La France accuse l’Iran d’un sabotage cyber de la réfrigération de 700 supermarchés : l’unité des Gardiens de la révolution et les mesures annoncées par Paris

Paris a formellement attribué à l’Iran la cyberattaque qui a touché la réfrigération de centaines de supermarchés français en octobre. Dans une déclaration d’attribution publiée lundi 9 novembre, le ministère français de l’Europe et des Affaires étrangères condamne les actions de la République islamique « dans les termes les plus catégoriques » et les qualifie de première campagne de cyberattaques sur le territoire français dont le seul objectif était le sabotage.

L’attaque a eu lieu dans la nuit du dimanche 11 au lundi 12 octobre. Les intrus ont pris le contrôle des contrôleurs de refroidissement d’environ 700 magasins de détail et ont programmé des cycles de dégivrage à des températures élevées. Des denrées alimentaires d’une valeur de plusieurs dizaines de millions d’euros ont ainsi été détériorées, et dans au moins 15 cas un incendie s’est déclaré. Les victimes sont principalement des magasins des groupes Casino, Leclerc, Coopérative U, Metro, Carrefour et Intermarché, mais aussi de petites boucheries, un abattoir et des coopératives alimentaires.

L’unité Shahid Kaveh et les traces en farsi

Le Centre de coordination des crises cyber (C4), qui regroupe l’ANSSI, la DGSE, la DGSI, la Direction générale de l’armement et le Commandement de la cyberdéfense, attribue la responsabilité à l’unité Shahid Kaveh du Commandement de la guerre électronique et cyber des Gardiens de la révolution (CEC). Dans son rapport technique, le CERT-FR désigne Reza Salarvand et Mahdi Lashgarian comme commandants de l’unité, et Hamid Reza Lashgarian comme chef du centre.

Les autorités françaises citent quatre éléments. Premièrement, la même infrastructure a été utilisée à la même période pour scanner des équipements Schneider Electric via le protocole Modbus (port 502), une technique que l’unité emploie depuis avril au moins. Deuxièmement, les auteurs ont scanné des cibles avec l’outil FOFA, généralement utilisé par le même groupe. Troisièmement, l’« organe de propagande » CyberbanNews, lié à l’unité, a diffusé des informations sur l’attaque dès le 13 octobre. Quatrièmement, des traces d’utilisation du farsi ont été relevées dans l’infrastructure. Dans une opération connexe, que la France rattache à la même attaque, des équipements Schneider Electric de petites centrales hydroélectriques ont également été visés, avec des effets limités.

Shahid Kaveh apparaît généralement derrière des identités « hacktivistes » telles que CyberAveng3rs, Soldiers of Solomon, Mr. Soul et Cyber Isnaad Front. En 2023, l’unité a revendiqué des attaques contre des systèmes de l’entreprise israélienne Unitronics, et en mars et avril 2026, elle a revendiqué une campagne de sabotage contre des équipements industriels d’intérêts israéliens et américains, dont des systèmes de refroidissement israéliens. Le 5 novembre, des agences américaines avaient mis en garde contre des attaques visant les contrôleurs de réfrigération des supermarchés. Depuis le début de la guerre avec l’Iran en février, des cyberattaques contre des infrastructures américaines ont été attribuées à des groupes iraniens, comme celle contre les transports en commun de Los Angeles en mars et celle contre des stations de traitement des eaux en juillet.

La France rattache l’affaire à des actions plus anciennes menées par une seconde unité, Shahid Shoostari, aussi connue sous le nom d’Emennet Pasargad : l’attaque contre la boutique en ligne de Charlie Hebdo en janvier 2023, et la tentative d’afficher sur des écrans des photomontages de propagande contre la participation d’athlètes israéliens aux JO de Paris 2024.

La réponse de Paris

Paris a convoqué l’ambassadeur d’Iran au Quai d’Orsay pour exprimer sa condamnation la plus catégorique, va proposer à ses partenaires européens de nouvelles sanctions contre des personnes et entités iraniennes, et se réserve le droit de prendre « toute mesure supplémentaire, publique ou non publique ». Parallèlement, le parquet de Paris a demandé des mandats d’arrêt internationaux contre le chef de l’unité et ses deux adjoints. Téhéran nie systématiquement avoir mené des opérations cyber malveillantes.