Selon le Centre de coordination des crises cyber, c’est le corps des Gardiens de la Révolution iraniens qui a saboté les installations frigorifiques de 700 sites de la grande distribution. Son rapport révèle aussi que la même nuit, les attaquants ont visé des automates de petites centrales hydroélectriques. Et qu’ils scannaient les équipements industriels français depuis avril.
700 sites touchés en une nuit
Le 12 octobre 2026, le Centre de coordination des crises cyber (C4) reçoit l’alerte. Pendant la nuit du dimanche au lundi, des pirates ont pris la main sur les contrôleurs de froid d’environ 700 sites de la grande distribution. Ils ont modifié les réglages du dégivrage pour les bloquer à haute température.
Ces contrôleurs gèrent la température des meubles réfrigérés et des chambres froides. Ils déclenchent aussi le dégivrage, ce moment où l’on chauffe l’évaporateur pour faire fondre le givre. En jouant sur ce seul paramètre, les attaquants ont fait chauffer des équipements censés refroidir. Beaucoup de marchandises sont perdues et, dans au moins 15 cas, des départs de feu.
Casino, Leclerc, Coopérative U, Metro, Carrefour et Intermarché font partie des groupes touchés. Le C4 recense aussi des victimes dans l’agroalimentaire : plusieurs petites boucheries, un abattoir et des usines coopératives. Le rapport parle d’une attaque “inédite” par son ampleur et son agressivité.
Pour Benoit Grunemwald, expert en cybersécurité chez ESET France, “cette attaque contre les systèmes frigorifiques des supermarchés français ne constitue pas un cas isolé”. Elle reprend selon lui un mode opératoire déjà vu “sur des systèmes industriels exposés directement sur Internet, notamment lorsque leurs interfaces d’administration restent insuffisamment sécurisées”.
Des militaires derrière des pseudos de hackers
Le C4 rassemble l’ANSSI, le commandement de la cyberdéfense (COMCYBER), la DGA, la DGSE et la DGSI. Dans son rapport du 9 novembre, il désigne le Corps des Gardiens de la Révolution islamique (CGRI) comme commanditaire de l’attaque. L’exécutant serait Shahid Kaveh, une unité offensive du Centre électronique et cyber du CGRI.
L’unité ne signe jamais de son nom. Elle se cache derrière de faux collectifs hacktivistes qui revendiquent une partie de ses opérations : CyberAveng3rs, Soldiers of Solomon, Mr. Soul ou Cyber Isnaad Front. Elle dispose aussi d’un site de propagande, CyberbanNews. “Le FBI documente depuis plusieurs années les activités de CyberAv3ngers, également désigné sous le nom de Shahid Kaveh Group”, rappelle Benoit Grunemwald. Sa spécialité : saboter des équipements industriels, à grande échelle.
Le C4 avance quatre indices pour la désigner. Les serveurs de l’attaque ont servi, à la même période, à des repérages menés avec ses techniques habituelles. Les attaquants ont utilisé FOFA, un moteur de recherche d’objets connectés que l’unité emploie régulièrement. CyberbanNews a relayé l’attaque dès le 13 octobre. Et les enquêteurs ont trouvé des traces de farsi sur l’infrastructure.
Benoit Grunemwald détaille comment se répartissent les rôles. “L’attribution doit être formulée avec précision”, explique-t-il. Sur le plan technique, le C4 attribue le sabotage à l’unité Shahid Kaveh. Sur le plan politique, la France va plus loin et accuse la République islamique d’Iran d’être derrière ces campagnes de déstabilisation et de sabotage.
Au-delà des frigos, l’énergie et l’eau
Les supermarchés n’étaient pas la seule cible. La même nuit, l’unité a aussi visé plusieurs équipements Schneider Electric de petites installations hydroélectriques en France. Le C4 relie ces attaques à celle des frigos, avec cette fois des effets “modérés” sur les équipements touchés.
Les mêmes serveurs ont également servi à repérer des équipements Schneider Electric “utilisés notamment dans des petites et moyennes unités de production d’énergie et d’eau”. Ce travail de repérage ne date pas d’hier. Depuis au moins juin 2024, Shahid Kaveh dispose de scripts pour scanner, pénétrer et piloter des automates Schneider Electric, Siemens et Rockwell. En avril 2026, six mois avant l’attaque, l’unité “a été vue utilisant le protocole Modbus sur le port 502″ pour mener des actions massives de reconnaissance sur des systèmes Schneider Electric, notamment en France.
Un repérage qui n’a rien d’anodin.”La compromission d’un équipement de régulation peut affecter une chaîne du froid, provoquer un incendie ou perturber une production d’énergie”, prévient Benoit Grunemwald. Aux États-Unis, rappelle-t-il, des attaques contre des systèmes de contrôle dans le secteur de l’eau ont provoqué des pertes de pression et des inondations. L’expert note aussi que les groupes iraniens reprennent du service. Le dernier rapport APT d’ESET relève, entre avril et septembre 2026, “une reprise des opérations de plusieurs groupes établis alignés sur les intérêts de l’Iran”, comme MuddyWater ou FilthyFeline, un sous-groupe d’OilRig. L’énergie, l’ingénierie et l’industrie font partie des secteurs visés.
Chez ESET, les chercheurs ont aussi repéré le développement ou la mise à jour de plusieurs logiciels malveillants par les groupes iraniens. Pour Benoit Grunemwald, c’est le “signe d’une remise en activité de certaines capacités offensives”. L’attaque des frigos pourrait donc ne pas rester isolée.
