Frigos piratés : trois adresses concentrent 45 % des résultats du relevé Shodan

Dans la nuit du 11 au 12 octobre 2026, des attaquants ont pris la main à distance sur les frigos de supermarchés français. Thierry Cotillard, président du Groupement Mousquetaires (Intermarché, Netto), a raconté sur BFMTV qu’ils avaient mis les meubles réfrigérés en dégivrage et fait grimper leur température jusqu’à 50 degrés (AFP). Le 13 octobre, Reuters comptait au moins 350 magasins touchés par la cyberattaque, et au moins 4 500 interfaces Danfoss visibles sur Shodan, un moteur de recherche qui recense ce qui répond sur Internet.

En lisant ce deuxième chiffre, on s’est demandé : ça fait combien de frigos ? On a refait le compte, puis on est allés voir à quoi ressemblent ces installations dans les données de Profundis, notre propre moteur de recherche. Les noms qui reviennent le plus souvent sont ceux de NAS, des disques durs en réseau.

Un seul boîtier peut piloter tout le froid d’un site, des vitrines aux chambres froides. Le frigoriste peut s’y connecter à distance par une page web. C’est cette page que les moteurs trouvent. L’alerte du CERT-FR parle de nombreux boîtiers Danfoss (AK-SM, AK-SC) et XWEB (Copeland, Dixell) compromis.

4 500 interfaces, ça fait combien de boîtiers ?

Sur Shodan, ces résultats correspondent à moins de 2 500 adresses IP, d’après notre estimation. Ça ne donne pas encore le nombre de boîtiers.

Un résultat Shodan, c’est la dernière réponse d’une adresse sur un port, reçue au cours des 30 derniers jours. Un boîtier ouvert sur trois ports compte donc trois fois, et une connexion Internet dont l’adresse IP change dans le mois peut aussi compter plusieurs fois. C’est écrit dans la documentation de Shodan, mais ce n’est pas ce qu’on a en tête en lisant « 4 500 ».

On a regardé quelles adresses concentrent le plus de résultats sur les graphiques publics de Shodan. Le 13 octobre, Shodan en affichait 4 625 pour la page d’accueil du boîtier Danfoss. Environ 2 070 viennent de trois adresses à elles seules, soit 45 %. Dans ce relevé, l’interface apparaît sur des centaines de ports pour chacune de ces adresses.

Résultats de Shodan pour la page d’accueil du boîtier Danfoss, relevés le 13 octobre 2026 sur ses graphiques publics. Le plafond d’adresses est estimé à partir des dix adresses les plus représentées.

Qu’est-ce qu’il y a derrière ces trois adresses ? On ne les a pas contactées, donc on ne sait pas. Peut-être une box ou un pare-feu qui renvoie toute sa plage de ports vers la même page, peut-être un leurre posé là pour observer les attaquants. Il y a très peu de chances que ce soit un boîtier par port.

En retirant les répétitions des dix adresses les plus représentées, on obtient un plafond d’environ 2 440 adresses sur Shodan. C’est le même ordre de grandeur qu’ailleurs : Shadowserver voit environ 1 800 interfaces par jour, dont un millier en France, et une capture d’écran de Censys publiée par Claroty en août montrait 2 765 adresses. On retrouve le même phénomène avec les pages intitulées XWEB, un critère de recherche moins précis : environ 7 100 résultats, dont 60 % sur cinq adresses.

Ces chiffres ne permettent pas de compter les magasins.

Et dans nos données ?

Profundis part surtout de noms de domaine et interroge les services qui répondent aux adresses correspondantes. On peut ainsi retrouver les noms associés à une adresse où répond un boîtier. On a jeté un œil à 163 adresses de notre index, vues entre le 15 juillet et le 12 octobre 2026, sans leur envoyer la moindre nouvelle requête : on a seulement relu ce que notre robot avait déjà enregistré.

Là aussi, il a fallu dédoublonner : 379 résultats, enregistrés sous 215 noms et 4 adresses sans nom. En écartant les entrées derrière un relais ou sans adresse enregistrée, on arrive à 163 adresses IP. Plusieurs noms peuvent mener à la même adresse et au même port, avec le même serveur et la même icône. Il peut alors s’agir d’un seul boîtier. Pivot, notre outil de graphe, permet de retrouver les noms qui ont un jour pointé vers la même adresse.

Par quel nom arrive-t-on aux frigos ?

Presque jamais par un nom qui évoque les frigos : seules 18 des 219 entrées portent un nom qui semble désigner le boîtier. Les autres évoquent le plus souvent d’autres équipements ou services.

Ce que semblent désigner les 219 entrées : 215 noms et 4 adresses sans nom. En orange, le domaine d’une entreprise. En bleu, un nom fourni par un fabricant, un opérateur ou un service de DNS dynamique. En gris, le reste.

Les noms associés à un NAS arrivent en tête : 90, dont 83 liés à Synology. Viennent ensuite 81 noms rattachés au domaine de l’exploitant du site ou de son prestataire. La plupart désignent eux aussi autre chose que les frigos : la messagerie, le VPN, le planning, les caméras. On trouve enfin 15 noms associés à un routeur ou à une box et 14 à un standard téléphonique.

Pour 114 adresses sur 163 (sept sur dix), on n’a trouvé aucun nom rattaché au domaine d’une entreprise, seulement celui du NAS, de la box, du standard ou de la ligne.

Tout ça fait penser à une installation très simple : le boîtier serait sur le réseau du site, derrière la même adresse que d’autres équipements, avec un port redirigé vers lui pour que le frigoriste s’y connecte. C’est une déduction : on n’a rien vérifié sur place.

Pourquoi un NAS ?

Parce qu’un NAS peut avoir un nom public, et que notre moteur part des noms. Un NAS peut recevoir un nom chez son fabricant pour l’accès distant et obtenir un certificat TLS Let’s Encrypt. Let’s Encrypt inscrit tous ses certificats dans des journaux publics que n’importe qui peut lire. Notre robot peut y lire le nom, visiter l’adresse et essayer des ports. Sur l’un d’eux, il peut alors tomber sur le boîtier des frigos. Ça explique sans doute une partie de ces noms, mais on ne l’a pas vérifié pour chacun.

Ces boîtiers sont-ils protégés ? Ont-ils été attaqués ?

Sur 122 des 163 adresses, soit trois sur quatre, on n’a vu le boîtier qu’en HTTP, sans chiffrement, pendant ces trois mois. On n’a essayé aucun identifiant, mais si l’interface n’ajoute pas son propre chiffrement, un mot de passe saisi sur cette page circule en clair. Et sur 115 adresses, on ne l’a vu sur aucun des deux ports habituels du web, le 80 et le 443 : ça ne l’a pas empêché d’être trouvé.

On ne sait pas lesquels ont été attaqués. Au 13 octobre, aucune annonce officielle ne précisait comment les attaquants étaient entrés, et nos données ne donnent pas la version installée. Danfoss dit que la plupart de ses appareils touchés sont des modèles en fin de vie, qui ne reçoivent plus de mises à jour. Pour chaque adresse, la date enregistrée est celle de la dernière réponse reçue. Au moment de l’extraction, le 12 octobre, cette réponse remontait à plus de trente jours pour 121 des 163 adresses. Certains boîtiers ont pu être débranchés depuis.

Et si vous gérez un magasin ?

Demandez à votre frigoriste comment il se connecte à distance au boîtier des frigos. Le boîtier est-il accessible directement depuis Internet, ou faut-il d’abord se connecter à un VPN ? Danfoss déconseille de rendre ses appareils joignables directement depuis Internet.

Dans son alerte du 13 octobre, le CERT-FR estime que des attaques sont probablement toujours en cours et recommande de supprimer l’exposition des unités à Internet. La suite dépend de l’état du boîtier : vérification des réglages, notamment des plages de dégivrage, s’il n’est pas compromis ; restauration et reconfiguration s’il l’est ; puis accès par un VPN sécurisé ou un réseau protégé. Faites suivre au frigoriste la procédure complète de l’alerte, avec les mesures recommandées par le constructeur pour la remise en service.

Regardez aussi ce qui répond d’autre sur la même ligne. Cacher le nom du NAS ne réglerait rien : le boîtier resterait joignable par son adresse IP.

Méthode et données

On a noté les chiffres de Shodan le 13 octobre 2026 vers 16 h 10 UTC, sur les graphiques publics du moteur, en recherchant le titre de la page d’accueil du boîtier Danfoss. C’est aussi la recherche qu’utilise SOCRadar. Ces graphiques ne montrent que les dix premières valeurs. On les a relevées en lisant les barres, à quelques unités près : environ 2 070 résultats pour les trois premières adresses, environ 2 195 pour les dix premières, sur 4 625. Le total bouge vite : il était de 4 501 trois heures plus tôt. Le plafond estimé (4 625 − 2 195 + 10 = 2 440) suppose une seule réponse pour chacune des autres adresses. Ce plafond porte sur les adresses distinctes du relevé Shodan sur trente jours, pas sur le nombre de boîtiers exposés. Pour les XWEB, on a additionné les résultats de trois titres de page (environ 7 140 résultats, dont 4 315 sur cinq adresses).

Pour Shadowserver, on a pris la médiane de son relevé quotidien sur un mois. Onyphe compte de son côté 6 212 adresses pour l’interface Danfoss, mais cumulées sur quelques jours (moins d’une semaine). SOCRadar avait noté le même écart pour la France : 2 898 résultats sur Shodan, 881 adresses chez Censys.

On a extrait nos données de l’index le 12 octobre 2026. On a gardé les enregistrements où notre robot a reconnu l’interface Danfoss (AK-SM, StoreView) ou XWEB (Copeland, Dixell), avec une dernière réponse entre le 15 juillet et le 12 octobre 2026. Le nom du fabricant ne suffit pas à lui seul pour qu’on garde un enregistrement, et on a écarté le portail en ligne du constructeur. Pour 45 des 163 adresses, l’identification du boîtier repose sur des indices moins sûrs que le titre complet de l’interface. Ces identifications sont plausibles, mais on ne les a pas vérifiées une par une.

Notre moteur part surtout de noms de domaine : ceux qui figurent dans les certificats TLS publics, ceux qui appartiennent aux domaines que nos utilisateurs explorent, et des variantes de noms connus. Il tire aussi des adresses au hasard, sans chercher à les couvrir toutes, et 4 des 163 adresses viennent de là. Pour chaque nom, le robot interroge le DNS puis teste environ 140 ports sur l’adresse obtenue. Si au moins cinq répondent, il teste tous les ports. Sur les ports web, il demande la page d’accueil avec l’en-tête d’un navigateur courant, sans identifiant ni formulaire. Il suit les redirections, télécharge l’icône et peut exécuter le JavaScript de la page. Sur les autres ports (SSH, SNMP, bases de données), il lit les bannières et pose quelques questions sans mot de passe. Un boîtier seul sur un port inhabituel peut donc lui échapper.

Pour compter les adresses IP, on écarte 18 des 219 entrées : 17 passent par un tunnel ou un CDN, où l’adresse vue est celle du relais, et 1 n’a pas d’adresse. Ces noms sont répartis dans plusieurs catégories de la figure, qui classe les noms selon ce qu’ils désignent, et non selon leur mode d’accès. Les 201 entrées restantes correspondent aux 163 adresses : 66 avec une interface Danfoss et 100 avec une XWEB, dont 3 avec les deux. 12 adresses répondent sur plusieurs ports. Aucun de ces chiffres n’est un nombre de frigos ou de magasins.

Le port sur lequel on trouve le plus souvent un boîtier est le 8080 (42 adresses), devant le 80 (37) et le 443 (15). Pour 33 des 66 adresses Danfoss, on ne l’a vu sur aucun de ces trois ports, et Onyphe arrive à peu près au même résultat : moins de la moitié des interfaces sont sur un port web standard.

Le pays est celui de l’adresse IP, pas forcément celui du site. Lorsqu’une adresse présente les deux interfaces, le pays retenu peut provenir d’un enregistrement Danfoss ou XWEB. Côté Danfoss, 27 adresses sur 66 sont en France, 9 en Belgique et 5 aux Pays-Bas. Côté XWEB, l’Allemagne et l’Italie arrivent en tête (12 adresses chacune sur 100) et la France en compte 4. Ça ne veut pas dire que les XWEB sont rares en France : Shadowserver en voit environ 140.

L’index garde un enregistrement par nom, adresse et port, mis à jour quand le port répond. Certains champs peuvent dater d’un passage précédent, et rien ne garantit que le robot repasse à intervalle régulier. En remontant au plus ancien enregistrement (août 2024), on arrive à 615 adresses.

Une première version de cet article, datée du 12 octobre, comptait 199 noms. On a changé d’unité et corrigé la façon dont on reconnaît les boîtiers : 23 noms XWEB ajoutés, 3 retirés (2 du constructeur, 1 page de blocage).

Les fichiers de données : doublons Shodan, origine des noms, pays et mesures. On ne liste ici ni noms, ni adresses, ni empreintes.