Le piratage des réfrigérateurs connectés dans les supermarchés français, au milieu du mois, ne provient pas d’une faille de sécurité récente. Vincent Strubel l’a expliqué ce mercredi 21 octobre 2026 durant une audition sur la cybersécurité et les ingérences étrangères devant les membres de la commission des affaires étrangères et de la défense du Sénat.
L’homme, qui dirige depuis près de quatre ans l’Agence nationale de la sécurité des systèmes d’information (Anssi), a plutôt pointé un problème ancien, le manque de sérieux en matière de protection informatique. Un laxisme d’autant plus regrettable que l’Anssi s’échine à publier des conseils depuis douze ans maintenant.
Concernant « la vulnérabilité spécifique qui a été employée pour mener cette attaque, a commenté Vincent Strubel, il faut être très prudent. J’ai vu circuler différentes analyses tierces disant ‘moi je sais que c’est l’attaque CVE 2025 quelque chose ou 2026 quelque chose’, c’est-à-dire des vulnérabilités rendues publiques par différents chercheurs en cybersécurité au cours des deux années précédentes. »
Les CVE (acronyme pour Common Vulnerabilities and Exposures) sont des failles qui sont recensées publiquement avec un identifiant précis, à l’image des deux failles de PHP corrigées ce mercredi. Elles reçoivent aussi un score CVSS (Common Vulnerability Scoring System) qui mesure leur gravité sur une échelle de 0 à 10.
Or, a ajouté le directeur général de l’agence, « notre analyse aujourd’hui est que ce ne sont pas ces vulnérabilités-là qui ont été exploitées. Ce sont des défauts de sécurisation élémentaires, à commencer par l’exposition directe sur Internet d’équipements frigorifiques et leur administration sans sécurisation particulière, des mots de passe faibles, ce genre de choses. Là encore, des vulnérabilités assez classiques. »
L’attaque dont il est question ici a eu lieu dans la nuit du 11 au 12 octobre 2026. Des pirates ont pris la main sur des régulateurs frigorifiques Danfoss chez Intermarché, Leclerc ou Super U, et certains frigos se sont retrouvés réglés à 50 degrés. Dès le 13, les régulateurs d’un autre fournisseur, Dixell, ont aussi été touchés. Ces frigos ont de bonnes raisons d’être connectés, mais la façon dont ils l’ont été pose problème.
Une consigne que l’Anssi donne depuis 2014
Vincent Strubel s’est montré un peu piquant devant les sénateurs : « Je ne peux m’empêcher de signaler [que les failles] font l’objet de recommandations depuis 2014 [et l’Anssi] publie et met à jour un guide sur la sécurisation des systèmes industriels […], mais à l’évidence ne sont pas systématiquement respectées », à commencer par la consigne de ne pas exposer directement ces systèmes sur Internet.
La plus récente version du document « La cybersécurité des systèmes industriels – Mesures détaillées » date de novembre 2025.
L’agence a l’habitude de ces piqûres de rappel. Par exemple, dès janvier 2015, après l’attaque de milliers de sites français, elle avait dû rappeler les règles à suivre. Cette fois, les grandes enseignes ont vite désigné un maillon précis de la chaîne. Michel-Édouard Leclerc, patron des centres E.Leclerc, a pourtant admis le 14 octobre ne pas avoir eu « cette culture de la sécurité ».
L’Anssi ne peut rien imposer aux supermarchés
Les recommandations existent, mais ensuite l’Anssi ne peut plus faire grand-chose. « L’Anssi n’a pas de pouvoir aujourd’hui de contrainte des supermarchés dans le déploiement de leurs frigos. Nous édictons des règles, nous édictons des recommandations, nous publions des alertes quand il y a une attaque », a reconnu Vincent Strubel. « À chacun, ensuite, d’appliquer ces règles, de respecter les alertes, de prendre en compte les mesures d’urgence. »
Dans le secteur privé, l’agence ne peut contrôler que les groupes qualifiés d’opérateurs d’importance vitale, c’est-à-dire des entreprises jugées indispensables au pays, soumises à des règles de cybersécurité depuis la loi de programmation militaire de 2013. Elles sont environ 300, avec « un petit millier » de systèmes informatiques concernés.
Pour toutes les autres, « la responsabilité fondamentale d’une entreprise c’est de déployer ses systèmes de manière sécurisée, en appliquant ou pas les règles de l’Anssi », estime Vincent Strubel. L’Anssi peut certes intervenir ponctuellement en cas de situation critique, mais elle n’a ni les effectifs ni le budget pour sécuriser tout le monde, tout le temps.
La directive européenne NIS 2 doit étendre le contrôle de l’Anssi à environ 15 000 entités en France. Mais le projet de loi Résilience, qui doit la transposer, attend toujours son examen en séance à l’Assemblée nationale, alors que le Sénat l’a adopté le 12 mars 2025. Prévu le 7 octobre, ce débat a été retiré de l’ordre du jour la veille, sans nouvelle date. La Commission européenne a saisi la Cour de justice de l’Union européenne le 8 juillet 2026 pour ce retard, en réclamant des sanctions financières.
+ rapide, + pratique, + exclusif
Zéro publicité, fonctions avancées de lecture, articles résumés par l'I.A, contenus exclusifs et plus encore.
Découvrez les nombreux avantages de Numerama+.
Vous avez lu 0 articles sur Numerama ce mois-ci
Tout le monde n'a pas les moyens de payer pour l'information.
C'est pourquoi nous maintenons notre journalisme ouvert à tous.
Mais si vous le pouvez,
voici trois bonnes raisons de soutenir notre travail :
- 1 Numerama+ contribue à offrir une expérience gratuite à tous les lecteurs de Numerama.
- 2 Vous profiterez d'une lecture sans publicité, de nombreuses fonctions avancées de lecture et des contenus exclusifs.
- 3 Aider Numerama dans sa mission : comprendre le présent pour anticiper l'avenir.
Si vous croyez en un web gratuit et à une information de qualité accessible au plus grand nombre, rejoignez Numerama+.
Toute l'actu tech en un clin d'œil
Ajoutez Numerama à votre écran d'accueil et restez connectés au futur !
Pour ne rien manquer de l’actualité, suivez Numerama sur Google !