Les brèves
Vendredi 30 octobre 2026 Le média des dirigeants et dirigeantes de PME et d’ETI

Le Journal du DirigeantMieux décider · Mieux vivre · Prendre du recul

Cybersécurité industrielle en PME : protéger automates, GTB et froid en 30 jours

La cybersécurité industrielle pme se joue rarement sur les ordinateurs du bureau. Elle se joue en effet sur le contrôleur de froid, la GTB ou l'automate que personne n'a regardé depuis l'installation. Dans la nuit du 11 au 12 octobre 2026, des centaines de supermarchés français l'ont appris à leurs dépens. Voici donc comment recenser et protéger vos équipements en trente jours, sans budget démesuré.

Anita Guerrero

8 min de lecture

Contrôleur de froid dans une chambre froide, enjeu de cybersécurité industrielle PME après les attaques d'octobre 2026
© Le Journal du Dirigeant

L’essentiel

  • Pourquoi un contrôleur de froid ou une GTB oubliés sont devenus des cibles bon marché depuis l'IA.
  • Une méthode en quatre étapes et une matrice gravité/exposition pour décider : couper, isoler, corriger, remplacer.
  • Les douze questions à poser à vos mainteneurs et les points d'assurance à vérifier avant d'agir.

Nuit du 11 au 12 octobre : ce que l’on sait des attaques contre les supermarchés

Selon franceinfo, au moins 300 magasins Intermarché et Netto ont été touchés, moins d’une centaine de Coopérative U, 80 Carrefour, une trentaine de Monoprix et plusieurs E.Leclerc. Ce bilan a été confirmé le soir du 12 octobre par les distributeurs à l’AFP. Il a ainsi remplacé un premier décompte communiqué le même jour par les enseignes, qui faisait état de 150 à 200 magasins Intermarché touchés, selon Euronews. Les attaquants ont pris la main à distance sur les contrôleurs de froid. Ils ont ensuite forcé des dégivrages et modifié les consignes de température. En revanche, aucun chiffrement ni vol de données n’a été signalé. Par ailleurs, le parquet de Paris a fait état de « départs de feu » et confié l’enquête à l’Office anticybercriminalité.

Les pertes sont concrètes. Par exemple, un E.Leclerc de Wasselonne a jeté environ 220 000 euros de marchandises. De plus, un magasin d’Issy-les-Moulineaux estime son préjudice à 55 000 euros. Sur l’assurance, Intermarché parle de « l’un des points durs ». Enfin, Dominique Schelcher, PDG de Coopérative U, a jugé l’attaque « d’une extrême gravité ».

D’après Danfoss, la plupart des unités touchées étaient des AK-SM 800, en fin de vie depuis 2021, et des AK-SC 355, retirés en 2016. Le reste était des AK-SM 800A au micrologiciel ancien. Toutefois, au 13 octobre, le vecteur d’attaque n’était pas établi. L’alerte CERTFR-2026-ALE-012 du CERT-FR, émise le 12 octobre et étendue le 13, couvre aussi les consoles xweb de Copeland et Dixell. Pour la cybersécurité industrielle pme, sa consigne est nette : débrancher ces contrôleurs ou filtrer leur accès.

Chiffres clés : 28 minutes, 6 dollars, 2 898 interfaces Danfoss exposées en France, 220 000 euros de pertes dans un magasin.

Danfoss, 28 minutes, 6 dollars : la fin de la sécurité par l’obscurité

Équipement ou site du groupe industriel danois Danfoss.
Équipement ou site du groupe industriel danois Danfoss. Photo : Schnatzel / Wikimedia Commons, Public domain

En parallèle, l’équipe Team82 de Claroty a publié une expérience éclairante. Suivons son raisonnement pas à pas. D’abord, trois failles des AK-SM 800A avaient été publiées et corrigées en 2025 : CVE-2025-41450 en version R4.2 (avis de mars), CVE-2025-41451 et 41452 en R4.3.1 (avis d’août). Ensuite, le micrologiciel se télécharge librement sur le site de Danfoss, sans inscription. Puis un chercheur a confié l’analyse à Claude Sonnet 4.6 d’Anthropic. Résultat : deux failles enchaînées, des commandes exécutées avec les pleins droits, en 28 minutes environ et pour à peu près 6 dollars d’usage d’IA.

Les limites comptent toutefois. Le chercheur a dû réorienter l’IA et ajouter l’outil Ghidra pour la troisième faille. De plus, les 6 dollars ne couvrent pas le coût total du test. Surtout, Claroty reconnaît que le chemin d’attaque utilisé en France « reste non confirmé ». Il ne faut donc pas relier les deux affaires.

La leçon tient ailleurs. Autrement dit, une faille publiée devient exploitable par presque n’importe qui. Reste à trouver les cibles : Claroty comptait en août 2026, via le moteur Censys, 2 765 interfaces AK-SM 800A visibles sur internet. Le 13 octobre, la société SOCRadar en recensait 2 898 en France sur Shodan, parmi 4 481 interfaces web Danfoss dans le monde. C’est pourquoi, en cybersécurité industrielle pme, l’idée reçue « nous sommes trop petits pour intéresser » ne tient plus. En effet, l’attaquant ne choisit pas votre entreprise : il choisit un modèle d’équipement, puis il balaie internet.

À savoir — On distingue l’informatique de gestion (messagerie, comptabilité) des technologies opérationnelles, ou OT : automates, GTB (gestion technique du bâtiment), régulation de froid, onduleurs. Ces équipements pilotent le monde physique. Or ils durent souvent quinze ans, bien au-delà du support du fabricant.

Cybersécurité industrielle pme : où sont vos équipements oubliés

Dans une PME ou une ETI, ces équipements sont partout. Par exemple :

  • la régulation des chambres froides et vitrines réfrigérées ;
  • la GTB qui gère chauffage, climatisation et éclairage ;
  • les automates de production et leurs pupitres ;
  • les caméras, contrôles d’accès et onduleurs administrables.

Ils échappent à la DSI pour une raison simple. En effet, ils sont achetés par la production ou les services généraux, puis installés par un frigoriste ou un chauffagiste. Ce dernier ouvre un accès distant pour sa télémaintenance, et personne ne le referme. Or le guide de l’ANSSI sur les systèmes industriels, mis à jour en novembre 2025, constate que la télémaintenance offre « dans de nombreux cas un niveau de sécurité faible ». De même, l’ANSSI a relevé dans l’énergie et l’eau des équipements accessibles sans authentification ou avec un mot de passe par défaut. La cybersécurité industrielle pme commence donc par ces accès oubliés.

Schéma en quatre étapes : inventorier, tester l'exposition, décider, contractualiser.

Cybersécurité industrielle pme : la méthode OT en 30 jours

  1. Semaine 1, inventorier. Listez chaque équipement connecté, avec son modèle, sa version, son propriétaire interne et son prestataire.
  2. Semaine 2, tester l’exposition. Repérez votre adresse IP publique et vérifiez sur Shodan ou Censys ce qui en est visible. Ensuite, demandez un scan à votre prestataire informatique.
  3. Semaine 3, décider. Classez chaque équipement selon sa gravité (que se passe-t-il s’il est détourné ?) et son exposition. La matrice ci-dessous tranche.
  4. Semaine 4, contractualiser. Imposez aux mainteneurs un accès distant journalisé, des mots de passe uniques et un délai de correctif.

Pour arbitrer en cybersécurité industrielle pme, faites le calcul avec vos propres chiffres : valeur du stock sous température, marge perdue par jour d’arrêt, franchise d’assurance. Ensuite, mettez ce total en regard du coût d’un VPN ou d’un remplacement. Le seul exemple public, Wasselonne, rappelle ainsi l’ordre de grandeur : 220 000 euros pour un seul magasin.

Matrice deux par deux croisant gravité et exposition, avec quatre décisions : isoler, couper, mettre à jour, corriger ou remplacer.

Cybersécurité industrielle pme : prestataires, assurance, NIS2

Premier piège : croire que le matériel « appartient » au mainteneur. Le risque, lui, reste le vôtre. Deuxième piège : couper dans la précipitation. Le CERT-FR recommande de vérifier d’abord votre contrat d’assurance avant d’interrompre la remontée de données vers le frigoriste. Il faut ensuite contrôler toute la configuration, notamment les plages de dégivrage. Troisième piège : se contenter de filtrer par adresse IP. Selon l’alerte, ce n’est qu’une mesure temporaire ; l’accès doit donc ensuite passer par un VPN. Enfin, certaines mises à jour sont irréversibles. Pour l’AK-SM 800A, il faut passer de la version 3.x à la 4.x avant la 5.3.x, sans retour possible. Quant à l’AK-SM 800 et l’AK-SC 355, Danfoss ne les corrige plus : il faut les remplacer.

Côté réglementation, la France n’avait toujours pas transposé NIS2 au 11 octobre 2026, selon Myra. C’est pourquoi la Commission européenne a saisi la Cour de justice de l’UE le 8 juillet 2026. Le texte prévoit des « entités importantes » dès 50 salariés, ou au-delà de 10 M€ de chiffre d’affaires et de bilan, dans les secteurs critiques. L’ANSSI évoque environ 15 000 entités, avec des sanctions jusqu’à 7 M€ ou 1,4 % du chiffre d’affaires mondial.

Les 12 questions à envoyer à vos prestataires

  • Quels équipements maintenez-vous chez nous, et dans quelles versions ?
  • Lesquels sont accessibles depuis internet ?
  • Comment vous connectez-vous à distance ?
  • Passez-vous par un VPN ?
  • Les connexions sont-elles journalisées, et pouvons-nous lire ces journaux ?
  • Les mots de passe par défaut ont-ils été changés ?
  • Chaque site a-t-il un mot de passe unique ?
  • Qui, chez vous, détient ces accès ?
  • Quels équipements ne sont plus corrigés par le fabricant ?
  • Sous quel délai appliquez-vous un correctif critique ?
  • Que faites-vous si une alerte du CERT-FR nous concerne ?
  • Votre assurance couvre-t-elle un incident provoqué via votre accès ?

Ce qu’il faut retenir

  • Nommez un responsable interne de l’inventaire des équipements connectés, distinct du prestataire.
  • Vérifiez dès cette semaine ce que votre adresse IP publique laisse voir sur internet.
  • Coupez ou placez derrière un VPN tout équipement critique exposé, après relecture de votre contrat d’assurance.
  • Planifiez le remplacement des équipements que le fabricant ne corrige plus.
  • Envoyez lundi les douze questions à vos mainteneurs et inscrivez une revue trimestrielle à votre comité de direction.

Questions fréquentes

Comment savoir si l'un de nos équipements est visible sur internet ?

Relevez l'adresse IP publique de chaque site auprès de votre opérateur, puis interrogez des moteurs comme Shodan ou Censys. Ils indexent les interfaces accessibles. Pour un résultat fiable, demandez en complément un scan à votre prestataire informatique et comparez avec votre inventaire.

Faut-il couper tout de suite l'accès distant de notre frigoriste ?

Pas sans précaution. Le CERT-FR recommande de vérifier d'abord le contrat d'assurance, car la remontée de données vers le frigoriste peut en être une condition. Ensuite, contrôlez la configuration, puis rétablissez l'accès uniquement via un VPN ou un réseau protégé.

Notre PME est-elle concernée par NIS2 ?

La loi de transposition n'était pas adoptée en octobre 2026. Le texte vise comme entités importantes les structures de secteurs critiques dès 50 personnes ou au-delà de 10 M€ de chiffre d'affaires et de bilan. Anticiper avec le référentiel ReCyF de l'ANSSI, encore non contraignant, reste prudent.

Notre assurance cyber couvre-t-elle un sabotage d'équipement technique ?

Rien n'est automatique : Intermarché a indiqué que les contrats ne couvraient pas ce type d'incident. Demandez à votre courtier, par écrit, si les dommages matériels et pertes de stock causés par une prise de contrôle à distance sont inclus.

Sources

À lire aussi

Gouvernance →