Des pannes de réfrigération avarient des aliments dans six pays européens, une cyberattaque étant suspectée

La perturbation s’est produite dans la nuit du 1er au 2 novembre et a touché des détaillants en Belgique, au Luxembourg, en Suède, en Irlande, aux Pays-Bas et en Estonie. Plusieurs entreprises et fournisseurs évoquent une intervention malveillante sur les commandes de refroidissement. Sabcobel, qui exploite les systèmes de réfrigération de Delhaize et fabrique certains équipements touchés, qualifie son incident de cyberattaque. Mais l’existence d’une opération unique reliant les six pays n’a pas été démontrée.⁠1⁠2

Les dommages matériels sont plus solidement établis que l’explication numérique. Des aliments ont été retirés de la vente, les employés doivent s’occuper du nettoyage et certains magasins ont fermé temporairement. D’autres sont restés ouverts ou ont rouvert. Il n’existe toujours pas de bilan complet des stocks perdus, aucun calendrier de rétablissement confirmé pour tous les sites touchés et aucun attaquant identifié.⁠1⁠2

L’estimation de Hoeilaart a été donnée par le gérant de la succursale au média belge Het Laatste Nieuws, selon la BBC. Elle porte sur les produits frais jetés dans un seul magasin de la région flamande de Belgique, et non sur une perte nationale auditée. Des articles de médias locaux évaluent les pertes alimentaires globales à plusieurs millions d’euros, mais aucun total cumulé fiable ni tonnage n’a été établi. L’estimation de la succursale ne peut pas simplement être ajoutée à ces évaluations plus générales : les mêmes pertes peuvent déjà y être comptabilisées.⁠1

Environ 40 supermarchés Delhaize ont été touchés au total en Belgique et au Luxembourg — et non 40 dans chacun des deux pays. Carrefour a fait état de perturbations dans 15 magasins belges et déclaré que des mesures immédiates avaient permis de maintenir tous ses magasins ouverts. Colruyt Group, qui exploite des magasins Spar belges par l’intermédiaire de franchisés, a déclaré que les systèmes de réfrigération de cinq magasins avaient été attaqués. Il s’agit de déclarations propres à chaque détaillant, et non d’un recensement exhaustif et harmonisé de tous les établissements concernés.⁠1

Aux Pays-Bas, parmi les victimes signalées figuraient des boucheries et de petits commerces de quartier. Un porte-parole de Danfoss a déclaré au média néerlandais NOS que les températures des réfrigérateurs et des congélateurs avaient été modifiées pendant la nuit dans au moins 17 établissements. Il s’agit d’un décompte d’établissements, et non de 17 succursales de supermarchés. Cela montre aussi pourquoi les conséquences dépassent les plus grandes chaînes alimentaires.⁠6

En Irlande, SuperValu a signalé que les systèmes de réfrigération de 13 supermarchés avaient été touchés. Son propriétaire, Musgrave Group, a décrit un incident cyber limité à un « modèle spécifique » de réfrigérateur. Cette précision est importante : elle ne signifie pas que tous les appareils de refroidissement de ces magasins sont tombés en panne, ni que l’ensemble du réseau SuperValu a été touché. Aucun bilan vérifié des pertes en Irlande ni délai complet de rétablissement n’a été établi.⁠1

Le coût ne se limite donc pas aux aliments qui se trouvaient dans un congélateur en panne. Un magasin peut également perdre du temps d’activité pendant que le personnel retire les stocks et rétablit le fonctionnement. L’estimation du gérant de Hoeilaart exprime clairement cette distinction : la facture des aliments était déjà considérable, et la fermeture a entraîné une perte supplémentaire.

À Sjöbo, dans le sud de la Suède, une succursale ICA a déclaré que quelqu’un avait réglé ses réfrigérateurs et congélateurs sur 50°C, soit 122°F. Il s’agit du récit d’une modification du réglage du contrôleur, et non de la preuve que les meubles réfrigérés ou leur contenu ont effectivement atteint cette température. La succursale a fermé plus tôt que prévu, puis a rouvert. ICA a déclaré que l’incident avait touché un petit nombre de magasins fonctionnant en dehors de son réseau central et qu’elle leur apportait son soutien. Elle n’a pas fait état d’une compromission du réseau central lui-même.⁠1

Une autre succursale, ICA Baronen à Stockholm, a publié un avis indiquant que tous ses congélateurs étaient en panne à cause d’une cyberattaque. Son directeur des ventes a situé l’incident à 2 h, heure locale, et sa découverte à 5 h 30. Ces horaires décrivent l’expérience d’un seul magasin, et non des heures de début et de détection confirmées pour la perturbation à l’échelle européenne.⁠2

Le nombre de magasins Coop suédois concernés a augmenté entre les articles publiés le 2 novembre : le premier article de The Independent faisait état de six magasins touchés ; le compte rendu ultérieur de la BBC en recensait sept sur 800. Le chiffre ultérieur remplace le décompte précédent, même si la raison de cette évolution n’a pas été expliquée. Coop a déclaré à la BBC que la situation était « actuellement circonscrite et sous contrôle » — une affirmation plus limitée que la confirmation que tous les meubles réfrigérés étaient de nouveau en service et que tous les stocks jetés avaient été remplacés.⁠2⁠1

La chaîne publique estonienne ERR a identifié un supermarché Selver parmi les établissements touchés. Le fournisseur Kitman Coldtech a également évoqué un client de la grande distribution touché et des réglages modifiés à +50°C, sans nommer l’enseigne dans ce compte rendu. Ces articles ne prouvent pas qu’il y ait eu deux victimes distinctes, et le réglage ne doit pas non plus être confondu avec une température mesurée des aliments.⁠21⁠2

L’explication la plus précise de l’interruption du refroidissement vient de Sabcobel. L’entreprise a déclaré que les évaporateurs — les éléments du système de réfrigération qui contribuent au refroidissement — avaient été placés en mode dégivrage, ce qui a fait monter la température des appareils. Son directeur général, Stephan Moelans, a déclaré à Belga qu’il s’agissait d’une cyberattaque et a décrit les efforts en cours pour isoler les équipements.⁠1

Moelans a déclaré que des travaux de protection avaient commencé après les attaques précédentes en France et que les appareils touchés nécessitaient des modifications physiques, et pas seulement des changements logiciels. Il a recommandé de gérer les réfrigérateurs via une connexion Internet sécurisée et a indiqué que la plupart des clients de Sabcobel avaient changé de configuration après les événements en France. Il s’agit du récit du fournisseur sur sa réponse et des mesures de protection qu’il recommande, et non de la preuve que tous les appareils vulnérables ont été modifiés ou que les risques résiduels ont été éliminés.⁠1

Le 14 octobre, nous avons rapporté que des centaines de supermarchés français avaient jeté des produits frais et surgelés après que des attaquants avaient manipulé à distance les commandes de réfrigération. Le récit de novembre sur le mode dégivrage ressemble à ce mécanisme antérieur. Le changement concerne l’extension géographique rapportée des perturbations du refroidissement ; en revanche, aucun élément de preuve forensique ne relie les attaques françaises à l’ensemble de ces nouveaux incidents.

Ahold Delhaize a également signalé à la police en octobre une activité suspecte dans son infrastructure. Aucun lien démontré ne relie cette activité aux pannes de refroidissement de novembre. Des similitudes de calendrier et d’effets entre détaillants justifient une enquête, mais ne prouvent ni l’existence d’un auteur unique, ni celle d’une plateforme compromise commune ou d’une seule voie d’accès aux équipements.⁠2

Les agences nationales de cybersécurité de Belgique et de Suède surveillent l’incident. Le National Cyber Security Centre du Royaume-Uni a déclaré travailler avec des partenaires internationaux et le secteur pour comprendre ce qui s’était passé ; aucun incident touchant le Royaume-Uni n’avait été signalé. Ces réactions ne permettent pas d’établir une cause commune dans les six pays.⁠1

Pour les détaillants, l’épreuve est désormais aussi pratique que forensique : assurer un refroidissement fiable, remplacer les stocks et éviter toute nouvelle interruption. Rouvrir une porte ou déconnecter un contrôleur constitue un progrès. Mais cela ne fournit pas encore de bilan définitif, ni des aliments perdus ni de la sécurisation de la panne.