Une attribution officielle, un mois après les faits
C'est l'une des attributions les plus spectaculaires de l'histoire récente de la cybersécurité européenne. Lundi 9 novembre, Paris a désigné les Gardiens de la Révolution iraniens comme responsables de l'attaque qui, dans la nuit du 11 au 12 octobre, a déréglé les installations frigorifiques de centaines de supermarchés français. Selon franceinfo, le ministre des Affaires étrangères, Jean-Noël Barrot, a parlé d'une attaque « d'une ampleur inédite et d'une agressivité inédite », et a annoncé avoir convoqué l'ambassadeur d'Iran.
Le parquet de Paris a ouvert une information judiciaire visant le chef de Shahid Kaveh, une unité cyberoffensive affiliée au Centre électronique et cyber du Corps des Gardiens de la Révolution, ainsi que ses deux adjoints. D'après le média ICI, le parquet requiert aussi la délivrance de mandats d'arrêt internationaux. Mardi, Téhéran a répliqué : son ministère des Affaires étrangères « rejette catégoriquement » des accusations qu'il juge infondées et unilatérales, rapporte notamment le Korea Times.
Ce qui s'est réellement passé dans les magasins
On parle ici de réfrigérateurs, mais l'affaire n'a rien d'anecdotique. Selon le parquet cité par franceinfo, environ 700 sites de la grande distribution, dont des enseignes comme Système U, Intermarché ou E.Leclerc, ont été touchés. Les pirates ont pris le contrôle à distance des systèmes de régulation du fabricant danois Danfoss, puis de ceux de Dixell et de Copeland.
Le mode opératoire est d'une redoutable simplicité. D'après la procureure, les attaquants ont utilisé des interfaces web pour lancer des cycles de dégivrage anormaux, sans limite de durée, tout en désactivant les alertes des sondes qui auraient dû sonner au-delà d'un certain seuil. Des températures de 50 °C ont été évoquées dans plusieurs comptes rendus, rapporte ICI. Le bilan, résumé par la RTS à partir des déclarations du parquet, fait état de pertes alimentaires importantes et d'une vingtaine de départs de feu.
Pour Jean-Noël Barrot, il s'agit de « la première cyberattaque à grande échelle à des fins de sabotage sur le territoire national », selon la même source. Le mot compte : il ne s'agit ni d'espionnage ni d'une rançon. Aucune demande de paiement n'a circulé, souligne le site spécialisé Shattered, ce qui est rare pour une intrusion de cette taille.
Comment la France est arrivée à l'Iran
L'attribution repose sur ce que le centre de coordination des crises cyber (C4) décrit comme un « faisceau d'indices ». Les enquêteurs citent l'usage du farsi et des adresses IP renvoyant vers des terminaux situés en Iran. Selon Le Devoir, qui reprend le communiqué du C4, les techniques employées sont connues pour être utilisées par Shahid Kaveh depuis avril 2026 au moins, et l'opération a été relayée dès le 13 octobre sur un organe de propagande associé à l'unité.
Ces indices ne sont pas tous de même nature. Une langue ou une adresse IP peuvent être fabriquées, et c'est précisément l'une des grandes difficultés de l'attribution en cyberespace. Les attaquants peuvent aussi laisser de faux indices pour brouiller les pistes. Dans les premiers jours, la presse spécialisée avait d'ailleurs pointé deux groupes prorusses, NoName057(16) et Z-Pentest, rappelle Le Devoir. L'enquête française a écarté cette piste, sans que les éléments techniques complets soient publics.
Un autre élément ajoute au dossier : selon un reportage de franceinfo, les États-Unis avaient accusé ce même groupe, en août, d'avoir attaqué les réseaux d'eau potable de plusieurs États américains, et l'enquête française aurait été menée conjointement avec le Pentagone. Ce dernier point est rapporté par le média sans précision supplémentaire.
Un équipement vieillissant, exposé sur Internet
Le volet technique est peut-être le plus instructif pour le grand public. Selon L'Usine digitale, un bulletin du CERT-FR confirme l'implication de contrôleurs Danfoss des séries AK-SM et AK-SC. Danfoss affirme que la majorité des unités concernées étaient des modèles en fin de vie, qui ne recevaient plus de mises à jour logicielles.
Autrement dit, ce n'était pas nécessairement une faille inconnue. Le site Shattered indique que l'ANSSI a attribué la faisabilité de l'attaque à des « défauts de sécurisation élémentaires » et mentionne une vulnérabilité corrigée par le fabricant en juillet, mais pas appliquée partout. Ce même site rapporte, d'après Censys, que 1 825 des 2 991 panneaux de contrôle Danfoss exposés dans le monde se trouvaient en France. Ces chiffres sont issus d'un média spécialisé secondaire et méritent donc prudence.
Le constat vaut bien au-delà de la grande distribution. Des automates conçus pour être gérés à distance, par commodité, sont branchés à Internet, rarement mis à jour, parfois jamais remplacés. C'est la définition même d'une surface d'attaque.
Une campagne qui dépasse les frontières françaises
La France n'est pas seule. Selon La Libre, des supermarchés en Belgique, en Estonie, en Finlande, en Irlande, en Italie, au Luxembourg, aux Pays-Bas, au Portugal et en Suède ont été touchés à leur tour début novembre. La responsabilité de cette seconde vague n'a pas été officiellement établie. Le directeur de l'ANSSI, Vincent Strubel, a lui-même rappelé, cité par franceinfo, que « rien en l'état ne permet d'affirmer qu'il s'agit du même attaquant » pour une autre attaque, celle qui a visé des sites de l'Établissement français du sang.
La cheffe de la diplomatie européenne, Kaja Kallas, a indiqué que ces cyberincidents, s'ils étaient attribués, appelleraient une réponse forte, et que le sujet serait discuté lors du Conseil des affaires étrangères du 16 novembre, relaie Toute l'Europe. C'est là que se jouera la suite : des sanctions européennes exigent l'unanimité des États membres, et une attribution fondée sur des indices techniques doit convaincre.
Le contexte : une guerre asymétrique qui se déplace vers l'Europe
Pour comprendre le moment choisi, il faut regarder la géopolitique. Selon une analyse de l'AFP publiée par Noovo, l'Iran serait de plus en plus agressif sur le territoire européen depuis le déclenchement du conflit par Israël et les États-Unis en février 2026. Le spécialiste Clément Therme y décrit une « escalade horizontale », avec un élargissement géographique et des cibles civiles comme les frigos, là où l'Iran visait auparavant des intérêts américains ou juifs.
L'avantage de l'arme cyber, souligne la même analyse, est qu'elle permet un déni plausible. Et l'Iran, selon un analyste cité, est spécialisé dans le sabotage plutôt que dans le vol de données. Le site Armees.com rappelle que des unités cyber iraniennes avaient déjà visé des systèmes de traitement de l'eau aux États-Unis et des usines agroalimentaires israéliennes. Là encore, la source est un média spécialisé, à manier avec prudence.
Côté américain, le secrétaire d'État Marco Rubio, présent à Paris, a estimé que les Gardiens de la Révolution mènent depuis longtemps des actes de terrorisme et de sabotage partout dans le monde, et que la France n'était même pas vraiment impliquée dans le conflit, rapporte Le Devoir.
Les arguments de Téhéran, et les zones d'ombre
La réponse iranienne est cinglante. Selon l'agence Wion, citée plus haut dans les dépêches, le ministère affirme que la France ne fait que projeter ses propres failles de gouvernance. Le chef de la diplomatie, Abbas Araghchi, a ironisé sur X : incapable de gérer ses frigos, le gouvernement français rejetterait la faute sur d'autres, rapporte le Korea Times. Téhéran dit aussi qu'il prendra les mesures nécessaires pour protéger ses intérêts.
Ces dénégations sont attendues et ne prouvent rien dans un sens ou dans l'autre. Reste que les preuves techniques détaillées n'ont pas été rendues publiques : l'attribution repose, à ce stade, sur les conclusions des services français, que des experts indépendants n'ont pas pu examiner. C'est la limite habituelle de ces dossiers, que les gouvernements justifient par la protection de leurs sources.
Ce que cela change
Trois enseignements se dégagent.
D'abord, la frontière entre cybercriminalité et acte de guerre devient poreuse. L'ouverture d'une information judiciaire pour des faits commis « dans le but de servir une puissance étrangère » place l'affaire sur le terrain pénal, une démarche qui, selon Armees.com, s'inspire de procédures américaines contre des pirates russes et chinois. Les mandats d'arrêt visent surtout un effet de signal : aucun des suspects n'a de chance d'être arrêté prochainement.
Ensuite, la cible a changé de nature. Plutôt qu'une centrale ou un hôpital, ce sont des équipements ordinaires de la chaîne alimentaire qui ont été visés. Le message à l'industrie est limpide : tout appareil connecté et mal protégé peut devenir un levier de pression.
Enfin, la réponse reste à construire. Paris promet des sanctions européennes et des mesures dont il « ne fera pas état publiquement », selon La Libre. Reste à savoir si les Vingt-Sept s'entendront, alors que les autres attaques n'ont pas été attribuées et que la crise avec l'Iran, notamment autour du détroit d'Ormuz, reste ouverte.
Dans l'immédiat, la leçon est surtout technique : segmenter les réseaux industriels, remplacer les contrôleurs en fin de vie, ne plus exposer d'interfaces d'administration sur Internet. Des gestes peu spectaculaires, mais que ni les fabricants ni les distributeurs ne peuvent désormais repousser.