Frigos de supermarchés piratés : Claude a reproduit la cyberattaque en 28 minutes

28 minutes. C’est le temps qu’il a fallu à Claude pour reproduire la cyberattaque qui a fait surchauffer les frigos de centaines de supermarchés français. L’expérimentation démontre que l’offensive était à la portée de n’importe quel cybercriminel, même sans compétences techniques.

La cyberattaque contre les frigos des supermarchés français était à la portée de n’importe quel hacker. Les chercheurs de Claroty, l’entreprise de cybersécurité israélo-américaine, ont d’ailleurs réussi à reproduire la même attaque avec Claude, l’IA d’Anthropic. Il n’a fallu que 28 minutes à l’intelligence artificielle pour prendre le contrôle d’un système de refroidissement et activer la fonction de dégivrage à distance.

Le test a été mené sur un contrôleur de Danfoss, la marque danoise qui équipe les frigos de milliers de supermarchés. Ce sont les dispositifs électroniques de ce groupe qui ont été piratés dans le cadre de la cyberattaque nationale à l’encontre d’Intermarché, Leclerc, Carrefour ou encore Netto. Évidemment, l’appareil était déconnecté d’Internet afin que le test se déroule sans le moindre dégât.

« On se rend compte qu’il n’est plus nécessaire d’avoir des compétences poussées », explique Amir Preminger, directeur technique de Claroty, à La Tribune, qui relaie les découvertes des chercheurs.

À lire aussi : Cyberattaque nationale : pourquoi les pirates s’attaquent maintenant aux supermarchés ?

Une attaque à la portée de n’importe quel hacker

Avec l’aide de l’IA, un pirate peut automatiser toute l’attaque. Il n’a pas besoin de développer des compétences en informatique ou en piratage pour arriver à ses fins. « Il y a deux ans, on se serait forcément penché sur la piste d’un acte commis avec beaucoup de moyens », souligne Amir Preminger. Le chercheur précise que le modèle d’IA utilisé dans le test n’était même pas la version la plus récente de Claude. Bref, l’attaque était vraiment à la portée de tout le monde. Il suffisait d’avoir accès à un modèle de langage.

Plusieurs experts interrogés par 01net abondent dans le même sens. Pour Samuel Hassine, PDG de Filigran, « ce n’est pas une attaque sophistiquée ». En effet, « la barrière d’entrée est très basse, donc le nombre d’acteurs capables de le faire est très élevé ». C’est pourquoi il est difficile de déterminer d’où vient l’offensive. « Trouver et exploiter ce type de faille n’est plus si complexe aujourd’hui », nous confirme Romain Ponceau, directeur général d’Opinion Act. Selon lui, les attaquants profitent surtout de « l’absence de correctifs sur des équipements que l’on peut facilement trouver en ligne ».

Une faille divulguée depuis des mois

La faille exploitée n’avait d’ailleurs rien d’un secret. Elle se situe dans le mécanisme de secours, baptisé « code du jour », des contrôleurs Danfoss. Chaque jour, le boîtier génère un mot de passe administrateur temporaire, calculé uniquement à partir de la date et de l’heure internes. En réalisant le même calcul, un pirate peut ouvrir se connecter à l’appareil sans connaître le véritable mot de passe. L’attaquant est ensuite libre de lancer le dégivrage, et de porter la température au-delà des 50 degrés.

Notez que Claroty a divulgué cette faille de sécurité en août 2026, soit deux mois avant la cyberattaque. Danfoss a publié un correctif, mais estime que certains appareils sont trop anciens pour être mis à jour. Par ailleurs, la société française Synacktiv a signalé des vulnérabilités analogues trois ans plus tôt. Kevin Tellier, chercheur chez Synacktiv, se souvient d’un constructeur plutôt réactif. Danfoss avait « pris en compte, sous quinze jours, le rapport que nous lui avions soumis », explique-t-il à 01net. La vulnérabilité avait ensuite été rendue publique sur le site du fabricant.

« Les systèmes affectés n’étant plus pris en charge par le constructeur, Danfoss nous a indiqué avoir notifié les clients concernés et leur avoir recommandé d’isoler les équipements vulnérables », précise le chercheur.

Des milliers de frigos encore exposés

Amir Preminger souligne que de nombreuses interfaces de pilotage des frigos Danfoss ou Dixell, l’autre constructeur piraté dans le cadre de la cyberattaque, sont exposées sur Internet, à la portée du premier pirate venu. La France en compte des milliers. C’est même le pays le plus exposé, estiment les chercheurs. Selon Claroty, de nombreuses interfaces sont toujours en ligne, même si certains distributeurs ont commencé à les retirer à la suite de la cyberattaque nationale.

Romain Ponceau redoute aussi un « effet d’imitation » à très court terme. En clair, d’autres cybercriminels pourraient vouloir se connecter aux frigos de supermarchés à distance. Le directeur général d’Opinion Act évoque par ailleurs la présence hypothétique de « programmes malveillants dormants, capables de s’activer même si les équipements ont été déconnectés ». Sur le papier, les pirates pourraient frapper ultérieurement, sans devoir se reconnecter aux appareils via Internet. Selon lui, les attaques pourraient aussi s’étendre « aux étiquettes électroniques (bloquant la mise à jour des prix), aux caméras de vidéosurveillance ou aux systèmes logistiques ». L’Agence nationale de la sécurité des systèmes d’information (ANSSI) appelle toutes les entités concernées à corriger les failles et à ne plus exposer d’équipements sur Internet. Gageons que la grande distribution puisse agir avant que des pirates ne repassent à l’action.