La France attribue le sabotage des réfrigérateurs à une unité des Gardiens de la révolution et prépare des sanctions

La France a accusé les Gardiens de la révolution iraniens d’avoir commandité la cyberattaque d’octobre contre les systèmes de réfrigération de supermarchés. Le 9 novembre, elle a annoncé la convocation de l’ambassadeur d’Iran et son intention de demander de nouvelles sanctions européennes. Son analyse technique désigne l’unité Shahid Kaveh comme exécutante du sabotage.

Cette attribution relie directement l’affaire à une campagne visant des équipements industriels israéliens et américains. Selon les enquêteurs français, la même unité mène des opérations contre ces deux pays et a étendu ses cibles à la France et à d’autres États européens.

Des réglages de dégivrage à l’origine des dégâts

Le Centre de coordination des crises cyber, ou C4, indique avoir été alerté le 12 octobre, après la compromission de contrôleurs frigorifiques dans la nuit précédente. Les paramètres de dégivrage avaient été réglés sur des températures élevées, entraînant d’importantes pertes de marchandises et des départs de feu dans au moins 15 cas.

Le communiqué du ministère des Affaires étrangères du 9 novembre mentionne plus de 700 sites de distribution. Le rapport du C4 publié le même jour en évoque environ 700. Les documents ne résolvent pas cet écart. Le ministère évalue les denrées perdues à plusieurs dizaines de millions d’euros et signale aussi des dommages matériels considérables.

Le C4 cite notamment les groupes Casino, Leclerc, Coopérative U, Metro, Carrefour et Intermarché parmi les victimes. Il recense également de petites boucheries, un abattoir et des usines agroalimentaires coopératives. Les conséquences dépassent donc les rayons des supermarchés et touchent aussi des installations qui les approvisionnent.

Plusieurs indices techniques fondent l’attribution

L’analyse française rattache Shahid Kaveh à l’organisation électronique et cyber des Gardiens de la révolution. L’ANSSI, les services de renseignement intérieur et extérieur, la Direction générale de l’armement et le commandement militaire de cyberdéfense ont participé aux travaux du C4.

Les enquêteurs décrivent des recoupements entre infrastructures d’attaque, des opérations de reconnaissance sur d’autres équipements industriels, des méthodes de balayage récurrentes et des traces de persan dans l’infrastructure. Le rapport présente cet ensemble d’indices comme le fondement de l’attribution à l’unité iranienne.

Le C4 rattache aussi à la même attaque le ciblage simultané d’équipements de petites installations hydroélectriques françaises. Il qualifie leurs effets de modérés. Le bilan décrit pour ces installations reste plus limité que celui des systèmes frigorifiques.

Un lien déjà documenté avec la technologie israélienne

Le ciblage d’équipements industriels précède l’affaire française. Une alerte commune d’agences américaines et de la Direction nationale israélienne du cyber, publiée en décembre 2023, documentait des attaques contre des automates programmables de l’entreprise israélienne Unitronics, utilisés pour piloter des processus physiques.

L’alerte décrivait des appareils compromis dans des installations d’eau potable et d’assainissement de plusieurs États américains. Les automates concernés étaient accessibles depuis Internet et utilisaient des mots de passe par défaut. Le document citait également l’agroalimentaire, l’énergie et la santé parmi les secteurs employant ces équipements.

Ce précédent explique comment une attaque liée à Israël peut produire des effets ailleurs : les équipements d’une entreprise israélienne fonctionnent au sein de services collectifs et d’entreprises étrangers. L’alerte de 2023 visait directement les automates compromis et invitait les exploitants à examiner aussi les réseaux de contrôle associés.

Washington avait déjà sanctionné des responsables cyber

Le Trésor américain a sanctionné six responsables du commandement cyber des Gardiens de la révolution le 2 février 2024, en réponse à des opérations contre des équipements Unitronics. Il précisait que cette opération n’avait pas interrompu de services essentiels et que les incidents avaient été corrigés avec des effets minimes.

Son avertissement portait sur les possibilités offertes par un accès non autorisé. Les automates des services essentiels relient des instructions numériques à des équipements physiques, créant des risques qui dépassent le vol de données ou la modification d’un site web. Les constatations françaises décrivent désormais des stocks détruits et des incendies après un changement de réglages.

L’action américaine a gelé les biens des responsables désignés relevant de la juridiction des États-Unis et généralement interdit les transactions couvertes par les sanctions. Elle constitue un précédent à l’usage de cet instrument que Paris entend promouvoir auprès de ses partenaires européens.

Une convocation annoncée et des sanctions à proposer

Le ministère français des Affaires étrangères a annoncé qu’il convoquerait l’ambassadeur iranien pour lui signifier sa condamnation et proposerait des sanctions contre les personnes et entités iraniennes impliquées dans l’attaque ou d’autres activités cyber malveillantes. Il s’est aussi réservé la possibilité de mesures supplémentaires, publiques ou non divulguées, jugées nécessaires et proportionnées.

L’annonce du 9 novembre expose des démarches diplomatiques prévues ; elle n’annonce pas l’adoption d’un nouveau train de sanctions européennes. Le gouvernement français a qualifié l’opération d’octobre de première campagne cyber offensive menée sur son territoire exclusivement à des fins de sabotage.

La nouveauté immédiate réside dans la désignation publique d’une unité étatique iranienne et la décision de rechercher une réponse coordonnée. Pour les exploitants industriels, les documents rattachent cette démarche à un dommage physique précis : la modification à distance de commandes frigorifiques a détruit des marchandises et déclenché des départs de feu dans au moins 15 cas.