Le piratage des supermarchés français a visé le froid des rayons, pas un fichier de clients. Dans la nuit du dimanche 11 au lundi 12 octobre 2026, des installations frigorifiques ont été commandées à distance pour lancer un dégivrage forcé. Les meubles froids se sont réchauffés. Aucune des sources disponibles ne fait état de données clients volées ou exposées. Ce silence n’établit pas pour autant qu’aucune ne l’a été.
Pour vous, client, deux circuits s’ouvrent, avec chacun son texte et son interlocuteur. Vos achats relèvent du droit alimentaire : l’enseigne retire les produits, puis les rappelle si l’un d’eux a pu être vendu. Vos données relèvent du règlement général sur la protection des données (RGPD) : notification à l’autorité de contrôle d’abord, information des personnes seulement en cas de risque élevé. L’incident distinct qui touche Albert Heijn et Delhaize, aux Pays-Bas et en Belgique, montre le cas où ce second circuit peut s’ouvrir.
Dans la nuit du 11 au 12 octobre, l’attaque a visé des automates de froid, qui ne contiennent pas de fichier client
Ce qui a été piraté pilote des températures. L’attaque a visé l’informatique industrielle des magasins : des régulateurs de réfrigération, ces automates qui commandent le froid des vitrines. Un tel automate ne contient pas de fichier client. La question posée au client est donc d’abord alimentaire. C’est la première bifurcation du parcours : selon le système touché, l’interlocuteur et le texte applicable changent.
Le geste de l’attaquant tient en un mot : dégivrage. Le dégivrage est une fonction normale d’un meuble froid. Déclenché en continu, il réchauffe la vitrine sans alarme visible pour le client. Les produits deviennent invendables alors qu’ils semblent intacts.
Les systèmes visés sont des régulateurs du fabricant danois Danfoss, dont la plateforme de supervision AK-SM 8xxA, qui tournaient sur d’anciennes versions logicielles. Intermarché attribue la mise hors service de ses meubles froids à une attaque visant un prestataire de réfrigération. La façon dont ces systèmes ont été compromis n’est pas établie.
Les chiffres confirmés viennent des enseignes elles-mêmes. Intermarché a indiqué à l’Agence France-Presse (AFP) que 150 à 200 de ses magasins étaient touchés ; Netto est également cité. Coopérative U en compte moins d’une centaine. E.Leclerc, Carrefour Market et Monoprix ont été cités dans la presse, sans confirmation de ces enseignes. Une estimation de BFMTV, reprise le 12 octobre par le site spécialisé BleepingComputer, avance 250 à 350 magasins toutes enseignes confondues. Elle ne s’ajoute pas aux chiffres par enseigne : c’est un ordre de grandeur, pas un total.
Le parquet de Paris a ouvert d’office une enquête pour cyberattaque d’ampleur visant des réfrigérateurs connectés. L’enquête est dirigée par sa section anticybercriminalité et confiée à l’Office anticybercriminalité (OFAC). Les enquêteurs doivent recenser les victimes et établir le lien entre l’attaque, les pertes alimentaires et des départs de feu. Au 14 octobre, aucun groupe n’a revendiqué l’attaque.
1 590 superviseurs Danfoss joignables depuis Internet en France, et des failles publiées depuis 2023 que seule la mise à jour corrige
Les magasins attaqués ne sont qu’une partie des installations exposées. Predicta Lab a compté 2 752 systèmes Danfoss joignables depuis Internet, dont 1 590 en France. Selon l’outil Shodan, plus de 4 500 appareils Danfoss sont accessibles. Ces comptages privés, rapportés par BleepingComputer le 12 octobre, se lisent face aux 250 à 350 magasins touchés selon les estimations. L’exposition dépasse donc largement les sites attaqués.
Danfoss a publié plusieurs avis de sécurité sur sa plateforme AK-SM 800A / 8xxA. Chaque faille y porte un identifiant public CVE (Common Vulnerabilities and Exposures) :
- CVE-2023-25913 à 25915, corrigées à partir de la version 3.3 ;
- CVE-2025-41450, un contournement d’authentification, sur les versions antérieures à 4.2 ;
- CVE-2025-41451 et 41452, des failles d’injection exploitables après authentification (commandes système, configuration Nginx), sur les versions antérieures à 4.3.1.
Ces failles sont corrigées dans les versions récentes. Un système resté sur une version ancienne reste vulnérable tant qu’il n’est ni mis à jour ni retiré d’Internet. Aucun lien entre l’une de ces failles et l’attaque d’octobre n’est confirmé. Au 15 octobre, la page des avis de sécurité de Danfoss ne compte aucun avis daté d’octobre 2026.
Le produit resté au chaud est retiré du rayon par l’enseigne, avant d’atteindre le client
Un rayon frais vide, c’est le premier circuit qui fonctionne. Intermarché indique que ses magasins doivent jeter l’ensemble des produits frais et surgelés concernés. L’enseigne précise que les assurances ne couvrent pas ce type d’incident. La destruction se fait donc sans filet financier pour les magasins.
Cette destruction répond à une obligation. Le règlement (CE) n° 178/2002 du 28 janvier 2002 fixe les principes généraux de la législation alimentaire européenne. Son article 14, paragraphe 1, interdit de mettre sur le marché une denrée dangereuse. Son article 19 tire la conséquence pour celui qui vend :
- l’exploitant qui a des raisons de penser qu’une denrée n’est pas conforme en engage immédiatement le retrait (paragraphe 1) ;
- le distributeur de détail engage ce retrait dans les limites de ses activités propres (paragraphe 2).
Le supermarché retire donc ce qu’il a lui-même en rayon. L’obligation joue immédiatement, sans attendre l’issue de l’enquête.
Pourquoi tout jeter plutôt que trier ? Parce que personne ne sait quel produit a été réchauffé, ni pendant combien de temps. Le dégivrage forcé ne laisse aucune trace sur un emballage. Trier supposerait de savoir, meuble par meuble, ce qui a chauffé et à quel moment. Dans cette incertitude, la destruction totale annoncée par Intermarché est la façon la plus simple de satisfaire l’obligation de retrait. Ce n’est pas un excès de zèle.
À cette étape du parcours, le client n’a rien à faire. Le retrait se joue en amont : vous n’en voyez qu’un rayon vide. Vos achats ne sont en jeu que si un produit réchauffé a pu sortir du magasin avant d’être retiré.
S’il a pu être vendu, l’exploitant doit prévenir et rappeler, et la fiche paraît sur RappelConso
Pour vos achats du 12 octobre, le critère décisif est le temps. Le réchauffement a commencé la nuit. Tout dépend du moment où il a été détecté. Un produit vendu entre ces deux moments a pu vous atteindre. Un produit retiré avant l’ouverture du magasin, non.
C’est là que le second étage du droit alimentaire s’enclenche. Selon l’article 19, paragraphe 1, du règlement n° 178/2002, l’exploitant informe les consommateurs si le produit a pu les atteindre. Au besoin, il rappelle les produits déjà fournis. Le retrait vise le rayon ; le rappel vise votre réfrigérateur.
Aucune source publique ne documente, à ce stade, la fenêtre entre le début du réchauffement et sa détection. Aucune ne fait état d’un produit réchauffé vendu. Cela n’établit pas qu’aucun ne l’a été. Rien ne permet d’affirmer que les achats des 11 et 12 octobre sont sans risque, ni qu’ils en présentent un.
Un rappel se lit sur RappelConso, le site public des alertes de produits dangereux. Il est le service commun de quatre administrations :
- la direction générale de l’alimentation (DGAL) ;
- la direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF) ;
- la direction générale de l’énergie et du climat (DGEC) ;
- la direction générale de la prévention des risques (DGPR).
Le site couvre l’alimentation et d’autres catégories. Chaque fiche indique le motif du rappel, les risques et la date. Au 15 octobre, aucune des fiches publiées les 13 et 14 octobre ne mentionne ni une rupture du froid ni la cyberattaque. Deux fiches du 13 octobre désignent des magasins U comme distributeurs, pour des motifs sans lien déclaré avec l’incident. Un rappel lié à l’incident publié ensuite y figurerait à son tour. L’autre interlocuteur reste l’enseigne elle-même : c’est à elle que l’article 19 confie l’information des consommateurs.
Une fuite de données se notifie à la CNIL dans les 72 heures suivant sa découverte, aux clients seulement si le risque est élevé
Si une enseigne découvre une violation de vos données, ce n’est pas vous qu’elle prévient en premier. Le règlement (UE) 2016/679 du 27 avril 2016, le RGPD, organise deux notifications distinctes. Elles ont deux destinataires et deux seuils. En France, l’autorité de contrôle est la Commission nationale de l’informatique et des libertés (CNIL).
La première notification vise l’autorité. Selon l’article 33, paragraphe 1, le responsable du traitement la notifie dans les meilleurs délais et, si possible, 72 heures au plus tard après avoir pris connaissance de la violation. Le délai court donc à partir de la découverte, pas de l’attaque. Une violation découverte un lundi matin se notifie, si possible, avant le jeudi matin. Passé ce délai, la notification doit être accompagnée des motifs du retard.
Trois précisions du même article encadrent cette obligation :
- l’information peut être transmise de manière échelonnée (paragraphe 4) ;
- une violation qui n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes n’a pas à être notifiée (paragraphe 1) ;
- toute violation, notifiée ou non, est documentée par le responsable (paragraphe 5).
La seconde notification vise les personnes, et son seuil est plus haut. L’article 34, paragraphe 1, le fixe en ces termes : « Lorsqu’une violation de données à caractère personnel est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique, le responsable du traitement communique la violation de données à caractère personnel à la personne concernée dans les meilleurs délais. »
Un simple risque suffit pour prévenir l’autorité. Seul un risque élevé impose d’écrire aux clients. Le message décrit, en termes clairs et simples, la nature de la violation. Il contient au minimum le nom et les coordonnées du délégué à la protection des données ou d’un autre point de contact, les conséquences probables de la violation et les mesures prises ou proposées par le responsable.
Trois situations dispensent du message individuel (article 34, paragraphe 3) :
- les données ont été rendues incompréhensibles, par exemple par chiffrement ;
- des mesures prises ensuite ont écarté le risque élevé ;
- écrire à chacun exigerait des efforts disproportionnés : une communication publique remplace alors le message.
L’autorité de contrôle peut exiger cette communication (paragraphe 4). La conséquence pratique est la plus mal comprise d’une fuite : ne pas recevoir de courriel ne prouve pas que vous n’êtes pas concerné. Le RGPD n’oblige pas l’enseigne à écrire à chaque client sous 72 heures ; ce délai vise l’autorité. La fuite de données de la direction générale des Finances publiques (DGFiP) donne un exemple de violation notifiée puis communiquée aux personnes.
Chez Albert Heijn et Delhaize, l’enseigne n’exclut pas encore une atteinte aux données
Pour un client d’Albert Heijn ou de Delhaize, la situation est inverse de la française. Ce ne sont pas les frigos qui sont touchés, mais les systèmes où vivent les données personnelles : applications, programme de fidélité, service client. Le circuit RGPD peut donc réellement s’ouvrir pour lui.
Chez le groupe Ahold Delhaize, l’incident a d’abord été présenté comme informatique, puis comme un incident de cybersécurité. Il a mis hors service les sites, les applications, le service client et les livraisons d’Albert Heijn. Les applications et le service client d’Etos et de Gall & Gall sont aussi coupés. Au 13 octobre, date du dernier état publié, Delhaize n’acceptait plus de commandes en ligne pour la semaine. Les magasins restaient ouverts et les caisses fonctionnaient. Aucune date de rétablissement n’était annoncée.
Albert Heijn ne peut pas confirmer que les données de ses clients n’ont pas été touchées. Les remises personnalisées sont indisponibles. L’enseigne invite ses clients à conserver leurs tickets de caisse en vue d’une compensation.
Ne pas pouvoir confirmer n’est ni un aveu de fuite ni un démenti. Cela correspond à la phase d’évaluation que le RGPD encadre : le responsable établit s’il y a eu violation et quel risque elle crée, puis notifie selon le seuil atteint. L’incident n’est donc pas, à ce stade, une fuite de données avérée. Un client belge de Delhaize peut saisir l’autorité de contrôle de son pays de résidence habituelle, comme le prévoit l’article 77 du RGPD.
Les deux affaires sont distinctes. En France, le froid a été piraté ; aux Pays-Bas et en Belgique, ce sont les services informatiques d’Ahold Delhaize qui sont tombés. Aucune source ne fait état de frigos piratés dans ces deux pays. Le lien entre l’incident d’Ahold Delhaize et l’attaque française n’est pas établi. Pour un client belge ou néerlandais, le risque que documentent les sources porte donc sur ses données et ses services en ligne ; aucune ne rapporte, dans ces deux pays, le risque alimentaire décrit pour les magasins français.
Accès, réclamation, réparation : trois leviers RGPD de portée inégale
Le RGPD donne au client plusieurs leviers. Aucun n’est automatique, et chacun répond à une question différente.
Le premier sert à savoir. L’article 15, paragraphe 1, ouvre le droit d’obtenir la confirmation que des données vous concernant sont traitées, et d’y accéder. C’est le moyen de connaître ce que l’enseigne détient sur vous. Il établit donc ce qui a pu être exposé.
Le deuxième sert à saisir un régulateur. L’article 77, paragraphe 1, permet d’introduire une réclamation auprès d’une autorité de contrôle. Le texte offre trois rattachements possibles :
- l’État membre de votre résidence habituelle ;
- celui de votre lieu de travail ;
- celui où la violation présumée a eu lieu.
La réclamation saisit l’autorité ; elle ne produit pas, à elle seule, d’indemnisation.
Le troisième passe par le juge. L’article 79, paragraphe 1, ouvre un recours juridictionnel contre le responsable du traitement ou son sous-traitant. L’article 82, paragraphe 1, prévoit la réparation de tout dommage matériel ou moral subi du fait d’une violation du règlement. La condition est exigeante : il faut un dommage, et un lien entre ce dommage et une violation du RGPD. Une fuite ne vaut pas indemnisation de principe.
Le détail de ces démarches figure dans le guide sur vos droits après une fuite de données. L’exemple de l’indemnisation après la fuite de données de la DGFiP montre comment la condition de dommage pèse sur une demande de réparation.
Quatre vérifications, du ticket de caisse à la boîte mail
| Étape | Qui agit | Délai ou condition | Texte |
|---|---|---|---|
| Retrait du rayon | Le distributeur de détail | Immédiatement, dès qu’il a des raisons de penser qu’une denrée n’est pas conforme | Règlement n° 178/2002, art. 19 § 1 et 2 |
| Information et rappel des clients | L’exploitant | Si le produit a pu atteindre le consommateur | Règlement n° 178/2002, art. 19 § 1 |
| Notification à l’autorité de contrôle | Le responsable du traitement | Dans les meilleurs délais, si possible 72 heures après la prise de connaissance | RGPD, art. 33 |
| Communication aux personnes | Le responsable du traitement | Dans les meilleurs délais, si le risque est élevé | RGPD, art. 34 |
Chaque étape laisse une trace que vous pouvez contrôler vous-même :
- le ticket de caisse — il prouve l’achat face à l’enseigne ; Albert Heijn le demande pour compenser les remises perdues ;
- la fiche RappelConso — elle indique le motif et le risque d’un rappel ; une alerte par flux RSS général, par mot-clé ou par catégorie évite de guetter les rayons ;
- la boîte mail et les annonces de l’enseigne — un message individuel n’arrive qu’en cas de risque élevé, et une communication publique peut le remplacer ;
- le droit d’accès — il dit quelles données l’enseigne détient sur vous.
Pour les achats des 11 et 12 octobre, la fiche RappelConso et la communication de l’enseigne restent les deux endroits où un rappel lié à l’incident apparaîtrait.
Questions fréquentes
Mes données ont-elles été volées lors de la cyberattaque des supermarchés français ?
Aucune des sources disponibles ne fait état de données clients volées ou exposées. L’attaque a visé des régulateurs de réfrigération, qui pilotent des températures et ne contiennent pas de fichier client. Cette absence de signalement n’est pas une preuve qu’aucune donnée n’a été touchée. L’enquête est confiée à l’Office anticybercriminalité (OFAC).
Ai-je pu acheter un produit réchauffé le 12 octobre ?
Tout dépend du temps écoulé entre le début du réchauffement, la nuit, et sa détection. Aucune source publique ne documente cette fenêtre ni un produit réchauffé vendu, ce qui n’établit pas qu’aucun ne l’a été. Si un produit a pu atteindre les consommateurs, l’exploitant doit les informer et, au besoin, le rappeler. Le rappel apparaît sur RappelConso et dans la communication de l’enseigne.
L’enseigne doit-elle prévenir ses clients sous 72 heures en cas de fuite de données ?
Non. Le délai de 72 heures vaut pour la notification à l’autorité de contrôle, si possible, à compter de la prise de connaissance de la violation (article 33 du RGPD). Les clients ne sont prévenus individuellement qu’en cas de risque élevé, dans les meilleurs délais (article 34). Des données chiffrées ou un risque neutralisé dispensent de ce message, et une communication publique peut le remplacer.
Quels recours le RGPD prévoit-il si mes données ont pu être touchées ?
Le droit d’accès permet de savoir quelles données l’enseigne détient (article 15). Une réclamation peut être introduite auprès de l’autorité de contrôle du pays de résidence habituelle, de travail ou du lieu de la violation présumée (article 77). Un recours juridictionnel et une demande de réparation sont aussi prévus (articles 79 et 82), mais la réparation suppose un dommage matériel ou moral lié à une violation du règlement.
L’incident d’Albert Heijn et de Delhaize est-il lié à l’attaque française ?
Aucun lien n’est établi. Chez Ahold Delhaize, ce sont les sites, les applications, le service client et les livraisons qui ont été mis hors service, pas des frigos. Albert Heijn ne peut pas confirmer que les données de ses clients sont intactes, sans qu’une fuite soit avérée. L’enseigne invite ses clients à garder leurs tickets en vue d’une compensation.
