Une cyberattaque fait chauffer les frigos de plusieurs centaines de magasins Intermarché et Coopérative U : la marchandise perdue tombe entre la police dommages et la police cyber

Commercial Risk rapporte le 13 octobre 2026, en s'appuyant sur des informations de presse, qu'une cyberattaque contre Intermarché et Coopérative U a fait monter la température des congélateurs et des réfrigérateurs de plusieurs centaines de magasins, détruisant potentiellement pour des millions d'euros de denrées. L'article est réservé aux abonnés et l'article, réservé aux abonnés, n'en donne que le chapeau. On n'y lit ni le nom de l'attaquant, ni le système compromis, ni le jour de l'attaque, ni le nombre exact de magasins.

Le sinistre a une forme qu'on voit rarement en cyber : l'attaque se termine dans un bac de surgelés. On ignore par où elle est passée. Le chemin le plus court est connu, puisque les meubles froids d'une grande surface sont pilotés par des automates que surveille souvent une supervision à distance, celle qui règle les consignes et prévient le technicien. Qui tient cette supervision n'a rien à casser. Relever une consigne de quelques degrés, ou faire taire l'alarme qui aurait prévenu le gérant, suffit ; la chaîne du froid rompue fait le reste en quelques heures, et la marchandise part à la benne sur ordre sanitaire.

La perte cherche alors une police. La multirisque du magasin couvre d'ordinaire la marchandise sous température régulée quand une panne du groupe froid ou une coupure de courant l'a fait chauffer. Mais le bulletin Y5258 du Lloyd's, publié en juillet 2019, a imposé aux polices dommages du marché de Londres d'affirmer ou d'exclure le cyber à partir de janvier 2020, et beaucoup ont choisi l'exclusion. Dans ces contrats, la même denrée, perdue pour la même hausse de température, sort de la garantie parce que la cause première est une commande malveillante. La police cyber a été écrite pour autre chose : restauration des données et des systèmes, perte d'exploitation, responsabilité, frais de crise. Elle exclut en général le dommage matériel aux biens corporels et le renvoie à la police dommages. Chacune désigne l'autre.

Si la multirisque se tait, le problème change de camp. C'est le silent cyber : l'assureur dommages paie une perte qu'il n'a pas tarifée, et il la paie plusieurs centaines de fois. Intermarché et Coopérative U sont des groupements d'indépendants, où chaque magasin est une société distincte, assurée par son propre contrat ou par adhésion à un programme du groupement. Une intrusion produit donc des centaines de déclarations, chacune sous sa franchise, réparties sur un ou plusieurs assureurs. Pour leur réassureur, la question devient celle de l'agrégation : des centaines de sinistres de fréquence que le traité absorbe sans bruit, ou un seul événement qui atteint la priorité d'un traité par événement.

Reste la question politique, que le chapeau ne tranche pas. Aucune attribution n'y figure. Le Fil du 9 octobre rappelait que lié n'est pas attribué ; ici, une attribution à un État ferait jouer l'exclusion de guerre de la police cyber et celle de la police dommages en même temps, et le magasin n'aurait plus aucun contrat à qui s'adresser.

Position de l'observatoire, datée du 14 octobre 2026 : la plus grande part de la marchandise perdue dans cette attaque ne sera payée ni par les polices cyber, ni par les polices dommages qui excluent l'attaque informatique ; elle restera au compte des magasins. Font exception ceux dont la multirisque est restée muette, où l'assureur dommages paiera une perte qu'il n'avait pas tarifée. À relire quand les groupements ou leurs assureurs diront comment la perte a été indemnisée, ou au premier litige sur la cause du sinistre.

Ce qu'on ne sait pas borne l'analyse. Les faits viennent du seul chapeau d'un article, dont les sources de presse manquent encore. On ignore si l'attaque a visé chaque magasin ou un prestataire de maintenance du froid commun à plusieurs, ce qui en ferait une carence de fournisseur et déplacerait la question vers son assureur de responsabilité. Le montant réel reste inconnu, comme les contrats en place et leurs clauses. À regarder ensuite : la communication des deux groupements, une éventuelle revendication, et les renouvellements dommages de la grande distribution au 1er janvier 2027.