La France dit qu’une unité iranienne a saboté les frigos d’environ 700 supermarchés, causant des incendies

Le 9 novembre 2026, la France a publiquement accusé l’Iran d’une cyberattaque qui a frappé les contrôleurs de réfrigération d’environ 700 supermarchés et autres commerces alimentaires dans la nuit du 11 au 12 octobre. Dans une déclaration du ministère des Affaires étrangères, la France dit que l’attaque a causé des dégâts matériels considérables, des départs d’incendie et des pertes de denrées estimées à plusieurs dizaines de millions d’euros. Elle la qualifie de première campagne cyberoffensive menée purement à des fins de sabotage sur le territoire national.

La France attribue l’attaque à Shahid Kaveh, une unité cyberoffensive rattachée au centre électronique et cyber du Corps des Gardiens de la révolution islamique d’Iran (CGRI). Le même jour, le Centre de coordination des crises cyber, qui réunit l’ANSSI, les services de renseignement, le Commandement de la cyberdéfense et la Direction générale de l’armement, a publié un rapport technique conjoint (PDF).

Ce qui s’est passé

Selon le rapport, le centre a été alerté le 12 octobre d’une attaque contre les contrôleurs de froid d’environ 700 sites de la grande distribution. Pendant la nuit, les paramètres de dégivrage ont été réglés à de hautes températures, ce qui a entraîné d’importantes pertes de marchandises et, dans au moins 15 cas, des départs de feu. Les victimes étaient surtout de grandes enseignes ; le rapport nomme les groupes Casino, Leclerc, Coopérative U, Metro, Carrefour et Intermarché. Il mentionne aussi de plus petites victimes du secteur alimentaire, dont plusieurs petites boucheries, un abattoir et des usines agroalimentaires coopératives.

Le rapport relie à la même attaque le ciblage d’équipements Schneider Electric dans plusieurs petites centrales hydroélectriques en France, avec des effets qu’il qualifie de modérés.

Ce n’est ni un rançongiciel ni un vol de données. Le but était un dommage physique : des équipements réglés pour chauffer ce qu’ils devaient garder au froid.

Pourquoi la France accuse l’Iran

Le rapport présente un « faisceau d’indices » désignant le CGRI comme commanditaire et Shahid Kaveh comme exécutant :

• l’infrastructure de l’attaque a aussi servi, à la même période, à reconnaître des équipements Schneider Electric de petites unités de production d’énergie et d’eau, avec des techniques (protocole Modbus sur le port 502) que Shahid Kaveh utilise depuis au moins avril 2026
• les opérateurs ont utilisé l’outil de balayage FOFA, habituel chez ce groupe
• CyberbanNews, un organe de propagande associé à l’unité, a relayé l’attaque dès le 13 octobre
• des traces d’utilisation du farsi ont été trouvées dans l’infrastructure d’attaque

Le rapport dit que Shahid Kaveh est surtout connue par ses avatars hacktivistes, comme CyberAveng3rs, Soldiers of Solomon et Mr. Soul, qui revendiquent ses attaques. Sous le nom CyberAveng3rs, elle a revendiqué en novembre 2023 des attaques contre des automates de l’entreprise israélienne Unitronics, utilisés aux États-Unis et en Europe. Le rapport dit que l’unité dispose depuis au moins juin 2024 de scripts pour balayer, atteindre et contrôler des équipements industriels de Schneider Electric, Siemens et Rockwell.

Le rapport attribue aussi d’anciennes opérations contre la France à une deuxième unité du CGRI, Shahid Shoostari (aussi appelée Emennet Pasargad) : l’attaque de la boutique en ligne de Charlie Hebdo en 2023 et une tentative de détournement d’écrans d’affichage autour des Jeux olympiques de Paris en 2024.

Ce que fait la France

La France dit qu’elle convoquera l’ambassadeur d’Iran, proposera de nouvelles sanctions européennes contre les entités et personnes iraniennes impliquées, et se réserve le droit de prendre d’autres mesures publiques et non publiques. La BBC rapporte (en anglais) que le parquet de Paris a ouvert une enquête visant le chef d’une unité cyberoffensive du CGRI et ses deux adjoints, et que l’Iran n’avait pas réagi officiellement, même si des médias iraniens ont rejeté les accusations comme non fondées.

La BBC rapporte aussi que l’attaque visait un logiciel de gestion à distance de la réfrigération de l’entreprise danoise Danfoss, et qu’une deuxième vague ce mois-ci a touché plus de 100 magasins ailleurs en Europe, notamment en Belgique et au Luxembourg. On ne sait pas si cette vague est liée, et le rapport français n’en parle pas.

Ce que cela signifie pour vous

Pour les consommateurs, les effets directs ont été des rayons vides et des pertes dans les magasins touchés en octobre. La France n’a pas dit que quelqu’un ait été malade après avoir mangé des aliments de frigos touchés. Les magasins jettent normalement les produits réfrigérés quand la température sort des limites.

La leçon plus large vise toute personne qui gère des équipements accessibles par Internet. La semaine dernière, des agences américaines avertissaient que des attaquants visaient ce type de contrôleur partout dans le monde, sans nommer de victimes. Le rapport français met un incident réel, et de grande ampleur, derrière cet avertissement.

Ce que vous pouvez faire

1. Si vous exploitez un commerce, un restaurant ou un entrepôt avec des commandes de réfrigération, demandez à votre installateur ou à votre entreprise d’entretien si les contrôleurs ou leurs tableaux de bord web sont accessibles par Internet. Si c’est le cas, placez-les derrière un RPV ou mettez-les hors ligne.
2. Changez les mots de passe par défaut des contrôleurs et des systèmes du bâtiment, et gardez leur micrologiciel à jour.
3. Gardez une alarme de température indépendante qui ne dépend pas du même contrôleur, pour qu’un réglage modifié soit remarqué vite.
4. Sachez qui appeler. Au Canada, les entreprises peuvent signaler un cyberincident au Centre canadien pour la cybersécurité.

Comment Frame peut aider

Il s’agit d’un sabotage d’équipements, pas d’une fuite de renseignements personnels, donc il n’y a rien à ajouter à votre liste de fuites. Frame peut quand même chercher vos adresses courriel vérifiées dans la base de données de fuites de Have I Been Pwned pour d’autres fuites. Frame ne surveille pas les équipements industriels.

À lire aussi

• La CISA et le FBI disent que des attaquants visent les contrôleurs de réfrigération : l’avertissement américain du 5 novembre sur le même type d’équipement, qui ne nommait aucune victime. Le rapport français décrit maintenant une vraie attaque de ce genre.

Sources

• France Diplomatie, Déclaration d’attribution à l’Iran de cyberattaques visant la France, 9 novembre 2026
• CERT-FR / Centre de coordination des crises cyber, Activités cyber offensives menées par des acteurs iraniens liés au CGRI (PDF), 9 novembre 2026
• BBC News, France accuses Iran of supermarket fridge hacking (en anglais), novembre 2026