Pompe à chaleur connectée : piratage, risque réel et réglages qui vous protègent

Dans la nuit du 11 au 12 octobre 2026, des pirates ont modifié à distance la régulation frigorifique de plusieurs centaines de supermarchés français et poussé les consignes de dégivrage jusqu'à 50 °C, selon le Snefcca (Syndicat national des entreprises du froid). Depuis, une question revient chez les propriétaires équipés : pompe à chaleur connectée, piratage du chauffage, même scénario ? La réponse tient en trois points. Une pompe à chaleur domestique pilotée par l'application de son fabricant passe par un serveur distant et n'expose aucune interface ouverte sur Internet comparable aux contrôleurs visés dans les magasins. Le point faible principal se situe sur votre compte utilisateur et votre réseau Wi-Fi. Neuf réglages, pour la plupart gratuits, ferment l'essentiel du risque, et le droit européen impose désormais aux fabricants de signaler toute faille exploitée en 24 heures.

À retenir :

• Le 12 octobre 2026, le Snefcca a indiqué que des contrôleurs Danfoss AK-SM 800 et AK-SC 355 de supervision frigorifique avaient été détournés dans des centaines de magasins ; l'Agence France-Presse recense 150 à 200 magasins Intermarché touchés.
• Clubic a rapporté le 8 octobre 2026 qu'un chercheur avait pu entrer sans mot de passe dans la plateforme iSolarCloud de Sungrow, à laquelle 470 000 installations solaires européennes sont reliées.
• Pompe à chaleur connectée, piratage : selon le baromètre Cybermois 2026, 45 % des Français ont été informés d'une fuite de leurs données, d'où l'importance d'un mot de passe propre à l'application du chauffage.
• Le règlement délégué (UE) 2022/30 impose des exigences de cybersécurité à tout équipement radio connecté mis sur le marché depuis le 1er août 2025.
• Depuis le 11 septembre 2026, le Cyber Resilience Act oblige les fabricants à alerter les autorités dans les 24 heures sur toute vulnérabilité activement exploitée.

Nuit du 11 au 12 octobre 2026 : la régulation frigorifique de centaines de magasins détournée

L'attaque a visé la supervision frigorifique, c'est-à-dire l'automate qui pilote à distance les meubles réfrigérés et les chambres froides d'un magasin. Batiactu rapporte le 12 octobre 2026 que « les paramètres de températures et de dégivrage [ont été] modifiés à de très hautes températures (50°C), pouvant engendrer des pertes de marchandises et des départs de feu », selon le communiqué du Snefcca. Le dégivrage est la phase pendant laquelle un évaporateur se réchauffe quelques minutes pour faire fondre le givre accumulé. Les pirates ont détourné cette fonction normale pour la rendre continue.

L'ampleur se mesure en magasins. Selon l'Agence France-Presse, 150 à 200 magasins Intermarché et moins d'une centaine de points de vente de Coopérative U ont été touchés. Dominique Schelcher, président de Coopérative U, a confirmé sur le réseau X : « Je confirme qu'une cyberattaque touche depuis cette nuit les installations de production de froid de plusieurs magasins de notre réseau ». Econostrum cite des pertes atteignant 200 000 € pour certains supermarchés des Côtes-d'Armor. Les ministères du Commerce et de l'Intérieur ainsi que l'ANSSI (Agence nationale de la sécurité des systèmes d'information) ont été saisis. Le parquet de Paris a ouvert une enquête, d'après Techniques de l'Ingénieur.

Le point commun des sites touchés est un matériel précis. Le Snefcca évoque une fragilité des modèles Danfoss AK-SM 800 et AK-SC 355. Dans un communiqué transmis à BFM-TV et repris par Batiactu, Danfoss reconnaît qu'un nombre « limité » de systèmes a été touché, en majorité des « produits d'ancienne génération », arrivés « en fin de vie » et privés de « mises à jour logicielles ou de sécurité ». Les installateurs frigoristes ont déconnecté la supervision des sites touchés. Le 12 octobre, ils attendaient le mode opératoire validé par le fabricant pour la reconnecter.

Un élément technique éclaire la suite de cet article. En août 2026, l'équipe de recherche Team82 de la société Claroty avait recensé plusieurs milliers d'interfaces d'administration de ces contrôleurs accessibles directement depuis Internet, avec des failles d'authentification corrigées dans la version logicielle 4.3.1, selon Techniques de l'Ingénieur. Le journal précise qu'aucune preuve publique ne relie encore l'attaque à ces failles précises. Le scénario reste instructif. Un automate joignable depuis n'importe où, une version ancienne jamais mise à jour et une fonction légitime détournée composent une grille de lecture applicable à votre propre chauffage.

Pompe à chaleur connectée : piratage possible, par quel chemin ?

Une pompe à chaleur air/eau connectée est une pompe à chaleur dont le régulateur communique avec un serveur du fabricant, par un module Wi-Fi intégré ou par une passerelle branchée sur votre box. Vous la pilotez ensuite depuis une application : Daikin Onecta, Atlantic Cozytouch, Mitsubishi Electric MELCloud ou Viessmann ViCare selon la marque. Pour une pompe à chaleur connectée, piratage désigne l'une de trois intrusions : prendre la main sur votre compte dans l'application, attaquer le serveur du fabricant, ou entrer dans votre réseau domestique.

Premier chemin : votre compte utilisateur

Le compte utilisateur concentre l'essentiel du risque domestique. Une personne qui connaît votre adresse e-mail et votre mot de passe accède aux mêmes commandes que vous, depuis n'importe quel téléphone. Le baromètre Cybermois publié le 15 septembre 2026 par Cybermalveillance.gouv.fr avec Ipsos montre l'ampleur du sujet : la part de Français informés d'une fuite de leurs données personnelles est passée de 30 % en 2025 à 45 % en 2026. Un mot de passe réutilisé sur un site victime d'une fuite circule ensuite dans des listes testées automatiquement sur d'autres services. Sur une pompe à chaleur connectée, piratage du compte et oubli de vos propres identifiants laissent la même trace : une consigne qui change sans que personne au foyer ne l'ait touchée. Le même baromètre indique que 53 % des personnes notifiées d'une fuite déclarent avoir changé leurs mots de passe.

Deuxième et troisième chemins : le serveur du fabricant et votre Wi-Fi

Le serveur du fabricant est la seconde porte, la plus lourde de conséquences. Une faille à cet endroit touche des milliers d'appareils en même temps, comme l'a montré l'affaire Sungrow détaillée plus bas. Vous n'avez pas la main sur ce maillon. Le Cyber Resilience Act, décrit plus loin, oblige désormais le fabricant à le surveiller et à signaler ses incidents.

Votre réseau Wi-Fi est la troisième porte. Un module de pompe à chaleur partage le réseau de vos ordinateurs, téléphones et caméras. Une box dont le mot de passe d'usine n'a jamais changé ou dont le logiciel n'est plus mis à jour offre un point d'entrée vers tous ces équipements. Cybermalveillance.gouv.fr, dans sa fiche « 10 mesures essentielles » mise à jour le 5 octobre 2026, demande d'appliquer les mises à jour de sécurité sur tous vos appareils dès qu'elles sont proposées.

Les commandes accessibles à un intrus et les sécurités matérielles

Un intrus agit dans les plages que le régulateur autorise. Depuis l'application, il éteint le chauffage, baisse ou relève la consigne de température, change le programme horaire, monte la consigne d'eau chaude sanitaire dans la limite permise par l'appareil, ou consulte vos données d'usage (horaires de présence, consommation). Le cas des supermarchés illustre ce mécanisme : les pirates ont exploité une fonction prévue par le constructeur, le dégivrage, au-delà de son usage normal.

Les sécurités matérielles restent hors de portée d'une application. Les pressostats haute et basse pression du circuit frigorifique, le disjoncteur du tableau électrique et les sécurités de surchauffe du ballon agissent physiquement, sans passer par le logiciel de pilotage. Un appareil installé dans les règles de l'art et mis en service par un professionnel qualifié garde ces protections actives quelle que soit la commande reçue à distance. La conséquence réaliste d'une prise de contrôle domestique est une perte de confort ou une surconsommation, tant que personne ne repère l'anomalie. Une pompe à chaleur éteinte une nuit d'hiver laisse le logement refroidir jusqu'au matin ; une consigne d'eau chaude réglée au maximum alourdit la facture jusqu'à sa correction.

Le réglage fin de votre installation compte autant que sa protection : notre analyse de la performance réelle d'une pompe à chaleur air/eau détaille les paramètres à surveiller dans l'application pour repérer une dérive.

Panneaux solaires et onduleurs : la faille iSolarCloud et ses 470 000 installations

Le photovoltaïque a connu son alerte quelques jours avant les supermarchés. Clubic a rapporté le 8 octobre 2026 qu'un chercheur, Marlon Starkloff, dirigeant de la société allemande Jakkaru, avait découvert fin août une faille dans iSolarCloud, la plateforme de gestion à distance du fabricant chinois d'onduleurs Sungrow. Selon l'article, 470 000 installations Sungrow sont connectées à ce service en Europe, dont environ 250 000 en Allemagne représentant 7,8 gigawatts (GW) de puissance de crête. Une capture du tableau de bord européen affichait près de 18 GW de production en temps réel.

Un onduleur est l'appareil qui convertit le courant continu produit par les panneaux en courant alternatif utilisable par la maison et le réseau. Avec les droits obtenus, le chercheur pouvait, d'après Clubic, « lister les installations d'une région, de modifier leur configuration, de démarrer ou d'arrêter onduleurs et batteries », et même « pousser un nouveau firmware sur les appareils connectés ». Il a déclaré à Die Zeit : « J'aurais pu éteindre les onduleurs ou installer un logiciel malveillant ». Clubic précise qu'aucune alerte de connexion n'était envoyée au propriétaire et que les codes reçus par e-mail pouvaient être contournés par cette voie parallèle. Pour mesurer l'enjeu, Harm van den Brink, chercheur en cybersécurité spécialisé dans les infrastructures énergétiques et membre du DIVD (Dutch Institute for Vulnerability Disclosure), rappelle dans Clubic que la réserve primaire de fréquence de l'Europe continentale est dimensionnée à partir d'un incident de référence de 3 GW. Le BSI (Office fédéral allemand de la sécurité des technologies de l'information) a qualifié l'incident de critique.

La suite rassure en partie. Sungrow aurait corrigé la faille en moins de 24 heures, affirme n'avoir détecté aucune exploitation par un tiers et soutient qu'un mot de passe supplémentaire protégeait les réglages sensibles des onduleurs. Le constat de fond demeure : dans une installation domestique moderne, la plateforme du fabricant concentre le pilotage de centaines de milliers d'appareils, et sa solidité échappe au contrôle du propriétaire.

Dans un foyer équipé à la fois de panneaux solaires et d'une pompe à chaleur, les deux équipements utilisent en règle générale la box de la maison pour joindre leurs serveurs respectifs. Le tableau ci-dessous compare les trois situations de l'automne 2026 sur les critères utiles à votre maison.

Pompe à chaleur connectée, piratage et loi : les obligations des fabricants depuis 2025

Deux textes européens encadrent désormais la sécurité des appareils connectés vendus en France. Le premier s'applique au moment de la vente, le second pendant toute la durée de vie du produit. Pour le propriétaire d'une pompe à chaleur connectée, piratage et responsabilité du fabricant se lisent donc différemment selon la date d'achat de l'appareil.

La directive RED et les normes EN 18031, depuis le 1er août 2025

La directive RED (Radio Equipment Directive, directive 2014/53/UE sur les équipements radio) fixe les conditions de mise sur le marché de tout appareil qui émet par radio, Wi-Fi compris. Son règlement délégué (UE) 2022/30 y ajoute trois exigences de cybersécurité, obligatoires pour tout équipement connecté mis sur le marché depuis le 1er août 2025, selon le LCIE Bureau Veritas, organisme notifié. Elles portent sur la protection du réseau contre les perturbations (article 3.3 d), la protection des données personnelles (article 3.3 e) et la réduction du risque de fraude aux paiements (article 3.3 f). Les normes harmonisées EN 18031-1, -2 et -3 permettent au fabricant de démontrer sa conformité. Le LCIE précise que les appareils déjà vendus avant cette date, sans alerte de sécurité particulière, restent utilisables jusqu'à la fin de leur vie.

Le Cyber Resilience Act, depuis le 11 septembre 2026

Le Cyber Resilience Act (règlement (UE) 2024/2847 du 23 octobre 2024 sur la cyberrésilience, ou CRA) couvre les produits comportant des éléments numériques : objets connectés, logiciels, applications et, selon le cabinet Kohen Avocats, les traitements de données à distance indispensables à une fonction du produit. Sa première obligation s'applique depuis le 11 septembre 2026. L'article 14 impose au fabricant une alerte précoce « au plus tard 24 heures » après avoir eu connaissance d'une vulnérabilité activement exploitée, une notification plus complète sous 72 heures, puis un rapport final. Les déclarations passent par une plateforme unique gérée par l'ENISA (Agence de l'Union européenne pour la cybersécurité). Cette obligation vise aussi les produits placés sur le marché avant le 11 décembre 2027, en vertu de l'article 69, paragraphe 3. L'ensemble du règlement, avec ses exigences de sécurité dès la conception et de mises à jour pendant la période de support, s'appliquera au 11 décembre 2027, date à laquelle il prendra le relais du règlement délégué RED.

Chronologie type d'une faille, du signalement au correctif

Le CRA transforme une faille en procédure datée. Dans un incident de pompe à chaleur connectée, piratage et correctif suivent un calendrier fixé par l'article 14. Prenons un fabricant qui découvre, un lundi à 9 heures, qu'une faille de son serveur est exploitée contre des comptes clients. Il doit envoyer son alerte précoce avant le mardi 9 heures, compléter sa notification avant le jeudi 9 heures, puis remettre son rapport final une fois le correctif disponible. Kohen Avocats rappelle que le fabricant doit aussi organiser l'information des utilisateurs touchés. Côté propriétaire, la réaction utile tient en trois gestes : lire le message du fabricant dans l'application officielle plutôt qu'en cliquant sur un lien reçu, changer le mot de passe du compte, puis vérifier que le module a reçu la mise à jour.

Sécuriser votre pompe à chaleur Wi-Fi : neuf réglages à faire chez vous

Contre le risque « pompe à chaleur connectée, piratage », neuf réglages couvrent les trois portes décrites plus haut. La plupart prennent quelques minutes et ne demandent aucun achat. Ils suivent les recommandations publiques de Cybermalveillance.gouv.fr, le dispositif national d'assistance aux victimes de cybermalveillance, et les leçons des incidents de l'automne 2026.

1. Mot de passe unique. Créez pour l'application de votre pompe à chaleur un mot de passe long, complexe et que vous n'utilisez nulle part ailleurs, comme le recommande la fiche des 10 mesures essentielles de Cybermalveillance.gouv.fr.
2. Double authentification. Activez-la dans l'application si le fabricant la propose ; Cybermalveillance.gouv.fr recommande de l'activer « chaque fois que c'est possible ». Un code reçu sur votre téléphone bloque l'accès d'un intrus qui connaît votre mot de passe.
3. Mises à jour du module. Acceptez les mises à jour du module Wi-Fi ou de la passerelle dès qu'elles s'affichent, ainsi que celles de l'application sur votre téléphone. Le cas Danfoss montre le coût d'un matériel resté sur une ancienne version.
4. Box internet à jour. Changez le mot de passe Wi-Fi d'usine de votre box s'il figure encore sur l'étiquette. Laissez les mises à jour automatiques de la box actives.
5. Réseau invité pour les équipements. Placez la pompe à chaleur, l'onduleur et les autres appareils de la maison sur le réseau invité de votre box quand il existe. Un appareil compromis sur ce réseau n'atteint pas vos ordinateurs.
6. Aucun port ouvert. Ne créez aucune redirection de port vers la pompe à chaleur ou sa passerelle pour la piloter en direct. L'application du fabricant suffit. Une interface joignable depuis Internet reproduit la situation des contrôleurs frigorifiques visés en octobre 2026.
7. Commande locale maîtrisée. Repérez comment piloter l'appareil depuis l'interface murale ou l'unité intérieure, sans téléphone. En cas de doute sur votre compte, vous coupez la connexion et gardez le chauffage.
8. Alertes de l'application. Activez les notifications de changement de consigne et de connexion depuis un nouvel appareil lorsque l'application les propose. Vérifiez chaque mois l'historique des consignes ; ce suivi sert aussi à repérer une dérive de réglage.
9. Durée de support logiciel. Avant l'achat, demandez combien d'années le fabricant s'engage à fournir des mises à jour de sécurité. Le CRA rendra cette information obligatoire à partir du 11 décembre 2027.

Couper définitivement le Wi-Fi de votre pompe à chaleur reste possible, au prix de fonctions utiles. Sans connexion, vous perdez le pilotage à distance, les alertes de panne et le suivi de consommation proposé dans l'application. Pour un foyer qui applique les neuf points ci-dessus, le bénéfice du pilotage dépasse le risque résiduel. Pour un foyer qui ne consulte jamais l'application, laisser l'appareil hors ligne est une option cohérente. Le dimensionnement et la régulation de l'appareil, décrits dans notre guide du dimensionnement d'une pompe à chaleur air/eau et de sa note de calcul, pèsent davantage sur votre facture que la connexion elle-même.

Les questions à poser à votre installateur avant et après la pose

La mise en service est le moment où se décident les accès. Un installateur crée le compte, associe le module et dispose, sur certaines marques, d'un accès de maintenance à distance. Sur le volet pompe à chaleur connectée, piratage et accès de maintenance, cinq questions clarifient la situation.

1. Qui détient les identifiants du compte ? Le compte doit être créé à votre nom, avec votre adresse e-mail, et le mot de passe changé par vous à la fin du chantier.
2. Un accès de maintenance à distance existe-t-il ? Si oui, demandez qui l'utilise, dans quel but, et comment le désactiver ou le réactiver vous-même.
3. Quelle version logicielle est installée ? Notez-la sur votre procès-verbal de réception avec la date de mise en service.
4. Quelle durée de support le fabricant annonce-t-il ? Cette information vous permet d'anticiper le remplacement du module de communication.
5. Comment repasser en commande locale ? Faites-vous montrer la manipulation sur l'interface de l'appareil avant le départ du technicien.

La vigilance porte aussi sur les messages reçus. Le 26 août 2026, Qualibat, l'organisme de qualification des entreprises du bâtiment, a signalé une campagne de messages frauduleux envoyés depuis l'adresse [email protected]. Le baromètre Cybermois 2026 classe l'hameçonnage (l'e-mail ou le SMS frauduleux qui imite un expéditeur connu) au premier rang des malveillances rencontrées, à 53 %. Un faux message « mise à jour obligatoire de votre pompe à chaleur » contenant un lien de connexion relève exactement de ce schéma. Ouvrez toujours l'application officielle plutôt que le lien. La loi du 24 juillet 2020 interdit par ailleurs le démarchage téléphonique en rénovation énergétique : un appel non sollicité qui propose de sécuriser votre installation doit éveiller votre méfiance.

Tertiaire et copropriétés : GTB, accès des mainteneurs et segmentation du réseau

Les bâtiments tertiaires présentent une architecture proche des supermarchés touchés. Une GTB (gestion technique du bâtiment) centralise la supervision du chauffage, de la climatisation, de la ventilation et de l'éclairage sur un automate, consulté par l'exploitant et par les mainteneurs. Le décret BACS (Building Automation and Control Systems) impose aux bâtiments tertiaires concernés un système d'automatisation et de contrôle de leurs équipements techniques. Chaque bâtiment piloté à distance ajoute des interfaces à protéger. Pour une pompe à chaleur connectée, piratage d'une GTB et piratage d'un compte particulier diffèrent par leur portée, car une GTB compromise expose un site entier.

Les recommandations publiques pour ces systèmes industriels sont connues. Techniques de l'Ingénieur reprend celles de la CISA (Cybersecurity and Infrastructure Security Agency, l'agence américaine de cybersécurité) pour les systèmes de contrôle industriels. Elles se traduisent en cinq mesures pour un gestionnaire de site équipé de pompes à chaleur tertiaires.

1. Séparer les réseaux. Le réseau de la GTB et des pompes à chaleur reste distinct du réseau bureautique.
2. Sécuriser les accès distants. Aucun automate n'est joignable directement depuis Internet ; les accès passent par une connexion chiffrée et authentifiée. Claroty recommande de supprimer toute exposition directe des interfaces d'administration.
3. Appliquer les correctifs. Un inventaire des versions logicielles de chaque automate permet de suivre les mises à jour, comme la version 4.3.1 publiée par Danfoss pour ses contrôleurs.
4. Contrôler les accès des prestataires. Chaque mainteneur dispose de son propre identifiant, désactivé à la fin du contrat.
5. Prévoir la reprise en local. Une procédure écrite décrit comment reprendre la main sur les équipements sans la supervision, comme l'ont fait les frigoristes le 12 octobre 2026 en déconnectant les systèmes.

En copropriété, la même logique s'applique à la pompe à chaleur collective et à son accès de télésurveillance. Le contrat de maintenance mérite une clause sur la gestion des identifiants, la durée de support des automates et le délai d'information du syndic en cas d'incident de sécurité signalé par le fabricant. Les pertes chiffrées par Econostrum pour les supermarchés, jusqu'à 200 000 € par magasin, donnent l'ordre de grandeur de ce que coûte une supervision centrale laissée sans mise à jour.

FAQ : pompe à chaleur connectée et cybersécurité

Pompe à chaleur connectée, piratage : faut-il couper le Wi-Fi de mon appareil ?

Non, si vous appliquez les mesures de base. L'attaque du 12 octobre 2026 a visé des contrôleurs frigorifiques professionnels joignables depuis Internet, selon Claroty et Techniques de l'Ingénieur. Une pompe à chaleur domestique passe par le serveur de son fabricant. Mot de passe unique, double authentification lorsque l'application la propose et mises à jour régulières, recommandés par Cybermalveillance.gouv.fr, ferment l'essentiel du risque. Couper le Wi-Fi reste une option si vous n'utilisez jamais l'application.

Un pirate peut-il faire exploser ou incendier ma pompe à chaleur ?

Les sécurités qui protègent contre la surpression et la surchauffe sont matérielles : pressostats haute et basse pression du circuit frigorifique, disjoncteur du tableau électrique et sécurités du ballon d'eau chaude. Elles agissent sans passer par l'application de pilotage. Un intrus modifie les consignes dans les plages que le régulateur autorise, comme l'ont fait les pirates des supermarchés avec la fonction de dégivrage, selon le Snefcca. Le risque réaliste est une perte de confort ou une surconsommation.

Pompe à chaleur connectée, piratage : comment repérer une intrusion ?

Trois signes doivent vous alerter : une consigne ou un programme horaire modifié sans intervention du foyer, une notification de connexion depuis un appareil inconnu, et un e-mail du fabricant signalant un changement de mot de passe que vous n'avez pas demandé. Dans ce cas, changez immédiatement le mot de passe, déconnectez les appareils inconnus depuis l'application et contactez le service client du fabricant. Cybermalveillance.gouv.fr propose une assistance gratuite aux particuliers victimes.

Le Cyber Resilience Act protège-t-il les pompes à chaleur déjà installées ?

Oui pour l'obligation de signalement. Depuis le 11 septembre 2026, l'article 14 du règlement (UE) 2024/2847 impose au fabricant d'alerter les autorités dans les 24 heures sur une vulnérabilité activement exploitée, y compris pour les produits mis sur le marché avant le 11 décembre 2027, selon Kohen Avocats. Les exigences de sécurité dès la conception et de mises à jour pendant la période de support s'appliqueront aux produits vendus à partir du 11 décembre 2027.

Mes panneaux solaires sont-ils plus exposés que ma pompe à chaleur ?

Les onduleurs solaires ont connu en 2026 l'incident le plus étendu : Clubic rapporte le 8 octobre 2026 qu'un chercheur a pu accéder sans mot de passe à la plateforme iSolarCloud de Sungrow, reliée à 470 000 installations européennes. La faille se situait sur le serveur du fabricant, corrigé en moins de 24 heures selon Sungrow. Les mêmes mesures s'appliquent aux deux équipements : mot de passe unique, mises à jour et réseau invité.

Mon installateur doit-il garder un accès à distance à ma pompe à chaleur ?

Cet accès facilite le diagnostic d'une panne, à condition d'être connu et maîtrisé. Demandez lors de la mise en service qui l'utilise, dans quel but et comment le désactiver vous-même. Le compte doit être créé à votre nom. La CISA, citée par Techniques de l'Ingénieur, recommande pour les systèmes professionnels un identifiant propre à chaque prestataire, désactivé à la fin du contrat ; la même règle vaut pour une maison.

Comment Vertena vous accompagne pour une pompe à chaleur bien protégée

Vertena pose en propre les pompes à chaleur air/eau des marques Daikin, Atlantic, Mitsubishi Electric, Viessmann et Panasonic, avec la certification RGE (Reconnu garant de l'environnement) Qualibat, le label NF PAC et une garantie décennale. La connexion de l'appareil fait partie de la mise en service.

Visite technique et devis. Le devis arrive sous 48 heures et la visite a lieu sous 7 jours. Lors de cette visite, le sujet pompe à chaleur connectée, piratage compris, se traite avec les cinq questions de cet article sur le compte, l'accès de maintenance et la durée de support du modèle retenu.

Pose et mise en service. La pose prend 1 à 3 jours. Nos équipes ont installé 218 pompes à chaleur sur le mois en cours et ouvrent 47 chantiers par semaine dans 12 régions.

Dossier d'aides. Vertena prend en charge le dossier d'aides de bout en bout. Les montants dépendent de vos revenus, de votre logement, de l'équipement remplacé et de votre zone climatique, selon les règles de l'Anah (Agence nationale de l'habitat) et du dispositif des certificats d'économies d'énergie en vigueur à la date de votre demande.

Pour faire le point sur votre projet ou sur une installation existante, demandez une consultation avec un conseiller Vertena. Avant de vous engager, le service public vous informe gratuitement pour préparer et sécuriser votre projet : www.france-renov.gouv.fr. Notre guide de la pompe à chaleur air/eau pour comprendre, comparer et décider rassemble les repères de prix et de choix d'un modèle.

Conclusion

Les incidents de l'automne 2026 partagent un trait : un accès à distance mal protégé, sur un matériel ancien ou sur un serveur central. La supervision frigorifique des supermarchés et la plateforme iSolarCloud ont montré l'ampleur possible d'une faille, sans qu'aucun incident public ne vise à ce jour les pompes à chaleur domestiques. Le cadre européen a changé, avec le règlement délégué RED depuis le 1er août 2025 et l'obligation de signalement du Cyber Resilience Act depuis le 11 septembre 2026.

Le sujet pompe à chaleur connectée, piratage et confort se règle chez vous en une demi-heure : mot de passe unique, double authentification, mises à jour, réseau invité, aucune redirection de port et une commande locale que vous savez utiliser.

À lire également :

• Pompe à chaleur air/eau : comprendre, comparer et décider
• Performance réelle d'une pompe à chaleur air/eau et réglages utiles
• Dimensionnement d'une pompe à chaleur air/eau et note de calcul
• Pompe à chaleur R290 ou R32 : choisir le fluide frigorigène

Sources :

• Une cyberattaque massive touche des équipements frigorifiques, un industriel réagit : Batiactu, 2026
• Une cyberattaque contre les systèmes frigorifiques paralyse des centaines de supermarchés français : Techniques de l'Ingénieur, 2026
• Des frigos chauffés à 50 °C : que sait-on de cette cyberattaque massive : Econostrum, 2026
• Sans mot de passe ni alerte, la faille qui a exposé 470 000 installations photovoltaïques : Clubic, 2026
• Cyber Resilience Act : que déclarer dès le 11 septembre 2026 et dans quels délais : Kohen Avocats, 2026
• Règlement (UE) 2024/2847 sur la cyberrésilience : Journal officiel de l'Union européenne, 2024
• La directive RED et la cybersécurité des équipements radio : LCIE Bureau Veritas, 2025
• Les 10 mesures essentielles pour assurer votre sécurité numérique : Cybermalveillance.gouv.fr, 2026
• Cybermois 2026, baromètre de perception des risques numériques : Cybermalveillance.gouv.fr, 2026
• Alerte : campagne de phishing en cours : Qualibat, 2026