Frigos piratés dans les supermarchés : le fabricant peut-il être tenu responsable ?

On connaissait les cyberattaques qui paralysent des hôpitaux, bloquent des entreprises ou entraînent le vol de données personnelles. Désormais, les pirates peuvent aussi s’en prendre aux frigos des supermarchés. En prenant le contrôle de systèmes de régulation frigorifique, ils ont provoqué une hausse des températures, rendant des marchandises impropres à la consommation. Une attaque aux conséquences bien réelles, qui pourrait désormais se prolonger devant les tribunaux.

Une faille informatique, mais quelle responsabilité ?

Le patron du Groupement Les Mousquetaires annonce une bataille juridique avec Danfoss, le fabricant danois des systèmes de régulation concernés. L’enjeu : déterminer si l’entreprise peut être tenue responsable des dégâts provoqués par cette cyberattaque.

Le Code civil offre une première piste. Son article 1240 prévoit qu’une personne ayant commis une faute à l’origine d’un dommage peut être condamnée à le réparer. Encore faut-il démontrer cette faute et établir un lien avec les pertes subies.

Dans cette affaire, plusieurs questions devront donc être éclaircies. Le fabricant connaissait-il la vulnérabilité exploitée par les pirates ? Avait-il proposé une mise à jour pour la corriger ? Et surtout, qui était chargé de l’installer ?

Si le fabricant connaissait la faille et qu’il avait la responsabilité de la corriger, sa responsabilité pourrait être engagée. À l’inverse, si un correctif avait été mis à disposition, mais qu’il n’avait pas été installé par l’exploitant, cela pourrait modifier l’analyse.

Attention toutefois : la présence d’une faille informatique ne suffit pas à rendre automatiquement son fabricant responsable. Il faudra examiner les obligations de chaque acteur, les mesures de sécurité prises et les circonstances précises de l’attaque. D’autres fondements juridiques, notamment le régime des produits défectueux, pourraient également être étudiés selon les faits.

Les pirates restent à l’origine de l’attaque, mais ils ne sont pas nécessairement les seuls acteurs dont la responsabilité pourrait être examinée. Car derrière cette affaire se cache une question essentielle : qui devait prendre les mesures nécessaires pour éviter que cette vulnérabilité ne provoque des dégâts ? C’est à l’enquête, puis éventuellement à la justice, d’y répondre.