Une cyberattaque pousse à 50 °C les frigos de 350 supermarchés : sur des automates en fin de support, la promesse de corriger les failles ne protège plus l'assuré

Les supermarchés français touchés par l'attaque contre leurs groupes froids ne seront sans doute pas remboursés de leurs denrées par leurs polices cyber : c'est ce que des assureurs disent à Reuters, dans une dépêche reprise par Insurance Journal le 15 octobre 2026. Les faits se sont précisés depuis le Fil du 14. Des pirates, toujours non identifiés, ont pris la main dans la nuit du dimanche 11 octobre sur le froid d'environ 350 magasins et poussé réfrigérateurs et congélateurs connectés à 50 °C. Thierry Cotillard, président des Mousquetaires, propriétaire d'Intermarché, chiffre lundi le coût à plusieurs dizaines de millions d'euros pour le pays et annonce une bataille judiciaire sur la responsabilité. Intermarché a dit à l'AFP que son assurance ne couvrait pas ce type d'incident. Selon l'ANSSI, citée par la dépêche, les appareils touchés utilisaient des logiciels de trois fournisseurs, le danois Danfoss, Copeland et Dixell. Danfoss répond que beaucoup d'entre eux tournaient sur une version périmée, ou avaient atteint leur fin de vie et ne recevaient plus de mise à jour de sécurité.

Trois marques plutôt qu'un seul mainteneur : l'hypothèse que le Fil du 14 laissait ouverte, une carence de fournisseur unique, recule sans disparaître, puisqu'on ignore encore la voie d'entrée. Ce qui relie les 350 magasins ressemble davantage à une classe d'équipement et à son état de mise à jour qu'à un contrat commun. Pour qui compte les cumuls, l'unité devient le parc installé d'un type d'automate, comme les 8 547 systèmes éoliens et solaires exposés du Fil du 7 octobre, et non la liste des clients d'un prestataire.

Quatre courtiers interrogés par Reuters préviennent que les demandes pourraient souffrir de mises à jour manquantes, et la dépêche décrit le mécanisme : l'assuré déclare à la souscription sa politique de correctifs, par exemple l'engagement d'appliquer les mises à jour critiques dans un délai donné. La réponse de Danfoss montre le trou de cet engagement. Un automate en fin de vie ne reçoit plus de correctif, et l'assuré qui promet d'appliquer chaque correctif critique sous quatorze jours ne manque jamais à sa promesse sur un appareil pour lequel aucun correctif ne sort. La déclaration est exacte et le risque est à son maximum. La question utile porte sur l'inventaire des équipements hors support. Le questionnaire la pose d'ordinaire au parc informatique ; les automates du froid dépendent du service technique, que le formulaire atteint mal.

La même phrase de Danfoss servira dans la bataille judiciaire. Le magasin qui cherche un responsable se tournera vers le fabricant ou l'installateur, qui répondra que l'appareil n'était plus maintenu et que le garder en service relevait de l'exploitant. La fin de support arme ainsi deux défenses contre le même magasin, celle du fabricant sur la responsabilité et celle de l'assureur sur la déclaration. L'assureur dommages qui paierait sous une police restée muette, le cas laissé ouvert le 14, retrouve l'argument par la subrogation : son recours contre le fabricant vaudra ce que vaut la fin de vie.

Le volet politique, lui, n'a pas bougé. Un souscripteur cyber, resté anonyme, rappelle à Reuters qu'un auteur étatique compliquerait les demandes, les polices excluant la guerre. Personne n'a revendiqué ni attribué. Sous LMA 5564A, le facteur premier de l'attribution est la position du gouvernement de l'État où se trouve le système touché : pour 350 magasins français, la qualification appartient à Paris, qu'aucun délai ne presse.

Position de l'observatoire, datée du 16 octobre 2026. Celle du 14 tient pour l'instant, le premier groupement à parler se dit non couvert. Nous ajoutons que la mise à jour manquante ne sera pas le motif des refus cyber sur la marchandise, l'exclusion du dommage matériel suffisant à l'écarter ; elle comptera au procès contre les fabricants et au renouvellement, où les questionnaires de la distribution devraient demander l'inventaire des automates hors support. À relire aux renouvellements du 1er janvier 2027 et à la première décision sur la responsabilité d'un fabricant.

Ce qu'on ne sait pas borne l'analyse. Les faits viennent d'une seule dépêche, et plusieurs sources de première main manquent encore. On ignore la voie d'entrée, la part des appareils réellement hors support, l'existence d'une télésurveillance commune et les contrats en place, que Les Mousquetaires n'ont pas communiqués ; Carrefour, Monoprix, Coopérative U et E.Leclerc n'ont pas répondu à Reuters. À regarder ensuite : un avis technique de l'ANSSI, l'assignation annoncée par Les Mousquetaires et la réponse des fabricants.