La France accuse l'Iran du sabotage des congélateurs de supermarché : 700 sites, des incendies, une enquête judiciaire
La France a formellement attribué le sabotage d’octobre des systèmes réfrigération sur environ 700 sites de vente à une unité cyber iranienne et ouvert une enquête judiciaire pour sabotage au service d'une puissance étrangère selon les termes du parquet. Un incident industriel de plusieurs semaines devient ainsi une accusation étatique nommée, assortie de mandats d'arrêt et d'une confrontation diplomatique.
Le ministère de l’Europe et des affaires étrangères a cité « Shahid Kaveh », décrit comme une unité cyber-offensive affiliée au centre électronique et cyber du Corps des gardiens de la révolution islamique. L'évaluation est venue par le centre de coordination des crises cyber de l’État, C4, qui s’appuie sur l’ANSSI, le commandement cyber militaire et les services de renseignement. Selon BleepingComputer, le CERT‑FR associe également l’unité à des personas hacktivistes comme CyberAveng3rs, Soldiers of Solomon et Cyber Isnaad Front.« La France condamne avec la plus grande fermeté les cyberattaques inacceptables menées sur son territoire par la République islamique d'Iran contre ses intérêts. »
Ce qui s'est produit dans la nuit du 11 au 12 octobre
Les attaquants ont atteint des interfaces d’administration exposées sur internet sur des contrôleurs réfrigération et modifié les réglages de dégivrage pour que les cycles fonctionnent sans limite de temps, faisant monter les températures des armoires. BleepingComputer rapporte que des contrôleurs réfrigération Danfoss ont été compromis et les paramètres de dégivrage élevés à des températures élevées. Le média français de sécurité ZATAZ ajoute que le matériel affecté comprenait des unités Danfoss AK‑SM et AK‑SC et des contrôleurs Dixell/Copeland XWEB, certains hors support ou sous firmware obsolète, et que les alertes des capteurs thermiques ont également été désactivées. Les conséquences physiques ont été immédiates. BleepingComputer chiffre les dégâts à au moins 15 incendies, aux côtés de dizaines de millions d’euros de pertes alimentaires et de dommages matériels significatifs. ZATAZ rapporte « une vingtaine de départs de feu » — une vingtaine d’incendies — dans son texte principal, tandis qu’un passage ultérieur du même article indique au moins 15. Les deux chiffres n’ont pas été réconciliés publiquement. La liste des victimes est large et essentiellement banale. Le CERT‑FR cite Casino, Leclerc, Coopérative U, Metro, Carrefour et Intermarché, ainsi que des boucheries plus petites, un abattoir et des installations coopératives de transformation alimentaire. Les enquêteurs ont aussi trouvé des attaques sur des équipements industriels Schneider Electric dans de petites installations hydroélectriques de la même période, avec des effets modérés.Une enquête judiciaire et des mandats
Le 9 novembre le parquet de Paris a ouvert une information judiciaire sur les attaques d’octobre, selon ZATAZ. L’enquête est menée par l’OFAC, l’office de lutte anti‑cybercriminalité, et la DGSI, le service de renseignement intérieur. Le parquet de Laure Beccuau examine l’accès frauduleux à des systèmes informatiques en bande organisée, des dégradations de nature à mettre en danger des personnes et des actes au service d’une puissance étrangère. ZATAZ rapporte que des mandats d’arrêt internationaux ont été demandés contre trois personnes : le responsable du groupe Shahid Kaveh et deux de ses adjoints. C’est une demande, pas une condamnation. L’attribution elle‑même repose sur des indicateurs convergents plus que sur une preuve unique — le modus operandi du groupe, des traces linguistiques en farsi dans l’infrastructure attaquante et des connexions originaires de terminaux en Iran.Pourquoi le froid est une cible à effet physique
Les équipements de chaîne du froid sont une cible attrayante pour qui veut un effet physique visible sans toucher à un système de paiement. Un contrôleur réfrigération est un petit ordinateur embarqué avec interface web, souvent installé il y a des années par un sous‑traitant, rarement patché et fréquemment joignable depuis l’internet public par commodité de maintenance à distance. Personne ne s’attend à ce qu’il soit une limite de sécurité, donc il ne l’est généralement pas. Il n’y a eu aucune demande de rançon ni aucun vol de données signalé. L’effet a été purement opérationnel : marchandises avariées, incendies déclenchés par les équipements surchauffés et magasins contraints de fermer ou de jeter leur inventaire. Ce profil — faible sophistication à la couche d’accès, forte conséquence à la couche physique — est ce qui rend intéressants à surveiller les équipements OT exposés. L’analyse technique publiée par RedHotCyber, s’appuyant sur les recherches de Sekoia, a dénombré plus de 2 700 systèmes Danfoss exposés mondialement le 11 octobre, environ 1 700 d’entre eux en France. Vers 16 h00 le 12 octobre environ la moitié des appareils français n’étaient plus joignables publiquement.La seconde vague, que la France n’a pas attribuée
Une seconde campagne suivit en novembre. BleepingComputer rapporte plus de 115 magasins touchés dans six pays européens, y compris trois installations de stockage de produits sanguins où températures et réglages de dégivrage ont été modifiés. RedHotCyber décrit des incidents dans la nuit du 1er au 2 novembre dans une douzaine de pays européens, parmi lesquels Belgique, Pays‑Bas, Allemagne et Suède, avec des températures dans les sites de l’Établissement français du sang réglées jusqu’à 110 degrés Celsius avant intervention du personnel. La France a attribué uniquement les attaques d’octobre sur supermarchés à l’Iran ; l’origine de la vague de novembre reste inconnue publiquement. Par ailleurs, le FBI et la CISA ont prévenu d’attaques en cours sur les systèmes de réfrigération industrielle et de surveillance de chaîne du froid. Diplomatiquement, la France annonce convoquer l’ambassadeur iranien et pousser de nouvelles sanctions européennes contre personnes et organisations iraniennes impliquées dans des opérations cyber malveillantes.Ce que les exploitants devraient vérifier
Les leçons défensives sont surtout liées à l’exposition. Le travail de honeypot de Sekoia, tel que résumé par RedHotCyber, a enregistré des requêtes non authentifiées vers des actions web des contrôleurs et du « password spraying » sur les comptes supervisor et admin en utilisant le mot de passe 12345 — un rappel que les identifiants par défaut sur les équipements de bâtiment et de froid sont toujours un problème actuel, non historique.- Inventorier chaque contrôleur réfrigération et CVC, et identifier ceux qui répondent sur une adresse IP publique.
- Supprimer l’exposition directe à internet ; placer la maintenance à distance derrière un VPN ou un serveur de rebond avec journalisation.
- Remplacer les identifiants par défaut et partagés, vérifier les comptes avec droits administrateur complets que personne ne possède.
- Patcher ou remplacer les firmware hors support ; si l’éditeur ne fournit plus de mises à jour, planifier le remplacement.
- Segmenter les réseaux OT et de gestion technique du bâtiment hors de l’informatique d’entreprise.
- Alerter sur les changements de configuration des cycles de dégivrage, valeurs de consigne et seuils de capteurs, pas seulement sur les anomalies réseaux.