CISA et FBI : des attaques visent le froid industriel et la chaîne du froid

Le 5 novembre 2026, la CISA, le FBI et trois ministères américains ont publié une fiche pour signaler des attaques contre les systèmes de réfrigération industrielle et de suivi de la chaîne du froid, dans le monde entier.

Le document, marqué TLP:CLEAR, est signé par la Cybersecurity and Infrastructure Security Agency (CISA), le Federal Bureau of Investigation (FBI), le ministère de la Santé (Department of Health and Human Services), le ministère de l’Agriculture (US Department of Agriculture) et le ministère des Transports (Department of Transportation). Il est hébergé par l’Internet Crime Complaint Center du FBI. Il ne porte pas d’heure, seulement la date du 5 novembre 2026.

Des régulateurs de température, pas un logiciel nommé

Les agences disent savoir que des acteurs malveillants visent les contrôleurs électroniques de température et les contrôleurs de réfrigération commerciale, dans les supermarchés et les entrepôts frigorifiques. Ces appareils servent aussi, dans la santé, la chimie, l’agroalimentaire et le transport, à suivre les températures à distance, à enregistrer la chaîne du froid, à gérer les cycles de dégivrage et à optimiser l’énergie, y compris dans le transport réfrigéré.

La fiche décrit un scénario, pas une liste de victimes. Des contrôleurs non corrigés, ou joignables depuis Internet, peuvent être poussés vers un chauffage continu et des cycles de dégivrage. Les voies citées restent des catégories : contournement d’authentification, injection de code, configurations faibles. La fiche ne donne ni référence CVE, ni marque, ni pays, ni nombre de sites touchés.

Les effets qu’elle juge possibles sont une usure plus rapide du matériel, un risque d’incendie, la perte des stocks, un danger si des produits sont consommés après un stockage devenu impropre, et la perte de la visibilité sur la température du moment. Rien, dans le texte, ne dit que ces effets se sont produits à telle date ou dans tel magasin.

Le rappel des supermarchés français n’est pas dans la fiche

En France, une autre campagne a déjà touché ce type d’équipement. Dans la nuit du 11 au 12 octobre 2026, des contrôleurs du danois Danfoss ont fait monter la température de meubles frigorifiques chez Intermarché, Coopérative U, Leclerc, Carrefour Market et Monoprix. Le parquet de Paris a ouvert une enquête. Nous l’avons relaté à part. La fiche américaine du 5 novembre ne cite ni Danfoss, ni ces enseignes, ni cette nuit-là. Le rapprochement porte sur la famille d’appareils, pas sur une identité d’auteurs établie par les agences.

Ce que les agences demandent aux exploitants

Les mesures recommandées sont défensives, alignées sur les objectifs de cybersécurité que la CISA et le National Institute of Standards and Technology publient pour tous les secteurs. Elles tiennent en quelques gestes : ne pas laisser les panneaux de contrôle exposés à Internet, et, si un accès distant est indispensable, le placer derrière un pare-feu tenu à jour ; isoler les équipements industriels du réseau bureautique ; changer les mots de passe livrés par défaut ; appliquer les micrologiciels ; n’autoriser que des adresses prévues ; garder des sauvegardes hors ligne et les essayer ; journaliser, ou à défaut collecter le trafic ; fixer des plages de consigne sûres et alerter quand on en sort.

Les numéros de signalement visent les organisations américaines : le centre de la CISA, l’IC3 du FBI, et le ministère de la Santé pour une perturbation de l’approvisionnement médical. La fiche ne dit pas à qui une entreprise française doit écrire. Elle décrit en revanche des précautions qui ne dépendent pas du pays de l’exploitant.

Sources

• CISA, FBI, HHS, USDA et DoT, fiche du 5 novembre 2026 (PDF, IC3)

• KLYNLABS, attaque Danfoss du 12 octobre 2026