Un mois après la nuit où les installations de froid d’environ 700 supermarchés se sont emballées, la France a officiellement attribué l’attaque à une unité cyberoffensive des Gardiens de la révolution iraniens. Le rapport des services de l’État décrit une opération de sabotage, pas de vol. Pour une PME, le message est simple : ces attaquants ne choisissent pas leurs victimes, ils choisissent des équipements mal protégés.
Ce qui s’est passé
Dans la nuit du 11 au 12 octobre, les contrôleurs qui pilotent les chambres froides et les vitrines réfrigérées d’environ 700 sites de la grande distribution ont été manipulés à distance. Le 9 novembre, le ministère de l’Europe et des Affaires étrangères a désigné l’auteur : l’unité « Shahid Kaveh », rattachée au centre cyber du Corps des Gardiens de la révolution islamique d’Iran. Selon le gouvernement, c’est la première campagne cyber menée purement pour saboter sur le territoire national. L’ambassadeur d’Iran est convoqué et la France proposera de nouvelles sanctions européennes (ministère de l’Europe et des Affaires étrangères, 9 novembre 2026).
Le même jour, le Centre de coordination des crises cyber, qui réunit l’ANSSI, la DGSE, la DGSI, la DGA et le commandement de la cyberdéfense, a publié un rapport. Il apporte plusieurs faits nouveaux : au moins 15 départs de feu, des victimes au-delà des supermarchés (petites boucheries, un abattoir, des usines agroalimentaires) et, le même week-end, des équipements de petites centrales hydroélectriques visés, avec des effets modérés (CERT-FR, 9 novembre 2026). Une information judiciaire vise le chef de l’unité et deux adjoints (ZATAZ, 9 novembre 2026).
Comment l’attaque a fonctionné
Le scénario est d’une grande simplicité. L’unité utilise des moteurs de recherche spécialisés qui recensent les équipements industriels joignables depuis Internet. Une fois connectée à un contrôleur, elle a modifié un réglage ordinaire : le dégivrage, réglé à haute température. Selon le parquet de Paris, cité par ZATAZ, les alertes des sondes de température ont aussi été coupées, ce qui a retardé la réaction. Résultat : marchandises perdues, pour plusieurs dizaines de millions d’euros selon le ministère, et départs de feu.
L’attribution repose sur un faisceau d’indices : la même infrastructure a servi à repérer d’autres équipements industriels en France, les outils et méthodes sont ceux déjà observés pour cette unité, l’attaque a été relayée dès le 13 octobre par un média de propagande qui lui est associé, et des traces de farsi ont été retrouvées.
Ce qu’on ne sait pas encore
La porte d’entrée exacte sur chaque modèle de contrôleur n’est pas détaillée publiquement. Le lien éventuel avec l’incident qui a touché les chambres froides de l’Établissement français du sang début novembre n’est pas établi à ce stade.
Ce que ça change pour une PME
- Listez ce qui se pilote à distance dans vos locaux. Chambre froide, chauffage, ventilation, alarme, caméras, machines : demandez à chaque prestataire comment il s’y connecte.
- Rien ne doit être joignable directement depuis Internet. Un accès de maintenance passe par un VPN ou un service sécurisé, ouvert seulement le temps de l’intervention, avec un mot de passe propre à votre entreprise.
- Mettez à jour ou remplacez les boîtiers trop anciens. Un équipement qui ne reçoit plus de correctifs doit au minimum être isolé du reste du réseau.
- Vérifiez que l’alarme ne peut pas se taire en silence. Un capteur hors service ou une alerte désactivée doit prévenir quelqu’un. La fiche La sécurité des objets connectés de Cybermalveillance.gouv.fr donne les bases.
Le regard de l’auditeur
Quatre questions à vous poser, ou à poser à votre prestataire. Elles s’inspirent de ce que vérifie un auditeur ISO 27001 :
- Avons-nous la liste de nos équipements connectés hors informatique (froid, chauffage, alarme, production), avec pour chacun le prestataire qui l’entretient ?
- Qui a vérifié récemment, preuve à l’appui, qu’aucun de ces équipements n’est accessible directement depuis Internet ?
- Notre contrat de maintenance dit-il comment le prestataire se connecte, quand, avec quel compte, et qui garde la trace de ses interventions ?
- Si une alarme de température était désactivée cette nuit, qui le saurait, et en combien de temps ?
Pour les pros : notre analyse technique (mode opératoire, MITRE ATT&CK, questions d’audit ISO 27001).
Dossier : Équipements exposés et correctifs
Cet article prolonge notre bulletin de veille du 10 novembre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.