Cybersécurité des bâtiments connectés : un risque physique

Pour qui : Exploitants, intégrateurs, bureaux d’études et responsables techniques ou informatiques.

Dans la nuit du dimanche 11 au lundi 12 octobre 2026, des centaines de magasins de la grande distribution en France ont découvert leurs meubles frigorifiques en dégivrage forcé.

Ici, le risque ne se mesure pas seulement en données perdues. Il se mesure aussi en températures, en marchandises et en continuité d’activité.

Des produits frais et surgelés à jeter, et une question que tout le secteur du bâtiment devrait se poser :

Que se passe-t-il quand une faille numérique agit directement sur une installation physique ?

Ce qui s’est passé

Le 12 octobre, le CERT-FR, l’équipe de réponse aux incidents de l’ANSSI, a publié une alerte officielle. Il y indique avoir connaissance de « nombreuses compromissions » de contrôleurs à distance d’installations de réfrigération. La mise à jour du 13 octobre élargit la liste des équipements concernés.

Les conséquences sur le terrain sont rapportées par la presse. Le dirigeant d’un grand groupement de distribution a ainsi décrit des meubles froids « mis en dégivrage » et portés « jusqu’à 50 degrés » (Public Sénat).

Ce que l’on sait (au 14 octobre 2026)

Confirmé par le CERT-FR :

Le CERT-FR cite quatre familles d’équipements : Danfoss séries AK-SM et AK-SC, Copeland xweb et Dixell xweb.
Le CERT-FR estime que des campagnes d’attaques sont « probablement toujours en cours ».
Le CERT-FR rappelle que l’exposition d’une interface de gestion sur Internet va à l’encontre des bonnes pratiques.

Déclarations rapportées par la presse :

Le directeur général de l’ANSSI a jugé « urgent » de déconnecter ces équipements d’Internet, ou d’appliquer un filtrage réseau très restrictif.
Danfoss indique que la majorité des unités touchées étaient des produits anciens, qui ne recevaient plus de mises à jour logicielles ni de sécurité.
Des experts en cybersécurité expliquent que ces systèmes étaient exposés sur Internet en raison d’une mauvaise configuration.

Ce qui reste à confirmer

Le nombre exact de magasins touchés, qui varie selon les sources.
Le mode d’accès précis des attaquants : l’alerte du CERT-FR ne mentionne aucune vulnérabilité ni aucun identifiant CVE.
L’identité et les motivations des attaquants.
L’ampleur exacte des dégâts, au-delà des pertes de marchandises rapportées par les enseignes.

Cet article ne cherche pas à reconstituer l’attaque. Il cherche à comprendre ce qu’elle révèle pour tous ceux qui conçoivent, intègrent ou exploitent des installations techniques.

Un contrôleur technique n’est pas un simple équipement informatique

Dans un bâtiment, certains équipements font le lien entre le monde numérique et le monde physique :

Les superviseurs de froid, qui coordonnent compresseurs, ventilateurs, résistances de dégivrage et sondes ;
Les automates de CVC, qui pilotent chauffage, ventilation et climatisation ;
Les passerelles de communication, qui relient des protocoles différents ;
Les superviseurs de GTB, qui centralisent les consignes, les alarmes et les historiques.

Dans l’informatique de gestion (IT), une compromission peut affecter les données, les identités ou la disponibilité des services.

Dans les systèmes techniques (OT), elle peut aussi modifier directement le fonctionnement d’un équipement : une consigne, un cycle, une température ou un état de commande. Les conséquences se mesurent alors dans le monde physique : en heures d’arrêt, en pertes matérielles, parfois en risques pour la sécurité des personnes.

Deux recherches de sécurité, un même enseignement

Bien avant cet incident, des chercheurs en sécurité avaient documenté des failles dans des équipements de ce type. Deux publications de l’équipe Team82 de la société Claroty sont particulièrement parlantes.

Elles décrivent deux produits différents et deux mécanismes différents. Ni l’une ni l’autre ne permet, à ce stade, de conclure que les vulnérabilités étudiées ont été exploitées lors de l’incident français.

Supervision de la réfrigération : Danfoss AK-SM 800A

Le 9 août 2026, Claroty a publié une analyse de sécurité du gestionnaire Danfoss AK-SM 800A, utilisé pour superviser des installations de réfrigération commerciale. La série AK-SM fait partie des familles d’équipements citées par le CERT-FR.

3 vulnérabilités documentées : un contournement de l’authentification permettant d’obtenir des informations sensibles, une injection de commandes permettant d’exécuter du code, et une faille de configuration pouvant provoquer un déni de service. Ces deux dernières nécessitent d’être déjà authentifié.
Les chercheurs indiquent avoir recensé plusieurs milliers d’interfaces de gestion exposées sur Internet.
Danfoss a publié le firmware R4.3.1 pour corriger les vulnérabilités décrites (avis de sécurité DSA-2025-08-01). Les équipements concernés doivent être vérifiés modèle par modèle et version par version.
Les recommandations des chercheurs : mettre à jour, ne pas exposer les interfaces de gestion directement sur Internet, réserver l’administration à des réseaux de confiance, VPN ou réseaux segmentés.

Le même jour, Claroty a publié une autre étude sur les superviseurs de froid Copeland XWEB Pro, une autre famille citée par le CERT-FR : 23 vulnérabilités, dont 21 de sévérité élevée, affectant les versions 1.12.1 et antérieures des modèles concernés, et corrigées par le firmware 1.13.

Automatisation du bâtiment : EnOcean SmartServer et i.LON

Le 29 avril 2026, Claroty a publié une analyse des contrôleurs SmartServer IoT d’EnOcean et des contrôleurs historiques i.LON, qui relient des réseaux d’automatisation du bâtiment à des réseaux IP.

2 vulnérabilités : l’une permet, dans les conditions décrites par les chercheurs, l’exécution de code à distance sans authentification préalable (notamment lorsque l’équipement est exposé sur Internet avec le protocole concerné activé) ; l’autre permet une fuite d’informations en mémoire.
Selon les chercheurs, une exploitation réussie permet de prendre le contrôle de systèmes de gestion et d’automatisation du bâtiment.
Pour la plateforme SmartServer IoT, le fabricant recommande la version 4.6 Update 2 (v4.60.023) ou ultérieure. Les contrôleurs i.LON sont des équipements plus anciens : leur situation est à vérifier modèle par modèle auprès du fabricant.

Le point commun

Les produits, les protocoles et les vulnérabilités sont différents. Les enseignements pour les exploitants se rejoignent néanmoins sur trois mesures :

Limiter l’exposition réseau des équipements techniques et supprimer les accès directs inutiles depuis Internet.
Maintenir les logiciels et firmwares à jour, lorsque le fabricant fournit des correctifs, et identifier les équipements qui ne sont plus supportés.
Cloisonner les réseaux, pour limiter les communications aux seuls flux nécessaires et réduire les conséquences d’une compromission.

Ces mesures ne démontrent pas comment l’incident français s’est produit. Elles réduisent les risques auxquels les installations connectées sont exposées.

Le bulletin du CERT-FR insiste d’ailleurs sur un point immédiat : les interfaces de gestion des contrôleurs frigorifiques ne doivent pas être directement exposées sur Internet. Il recommande également de vérifier les configurations, de sécuriser les accès distants et d’appliquer les mesures préconisées par les fabricants. La segmentation réseau vient compléter ces mesures : elle limite les communications entre les systèmes techniques, le réseau bureautique et les autres équipements connectés.

Comment une faille devient un risque physique

Selon le type d’installation, la prise de contrôle d’un équipement technique peut entraîner :

Une modification de consignes : températures, plages horaires, seuils d’alarme ;
Un déclenchement de cycles : dégivrage, arrêt, relance ;
Une perte de supervision : alarmes masquées, écrans qui affichent des valeurs normales ;
Une interruption de service : chauffage, climatisation, ventilation, éclairage, contrôle d’accès ;
Un rebond vers d’autres systèmes, si le réseau n’est pas cloisonné.

Les conséquences sont donc physiques et économiques : marchandises perdues, inconfort ou arrêt d’activité, équipements sollicités hors de leurs plages normales, interventions d’urgence.

Ce n’est pas un risque théorique réservé aux grands sites. Les mêmes familles d’équipements équipent des commerces, des hôtels, des bureaux, des établissements de santé et des bâtiments industriels.

Les erreurs de conception et d’exploitation à éviter

L’incident d’octobre ne dit pas que les bâtiments connectés sont dangereux. Il dit que la connexion sans architecture est dangereuse.

Les erreurs les plus courantes :

Exposer directement une interface d’administration sur Internet, souvent pour faciliter la télémaintenance.
Ne pas faire l’inventaire des équipements connectés, de leurs versions et de leurs accès.
Laisser en service des équipements en fin de vie, qui ne reçoivent plus de correctifs.
Conserver les mots de passe par défaut, ou partager un même compte entre plusieurs intervenants.
Mettre le réseau technique et le réseau bureautique au même niveau, sans segmentation.
Ouvrir des accès distants permanents à des prestataires, sans contrôle ni traçabilité.
Ne pas sauvegarder les configurations, ce qui rend toute remise en service lente et incertaine.

Aucune de ces erreurs n’est spectaculaire. C’est justement pour cela qu’elles durent.

10 contrôles essentiels pour sécuriser une installation de GTB ou de régulation connectée

Ces contrôles ne remplacent pas un audit. Ils permettent de savoir où vous en êtes, et de repérer ce qui demande l’intervention d’un spécialiste.

(E) : vérification accessible à l’exploitant. (S) : à confier à un spécialiste en sécurité des systèmes techniques (OT). Ces repères indiquent le niveau d’intervention habituel, pas une frontière absolue : selon la criticité du site, une opération simple en apparence peut nécessiter un spécialiste.

Inventaire (E) Lister les contrôleurs, superviseurs et passerelles connectés : marque, modèle, version de firmware, emplacement, prestataire responsable.
Exposition sur Internet (E puis S) L’exploitant peut vérifier la configuration connue du routeur, du pare-feu et des accès fournis aux prestataires. Mais l’absence d’exposition ne se conclut pas depuis un écran local : une vérification depuis l’extérieur du réseau, par un spécialiste, est le seul moyen de s’en assurer.
Fin de vie (E) Identifier les équipements qui ne reçoivent plus de mises à jour, et planifier leur remplacement ou leur isolement.
Mises à jour (S) Appliquer les correctifs publiés par les fabricants, en suivant une procédure testée et validée avec l’exploitant.
Comptes et mots de passe (E) Supprimer les mots de passe par défaut, créer un compte par intervenant, retirer les comptes inutiles.
Accès distants (S) Remplacer les accès directs par un accès sécurisé (VPN ou solution d’accès dédiée), limité dans le temps et tracé.
Segmentation réseau (S) Séparer le réseau des systèmes techniques du réseau bureautique et d’Internet, et n’autoriser que les flux nécessaires.
Sauvegarde des configurations (E) Conserver une copie à jour des configurations et des consignes de référence, pour pouvoir restaurer rapidement.
Surveillance des anomalies (E puis S) Être alerté d’un changement de consigne, d’un cycle inhabituel ou d’une connexion inattendue, et vérifier régulièrement la cohérence des réglages.
Procédure d’incident (E puis S) Savoir qui appeler et comment isoler un équipement. En cas de compromission suspectée, ne pas improviser : coordonner l’isolement, la conservation des éléments utiles à l’analyse et la remise en service avec les responsables de l’installation et, si nécessaire, un spécialiste. Prévoir aussi quand et comment signaler l’incident aux autorités.

Pour l’incident d’octobre, le CERT-FR recommande notamment de supprimer l’exposition Internet, de vérifier l’intégralité de la configuration (y compris les plages de dégivrage), de rétablir l’accès uniquement via un VPN ou un réseau protégé et, pour un équipement compromis, de le réinitialiser puis de le reconfigurer avant sa remise en service. Il rappelle qu’une réinitialisation ne suffit pas si l’équipement, en fin de vie, reste exposé.

Intégrer la cybersécurité dès la conception

La cybersécurité d’un bâtiment ne se rajoute pas à la fin d’un projet. Elle se décide au moment de l’architecture :

Quels équipements doivent communiquer, et avec qui ;
Par quels chemins passent la supervision et la télémaintenance ;
Qui a accès à quoi, et comment cet accès est contrôlé ;
Comment l’installation sera mise à jour, sauvegardée et surveillée pendant toute sa durée de vie.

C’est la même logique que pour l’interopérabilité ou la maintenabilité : un choix fait au départ évite des années de contraintes.

Un bâtiment connecté ne devient pas intelligent simplement parce que ses équipements communiquent. Il doit aussi rester maîtrisable, sécurisé et résilient pendant toute sa durée de vie.

Vous souhaitez faire le point sur l’exposition de vos installations techniques ? Parler à un expert

Sources

Source officielle

CERT-FR (ANSSI), alerte CERTFR-2026-ALE-012 « Incident de sécurité ciblant les contrôleurs à distance des installations de réfrigération », 12 octobre 2026, mise à jour le 13 octobre 2026 : https://cert.cyber.gouv.fr/alerte/CERTFR-2026-ALE-012/

Recherches de sécurité

Claroty Team82, « Freeze the Controller, Defrost the Food: Uncovering Vulnerabilities in Danfoss Refrigeration Controllers », 9 août 2026 : https://claroty.com/team82/research/freeze-the-controller-defrost-the-food-uncovering-vulnerabilities-in-danfoss-refrigeration-controllers
Claroty Team82, « Chilling Discoveries: Unpacking Vulnerabilities in Copeland XWEB Pro Controllers », 9 août 2026 : https://claroty.com/team82/research/chilling-discoveries-unpacking-vulnerabilities-in-copeland-xweb-pro-controllers
Claroty Team82, « Exploiting EnOcean SmartServer to Attack Connected Building Management Systems », 29 avril 2026 : https://claroty.com/team82/research/exploiting-enocean-smartserver-to-attack-connected-building-management-systems

Presse

Public Sénat, « Cyberattaque contre des frigos connectés de supermarchés : “Des systèmes de réfrigération exposés sur Internet”, alertent des experts en cybersécurité », 13 octobre 2026 : https://www.publicsenat.fr/actualites/politique/cyberattaque-contre-des-frigos-connectes-de-supermarches-des-systemes-de-refrigeration-exposes-sur-internet-alertent-des-experts-en-cybersecurite
Tom’s Guide, « Cyberattaque des frigos de supermarchés : “Des appareils Danfoss exposés sont toujours en ligne” », 14 octobre 2026 : https://www.tomsguide.fr/cyberattaque-des-frigos-de-supermarches-des-appareils-danfoss-exposes-sont-toujours-en-ligne/

Cybersécurité des bâtiments connectés : quand une faille numérique devient un risque physique