Dans la nuit de dimanche à lundi 12 octobre, une cyberattaque a visé les installations frigorifiques de centaines de supermarchés français, contraignant les magasins touchés à « vider les bacs réfrigérés, faire un constat d’huissier, ou encore jeter les denrées » [2]. RFI [1], franceinfo [2] et France 24 [3] publient le jour même trois articles construits sur les mêmes matériaux. Un mot y revient partout : « inédit ».

Un adjectif né sur X, fini en chapeau

Le mot ne vient pas des rédactions. Il naît dans le message publié sur X par Dominique Schelcher, PDG de Coopérative U : « S’attaquer à des équipements essentiels à la conservation des produits frais et à l’approvisionnement alimentaire des Français est d’une extrême gravité et est inédit » [1][2][3]. Le groupe Les Mousquetaires surenchérit : une attaque « de cette ampleur, est de toute façon inédite » [2].

RFI laisse l’adjectif dans la citation. franceinfo le promeut dès son chapeau : « Un phénomène “inédit” et “d’une extrême gravité” » [2]. France 24 l’absorbe dans son lead : une cyberattaque « inédite » [3]. C’est le mécanisme que ce site traque : un adjectif de communication de crise devient la caractérisation éditoriale de l’événement. Le reste du communiqué suit le même chemin ; « une enquête devra permettre de faire toute la lumière » figure mot pour mot dans les trois articles [1][2][3].

Le problème n’est pas la citation. C’est qu’aucun des trois textes ne met l’adjectif à l’épreuve, alors que chacun contient, dans ses propres paragraphes, de quoi le contester.

La faille était publique depuis le 18 septembre

France 24, dans l’article même qui qualifie l’attaque d’« inédite », rapporte que « Danfoss avait fait part ces derniers mois de plusieurs vulnérabilités graves » sur ses logiciels, et qu’il avait évoqué dès le 18 septembre une faille permettant « à des attaquants d’obtenir un accès en lecture et en écriture aux valeurs internes, de télécharger et d’exécuter » des programmes non sécurisés [3].

Une faille rendue publique il y a plus de trois semaines, qui permet d’écrire les valeurs internes des régulateurs ; une attaque qui modifie ces valeurs à distance. Les deux faits sont posés côte à côte, sans qu’aucune question ne les rapproche : la faille exploitée lundi est-elle celle qui avait été annoncée ? Aucun des trois articles ne la pose à Danfoss ni à l’Anssi. À la seule lecture de ces textes, la réponse est inconnue ; c’est cette absence de question qui est le fait médiatique.

franceinfo ajoute, sans plus de friction, que les appareils visés sont « des produits obsolètes », les systèmes AK-SM800 et AK-SC355, « qui ont atteint leur fin de vie et ne bénéficient plus de mises à jour logicielles ni de mises à jour de sécurité » [2] ; des contrôleurs sans correctifs, chez un fabricant qui « équipe de très nombreux magasins français » [1]. L’événement peut être un premier ; le risque, lui, était documenté et non corrigé. En néolangue : « inédit » signifie « imprévisible », et « imprévisible » signifie « personne n’est responsable ». L’adjectif transforme une affaire de gouvernance (qui a laissé des équipements incorrigibles gérer la chaîne du froid ?) en pure affaire d’agression.

« Incidents survenus » : la passivité du fabricant

Le communiqué de Danfoss, repris par franceinfo [2], mérite une lecture lente : des « incidents survenus en France et touchant un nombre limité de systèmes de gestion de la réfrigération ». Les incidents « surviennent » ; personne ne les provoque. Et le « nombre limité » cohabite, dans le même article, avec « entre 200 et 300 magasins » Intermarché et « 5% des magasins Monoprix » [2], tandis que France 24 compte « au moins 300 points de vente » [3]. Aucune rédaction ne fait se rencontrer ces deux phrases.

Suit la bascule de responsabilité : Danfoss « recommande depuis longtemps à ses clients » de migrer les systèmes obsolètes [2]. « Obsolète » transforme une décision du fabricant, l’arrêt des correctifs, en propriété de l’objet, puis la propriété de l’objet en faute du client. Et au détour d’une subordonnée, le détail le plus lourd de l’affaire : parmi les mesures d’atténuation figure « la suppression de l’exposition directe à internet le cas échéant » [2]. Les régulateurs de la chaîne du froid alimentaire étaient exposés directement à internet. C’est le fait structurel de toute l’histoire, livré en note technique.

La seule explication structurelle des trois articles tient en une citation de France 24 : ces systèmes « ont été conçus pour privilégier la fiabilité et la maîtrise des coûts, plutôt que la protection contre les cyberattaques » [3]. RFI et franceinfo ne la reprennent pas.

Dégivrage forcé ou 50 °C ?

Le mécanisme de l’attaque change de version selon l’article. RFI et France 24 relaient BFMTV : les pirates « auraient réussi à déclencher à distance le dégivrage forcé » [1][3], au conditionnel et avec attribution. franceinfo, citant Les Mousquetaires, écrit : « La température des congélateurs et des réfrigérateurs a été réglée à 50°C » [2]. Un cycle de dégivrage et une consigne à 50 °C ne décrivent pas le même phénomène ; aucun article ne signale la divergence. La cible est tout aussi floue : Les Mousquetaires disent que Danfoss « a été victime d’une cyberattaque » [2] ; E.Leclerc parle d’une attaque sur « l’un de ses fournisseurs de matériel frigorifique » [2][3] ; le parquet de Paris vise « les réfrigérateurs connectés de plusieurs grands magasins » [1][3]. Une intrusion côté fabricant et des contrôleurs exposés à internet n’ont pas les mêmes implications de responsabilité ; les trois textes glissent de l’une à l’autre sans trancher.

Les feux qu’un article écrit et que deux autres oublient

Le détail le plus frappant est une disparition. RFI écrit, sur indication du parquet de Paris, qu’« il y a aussi eu des “départs de feu” » [1]. France 24 cite la même annonce du parquet, mais sa citation s’arrête aux « pertes de denrées alimentaires » [3] ; franceinfo ne mentionne aucun feu [2]. Du code exécuté à distance qui met le feu à des commerces est un fait autrement plus grave que le gaspillage ; sa présence inégale, le même jour, sur la même source institutionnelle, n’est expliquée nulle part. Le lecteur ne peut même pas savoir quelle version de la citation est complète.

L’attaque contre « l’approvisionnement alimentaire des Français »

Pendant ce temps, le vocabulaire monte en gamme. Schelcher dénonce une attaque contre l’« approvisionnement alimentaire des Français » [1][3] ; le commissaire européen Christophe Hansen déclare que « l’instrumentalisation de l’alimentation est devenue une réalité » [3] ; l’entourage du Premier ministre assure : « L’État est mobilisé, il anticipe et il coordonne » [3]. « Il anticipe », dans un article qui rapporte cette faille évoquée publiquement dès le 18 septembre [3]. Aucun des trois textes ne nomme de suspect ; le lexique de la guerre alimentaire, lui, est déjà en place. Le mécanisme orwellien est élémentaire : le vocabulaire choisit l’ennemi avant que les faits ne l’aient désigné. Et l’ennemi désigné rend invisibles les questions de défense : qui a connecté à internet des contrôleurs en fin de vie, qui a différé les migrations, et pourquoi, comme le dit Intermarché en passant, les assurances « ne couvrent pas ce type » d’incident [1][3] ?

Côté Huxley : franceinfo sert l’histoire dans une page qui propose aussi « Raphaël Glucksmann enfariné », Sandrine Bonnaire et des aurores boréales [2], et renvoie à son propre article : « pourquoi la France semble-t-elle si vulnérable en matière de cybersécurité ? » [2]. Une page qui qualifie le phénomène d’« inédit » tout en pointant la vulnérabilité chronique du pays. Le spectacle est servi ; le carnet de maintenance, non.

Ce dont le lecteur aurait besoin à la place

Les chiffres divergent entre les trois articles du même jour (150 à 200 magasins Intermarché chez RFI [1], 200 à 300 chez franceinfo [2], « au moins 300 » chez France 24 [3]) ; tout chiffrage doit être lu comme provisoire, et cette critique ne repose que sur trois textes du 12 octobre.