Ascenseurs, alarmes : ces objets connectés déjà dans le viseur

Dans la nuit du dimanche 11 au lundi 12 octobre 2026, des pirates ont pris le contrôle à distance des systèmes de régulation frigorifique de centaines de supermarchés en France. Leclerc, Intermarché, Coopérative U, Carrefour et Monoprix ont vu leurs congélateurs grimper jusqu'à 50 °C, parfois plus, provoquant la perte de rayons entiers de produits frais.

Après cet épisode inédit, la question se pose : quels autres objets connectés sont vulnérables à ce type d'attaque ? Pour Antoine Hautin, secrétaire général d'Almond, société spécialisée en cybersécurité, la réponse est large. Il distingue les réseaux informatiques classiques (l'IT), longtemps au centre des efforts de protection, des systèmes industriels (l'OT), qui gèrent automates, ascenseurs, chaînes de production ou équipements médicaux. « On a une dizaine d'années de retard sur la cybersécurité de ces systèmes », explique-t-il à 20 Minutes.

Des ascenseurs aux distributeurs de billets

Longtemps isolés d'Internet, ces équipements industriels sont aujourd'hui connectés pour permettre leur supervision à distance. Cette convergence entre IT et OT multiplie les points d'entrée pour des attaquants. Antoine Hautin cite les ascenseurs, les distributeurs de billets ou les systèmes de contrôle incendie comme des cibles potentielles.

« On pourrait imaginer des hackers paralyser des ascenseurs ou déclencher les systèmes d'eau anti-incendie dans une tour de la Défense, c'est tout à fait plausible. », Antoine Hautin, secrétaire général d'Almond.

Le grand public n'est pas épargné non plus. Box Internet, caméras, baby phones, aspirateurs ou prises connectées forment une surface d'attaque croissante dès lors qu'un identifiant par défaut n'est pas changé ou qu'une mise à jour n'est pas appliquée.

Une faille connue depuis des mois chez Danfoss

L'attaque a visé des contrôleurs de froid du fabricant danois Danfoss, notamment les séries AK-SM et AK-SC. Dès le 9 août 2026, l'équipe de chercheurs Claroty Team82 avait recensé 2 765 contrôleurs AK-SM 800A accessibles publiquement sur Internet, pour ce seul modèle. Danfoss avait communiqué fin septembre sur une faille permettant à des attaquants d'obtenir un accès en lecture et en écriture aux valeurs internes des systèmes.

Le fabricant a reconnu que « la majorité des unités touchées sont des produits anciens », arrivés en fin de vie et qui ne reçoivent plus de mises à jour de sécurité. Un correctif, le firmware R4.3.1, avait pourtant été publié dès août 2025. Le directeur général de l'Agence nationale de la sécurité des systèmes d'information (ANSSI), Vincent Strubel, a réagi sur LinkedIn.

« urgent de les déconnecter d'internet, ou d'adopter a minima une politique de filtrage réseau très restrictive », Vincent Strubel, directeur général de l'ANSSI.

Un deuxième épisode s'est produit dans la nuit du lundi au mardi 13 octobre, touchant notamment un magasin Leclerc à Albi, équipé cette fois de régulateurs du fabricant Dixell, selon un reportage de Franceinfo.

Des pertes qui se chiffrent en millions d'euros

Le bilan des points de vente touchés varie selon les enseignes et continue d'évoluer. Environ 300 magasins Intermarché et Netto ont été concernés, selon le groupement Les Mousquetaires, ainsi que 80 supermarchés Carrefour, 80 à 90 magasins Coopérative U et une trentaine de Monoprix.

Dans un petit magasin, les pertes peuvent atteindre « quelques dizaines de milliers d'euros », a précisé Dominique Schelcher sur RTL, alors que dans un hypermarché, elles peuvent monter à 180 000, voire 200 000 euros. À l'échelle nationale, Thierry Cotillard, président des Mousquetaires, évoque « plusieurs millions d'euros » de dégâts pour son seul groupement.

Un cadre réglementaire qui tarde à s'appliquer

Pour l'expert cyber Olivier Daloy, de Zscaler, sans contrôle des droits d'accès, correctifs réguliers ou plateformes intermédiaires sécurisées, n'importe quel équipement connecté dans l'automobile, l'énergie ou les transports peut être exposé à un scénario similaire.

« n'importe quelle usine ou matériel connecté, que ce soit dans l'automobile, l'énergie, les transports, peuvent être exposés à des scénarios similaires », Olivier Daloy, expert cyber chez Zscaler.

Le Cyber Resilience Act européen impose déjà des exigences de cybersécurité aux fabricants de produits connectés vendus dans l'Union européenne. Les obligations de signalement des failles exploitées s'appliquent depuis le 11 septembre 2026, le reste du texte entrera en vigueur à partir du 11 décembre 2027. La directive NIS2, qui doit renforcer la sécurité des infrastructures critiques, n'est en revanche toujours pas transposée en droit français, avec environ deux ans de retard sur le calendrier initial. Une enquête a été ouverte pour identifier les auteurs de l'attaque contre les systèmes Danfoss et Dixell.