🗓️ Contexte
Article publié le 18 octobre 2026 sur Secjuice, analysant un incident cyber majeur survenu en France le 11 octobre 2026, dans le contexte de l’entrée en vigueur de l’Article 14 du Cyber Resilience Act (CRA) de l’UE le 11 septembre 2026.
🧊 L’incident
Dans la nuit du 11 octobre 2026, des attaquants ont pris le contrôle à distance de contrôleurs de réfrigération dans des supermarchés français, forçant les équipements en mode dégivrage et poussant les températures jusqu’à ~50°C. Environ 700 des 10 000 supermarchés français ont été affectés, entraînant la destruction de denrées alimentaires fraîches.
🎯 Équipements ciblés
Le CERT-FR (alerte CERTFR-2026-ALE-012 du 12 octobre) a identifié les équipements compromis :
- Danfoss AK-SM et AK-SC series (dont AK-SM 800 hors support depuis mai 2021, AK-SC 355 abandonné en 2016)
- Copeland xweb
- Dixell xweb
Des unités AK-SM 800A (modèle actuel) ont également été touchées car elles tournaient sur un firmware obsolète.
🔓 Exposition et vulnérabilités
- Censys a recensé 1 825 panneaux Danfoss StoreView exposés sur internet en France le 11 octobre (61% du total mondial visible)
- La majorité tournait sur un firmware permettant de dériver le mot de passe administrateur depuis la date courante
- Claroty Team82 avait publié des recherches sur l’AK-SM 800A le 9 août 2026, incluant un login caché exploitable via un code calculé à partir de la date
- Danfoss avait corrigé ces failles : login caché dans le firmware 4.2.4, reste dans 4.3.1, via l’advisory DSA-2025-08-01 publié le 1er août 2025
- Aucun lien public n’a été établi entre ces vulnérabilités et l’attaque d’octobre
⚖️ Implications réglementaires (CRA Article 14)
L’Article 14 du CRA impose aux fabricants :
- Alerte précoce sous 24h après prise de conscience d’une exploitation active ou d’un incident grave
- Notification complète sous 72h
- Rapport final sous 14 jours (faille exploitée) ou 1 mois (incident grave)
- Obligation de notifier les utilisateurs affectés (Article 14(8))
- Amendes jusqu’à 15 M€ ou 2,5% du CA mondial
L’obligation de signalement s’applique aux produits hors support, même anciens, sans date limite rétroactive.
🏛️ Réponse institutionnelle
- Le ministre des Finances Roland Lescure a communiqué le chiffre de 700 supermarchés au parlement le 13 octobre
- Le parquet de Paris (unité cybercriminalité) a ouvert une enquête
- Aucun groupe n’a revendiqué l’attaque ; le vecteur d’intrusion n’a pas été rendu public
📰 Nature de l’article
Article de presse spécialisée combinant analyse d’incident, décryptage réglementaire (CRA) et recommandations opérationnelles pour les opérateurs d’équipements connectés en environnement industriel/commercial.
🧠 TTPs et IOCs détectés
TTP
- T1133 — External Remote Services (Initial Access)
- T1078.001 — Valid Accounts: Default Accounts (Initial Access)
- T1565.001 — Data Manipulation: Stored Data Manipulation (Impact)
🔴 Indice de vérification factuelle : 30/100 (basse)
- ⬜ secjuice.com — source non référencée (0pts)
- ✅ 10335 chars — texte complet (15pts)
- ⬜ aucun IOC extrait (0pts)
- ⬜ pas d’IOC à vérifier (0pts)
- ✅ 3 TTPs MITRE identifiées (15pts)
- ⬜ date RSS ou approximée (0pts)
- ⬜ aucun acteur de menace nommé (0pts)
- ⬜ pas de CVE à vérifier (0pts)
🔗 Source originale : https://secjuice.com/europes-24-hour-hack-reporting-rule-tested-on-frances-fridges/