Frigos de supermarchés piratés : la règle existe depuis 2014, l’Anssi ne peut l’imposer à personne

Dans la nuit du dimanche 11 au lundi 12 octobre, les meubles frigorifiques de plusieurs centaines de supermarchés français se sont mis à chauffer. Les salariés ont trouvé le lendemain matin des rayons entiers hors service et des stocks de frais et de surgelés bons à jeter. Neuf jours plus tard, l’Anssi est venue expliquer au Sénat d’où venait la faille : non des vulnérabilités savantes, mais des portes laissées ouvertes. Et elle a ajouté une phrase que presque personne n’a reprise : elle n’a pas les moyens de contraindre un supermarché.

Une nuit, au moins 430 magasins

Le décompte est celui de l’AFP, repris par BFM TV : 300 points de vente Intermarché et Netto, moins d’une centaine de magasins Coopérative U, une trentaine de Monoprix, plusieurs magasins E.Leclerc. Plus de 430 magasins dans la même nuit : une opération coordonnée contre un maillon de la chaîne alimentaire.

Les températures disent l’ampleur : Le Figaro relève des meubles à 35 ou 36 °C, BFM TV avance jusqu’à 50 °C. À cette température, un meuble de produits frais ne conserve plus rien : il transforme le stock en perte. Le parquet de Paris a ouvert une enquête de sa propre initiative, et la presse locale donne l’échelle du dégât : 60 000 euros de pertes dans un Super U de Maine-et-Loire, 18 000 euros de marchandises jetées dans un drive voisin, selon Ouest-France.

Au Sénat, l’explication change de nature

Le 21 octobre, Vincent Strubel, directeur général de l’Agence nationale de la sécurité des systèmes d’information, était auditionné par la commission des affaires étrangères et de la défense du Sénat. Il a écarté la thèse qui circulait, celle des vulnérabilités publiées par des chercheurs ces deux dernières années : « Ce sont des défauts de sécurisation élémentaire, à commencer par l’exposition directe sur internet d’équipements frigorifiques et leur administration sans sécurisation particulière, des mots de passe faibles, ce genre de choses », a-t-il déclaré, selon Ouest-France et Le Figaro.

La nuance est plus lourde qu’elle n’en a l’air : une attaque sophistiquée désigne un adversaire, une porte ouverte désigne un responsable. La question n’est plus « qui nous attaque ? » mais « qui a installé cela, et qui aurait dû l’empêcher ? »

La consigne existe par écrit depuis 2014, et elle n’est pas obligatoire

Vincent Strubel l’a rappelé : depuis 2014, l’Anssi publie et met à jour un guide sur la sécurisation des systèmes industriels, dont la première recommandation est de ne pas les exposer directement sur internet. Sa version courante, « La cybersécurité des systèmes industriels, mesures détaillées » (référence ANSSI-PA-108, 27 novembre 2025), est téléchargeable en ligne. On y lit : « Pour la communication entre sites distants, il est recommandé de privilégier des liaisons maîtrisées, par opposition à un raccordement au travers d’Internet ou d’un réseau opérateur. Cela a pour but de limiter l’exposition des systèmes aux acteurs malveillants. »

La page d’avertissement précise le statut du texte, et c’est le point central : « Sauf disposition réglementaire contraire, les recommandations n’ont pas de caractère normatif ; elles sont livrées en l’état et adaptées aux menaces au jour de leur publication. » Le guide dit donc exactement ce qu’il fallait faire, et il indique lui-même qu’il ne l’impose à personne. Douze ans séparent la première édition de l’attaque d’octobre 2026 : douze ans de conseil, sans obligation.

Personne n’est chargé de la faire appliquer

Le directeur général de l’Anssi a été explicite : « L’Anssi n’a pas aujourd’hui de quoi contraindre des supermarchés dans le déploiement des frigos », et « nos recommandations ne sont pas systématiquement respectées ». C’est « ensuite à chacun des acteurs concernés de respecter les recommandations et les alertes lancées par l’agence ».

Voilà la vraie chaîne du froid administrative : un fabricant vend un meuble connecté, un installateur le raccorde, un distributeur l’administre, souvent par un prestataire, une agence d’État observe et publie des guides. Entre les quatre, personne ne porte l’obligation de fermer la porte. Ce n’est pas une négligence cachée : c’est une architecture assumée, où l’État s’est donné l’expertise sans la contrainte.

Le problème n’est pas propre aux supermarchés : Vincent Strubel a indiqué que des installations similaires existent « dans plein d’autres secteurs, et notamment dans le secteur de la santé », des laboratoires aux pharmacies qui stockent les vaccins, et qu’un travail « extrêmement intense et très rapide » a été mené avec les acteurs de santé. L’agence elle-même n’est pas à l’abri : le rapport sur les fuites de données de l’État recensait 99 cas en deux mois, Anssi comprise. Beaucoup d’observation, peu de prise.

Le cadre contraignant arrive, après l’attaque

Deux textes européens existent déjà, et aucun n’était applicable au moment des faits. Le règlement sur la cyberrésilience, dit CRA (règlement UE 2024/2847), impose aux fabricants de produits connectés des exigences de sécurité et une obligation de signaler les vulnérabilités exploitées. Cette obligation de signalement s’applique depuis le 11 septembre 2026, mais l’essentiel du texte, exigences techniques et marquage CE, n’entre en application que le 11 décembre 2027, comme le rappelle la Commission européenne.

La directive NIS 2, elle, vise les utilisateurs, pas les appareils. Elle devait être transposée au 17 octobre 2024 : la France ne l’a pas fait. Le 8 juillet 2026, la Commission a saisi la Cour de justice de l’Union européenne contre la France, l’Irlande, l’Espagne et les Pays-Bas, en demandant une somme forfaitaire et des astreintes journalières (communiqué IP/26/1499). Le projet de loi de transposition devait venir en séance à l’Assemblée nationale le 7 octobre 2026 : l’examen a été repoussé, alors que le texte ferait passer le périmètre régulé d’environ 500 à 15 000 entités, selon L’Usine digitale. Le retard n’est pas accidentel : j’ai raconté le 1er octobre pourquoi cette transposition traînait.

Ce que cela change dans votre magasin

À court terme, rien de visible, sauf les rayons vides du lendemain : la rupture de la chaîne du froid se règle en marchandise jetée, donc en marge perdue, et nul ne dit publiquement qui paie, du distributeur, de l’installateur ou de l’assureur. Je n’ai trouvé aucun chiffrage national dans les pièces que j’ai lues : le « millions d’euros » qui circule vient de titres de presse.

À moyen terme, la question est celle de la dépendance. Un meuble frigorifique moderne est un ordinateur avec un compresseur : il se pilote à distance, se met à jour, et reste accessible depuis internet tant que personne ne ferme l’accès. La même mécanique que la coupure de la 2G vient de mettre au jour : des équipements vendus sans que l’acheteur sache ce qu’il possède, ni qui en garde la clé. Sauf qu’un téléphone qui cesse de fonctionner prive son propriétaire, quand un frigo qui chauffe prive une région de produits frais.

Reste un effet de doctrine. Une agence d’État a expliqué en public qu’elle produit la règle technique, constate le manquement, et ne peut pas le sanctionner. J’y vois moins de la prudence que l’aveu d’une souveraineté incomplète : elle ne se joue pas dans le discours sur la sécurité numérique, mais dans la capacité à fermer un port sur un frigo, et personne, en France, n’a le pouvoir de l’ordonner. C’est la leçon du débat sur les modèles d’intelligence artificielle souverains : entretenir une expertise nationale ne remplace pas la maîtrise des objets dont on dépend.