La France impute à une unité des Gardiens de la révolution iraniens le sabotage des contrôleurs de froid de la grande distribution

Veille cyber Top-Secured : analyse indépendante fondée sur le communiqué officiel de CERT-FR · ANSSI et sur la presse. Top-Secured n'est pas affilié à cette entreprise et ne vous demandera jamais vos identifiants bancaires ni vos mots de passe.

La France a officiellement attribué à l’Iran l’attaque qui, dans la nuit du 11 au 12 octobre 2026, a modifié les réglages de contrôleurs de réfrigération de sites de la grande distribution. Le rapport du C4 publié par le CERT-FR désigne l’unité Shahid Kaveh des Gardiens de la révolution et fait état de pertes de marchandises et de départs de feu. Pour toute entreprise, la leçon porte sur les équipements connectés laissés joignables depuis Internet.

Les faits

Le 9 novembre 2026, le ministère de l’Europe et des Affaires étrangères a imputé à l’Iran une cyberattaque qu’il qualifie de première offensive de pur sabotage sur le sol français. Il désigne l’unité Shahid Kaveh, rattachée au centre cyber du Corps des Gardiens de la révolution islamique (CGRI), annonce la convocation de l’ambassadeur d’Iran et indique que la France proposera de nouvelles sanctions européennes. Le même jour, le CERT-FR a publié le rapport du Centre de coordination des crises cyber (C4), qui réunit l’ANSSI, le COMCYBER, la DGA, la DGSE et la DGSI.

D’après ce rapport, les contrôleurs de froid d’environ 700 sites de la grande distribution ont été compromis dans la nuit du 11 au 12 octobre 2026. Leurs paramètres de dégivrage ont été forcés à des températures élevées, avec à la clé d’importantes pertes de marchandises et, dans au moins 15 cas, des départs de feu. Le C4 cite parmi les entités touchées les groupes Casino, Leclerc, Coopérative U, Metro, Carrefour et Intermarché, ainsi que de petites boucheries, un abattoir et des usines agroalimentaires coopératives. Le ministère évalue, selon sa propre estimation, les pertes alimentaires à plusieurs dizaines de millions d’euros.

Comment les attaquants ont procédé

Le rapport ne détaille pas la manière dont les contrôleurs ont été compromis. Il précise que les opérateurs ont utilisé FOFA, un outil qui recense les équipements joignables depuis Internet, et que la même infrastructure servait à sonder des équipements Schneider Electric via le protocole Modbus (port TCP 502), notamment dans de petites installations hydroélectriques, avec des effets modérés. Le C4 relie aussi les Gardiens de la révolution à des attaques antérieures contre Charlie Hebdo (2023) et contre une entreprise d’affichage vidéo pendant les JO de Paris 2024.

Que faire maintenant

1. Recensez tous les contrôleurs, automates et interfaces de supervision (froid, CVC, énergie, contrôle d’accès), y compris ceux posés par un mainteneur.
2. Testez depuis l’extérieur ceux qui répondent sur vos adresses publiques, par exemple nmap -Pn -p 502,80,443,8080 <votre-plage-publique>.
3. Fermez : aucun protocole industriel ni page web d’automate directement sur Internet ; accès distant uniquement par VPN avec authentification multifacteur, prestataires compris.
4. Changez les mots de passe par défaut et supprimez les comptes inutilisés.
5. Surveillez : alertes sur les changements de consigne et les dérives de température, et copie des réglages pour les restaurer vite.

Notre analyse

Un contrôleur de froid est un petit serveur, et les attaquants le cherchent comme ils cherchent un serveur web oublié. L’inventaire de ce qui est exposé sur Internet doit inclure ces équipements, et la télémaintenance doit passer par les mêmes portes que le reste du réseau.

Sources

• CERT-FR — Activités cyber offensives ciblant la France menées par des acteurs iraniens liés au CGRI (CERTFR-2026-CTI-009)
• France Diplomatie — Déclaration d’attribution à l’Iran de cyberattaques visant la France
• The Hacker News — France Blames Iran for Sabotage Attack on Refrigeration Controllers at About 700 Retail Sites

Comment nous choisissons, vérifions et rédigeons nos analyses →