Le parquet de Paris a ouvert une information judiciaire visant une unité des Gardiens de la révolution iraniens, soupçonnée d’avoir compromis les systèmes de réfrigération d’environ 700 supermarchés français en octobre. Un rapport de l’ANSSI et de ses partenaires s’appuie sur plusieurs indices techniques reliant ces cyberattaques à Téhéran. Les investigations révèlent également que de petites centrales hydroélectriques ont été ciblées.
Supermarchés, centrales hydroélectriques : la France ciblée par des cyberattaques attribuées à l’Iran
Par
Publié le 10 novembre 2026 à 15h15
Cette attaque contre les systèmes frigorifiques des supermarchés français ne constitue pas un cas isolé. Elle s'inscrit dans un mode opératoire déjà observé sur des systèmes industriels exposés directement sur Internet, notamment lorsque leurs interfaces d'administration restent insuffisamment sécurisées.
Le FBI documente depuis plusieurs années les activités de CyberAv3ngers, également désigné sous le nom de Shahid Kaveh Group. Il le présente comme affilié au commandement cyber des Gardiens de la révolution iraniens. En avril 2026, les autorités américaines ont alerté quant à des attaques visant des automates industriels directement accessibles depuis Internet. Certaines ont entraîné des perturbations opérationnelles et des pertes financières dans plusieurs secteurs d'infrastructures critiques.
Le rapport du CERT-FR apporte des éléments supplémentaires sur ce mode opératoire. L'unité Shahid Kaveh mènerait des campagnes de ciblage d'équipements industriels à grande échelle à des fins de sabotage, principalement contre Israël et les États-Unis, mais aussi contre la France et d'autres pays européens. Elle disposerait depuis au moins juin 2024 de scripts permettant de scanner, d'accéder et de contrôler des équipements industriels Schneider Electric, Siemens et Rockwell. En avril 2026, elle a notamment été observée menant des opérations massives de reconnaissance sur des systèmes Schneider Electric, y compris en France.
Les observations d'ESET Research apportent un éclairage complémentaire sur l'écosystème iranien. Le rapport sur les activités des groupes APT entre avril et septembre 2026 constate une reprise des opérations de plusieurs groupes établis alignés sur les intérêts de l'Iran, après une période de moindre activité. FilthyFeline, un sous-groupe d'OilRig, et MuddyWater ont notamment repris leurs campagnes. La majorité des cibles observées se trouvait en Israël, mais des entreprises américaines ont également été touchées. Les chercheurs ont aussi identifié le développement ou la mise à jour de plusieurs logiciels malveillants, signe d'une remise en activité de certaines capacités offensives. La télémétrie d'ESET montre également la diversité des secteurs visés par les groupes APT alignés sur l'Iran. Les télécommunications, l'énergie, l'ingénierie et l'industrie manufacturière figurent parmi les secteurs touchés.
Le CERT-FR documente aussi les éléments techniques ayant permis cette imputation. L'infrastructure utilisée pour l'attaque a servi parallèlement à effectuer des reconnaissances sur des équipements Schneider Electric. Les attaquants ont utilisé l'outil de recherche FOFA. L'attaque a ensuite été relayée par CyberbanNews, associé à Shahid Kaveh, et des traces d'utilisation du farsi ont été retrouvées dans l'infrastructure d'attaque.
La compromission d'un équipement de régulation peut affecter une chaîne du froid, provoquer un incendie ou perturber une production d'énergie. Ce passage du numérique au physique est particulièrement important dans les environnements industriels. Aux États-Unis, des attaques contre des systèmes de contrôle du secteur de l'eau ont également entraîné des pertes de pression et des inondations.
L'attribution doit être formulée avec précision. Le Centre de coordination des crises cyber, le C4, attribue ces actions destructrices à l'unité cyber-offensive Shahid Kaveh, affiliée au centre électronique et cyber du Corps des Gardiens de la révolution islamique d'Iran. La France attribue plus largement ces campagnes de déstabilisation et de sabotage à la République islamique d'Iran. En parallèle, le Parquet de Paris a ouvert une information judiciaire et requis des mandats d'arrêt internationaux contre plusieurs membres du groupe.