Dans la nuit du 11 octobre, dans des centaines de supermarchés à travers l’Europe, les congélateurs se transforment en armes de destruction massive des denrées alimentaires. 

Magasin après magasin, les cybercriminels infiltrent les systèmes de pilotage du froid. En portant les températures à près de 50 °C et en étirant les cycles de dégivrage de une à huit heures, ils neutralisent les dispositifs d’alarme, tandis que les dégâts se propagent silencieusement. Au petit matin, les équipes découvrent des rayons remplis de marchandises avariées et des équipements dégageant de la fumée. Des incendies se déclarent même dans plusieurs magasins.  Selon CNBC, un dirigeant de la grande distribution estime que les pertes se chiffrent à plusieurs dizaines de millions d’euros en une seule journée à l’échelle du pays.

Il ne s’agit pas d’une compromission de données classique. Aucun serveur n’a été chiffré. Aucune demande de rançon n’apparaît sur les terminaux d’encaissement. L’attaque vise directement la capacité opérationnelle physique des entreprises. 

La plupart des enseignes de la distribution présentent cette même vulnérabilité : des équipements connectés installés par des prestataires externes, financés sur des budgets immobiliers ou techniques, exécutant des firmwares obsolètes et échappant souvent au radar des équipes cybersécurité.

Les plans de reprise d’activité partent généralement du principe que l’environnement sous-jacent reste intègre et digne de confiance. Or un adversaire habile fait vite tomber ces certitudes. Définir un Minimum Viable Business (MVB), en conserver une copie immuable et répéter régulièrement les procédures de reprise : voilà ce qui donne aux enseignes un avantage décisif lorsque des systèmes connectés deviennent à leur tour des vecteurs d’attaque.

Quand le cyber provoque des dégâts physiques bien réels

Cette attaque spectaculaire attire rapidement l’attention des médias et des autorités. En France, l’ANSSI publie une alerte identifiant les systèmes de gestion de réfrigération concernés et recommande aux exploitants de les déconnecter d’Internet ou d’en restreindre l’accès, tout en appliquant les correctifs disponibles. Le fabricant confirme de son côté que les équipements touchés fonctionnent avec des firmwares obsolètes. Le parquet de Paris ouvre une enquête, tandis que le Premier ministre charge l’ANSSI de piloter la réponse technique à l’incident.

Mais derrière les gros titres, rien dans ce scénario n’a réellement valeur d’exception pour les responsables cybersécurité de la grande distribution. Des équipements opérationnels connectés au réseau, fonctionnant avec des logiciels obsolètes. Un attaquant les repère, comprend leur fonctionnement et les retourne contre l’entreprise à grande échelle, en pleine nuit, lorsque la vigilance est au plus bas. 

Le schéma est loin d’être inédit. Dans toute l’Europe, les enseignes exploitent des équipements présentant les mêmes vulnérabilités structurelles. Et pour beaucoup d’entre elles, le temps des mesures correctives n’est plus une question de planification, mais d’urgence.

Un équipement oublié n’est jamais perdu pour tout le monde

L’enseigne du 21e siècle ne se résume plus à ses magasins ou à ses caisses. Il s’agit d’un écosystème complexe où paiements, programmes de fidélité, e-commerce, entrepôts, logistique, gestion des bâtiments, moteurs de réservation et services clients fonctionnent comme un seul et même système, orchestré par une infrastructure numérique largement invisible pour les consommateurs. Ces environnements critiques relèvent généralement de la supervision des équipes cybersécurité. 

Contrôleurs de réfrigération, systèmes de gestion des bâtiments, écrans d’affichage numérique, dispositifs de contrôle d’accès et d’ouverture des portes… Tous ces équipements opérationnels (OT) partagent pourtant les mêmes réseaux. Mais, dans bien des organisations, ils restent encore hors du périmètre direct des équipes de sécurité.

Cette zone grise constitue un point de rupture majeur. Des équipements installés il y a parfois plusieurs années, déployés par des prestataires externes, financés sur des budgets immobiliers ou techniques, puis connectés au réseau par souci de commodité élargissent aujourd’hui la surface d’attaque de l’entreprise. La recommandation de l’ANSSI de déconnecter les systèmes concernés d’Internet était la bonne réponse dans l’urgence. Mais elle met aussi en lumière une réalité plus inconfortable : ces équipements échappaient déjà en grande partie au contrôle des équipes de sécurité. La prévention et la détection restent indispensables. Mais une stratégie de défense qui repose sur l’hypothèse que chaque équipement connecté, dans chaque magasin, sera toujours à jour de correctifs est une stratégie vouée à l’échec.

La reprise après sinistre n’a jamais été pensée pour le cyber

La plupart des distributeurs disposent d’un plan de reprise après sinistre. Pourtant, dans un scénario comme celui du 12 octobre, nombre de ces plans se révèlent insuffisants. 

La reprise après sinistre part du principe selon lequel l’environnement sous-jacent reste intègre et digne de confiance. Lorsqu’une baie de stockage tombe en panne, l’origine du problème est connue et des sauvegardes saines sont identifiées. Une défaillance technique ne cherche pas à entraver, voire à empêcher les opérations de restauration. 

La cyber-restauration obéit à une toute autre logique. En cas d’attaque, personne ne sait avec certitude ce que les attaquants ont compromis. Rien ne garantit que les sauvegardes n’ont pas été ciblées plusieurs semaines auparavant en préparation de l’attaque. Les assaillants peuvent encore être présents dans l’environnement pendant que les équipes se démènent à rétablir les systèmes. Et lorsque les services d’identité sont indisponibles, c’est souvent l’ensemble des opérations de reprise qui se retrouve paralysé. Dans le même temps, clients, médias, régulateurs et actionnaires observent la situation minute par minute.

Pour un distributeur, chaque heure passée à gérer une cyber-restauration se traduit par des pertes de chiffre d’affaires. Lorsqu’un équipement connecté est compromis, le premier réflexe consiste à l’isoler, comme l’a recommandé l’ANSSI. Mais déconnecter les systèmes de réfrigération, les équipements de gestion des bâtiments ou une partie du réseau du magasin revient souvent à continuer l’activité sans certains de ses rouages essentiels. 

Une question devrait donc être au cœur des préoccupations de chaque RSSI, DSI et dirigeant du secteur : « Si nous devions débrancher une partie des magasins ce soir, que faudrait-il maintenir en opération pour pouvoir rouvrir demain matin ? »

Minimum Viable Business : le socle de résilience de la distribution

Rubrik apporte une réponse à cette question à travers le concept de Minimum Viable Business (MVB), un ensemble restreint de fonctions et de services critiques permettant à l’entreprise de continuer à opérer, même en mode dégradé, pendant une période limitée. L’objectif n’est pas de restaurer immédiatement l’intégralité du système d’information, mais de préserver ce qui est indispensable à la continuité de l’activité lorsque le cours normal des opérations est perturbé. 

Dans le secteur de la distribution, les services d’identité et l’infrastructure réseau figurent généralement parmi les priorités absolues, car aucune reprise n’est réellement envisageable sans eux. Viennent ensuite les systèmes qui permettent de poursuivre l’activité et de générer du chiffre d’affaires : le traitement des paiements et les terminaux de point de vente, la gestion des stocks et des approvisionnements, les sites de commerce en ligne, les programmes de fidélité, les applications CRM, les systèmes ERP et financiers, ainsi que les outils de communication dont les équipes ont besoin pour se coordonner lorsque les canaux habituels sont indisponibles. 

Dans le cas d’un super ou d’un hyper, cette liste inclut également les systèmes qui pilotent les équipements en magasin, à commencer par ceux qui garantissent le maintien de la chaîne du froid.

Définir les fonctions critiques du MVB ne relève pas d’un simple exercice technologique et ne peut certainement pas être décidé par le seul RSSI au milieu de la nuit, en pleine crise. Cela suppose un travail en amont réunissant la direction générale, les équipes métiers, les opérations et l’IT afin d’identifier les quelques services dont l’activité ne peut littéralement pas se passer, de cartographier leurs dépendances et de tester les scénarios de défaillance avant qu’un incident ne survienne. 

Face au prochain incident majeur, la différence ne se fera pas sur le nombre d’outils déployés, mais sur le niveau de préparation. Les distributeurs les plus résilients seront ceux qui auront défini leur MVB, protégé leurs capacités critiques et régulièrement éprouvé leur capacité à les restaurer sous contrainte. 

Trop souvent encore, les technologies opérationnelles sont exclues des plans de reprise parce qu’elles sont considérées comme trop anciennes, trop spécialisées ou trop éloignées du périmètre IT traditionnel. Cette attaque illustre les limites d’une telle approche. Pour un supermarché, la réfrigération n’est pas un simple système de support : elle fait partie intégrante de l’activité. Lorsque les contrôleurs basculent en mode de dégivrage continu, la chaîne du froid peut être rompue en quelques heures seulement, entraînant la destruction des stocks et des pertes immédiates.

Les systèmes qui supervisent et configurent les équipements en magasin doivent donc figurer dans le MVB : les serveurs de supervision, les postes d’ingénierie, les configurations de référence des contrôleurs, ainsi que les relevés de température et les enregistrements HACCP permettant d’attester, a posteriori, de la sécurité des denrées alimentaires. Pour chacun de ces éléments, les distributeurs doivent établir un plan de reprise documenté précisant l’ordre de restauration, les dépendances associées, le point de restauration considéré comme fiable et le réseau isolé destiné à accueillir les systèmes restaurés. Ce plan doit ensuite être régulièrement testé. Pour cette catégorie d’actifs, l’objectif de reprise se mesure en heures, et non en jours.

Comment Rubrik transforme des semaines de crise en un incident d’une nuit

Dans cette nouvelle ère des IA de frontière, ces attaques contre la grande distribution française devraient faire des émules. L’IA est désormais capable d’accélérer les phases de reconnaissance, d’exploitation et de coordination bien plus vite que les équipes de sécurité ne peuvent réagir. Dans le même temps, les distributeurs introduisent de nouveaux risques en déployant leurs propres agents IA, parfois dotés d’accès privilégiés au sein de leur environnement. D’où l’importance de partir du principe qu’une compromission des systèmes et que les dérapages des agents sont inévitables. Car face aux risques de l’IA, la résilience devient un impératif absolu.

Rubrik ne patche pas les contrôleurs de réfrigération. En revanche, lorsque des équipements connectés se retournent contre l’entreprise, Rubrik veille à ce que l’activité qui les entoure puisse continuer et revenir rapidement à la normale. Rubrik Agentic Cyber Resilience^TM unifie données, IA, identités humaines, machines et agentiques pour accompagner les distributeurs sur trois fronts : résister aux attaques pilotées par IA et aux agents IA incontrôlés, restaurer les opérations à vitesse machine et déployer l’IA à grande échelle sans perdre le contrôle.

Rubrik conserve des copies isolées (air gap) et immuables des systèmes qui composent votre Minimum Viable Business. Ainsi, un attaquant qui parvient à passer d’un contrôleur en magasin au réseau de l’entreprise ne peut ni chiffrer ni supprimer les éléments essentiels à la reprise de l’activité. La plateforme indexe, classe et analyse en continu ces données à la recherche de menaces dès leur ingestion. Les comportements anormaux observés dans l’environnement des magasins sont ainsi détectés comme étant les signaux faibles d’une attaque, plutôt que découverts au moment de la réouverture le matin. Les points de restauration fiables et intègres sont, quant à eux, identifiés en amont, avant même que l’alerte ne soit déclenchée. Concrètement :

• Lorsqu’un incident est déclaré, Rubrik Threat Analytics analyse les sauvegardes historiques afin d’identifier les indicateurs de compromission, de déterminer depuis combien de temps l’attaquant est présent dans l’environnement et d’identifier le dernier point de restauration « clean » avant le lancement des opérations de reprise.

• Rubrik Threat Containment isole les snapshots infectés afin d’éviter que la restauration ne réintroduise le malware qu’elle est précisément censée éliminer.
• Rubrik Identity Resilience corrèle les signaux de changement provenant d’Active Directory, d’Entra ID et d’Okta, annule les modifications malveillantes et supprime les mécanismes de persistance mis en place par les attaquants tout en préservant les éléments légitimes. Car aucun terminal de point de vente, aucune passerelle de paiement ni aucun moteur de réservation ne peut s’authentifier lorsque les services d’identité sont indisponibles. 
• Rubrik Orchestrated Cyber Recovery permet ensuite de restaurer le reste du MVB dans un ordre prédéfini, selon les priorités métiers plutôt que dans une urgence désordonnée, au sein d’un environnement isolé et inaccessible aux attaquants.
• Rubrik Cyber Recovery Simulation permet aux équipes de valider ce plan avant la nuit fatidique où elles devront réellement le mettre en œuvre. 
• Rubrik Agent Cloud garde les agents IA sous contrôle en appliquant des garde-fous avant chaque action et en restaurant l’état antérieur lorsqu’une modification présente un risque pour l’entreprise.

Aucune de ces mesures n’aurait empêché un thermostat de recevoir l’ordre d’augmenter la température. En revanche, elles déterminent si une enseigne passe la semaine suivante à opérer ses magasins ou à tenter de les rouvrir. Les attaquants utilisent déjà l’IA pour identifier et exploiter les équipements oubliés par les équipes de sécurité. Rubrik met cette même vitesse au service des défenseurs afin que l’entreprise puisse reprendre ses activités plus vite que les attaquants ne peuvent les perturber.

La prochaine attaque est déjà en préparation

Les supermarchés français remplaceront leurs stocks, remettront leurs magasins en état et reconnecteront leurs équipements dans des conditions de contrôle bien plus strictes. L’enquête finira par établir précisément comment les attaquants ont réussi à s’introduire dans les systèmes. Mais partout en zone EMEA, les distributeurs ne peuvent pas se permettre d’attendre les conclusions de cette investigation. La leçon à tirer de cette attaque est déjà claire : chaque entreprise s’appuie sur des équipements qu’elle ne maîtrise pas totalement, connectés à des réseaux qui n’ont pas été conçus pour faire face à des adversaires qui gagnent chaque jour en rapidité et en efficacité.

La réglementation évolue dans le même sens. La directive NIS2 étend son champ d’application au secteur de la distribution alimentaire et fait de la sécurité de la supply chain, de la continuité d’activité et de la capacité de reprise des responsabilités qui relèvent désormais directement des conseils d’administration. Dans le même temps, le Cyber Resilience Act commence à responsabiliser les fabricants d’équipements connectés vis-à-vis des vulnérabilités présentes dans leurs produits. Aucun de ces textes ne corrigera un réfrigérateur vulnérable du jour au lendemain. Mais tous portent le même message : la résilience n’est plus un simple engagement de principe. Les distributeurs devront désormais la démontrer.

Les attaquants ont choisi les réfrigérateurs et congélateurs cette fois-ci. La prochaine fois, ce sera autre chose. Et les personnes qui franchissent les portes du magasin à huit heures du matin ne s’en soucieront guère. Une seule chose comptera à leurs yeux : que le magasin soit ouvert.

C’est pourquoi Rubrik aide les équipes sécurité de la grande distribution européenne à définir leur Minimum Viable Business, à en cartographier les dépendances et à démontrer leur capacité de reprise avant le jour où cette résilience sera réellement mise à l’épreuve. Demandez une réunion avec les experts MVB de Rubrik. 

Sources : 

1. CNBC, “French supermarket fridges get hacked, heating to 122°F and sparking fires,” 13 octobre 2026. https://www.cnbc.com/amp/2026/10/13/france-supermarket-hack-cyberattack-fridges-fires.html

Sur le même thème