C'est chaud cette histoire de froid
L’attaque perpétrée contre des frigos de supermarchés dans la nuit du 11 au 12 octobre est officiellement attribuée à l’Iran, annonce ce lundi 9 novembre le ministère des Affaires étrangères. Une première.
L’enquête a été menée tambour battant par le parquet de Paris et les services techniques du Centre de coordination des crises cyber C4 (ANSSI, COMCYBER, DGA, DGSE, DGSI). Le Quai d’Orsay attribue l’attaque contre les systèmes de réfrigération de plusieurs centaines de supermarchés en France à l’unité Shahid Kaveh du Corps des Gardiens de la Révolution Islamique (CGRI) iranien (PDF).
Cette unité est connue pour son intérêt pour les systèmes de commande d’équipements physiques, ce qui correspond assez bien au sabotage qui s’est déroulé dans la nuit du 11 au 12 octobre. Les contrôleurs de froid de la marque Danfoss d’environ 700 supermarchés ont été attaqués (notamment les groupes Casino, Leclerc, Coopérative U, Metro, Carrefour et Intermarché), provoquant une modification des paramètres de dégivrage des équipements fixés à haute température. Des pertes de marchandises importantes ont été déplorées, tout comme au moins 15 départs de feu.
Le C4 a également eu connaissance d’autres enseignes victimes de cette attaque : petites boucheries, un abattoir, des usines agroalimentaires coopératives, ainsi que de petites installations hydroélectriques en France fonctionnant avec des équipements Schneider Electric.
Un faisceau d’indices pointe vers l’unité Shahid Kaveh
L’enquête présente un faisceau d’indices menant vers l’unité Shahid Kaveh, qui cible des équipements industriels à grande échelle, principalement contre Israël et les États-Unis – l’armée américaine ayant contacté les enquêteurs français pour des cas similaires de sabotage de frigos dans des bases.
L’unité s’attaque également à la France et à d’autres pays européens. On lui doit une campagne contre la société israélienne Unitronics (constructeur de systèmes de contrôle industriel) en novembre 2023, ainsi que des équipements frigorifiques israéliens en mars et avril 2026.
« Au moins depuis juin 2024 », Shahid Kaveh possède des scripts permettant d’accéder et de contrôler des équipements de contrôle industriel Schneider, Siemens et Rockwell. En avril 2026, l’unité a utilisé le protocole Modbus TCP – qui permet à un logiciel de dialoguer avec des équipements – sur le port 502 « pour effectuer des actions massives de reconnaissance sur des systèmes de contrôle industriel Schneider Electric, notamment en France. » Ce protocole ne prévoit ni authentification ni chiffrement : si les équipements se connectent à internet, l’absence de protection peut devenir dangereuse.
Ce mode opératoire fait partie des indices qui mènent vers Shahid Kaveh. Le C4 relève en outre l’utilisation du logiciel de scan FOFA, qui fait partie de la boîte à outils de l’unité, mais également le fait que l’attaque a été relayée par l’organe de propagande CyberbanNews (associé à Shahid Kaveh) dès le 13 octobre, ainsi que des traces d’utilisation du farsi dans l’infrastructure d’attaque.
Le Centre de coordination des crises cyber ne se prononce pas, à ce stade, sur le piratage de chambres froides de l’Établissement français du sang, bien que le mode opératoire soit similaire.
Le C4 a par ailleurs identifié l’activité de Shahid Shoostari, aussi connue sous les noms de Iliyanet ou Emennet Pasargad, une autre unité affiliée au Centre électronique et cyber du Corps des Gardiens de la Révolution Islamique d’Iran (CGRI-CEC). Elle avait déjà mené des actes de déstabilisation ciblant la France : défiguration de la boutique en ligne de Charlie Hebdo et exfiltration de données en 2023, attaque d’une entreprise de gestion d’affichage vidéo dans le cadre des JO de Paris en 2024.
Mandats d’arrêt requis et riposte diplomatique française
Laure Beccuau, la procureure de la République, annonce l’ouverture par la section cybercriminalité du parquet de Paris d’une information judiciaire contre le chef du CGRI-CEC, Hamid Reza Lashgarian, contre deux de ses adjoints, Mahdi Lashgarian et Reza Salarvand, « et contre tout autre personne qui serait identifiée ».
Ces deux infractions sont aggravées « la circonstance d’avoir été commises dans le but de servir une puissance étrangère », en l’espèce l’Iran. Le parquet de Paris requiert la délivrance de mandats d’arrêt internationaux. L’enquête est confiée à l’OFAC (l’Office anti-cybercriminalité) et la DGSI sur la base des chefs d’atteintes frauduleuses à un système de traitement automatisé de données en bande organisée, et de dégradations par un moyen dangereux pour les personnes en bande organisée.
« Il s’agit d’une campagne inédite par son ampleur et son niveau d’agressivité, constituant ainsi la première campagne cyberoffensive opérée purement à des fins de sabotage sur le territoire national », déclare pour sa part le ministère des Affaires étrangères. Il précise que « cet acteur [CGRI-CEC] constitue une menace persistante sur nos infrastructures critiques » :
« Ces cyberattaques destructrices sont injustifiables, inexcusables et vont à l’encontre du droit international. Elles sont également contraires aux principes du cadre normatif de comportement responsable des États dans le cyberespace des Nations unies auquel la République islamique d’Iran a souscrit. »
Paris va convoquer l’ambassadeur d’Iran « pour exprimer sa plus ferme condamnation face à ces cyberattaques ».
