Le 9 novembre 2026, la France a attribué à l’unité cyberoffensive « Shahid Kaveh » du Corps des Gardiens de la révolution islamique (CGRI) l’attaque des 11 et 12 octobre contre les contrôleurs de réfrigération d’environ 700 sites. Cette analyse s’adresse aux auditeurs, RSSI et responsables sécurité. Elle s’appuie sur le rapport du Centre de coordination des crises cyber (C4) publié par le CERT-FR ; la porte d’entrée exacte sur les contrôleurs n’y est pas détaillée.
Pour une lecture orientée dirigeant, voir notre décryptage « Frigos sabotés : la France désigne l’Iran, et la leçon vaut pour tous vos équipements connectés ».
Contexte
- Victimes : environ 700 sites de la grande distribution, dont des magasins des principaux groupes français ; plusieurs petites boucheries, un abattoir et des usines agroalimentaires coopératives. Ciblage concomitant, relié à la même attaque, d’équipements Schneider Electric de petites installations hydroélectriques, avec des effets modérés.
- Date : nuit du dimanche 11 au lundi 12 octobre 2026 ; le C4 est alerté le 12 octobre.
- Type : sabotage d’équipements de contrôle industriel, sans rançon ni vol de données rapporté.
- Attribution : unité Shahid Kaveh, rattachée au Centre électronique et cyber du CGRI. Elle agit sous plusieurs identités « hacktivistes » chargées de revendiquer ses opérations, dont CyberAveng3rs, connue pour la campagne de novembre 2023 contre des automates Unitronics. Le même rapport impute à une autre unité du CGRI (Shahid Shoostari, documentée sous le nom d’Emennet Pasargad) des attaques contre Charlie Hebdo et contre une société d’affichage vidéo pendant les Jeux de Paris 2024.
- Suites : convocation de l’ambassadeur d’Iran, proposition de nouvelles sanctions européennes, information judiciaire à Paris visant trois responsables présumés de l’unité.
- Sources : ministère de l’Europe et des Affaires étrangères, 9 novembre 2026 ; CERT-FR, CERTFR-2026-CTI-009 ; ZATAZ, 9 novembre 2026 ; rappel : CERT-FR, CERTFR-2026-ALE-012.
Mode opératoire : ce qui est documenté et ce qui ne l’est pas
| Étape | Ce qui est rapporté | Correspondance MITRE ATT&CK (notre lecture) |
|---|---|---|
| Reconnaissance | Usage d’un moteur de recherche commercial d’équipements exposés sur Internet ; reconnaissance massive en Modbus sur des automates Schneider Electric, notamment en France, depuis la même infrastructure (C4). | T1596 Search Open Technical Databases (Enterprise) ; T0846 Remote System Discovery ; T0888 Remote System Information Discovery (ICS) |
| Accès initial | Non détaillé par le C4. L’alerte du CERT-FR d’octobre visait des contrôleurs Danfoss, Copeland et Dixell joignables depuis Internet ; des contournements d’authentification étaient connus sur certains modèles. | T0883 Internet Accessible Device ; T0866 Exploitation of Remote Services (hypothèse non confirmée) |
| Action sur le procédé | Paramètres de dégivrage fixés à de hautes températures (C4). | T0836 Modify Parameter |
| Inhibition de la réponse | Alertes des sondes de température désactivées, selon le parquet de Paris cité par ZATAZ. | T0878 Alarm Suppression |
| Impact | Pertes de marchandises estimées à plusieurs dizaines de millions d’euros (ministère) ; au moins 15 départs de feu (C4), une vingtaine selon le parquet cité par ZATAZ. | T0879 Damage to Property ; T0828 Loss of Productivity and Revenue |
| Revendication | Attaque relayée dès le 13 octobre par un média de propagande associé à l’unité. | Hors ATT&CK (opération d’influence) |
Faits techniques connus
- L’unité dispose, au moins depuis juin 2024, d’outils pour rechercher, atteindre et piloter des équipements industriels Schneider Electric, Siemens et Rockwell (C4).
- Elle mène des campagnes de sabotage à grande échelle sur des équipements industriels, principalement contre Israël et les États-Unis, y compris contre des équipements frigorifiques israéliens en mars et avril 2026 (C4).
- Éléments d’attribution cités : réutilisation de l’infrastructure d’attaque pour d’autres repérages, outil de balayage habituel du mode opératoire, relais sur le média de propagande associé, traces de farsi dans l’infrastructure.
Ce qu’on ne sait pas
- La vulnérabilité ou la faiblesse exacte exploitée pour chaque famille de contrôleurs (faille connue, mot de passe par défaut, accès de télémaintenance).
- La nature des effets sur les installations hydroélectriques.
- Un éventuel lien avec l’incident des chambres froides de l’Établissement français du sang (1er-2 novembre) ou avec la vague européenne du même week-end : rien de public à ce stade.
Détection : par les dégâts, pas par la supervision
Les anomalies ont été constatées par leurs effets physiques (températures, marchandises, départs de feu), dans la nuit et au matin du 12 octobre. La neutralisation des alertes de température, rapportée par le parquet, explique en partie ce délai. Aucun élément public ne montre de supervision de sécurité dédiée à ces équipements chez les victimes. Pour un auditeur, c’est le point clé : sur l’informatique de gestion, on attend une détection d’intrusion ; sur la technique du bâtiment, la seule alerte était souvent l’alarme métier, que l’attaquant pouvait couper.
Questions d’audit ISO 27001:2022
- A.5.9 Inventaire des informations et autres actifs associés : l’inventaire couvre-t-il les équipements de technique du bâtiment et de production (froid, CVC, GTB, automates), avec propriétaire, mainteneur, version de micrologiciel et exposition réseau ?
- A.8.20 Sécurité des réseaux et A.8.22 Cloisonnement des réseaux : existe-t-il une preuve récente (scan externe, revue des règles de filtrage) qu’aucune interface de pilotage n’est joignable directement depuis Internet, et que ces équipements sont isolés du réseau bureautique ?
- A.5.19 à A.5.22 Relations avec les fournisseurs : les contrats de maintenance encadrent-ils l’accès à distance (ouverture à la demande, comptes nominatifs, authentification multifacteur, journalisation, obligation de mise à jour) et leur application est-elle contrôlée ?
- A.8.9 Gestion de la configuration et A.8.16 Activités de surveillance : les paramètres critiques sont-ils bornés et versionnés, toute modification est-elle tracée, et la désactivation d’une alarme génère-t-elle elle-même une alerte vers l’astreinte ?
Piste complémentaire, A.5.7 Renseignement sur les menaces : l’organisme peut-il montrer ce qu’il a fait après l’alerte CERT-FR du 12 octobre et après ce rapport d’attribution ?
Pistes de sensibilisation
- Pour les responsables de site et services généraux : « qui peut piloter quoi depuis l’extérieur ? ». En 30 minutes, lister avec chaque mainteneur les équipements connectés du bâtiment et la façon dont il s’y connecte. Support : la fiche La sécurité des objets connectés de Cybermalveillance.gouv.fr.
- Pour les équipes d’astreinte : une alarme qui se tait est une alarme. Exercice sur table : les températures montent et aucune alerte n’arrive. Qui s’en aperçoit, et comment ?
À lire aussi : notre décryptage pour les dirigeants et notre bulletin de veille du 10 novembre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.