Après le sabotage des systèmes frigorifiques, les infrastructures industrielles françaises face à la menace cyber iranienne

La France a officiellement attribué à l’Iran les cyberattaques qui ont touché les systèmes frigorifiques de centaines de commerces alimentaires dans la nuit du 11 au 12 octobre 2026. Cette annonce, effectuée le 9 novembre, fait suite aux investigations du Centre de coordination des crises cyber (C4), une instance interministérielle réunissant les principaux services français chargés de la cybersécurité, du renseignement et de la défense.

L’attaque a visé les contrôleurs de réfrigération d’environ 700 sites de la grande distribution. Les équipements compromis ont vu leurs paramètres de dégivrage modifiés pour atteindre des températures anormalement élevées, provoquant d’importantes pertes de marchandises et au moins 15 départs de feu.

Les groupes Casino, Leclerc, Coopérative U, Metro, Carrefour et Intermarché figurent parmi les entreprises affectées. D’autres établissements agroalimentaires ont également été touchés, notamment des boucheries, un abattoir et plusieurs usines coopératives. Les pertes alimentaires sont estimées à plusieurs dizaines de millions d’euros.

L’opération ne s’est pas limitée au secteur frigorifique. Plusieurs équipements Schneider Electric appartenant à de petites installations hydroélectriques françaises ont été ciblés simultanément, avec des conséquences qualifiées de modérées. Cette campagne constitue, pour les autorités françaises, une première opération cyber-offensive conduite exclusivement à des fins de sabotage sur le territoire national.

Des systèmes industriels ciblés par une unité spécialisée

Les investigations attribuent cette opération à Shahid Kaveh, une unité cyber-offensive du Centre électronique et cyber du Corps des gardiens de la révolution islamique iranien (CGRI-CEC).

Cette unité est notamment connue sous l’identité CyberAv3ngers. Dès 2023, des attaques contre des automates programmables industriels du fabricant israélien Unitronics avaient été documentées par les autorités américaines. Plusieurs installations de traitement et de distribution d’eau avaient été compromises par l’exploitation d’équipements accessibles depuis Internet et utilisant des mots de passe par défaut.

Le rapport technique français publié le 9 novembre détaille plusieurs indices permettant d’établir l’imputation de l’attaque d’octobre. L’infrastructure informatique employée a également servi à effectuer des reconnaissances sur des équipements Schneider Electric. Les attaquants ont notamment utilisé l’outil de recherche FOFA pour identifier des systèmes exposés.

Les investigations relèvent également l’utilisation du protocole industriel Modbus sur le port 502 lors de précédentes opérations de reconnaissance, la diffusion de revendications sur le canal CyberbanNews dès le 13 octobre et la présence de traces linguistiques en farsi dans l’infrastructure d’attaque.

Ces éléments constituent un faisceau d’indices techniques reliant l’opération à Shahid Kaveh, dont les capacités de ciblage concernent également les systèmes de contrôle des fabricants Siemens et Rockwell.

Le document officiel détaillant ces investigations, les méthodes employées et l’identité des responsables présumés est disponible ici.

Une campagne de déstabilisation qui remonte à 2020

Les investigations françaises replacent cette attaque dans une succession d’opérations conduites contre les intérêts nationaux depuis au moins 2020. Une seconde unité iranienne, Shahid Shoostari, également connue sous les noms d’Iliyanet et Emennet Pasargad, est notamment impliquée.

En janvier 2023, l’hebdomadaire Charlie Hebdo avait subi une cyberattaque ayant entraîné la modification malveillante de sa boutique en ligne et l’exfiltration de données. L’opération s’inscrivait dans un contexte de tensions liées à la publication de caricatures du dirigeant iranien Ali Khamenei.

Une autre opération a visé, en juillet 2024, une entreprise française gérant des bornes d’affichage vidéo utilisées pendant les Jeux olympiques et paralympiques de Paris. Les attaquants souhaitaient diffuser des photomontages dénonçant la participation des athlètes israéliens. La compromission avait été détectée avant la diffusion des images.

Ces opérations illustrent deux formes de cyberattaques, associant la déstabilisation informationnelle à des actions susceptibles de produire des dommages physiques sur des équipements industriels.

La réponse française comporte désormais un volet diplomatique et judiciaire. L’ambassadeur iranien doit être convoqué et de nouvelles sanctions européennes seront proposées. Parallèlement, une information judiciaire a été ouverte visant les responsables présumés de l’unité Shahid Kaveh.

Au-delà de la réponse politique, cette affaire souligne les risques associés à l’exposition des systèmes de contrôle industriels sur Internet. Les recommandations de cybersécurité élaborées pour les automates industriels insistent notamment sur la réduction des accès externes, la sécurisation des identifiants et la protection des équipements de commande. Des mesures particulièrement importantes pour les installations dont le fonctionnement dépend de systèmes connectés.