, mise à jour depuis. Elle indique que le CERT-FR a connaissance de nombreuses compromissions des contrôleurs à distance Danfoss des séries AK-SM et AK-SC, ainsi que des superviseurs Copeland XWEB et Dixell XWEB. L’agence prévient que des campagnes sont probablement toujours en cours.
Le message est sans ambiguïté : exposer une interface de gestion sur Internet est contraire aux bonnes pratiques. Le CERT-FR insiste sur un point qui concerne directement la maintenance : sur un équipement en fin de vie, privé de correctifs, une simple remise à zéro usine est insuffisante. Elle efface les persistances installées par l’attaquant, mais laisse l’appareil vulnérable aux mêmes failles.
Une surface d’exposition bien réelle #
Le problème n’est pas théorique. Les Smartgrids rapporte qu’une analyse de l’éditeur Forescout consacrée à la chaîne du froid a recensé 12 976 services de gestion frigorifique ou assimilés accessibles depuis Internet, répartis dans 99 pays et territoires. Ce chiffre ne correspond pas à des installations piratées, mais à des portes potentiellement ouvertes. Forescout relevait aussi plus de 20 attaques revendiquées contre des systèmes frigorifiques depuis janvier 2026.
Les failles de certains contrôleurs étaient par ailleurs documentées avant cette campagne. Selon le même article, en août 2026, des chercheurs de Claroty avaient publié une analyse du Danfoss AK-SM 800A décrivant notamment un contournement de l’authentification. Rien ne prouve que ces vulnérabilités ont été utilisées, car des identifiants faibles suffisent souvent.
Les actions à inscrire au plan de maintenance #
Pour un responsable maintenance, cette affaire déplace la frontière entre informatique et technique. Le superviseur de froid n’est plus seulement un équipement à entretenir ; c’est aussi un point d’accès à sécuriser. Plusieurs actions découlent directement des recommandations publiées.
Couper l’exposition directe
La priorité est de retirer les interfaces d’administration de l’Internet public et de passer par un VPN ou un réseau protégé. Si un prestataire frigoriste a besoin d’un accès à distance, cet accès doit être nominatif, tracé et limité dans le temps, plutôt que laissé ouvert en permanence.
Changer les identifiants et appliquer les correctifs
Les identifiants par défaut doivent disparaître, y compris sur les équipements installés depuis des années et oubliés dans un local technique. Les mises à jour proposées par les fabricants doivent être planifiées comme n’importe quelle intervention préventive. Pour les modèles qui n’en reçoivent plus, il faut prévoir leur remplacement plutôt que les maintenir en ligne.
À lire H2 Académie à Bolbec : la réalité virtuelle entre dans la formation des techniciens hydrogène
Contrôler les consignes et conserver les journaux
Le CERT-FR recommande de vérifier les configurations de dégivrage. Un contrôle périodique des consignes de température et des seuils d’alarme, comparé à une référence documentée, permet de détecter une modification anormale. Les journaux de connexion et l’historique des changements deviennent des outils de diagnostic à part entière : ce sont eux qui permettent de distinguer un acte malveillant d’une simple défaillance.
La GMAO doit intégrer la cybersécurité #
Cette campagne illustre une tendance de fond. Les équipements de production et d’utilités sont de plus en plus pilotés à distance, et chaque connexion ouverte pour faciliter la maintenance peut aussi servir à un attaquant. Inventorier les automates et superviseurs connectés, savoir qui y accède et suivre leurs versions logicielles fait désormais partie des tâches de maintenance préventive, au même titre qu’une vidange ou un contrôle de pression.
