Dans une accusation formelle exceptionnelle, la France désigne l’Iran comme responsable de la cyberattaque contre les systèmes de refroidissement de supermarchés français en octobre.
Les services de sécurité français accusent l’Iran d’être derrière la cyberattaque contre les systèmes de refroidissement de supermarchés français en octobre. Ils le font dans un rapport conjoint du Centre de Coordination des Crises Cyber (C4), qui regroupe des services français de cybersécurité et de renseignement.
Dans son rapport, le C4 parle sans détour : les cyberattaques relèvent de la responsabilité des Gardiens de la révolution iraniens, et plus précisément de deux unités cyber qui opèrent sous leur commandement. Il s’agit de Shahid Kaveh et de Shahid Shoostari.
« Une agressivité sans précédent »
Selon le C4, l’attaque survenue dans la nuit du 11 au 12 octobre était inédite, tant par son ampleur que par son agressivité. Les contrôleurs de refroidissement de 700 supermarchés français ont été piratés et décongelés. Outre des millions de dégâts et des denrées avariées, des incendies se sont déclarés à au moins quinze reprises.
Au même moment, des contrôleurs de Schneider Electric installés dans de petites centrales hydroélectriques ont été attaqués. Ce volet de l’attaque a été éclipsé par l’impact sur les supermarchés et n’a eu que des conséquences limitées.
Une accusation exceptionnelle
Il est très rare qu’une instance officielle attribue une cyberattaque de manière aussi directe. Les Français citent même des noms : Hamid Reza Lashgarian, chef du CGRI-CEC, et les deux commandants de Shahid Kaveh, Mahdi Lashgarian et Reza Salarvand, sont tenus pour responsables.
Le parquet français a demandé un mandat d’arrêt international contre les personnes mises en cause. La France a convoqué l’ambassadeur d’Iran et menace de nouvelles sanctions européennes contre le pays. L’Iran n’a pas encore réagi officiellement, mais niera très probablement les accusations.
Des traces claires
La fermeté de la réponse laisse supposer une grande certitude de la part des instances compétentes. Celles-ci relèvent plusieurs traces qui mènent clairement vers l’Iran.
Dans l’infrastructure utilisée pour l’attaque, les enquêteurs ont trouvé des traces de farsi, la langue parlée en Iran. Durant la même période, cette même infrastructure a aussi servi à sonder des installations de Schneider Electric dans de petites et moyennes installations d’approvisionnement en énergie et en eau. La technique utilisée par les attaquants pour cela est connue du C4 chez Shahid Kaveh depuis avril 2026 au moins. Les services français avaient alors déjà observé l’unité en train d’explorer à grande échelle des systèmes industriels de Schneider Electric, y compris en France.
Pour trouver les contrôleurs de refroidissement, les pirates ont utilisé FOFA, un outil de balayage qui permet de repérer les appareils connectés à internet. Selon le C4, cet outil apparaît régulièrement dans les actions du groupe. Shahid Kaveh dispose en outre, depuis juin 2024 au moins, de scripts pour détecter et prendre le contrôle d’équipements industriels de Schneider Electric, Siemens et Rockwell. Le 13 octobre, un jour après l’attaque, le piratage est apparu sur CyberbanNews, un canal de propagande lié à Shahid Kaveh.
Une expérience antérieure
Les services iraniens qui ont mené le piratage sont aussi connus sous des pseudonymes « hacktivistes » comme CyberAveng3rs, Soldiers of Solomon, Mr. Soul et Cyber Isnaad Front.
Ce ne sont pas des inconnus. Sous le nom CyberAveng3rs, les Iraniens ont par exemple déjà acquis de l’expérience dans l’attaque d’infrastructures critiques liées à l’eau et à l’énergie. Israël est une cible de premier plan, même si les pirates revendiquent parfois aussi des attaques auxquelles ils n’ont en réalité pas pris part.
Pas automatiquement coupable de tout
Que l’Iran soit derrière l’attaque en France ne signifie pas d’emblée que les Gardiens de la révolution ont aussi donné l’ordre des attaques ultérieures contre des installations de refroidissement dans d’autres pays européens, dont la Belgique.
Les contrôleurs non corrigés des systèmes de refroidissement Danfoss connectés à internet n’ont jamais été des cibles complexes. L’attaque contre la France a en outre donné davantage de publicité à la vulnérabilité de tels systèmes. La seconde attaque peut avoir été menée par l’Iran, mais tout aussi bien par une autre puissance, voire par quelques adolescents avec trop de temps libre et trop peu de sens des limites.
Le sabotage industriel numérique n’est pas inconnu de l’Iran. Le pays a lui-même été l’une des premières cibles de ce type d’attaques en 2010. On a alors compris que le ver Stuxnet, développé par les États-Unis et Israël, avait détruit des centrifugeuses du site nucléaire de Natanz en modifiant discrètement des paramètres.