La cyberattaque des systèmes frigorifiques de supermarchés

Dans la nuit du dimanche 11 au lundi 12 octobre 2026, des centaines de supermarchés français ont été touchés par une cyberattaque visant leurs installations frigorifiques. Les pirates ont déclenché à distance un « dégivrage forcé », ce qui a fait grimper les températures jusqu'à 50 °C dans certains magasins. Des départs de feu ont été signalés et les produits frais comme surgelés ont été détruits. L'ANSSI, l'agence française chargée de la sécurité des systèmes d'information, a identifié une vulnérabilité dans un logiciel du fabricant danois Danfoss.

Quelles enseignes et combien de magasins

Selon les confirmations à l'AFP rapportées par france24.com, au moins 300 points de vente Intermarché et Netto, moins d'une centaine de magasins Coopérative U, 80 Carrefour, une trentaine de Monoprix et « plusieurs magasins » E.Leclerc ont été touchés. Intermarché a évoqué de son côté 150 à 200 magasins auprès de l'AFP. Ces écarts entre les chiffres s'expliquent par la difficulté à recenser précisément les sites concernés en pleine gestion de crise. Le distributeur néerlandais Ahold Delhaize a également signalé un « problème de sécurité » sur son réseau et mis plusieurs systèmes hors ligne.

Le mode opératoire et la vulnérabilité exploitée

Les unités visées sont des systèmes de régulation Danfoss de type AK-SM800 et AK-SC355, que le fabricant présente comme anciens, en fin de vie, avec un micrologiciel obsolète. Le micrologiciel est le logiciel interne qui pilote un équipement ; s'il n'est plus mis à jour, les failles connues restent ouvertes. Les attaquants ont donc pu commander à distance une fonction normalement prévue pour l'entretien, le dégivrage, et la détourner pour faire monter la température. Aucune revendication n'a été publiée à ce stade.

Les conséquences économiques et judiciaires

Les pertes sont estimées à plusieurs millions d'euros, et Intermarché indique que les assurances ne couvrent pas ce type d'incident selon rtl.fr. Le parquet de Paris a ouvert une enquête confiée à l'OFAC, l'office chargé de la lutte contre la cybercriminalité. Le Premier ministre Sébastien Lecornu a saisi l'ANSSI. Cette affaire illustre un point clé : un équipement industriel ancien et connecté peut devenir une porte d'entrée pour des dommages purement matériels.

La fuite de données de la CAF et de Vacaf

Un autre incident marque la même période : le 9 octobre 2026, un pirate a mis en vente sur un forum cybercriminel 1 191 967 fichiers de bénéficiaires de la CAF, répartis entre 58 caisses, via le site vacaf.org de la Caf de l'Hérault. La Cnaf confirme l'incident sans confirmer le chiffre, précise socialmag.news. Les informations exposées comprennent des identités et dates de naissance de mineurs, des matricules, des quotients familiaux, des aides et des réservations. Ni données bancaires ni mots de passe ne seraient concernés.

L'intrusion dans les systèmes de la DGFiP

La Direction générale des finances publiques a subi une intrusion entre juin et juillet 2026, avec consultation ou extraction des données de 678 000 particuliers et professionnels. Les informations concernées incluent le revenu fiscal de référence, le quotient familial, le taux de prélèvement à la source, le numéro SIREN et des données cadastrales. L'accès s'est fait via des identifiants usurpés, selon Bercy et la CNIL. L'ANSSI a relevé trois faiblesses structurelles : la gestion des identités, le cloisonnement du réseau et la capacité de détection.

Le cas FICOBA et la saisine de la CNIL

Le fichier FICOBA, qui recense les comptes bancaires en France, a été concerné par des accès frauduleux fin janvier et mi-février 2026, touchant 1,2 million de comptes. Le 12 octobre, l'Adan, association professionnelle du secteur des actifs numériques, a saisi la CNIL à propos de FICOBA et de soupçons de transmission d'informations confidentielles, y compris sur des investisseurs en cryptomonnaies, par une agente de la DGFiP. Cette saisine n'implique pas l'ouverture d'une enquête à ce stade, rapporte le Journal du Coin. La CNIL est l'autorité française chargée de la protection des données personnelles.

Un rapport sur les piratages des administrations

Un rapport a été publié sur les piratages visant les administrations depuis le 1er août 2026. Il demande une capacité renforcée pour l'ANSSI, dans le cadre d'une opération baptisée « REACTIV ». Ce type de document sert à tirer les leçons des incidents successifs et à identifier les points faibles récurrents. L'objectif affiché est d'améliorer la détection et la réaction avant que les intrusions ne prennent de l'ampleur. Ces travaux s'inscrivent dans un contexte où plusieurs organismes publics ont été visés en quelques mois.

Le démantèlement d'une plateforme de revente de données

L'Office anti-cybercriminalité a démantelé Reacher ou Stryxx, une plateforme qui revendait des données volées et revendiquait 730 millions de lignes, selon franceinfo et Siècle Digital. Trois adolescents de 17 ans seront jugés le 14 janvier 2027 et encourent jusqu'à 10 ans de prison. Il s'agit d'une première en France pour une plateforme de revente de données. Un « lookup » désigne ici un moteur de recherche illicite permettant de retrouver des informations personnelles volées.

L'amende norvégienne contre Xandr

Le 12 octobre, le Datatilsynet, l'autorité norvégienne de protection des données, a infligé une amende de 92 millions de couronnes, soit environ 8,6 millions d'euros, à Xandr, une filiale de Microsoft. La sanction porte sur un partage illégal de données sensibles d'utilisateurs de l'application Grindr entre 2018 et 2020, rapporte Le Figaro. Cette décision montre que les régulateurs européens peuvent frapper des acteurs publicitaires majeurs. Elle rappelle aussi que le traitement de données sensibles obéit à des règles strictes, indépendamment de la taille de l'entreprise.

Le sens économique du mot « données »

Le mot « données » désigne aussi les statistiques qui servent à décrire la conjoncture. La Banque de France estime le PIB à +0,1 % au troisième trimestre 2026, avec une activité en hausse dans l'industrie, une accélération dans les services et une incertitude en nette remontée. BNP Paribas retient de son côté +0,3 % en glissement trimestriel pour la zone euro et 0,5 % de croissance en France pour 2026. Ces prévisions sont des estimations, pas des résultats définitifs.

Trois fils d'actualité qui se rejoignent

Le mot « donnée » est donc tendance parce qu'il cumule trois fils : la sécurité des données, avec des attaques et des fuites à grande échelle ; la régulation des données personnelles, avec des sanctions prononcées par la CNIL et le Datatilsynet ; et les données statistiques de conjoncture. Chacun de ces fils a ses acteurs, ses règles et ses conséquences propres. Les confondre conduit à des malentendus, par exemple entre une fuite accidentelle et un partage commercial non autorisé. Les distinguer aide à comprendre ce qui est réellement en jeu.

Ce qu'est une donnée personnelle

Une donnée personnelle est une information qui permet d'identifier une personne, directement ou indirectement. Un nom, une date de naissance, un numéro de compte, un quotient familial ou une adresse peuvent suffire. Certaines catégories, comme les données de santé, d'orientation sexuelle ou d'opinion, sont considérées comme sensibles et bénéficient d'une protection renforcée. C'est précisément ce type de données qui est au cœur de l'affaire norvégienne concernant Grindr. Cette notion est la base de tout le droit européen de la protection des données.

Pourquoi les équipements anciens sont une cible

Les systèmes industriels connectés, comme les régulateurs frigorifiques, sont souvent conçus pour durer des années et ne reçoivent plus de mises à jour une fois en fin de vie. Un micrologiciel obsolète conserve des failles que les fabricants ne corrigent plus. Quand ces équipements sont accessibles à distance, une faille connue peut être exploitée sans effraction complexe. L'affaire Danfoss illustre ce risque : la panne n'est pas seulement informatique, elle devient physique, avec des denrées perdues et des départs de feu.

Le rôle de l'ANSSI et de la CNIL

Deux autorités françaises reviennent dans ces affaires. L'ANSSI s'occupe de la sécurité des systèmes d'information : elle identifie les vulnérabilités, comme celle du logiciel Danfoss, et conseille les organismes. La CNIL est l'autorité de protection des données personnelles : elle reçoit les signalements, vérifie les manquements et peut sanctionner. La CNIL a ainsi été saisie dans le dossier de la DGFiP et par l'Adan dans le dossier FICOBA. Ces deux rôles sont complémentaires mais distincts : l'un sécurise les systèmes, l'autre protège les personnes.

Ce que change le règlement européen sur les données

Le cadre européen de protection des données, hérité du RGPD, impose aux organismes de justifier chaque usage d'une donnée personnelle et d'informer les personnes concernées. Il prévoit aussi des obligations de sécurité et de notification en cas de violation. C'est ce cadre qui permet à une autorité comme le Datatilsynet de sanctionner un partage de données sensibles sans base légale. Il explique également pourquoi la Cnaf doit communiquer sur l'incident de Vacaf. Sans ce cadre, les recours des personnes concernées seraient bien plus limités.

Les risques concrets pour les personnes concernées

Une fuite de données personnelles peut exposer à des tentatives d'usurpation d'identité, à du hameautage ciblé ou à du démarchage abusif. Dans le cas de la CAF, les informations exposées incluent des données sur des mineurs, ce qui appelle une vigilance particulière des familles concernées. Les personnes dont les données ont fuité peuvent signaler la situation à la CNIL et surveiller les usages inhabituels de leurs informations. Il n'existe pas de garantie qu'une fuite donnée entraîne un préjudice, mais la prudence reste de mise.

Ce qu'il faut retenir pour une organisation

Pour une organisation, plusieurs leçons se dégagent de ces affaires. Recenser les équipements connectés, y compris anciens, et savoir lesquels sont exposés à distance constitue une première étape. Vérifier que les micrologiciels encore supportés sont à jour et prévoir le remplacement des matériels en fin de vie limite les risques. Enfin, disposer d'une procédure de détection et de notification permet de réagir plus vite quand un incident survient. Ces mesures ne suppriment pas tout risque, mais elles réduisent la probabilité et l'ampleur des dommages.

Ce qu'il faut retenir pour un particulier

Un particulier peut difficilement empêcher une fuite survenue chez un organisme tiers, mais il peut limiter les conséquences. Surveiller ses comptes et ses courriels, se méfier des messages qui exploitent une actualité comme une fuite pour soutirer des informations, et ne pas cliquer sur des liens non sollicités sont des réflexes utiles. En cas de doute sur une démarche, contacter directement l'organisme concerné par un canal officiel. Ces précautions relèvent de la prudence générale et ne constituent pas un conseil juridique personnalisé.