Frigos de supermarchés piratés en octobre : la France accuse les Gardiens de la révolution iraniens

Les protagonistes

Chronologie

Chronologie

Contexte et explications

01 Ce qui a changé depuis le 4 novembre

Le 9 novembre, la France a désigné l’auteur de la nuit d’octobre : une unité cyber des Gardiens de la révolution iraniens. L’Iran dément. La vague européenne de novembre reste sans auteur.

Le 4 novembre, Facta faisait le point sur deux nuits. Dans la nuit du 11 au 12 octobre, le froid d’environ 700 sites français de la grande distribution avait été déréglé à distance. Dans la nuit du 1er au 2 novembre, le même procédé avait touché des magasins dans au moins neuf autres pays européens. Les pirates étaient passés par de petits boîtiers qui règlent le froid des magasins. Ces boîtiers ont une page de réglage accessible par Internet, pour qu’un technicien les dépanne sans se déplacer ; beaucoup étaient restés joignables par n’importe qui. Personne n’avait revendiqué ces attaques, et aucune autorité n’avait désigné de responsable (édition précédente).

Le lundi 9 novembre, trois textes officiels ont changé la situation.

• Une note technique. Le Centre de coordination des crises cyber (C4) réunit les services de l’État chargés de la menace informatique : l’agence française de cybersécurité (ANSSI), le commandement de la cyberdéfense des armées, la direction générale de l’armement, et les deux services de renseignement, extérieur (DGSE) et intérieur (DGSI). Il a publié une note de cinq pages (CERTFR-2026-CTI-009). Elle attribue l’exécution de l’attaque d’octobre à l’unité Shahid Kaveh, qui agit sous des noms de façade, et son commandement au Corps des gardiens de la révolution islamique (CGRI). Le CGRI est la force armée créée après la révolution de 1979 pour défendre le régime iranien, distincte de l’armée régulière. La note s’appuie sur quatre indices : des serveurs, un outil de recherche, un message relayé par un média de propagande et des traces de persan.
• Une déclaration politique. Le ministère de l’Europe et des Affaires étrangères « attribue à l’Iran ces actions destructrices ». Depuis la réunion des ministres des Affaires étrangères du G7, Jean-Noël Barrot affirme que « la responsabilité de cette attaque revient au corps des Gardiens de la révolution ».
• Une procédure judiciaire. Le parquet de Paris ouvre une information judiciaire, c’est-à-dire une enquête confiée à des juges d’instruction. Elle vise « le chef du groupe iranien Shahid Kaveh », « ses deux adjoints » et « toute autre personne qui serait identifiée ». Le parquet requiert contre eux des mandats d’arrêt internationaux, que les juges décideront ou non de délivrer (RTBF). Les personnes visées sont présumées innocentes.

Le lendemain, l’Iran a rejeté des accusations « infondées et unilatérales », et son ambassadeur a été reçu au ministère.

L’accusation française ne porte que sur la nuit d’octobre en France. Elle ne vise ni la vague européenne de novembre, ni l’attaque du 2 novembre contre les chambres froides de l’Établissement français du sang, l’organisme public qui collecte le sang en France.

Ce que Facta écrivait le 4 novembre, et ce qu’il faut en reprendre

Trois passages de l’édition précédente sont à relire à la lumière de ces textes.

« Personne n’a revendiqué. » C’était exact au 4 novembre, et cela le reste en l’état de ce qui est public. Mais la note du C4 révèle que, dès le 13 octobre, l’attaque a été « relayée » par CyberbanNews, un média de propagande qu’elle associe à l’unité. Relayer n’est pas revendiquer, et le contenu de ce message n’est pas public. S’il s’agissait d’une revendication, la phrase « Personne n’a revendiqué » serait à corriger pour octobre.

« Cette technique laisse trop peu de traces pour distinguer un amateur d’un État. » Facta écrivait cela comme un fait. C’était l’avis de Tom Hegel, chercheur de la société de cybersécurité SentinelOne : selon lui, se connecter à une page de réglage exposée ne laisse presque aucune trace. La formule était trop affirmative. Les traces publiques ne permettaient pas de distinguer un amateur d’un État, et c’est toujours le cas. Les enquêteurs, eux, disent avoir trouvé d’autres éléments : les serveurs de l’attaque ont servi en même temps à d’autres repérages, on y a trouvé du persan, et le parquet cite des adresses de connexion situées en Iran. Hegel lui-même notait, dans son analyse mise à jour le 4 novembre, que les enquêteurs pouvaient détenir des éléments non publiés.

Le tableau des hypothèses sur les auteurs. Fin octobre, le site américain Nextgov rapportait, d’après deux sources anonymes, que des responsables américains soupçonnaient des pirates liés à l’Iran d’avoir fait tomber en panne, depuis la fin d’août, les congélateurs d’environ six supermarchés de bases militaires américaines. L’édition du 4 novembre citait cet épisode, mais son tableau des hypothèses sur les auteurs ne reprenait pas la piste iranienne. Il ne citait pas non plus les attaques contre le froid en Israël attribuées à des pirates iraniens, que la radio publique américaine NPR décrivait le 3 novembre (NPR). Le tableau présentait la Russie comme l’État le plus cité par les experts privés, ce qui était exact pour l’Europe. La piste iranienne aurait dû y figurer.

Deux autres points se précisent sans contredire l’édition précédente. La note officielle parle de « sites », pas seulement de supermarchés : des boucheries, un abattoir et des usines agroalimentaires figurent parmi les victimes. Et le nombre de départs de feu, que Facta disait inconnu, est désormais publié.

02 Ce que l’enquête française révèle de la nuit d’octobre

Selon le parquet, les pirates ont coupé les alarmes de température en lançant des dégivrages sans fin. Il y a eu de 15 à 20 départs de feu, et de petites centrales hydroélectriques ont été visées en même temps. La justice juge le moyen employé dangereux pour les personnes, sans qu’aucune évaluation de ce risque soit publiée.

Le procédé, en deux phrases

Un meuble réfrigéré se dégivre régulièrement : un élément chauffant fait fondre la glace, pendant un temps réglé à l’avance. Les pirates ont pris la main sur les boîtiers qui fixent ces réglages, par leur page de dépannage accessible sur Internet, et ont prolongé les dégivrages, si bien que les meubles ont chauffé au lieu de refroidir.

Ce qui est nouveau

Les alarmes ont été coupées, selon le parquet. D’après le communiqué de la procureure de Paris, les attaquants ont lancé « des cycles de dégivrages anormaux à durée illimitée, tout en désactivant les alertes de sécurité des sondes censées s’activer au-delà d’une certaine température » (franceinfo). Ces sondes doivent prévenir le personnel ou le prestataire de maintenance quand la température monte. La note du C4, elle, ne parle que de paramètres de dégivrage « fixés à de hautes températures ». La coupure n’a pas été générale : NPR rapporte qu’un gérant de supermarché près de Dijon a été appelé à 4 heures du matin par sa société de surveillance, parce que les températures grimpaient.

Il y a eu au moins 15 départs de feu, une vingtaine selon le parquet. La note du C4 écrit « dans au moins 15 cas des départs de feu », le parquet « une vingtaine ». L’écart n’est pas expliqué. Aucune source ne donne les lieux ni la gravité ; aucun blessé n’a été rapporté. La cause la plus probable est la chaleur des éléments de dégivrage restés allumés, mais elle n’est établie publiquement pour aucun cas.

Les victimes ne sont pas toutes des supermarchés. La note cite les groupes Casino, Leclerc, Coopérative U, Metro, Carrefour et Intermarché, mais aussi de petites boucheries, un abattoir et des usines agroalimentaires coopératives. Le ministère parle de « plus de 700 sites », la note d’« environ 700 ».

De petites centrales hydroélectriques ont été visées. Au même moment, en France, des équipements de la marque Schneider Electric qui commandent de petites installations hydroélectriques ont été pris pour cible. Le C4 relie ce « ciblage concomitant » à la même attaque que les frigos et parle d’« effets modérés sur les équipements ciblés ». On ne sait ni combien d’installations, ni où, ni qui les exploite, ni ce que recouvrent ces effets.

Un danger retenu par la justice, mais pas évalué publiquement

Trois risques se posent : l’incendie dans un magasin, les denrées restées en rayon après avoir chauffé, et la sûreté d’une installation hydraulique. Le parquet a ouvert l’enquête notamment pour « dégradations par un moyen dangereux pour les personnes ». Cette qualification montre que l’autorité de poursuite tient le moyen employé, des dégivrages sans fin, pour dangereux. Mais aucune autorité n’a publié d’évaluation de ces risques : ni bilan des incendies, ni contrôle des denrées, ni point sur les installations hydrauliques. Le 4 novembre, Facta notait déjà qu’aucun contrôle extérieur des produits n’était connu ; rien de nouveau n’a été publié depuis.

Une première en France par son ampleur, selon Paris

Le ministère voit dans cette attaque « la première campagne cyberoffensive opérée purement à des fins de sabotage sur le territoire national ». Deux précédents mettent la formule à l’épreuve.

• TV5Monde, 2015. En avril 2025, la France rappelait elle-même « le sabotage de la chaîne de télévision TV5Monde en 2015 », qu’elle attribue au renseignement militaire russe. C’était bien un sabotage en France, mais contre une seule cible.
• NotPetya, 2017. Ce logiciel destructeur, que le rapport d’un consultant des assureurs attribue probablement à la Russie, a coûté à Saint-Gobain près de 250 millions d’euros de ventes (Le Monde Informatique). L’échelle était plus grande, mais l’attaque ne visait pas la France : elle s’est propagée depuis un logiciel fiscal ukrainien.

La formule du ministère tient donc sur deux critères réunis : une campagne dirigée contre la France, et une campagne de grande ampleur. Jean-Noël Barrot l’a reformulé le 10 novembre : « C’est la première fois que nous sommes confrontés à une cyberattaque ayant un objectif de sabotage à cette échelle. »

03 L’unité que Paris désigne

Shahid Kaveh est, selon la France, une unité cyber des Gardiens de la révolution qui agit sous des noms de façade et sabote des équipements industriels mal protégés, d’abord en Israël et aux États-Unis. Depuis 2024, les États-Unis sanctionnent des responsables du centre dont elle dépend et offrent une récompense pour des informations sur eux.

Une unité qui signe sous de faux noms

La note du C4 rattache Shahid Kaveh au Centre électronique et cyber du CGRI. Elle la dit « principalement connue à travers ses avatars numériques hacktivistes » : des noms qui se présentent comme ceux de militants indépendants, dont CyberAv3ngers et Cyber Isnaad Front. L’unité dispose aussi d’un « organe de communication en ligne », CyberbanNews. Selon la note, ces avatars sont « chargés de revendiquer publiquement certaines des attaques » de l’unité. Se présenter en militant permet à un État de frapper sans signer.

Les agences américaines connaissent l’un de ces noms. En avril 2026, l’agence fédérale de cybersécurité (CISA), le FBI et d’autres agences ont alerté sur des pirates « affiliés à l’Iran » qui prennent la main sur des automates industriels, ces petits ordinateurs qui commandent des machines (CISA, AA26-097A). L’alerte ne nomme pas le groupe de 2026. Elle rappelle une campagne « semblable » commencée en novembre 2023 par CyberAv3ngers, qu’elle rattache au Centre électronique et cyber des Gardiens de la révolution. Elle précise que des sociétés privées appellent aussi ce groupe « Shahid Kaveh Group ». Elle juge enfin que les campagnes iraniennes contre les infrastructures américaines se sont intensifiées, « probablement en réponse » aux hostilités entre l’Iran, les États-Unis et Israël.

Ce que l’unité a déjà fait

• Fin 2023, des automates israéliens. Sous le nom CyberAv3ngers, l’unité a pris la main sur des automates de la société israélienne Unitronics, utilisés notamment dans des installations d’eau aux États-Unis, et y a affiché des messages hostiles à Israël. Les agences américaines ont compté au moins 75 appareils touchés (CISA, AA23-335A).
• 2024, des sanctions et une récompense américaines. En février, le Trésor américain a sanctionné six responsables du Centre électronique et cyber des Gardiens de la révolution, dont deux des trois hommes que nomme aujourd’hui la note française (Trésor américain). En août, le département d’État a promis jusqu’à 10 millions de dollars pour des informations sur ces six hommes (The Record).
• 2026, le froid israélien. La note du C4 dit que l’unité a revendiqué, en mars et avril 2026, une campagne de sabotage contre des intérêts israéliens et américains, « dont des équipements frigorifiques israéliens ». NPR décrit ces cas. Une petite chaîne d’épiceries casher semble avoir été visée vers mars, d’après une vidéo diffusée sur les réseaux sociaux. En mai, une usine alimentaire a vu ses alertes coupées et ses compresseurs détruits, selon la société israélienne Profero, sous le nom de Cyber Isnaad Front. Pour Omri Segev Moyal, dirigeant de Profero, la méthode a été « construite et pratiquée contre Israël, testée en Europe et aux États-Unis » : c’est son affirmation, non vérifiée.
• Avril 2026, des repérages en France. Selon le C4, l’unité a sondé en masse des automates Schneider Electric, « notamment en France ». Elle disposerait depuis au moins juin 2024 d’outils pour repérer, ouvrir et commander des équipements des marques Schneider Electric, Siemens et Rockwell.

Le même centre compte une autre unité, Shahid Shoostari, connue sous le nom d’Emennet Pasargad, que la note accuse d’autres attaques contre la France depuis 2020.

Qui dirige l’unité, selon la note et selon le parquet

La note du C4 nomme trois hommes, sans dire leur rôle exact dans l’attaque :

• Mahdi Lashgarian et Reza Salarvand, qui « dirigent » Shahid Kaveh selon le corps du texte ;
• Hamid Reza Lashgarian, présenté en annexe comme « dirigeant » du Centre électronique et cyber, l’échelon au-dessus de l’unité.

Le parquet, lui, ne nomme personne dans les extraits publiés de son communiqué. Il vise « le chef » de l’unité et « ses deux adjoints ». On ne sait donc pas si ces trois personnes sont les trois hommes de la note. Le site spécialisé Next comprend que le chef visé est Hamid Reza Lashgarian et que les deux autres sont ses adjoints (Next) : c’est sa lecture, pas une information du parquet.

Washington désigne désormais un autre chef pour le centre cyber. En février 2024, le Trésor américain présentait Hamid Reza Lashgarian comme chef de ce centre. Début septembre 2026, le département d’État a promis une récompense pour des informations sur un autre homme, Amir Yaryab, présenté comme dirigeant de ce même centre et superviseur de CyberAv3ngers (The Record). La note française ne le mentionne pas.

Les trois hommes nommés par la note sont présumés innocents. Téhéran dément toute responsabilité ; la réponse des trois hommes eux-mêmes n’est pas connue.

04 Les indices de l’attribution

L’accusation repose sur quatre indices publiés, auxquels le parquet ajoute des adresses de connexion en Iran. Ces indices sont cohérents entre eux. Un seul relie directement l’attaque à l’unité, et aucun observateur extérieur ne peut les vérifier.

Des traces techniques à un nom

Attribuer une attaque informatique, c’est passer de traces techniques (des serveurs, des outils, une langue) à un nom. Les services techniques rassemblent les indices ; le gouvernement décide ensuite de nommer publiquement un auteur. La note du C4 présente ainsi un « faisceau d’indices », et le ministre a pris la décision politique d’accuser l’Iran.

Les quatre indices, un par un

Source : note du C4 du 9 novembre 2026. Les colonnes « relie » et « ne montre pas » sont l’analyse de Facta.

Le premier indice est le plus fort. Les automates industriels se commandent souvent dans un langage commun, Modbus. Ce langage permet à un logiciel de dialoguer avec eux, sans mot de passe ni chiffrement, explique le site Next. Sur Internet, il passe par une entrée réseau précise, le « port 502 ». Selon le C4, l’unité s’en sert depuis au moins avril 2026 pour sonder en masse des automates Schneider Electric. Or les serveurs qui ont déréglé les frigos ont servi, à la même période, à sonder ainsi des automates de petites unités d’énergie et d’eau. N’importe qui peut louer un serveur. Mais retrouver les mêmes machines dans les deux activités relie l’attaque des frigos à un repérage que le C4 attribue à l’unité. Encore faut-il croire les enquêteurs sur ce rapprochement, puisqu’il n’est pas montré, et sur l’attribution du repérage lui-même, qui ne repose que sur la note.

Pour Facta, les trois autres indices pèsent par leur accumulation. Pris un par un, chacun peut s’expliquer autrement : un outil public, un relais d’actualité, une langue imitée. Réunis, ils dessinent le même auteur, et aucun ne pointe ailleurs.

Ce que le parquet ajoute

La procureure de Paris, Laure Beccuau, cite trois éléments : « un mode opératoire d’attaque caractéristique de cette unité, l’utilisation du farsi et des adresses IP renvoyant vers des terminaux localisés en Iran ». Une adresse IP est l’adresse d’une machine connectée à Internet. Ces adresses en Iran ne figurent pas dans la note du C4. Une adresse peut n’être qu’un relais, utilisé pour brouiller les pistes. Dans une autre affaire, l’attaque contre une société d’affichage des Jeux olympiques de Paris en 2024, le C4 relevait déjà deux adresses de fournisseurs d’accès iraniens.

Ce qui n’est pas publié

La note ne donne ni les adresses des serveurs, ni les traces techniques que les spécialistes appellent « indicateurs de compromission », ni le degré de certitude des enquêteurs. Elle ne dit pas non plus comment les pirates sont entrés dans les boîtiers : mot de passe d’usine, faille du logiciel ou compte d’un prestataire. Publier ces éléments peut révéler aux attaquants ce que les enquêteurs voient, et parfois d’où ils le voient.

En avril 2025, quand la France avait accusé le renseignement militaire russe (le GRU) d’attaques contre une dizaine d’entités françaises, elle n’avait nommé personne (ministère des Affaires étrangères). Cette fois, la note nomme trois responsables, et le parquet ouvre le même jour une information judiciaire contre les dirigeants de l’unité, sur la foi d’une note publique de cinq pages.

Une confirmation indépendante ?

Aucune société privée ni aucun autre État n’a confirmé publiquement l’attribution d’octobre au 11 novembre. Les autorités françaises travaillent avec les enquêteurs américains sur les pannes des congélateurs des bases militaires, selon Nextgov. Deux anciens responsables américains ont dit à NPR que des éléments pointaient vers l’Iran dans ces pannes, sans grande certitude. Cela ne vaut pas confirmation pour la France.

05 La réponse de Téhéran

L’Iran conteste la solidité du dossier et accuse Paris de chercher un bouc émissaire, sans opposer d’élément contraire. Selon Quartz, son ambassadeur juge de telles pratiques légitimes contre des ennemis de l’Iran, dont il exclut la France.

Le ministère iranien des Affaires étrangères a rejeté le 10 novembre des accusations « infondées et unilatérales ». Il a condamné une « politique éculée consistant à porter des accusations contre la République islamique » (franceinfo). Selon l’AFP, il a ajouté que l’Iran « n’hésiterait pas à prendre les mesures nécessaires et appropriées ». Le ministre Abbas Araghchi a écrit sur X que le gouvernement français, « incapable de gérer des frigos », et encore moins les griefs de sa population, « rejette sur les autres la responsabilité de ses propres échecs ». Il a aussi renvoyé la France à Gaza (ANI).

L’ambassadeur d’Iran à Paris, Mohammad Amin-Nejad, a été reçu le 10 au ministère des Affaires étrangères. Sur la chaîne LCI, il a jugé le rapport français « dénué d’éléments vraiment très solides ». Il a dit ne pas imaginer qu’un Iranien puisse commettre « un tel crime contre des citoyens ordinaires ». Il a plaidé pour des échanges entre Paris et Téhéran afin de vérifier les faits avant tout « battage médiatique ». Selon le site Quartz, qui rapporte cet entretien d’après TF1 Info, il a aussi jugé de telles pratiques légitimes contre des ennemis avérés de l’Iran, en précisant que la France n’en était pas un (Quartz).

Ces objections n’ont pas toutes le même poids.

• La minceur du dossier publié est une objection recevable. Le public ne peut pas vérifier les indices. L’ambassadeur pointe une vraie limite.
• L’accusation de diversion ne répond pas aux indices. Pour Téhéran, Paris chercherait un coupable extérieur à ses difficultés intérieures. Cet argument porte sur les intentions supposées de la France. Il ne répond ni aux serveurs, ni à la langue, ni aux adresses relevés par les enquêteurs, ni au fait que l’accusation a été construite par des services techniques et un parquet, contre une unité dont les agences américaines décrivent les attaques depuis 2023.
• Téhéran n’oppose aucun élément contraire : ni alibi technique, ni explication des serveurs ou des adresses. Le démenti vient d’une partie mise en cause.
• Pour Facta, l’ambassadeur affaiblit lui-même le démenti de principe, si la paraphrase de Quartz est exacte : il ne conteste pas que l’Iran mène ce genre d’attaques, il conteste qu’il en mène contre la France.

Ce qui trancherait : la publication des traces techniques par la France, ou leur confirmation par un pays ou un chercheur indépendant qui les aurait vues.

06 Pourquoi la France ?

Les tensions entre Paris et Téhéran en 2026 rendent des représailles plausibles. L’exposition exceptionnelle des boîtiers français avant l’attaque rend plausible le choix d’une cible facile. Personne ne dit pourquoi la France a été visée.

Interrogé sur ce point le 10 novembre, Jean-Noël Barrot a répondu : « C’est à eux qu’il faut le demander » (franceinfo). Aucune autorité française n’avance de motif. La note du C4 parle de sabotage et de « déstabilisation ».

Le même centre vise la France depuis 2020

La note impute à l’autre unité du Centre électronique et cyber, Shahid Shoostari, alias Emennet Pasargad, plusieurs attaques contre la France.

• Charlie Hebdo, à deux reprises. En 2020, l’unité a préparé une attaque contre l’hebdomadaire, qui venait de republier les caricatures du Prophète, « dans une logique de représailles et d’intimidation ». Ce projet a été révélé en 2021 par un groupe se présentant comme dissident iranien. Le 4 janvier 2023, la boutique en ligne de Charlie Hebdo a été défigurée et ses données volées, le jour où le journal devait publier les résultats d’un concours de caricatures du guide suprême Ali Khamenei.
• Les Jeux olympiques de Paris. En juillet 2024, une société qui gère des écrans d’affichage a été compromise. Les pirates voulaient y diffuser des montages contre la participation d’athlètes israéliens.

La France face à la guerre de 2026

Depuis la fin de février 2026, les États-Unis et Israël sont en guerre contre l’Iran (Finances News Hebdo). La position française tient en deux phrases d’Emmanuel Macron, le 3 mars (Élysée). Les opérations américaines et israéliennes « ont été conduites en dehors du droit international, ce que nous ne pouvons pas approuver ». Mais l’Iran « porte la responsabilité première de cette situation », par son programme nucléaire et ses missiles.

La France n’est pas restée à l’écart. Le président a envoyé le porte-avions Charles de Gaulle en Méditerranée. Il a rappelé les accords de défense qui lient la France au Qatar, au Koweït et aux Émirats arabes unis, ces derniers « tout particulièrement ciblés » par l’Iran. Il a décrit l’engagement français auprès de ces pays comme « strictement défensif ».

Une année de tensions entre Paris et Téhéran

• Janvier. L’Union européenne inscrit le CGRI sur sa liste des organisations terroristes, avec le soutien de la France, qui y était jusque-là réticente (Le Temps).
• Mars. Les pays de l’Union sanctionnent Emennet Pasargad pour ses attaques contre la France et la Suède (The Register).
• Avril. Cécile Kohler et Jacques Paris, deux Français détenus en Iran depuis 2022, sont libérés le 7 (Public Sénat). Selon une avocate de leurs familles, cette libération est le fruit de négociations « restées secrètes ».
• Juillet et août. Deux agents de l’ambassade de France à Téhéran sont agressés le 19 juillet. Le 18 août, la France expulse deux agents de l’ambassade d’Iran (ministère des Affaires étrangères).
• Octobre. Le 7, quatre jours avant l’attaque, Paris convoque l’ambassadeur d’Iran pour de la désinformation sur le mouvement des lycéens français. Une vidéo d’octobre signée Cyber Isnaad Front, consacrée à Gaza, se termine par un salut aux lycéens français, en français, selon NPR.

Deux explications, aucune démontrée

1. Des représailles. La chronologie des tensions est réelle : soutien au classement terroriste, sanctions, expulsions, présence militaire auprès des pays du Golfe visés par l’Iran. Le même centre des Gardiens de la révolution vise la France depuis au moins 2020. Barrot voit dans l’Iran « une menace systématique » pour les intérêts de sécurité français. Mais aucune source ne relie l’attaque des frigos à l’un de ces épisodes. Et la France garde un canal ouvert avec Téhéran, comme l’a montré la libération d’avril.
2. Une cible d’opportunité. La France était de loin le pays le plus exposé. Le 11 octobre, la société Censys, qui recense les appareils joignables sur Internet, comptait en France 1 825 boîtiers d’une gamme de Danfoss, le fabricant danois de ces boîtiers. Dans tout le reste du monde, elle en comptait 1 166. Une unité qui cherche des équipements exposés avec un moteur de recherche trouve d’abord ceux qui sont les plus nombreux. L’unité avait déjà visé le froid israélien au printemps. Cette explication rend bien compte de l’échelle de l’attaque, pas du choix d’un pays plutôt que d’un autre.

Les deux explications peuvent se combiner. Elles n’appellent pas la même réponse : une cible d’opportunité appelle d’abord à mieux protéger les équipements, une cible politique à dissuader l’agresseur.

07 La vague de novembre reste sans auteur

Personne ne sait qui a déréglé le froid de magasins dans au moins neuf pays européens dans la nuit du 1er au 2 novembre. Deux groupes prorusses l’ont revendiqué sans preuve vérifiée, aucune autorité n’attribue cette vague, et la Belgique dit n’avoir aucun élément.

Au moins neuf pays touchés, pas la France

La vague de novembre a touché des magasins en Belgique, en Estonie, en Finlande, en Irlande, en Italie, au Luxembourg, aux Pays-Bas, au Portugal et en Suède, selon l’AFP citée par l’édition du 4 novembre, qui signalait aussi des cas en Allemagne et au Royaume-Uni. Aucun magasin français n’a été signalé cette nuit-là. En France, seul l’Établissement français du sang a été touché, le 2 novembre : une attaque contre son prestataire de froid a déréglé les chambres froides de trois de ses sites régionaux, sans « impact sanitaire » identifié selon les autorités (Le Quotidien du médecin).

Une revendication tardive et non vérifiée

Le 4 novembre, deux groupes de militants prorusses, NoName057(16) et Z-Pentest, ont diffusé une vidéo revendiquant les attaques européennes (L’Avenir). On y voit des pages de réglage de boîtiers Danfoss et Dixell, une marque du fournisseur américain Copeland. Les groupes affirment qu’« aucun logiciel malveillant n’était nécessaire ». L’Union européenne avait sanctionné Z-Pentest en juillet 2026 pour une attaque contre une compagnie des eaux danoise (Libre Média).

Cette revendication est fragile. Elle arrive plus de trois semaines après la nuit d’octobre, a noté le quotidien italien Il Sole 24 Ore. L’analyste CyberKnow, qui suit ces groupes, en doute (Pasquale Pillitteri). La méthode était publique depuis août, quand la société de cybersécurité Claroty avait montré comment prendre la main à distance sur des boîtiers Danfoss (Claroty). Le porte-parole du Kremlin a jugé « absurde » toute implication russe (Arab News). Aucune autorité n’a repris la revendication.

Ce que disent les pays touchés et les chercheurs

La Belgique est la plus nette. Le 10 novembre, la porte-parole du ministre des Affaires étrangères, Maxime Prévot, a déclaré : « À ce stade, nous ne disposons pas d’éléments permettant d’en attribuer la responsabilité à l’Iran ou à un autre acteur. Nous ne sommes pas non plus en mesure d’établir un lien avec les attaques survenues précédemment en France » (RTBF). Le parquet fédéral belge enquête.

Côté français, Vincent Strubel, directeur général de l’ANSSI, a précisé que Shahid Kaveh n’était pas officiellement accusée pour le reste de l’Europe ni pour l’Établissement français du sang (franceinfo).

Les chercheurs privés, avant l’attribution française, restaient prudents. SentinelOne jugeait crédibles des groupes alignés sur la Russie, sans exclure des imitateurs ni des revendications opportunistes. La société Bitsight n’avait trouvé, jusqu’au 3 novembre, ni revendication ni vente d’accès aux boîtiers dans les forums qu’elle surveille. Elle notait que des outils d’attaque publics circulaient, ce qui facilite l’imitation.

Pourquoi Paris s’arrête à octobre

Aucune autorité ne l’a expliqué. L’explication la plus simple tient à la géographie. La justice française instruit ce qui s’est produit sur son sol. Or, à part l’Établissement français du sang, la vague de novembre n’a pas touché la France. Les autres pays mènent leurs propres enquêtes, comme l’a rappelé la Commission européenne le 3 novembre.

La nuit d’octobre n’était peut-être pas seulement française. Le 13 octobre, un analyste de la société Sekoia disait à Reuters que des magasins d’Espagne, du Portugal, de Pologne, d’Allemagne et de Belgique avaient aussi été touchés. Aucune autorité ne l’a confirmé depuis, et l’accusation française ne couvre pas ces cas.

08 Ce que peut la riposte

Une procédure contre des absents peut aller jusqu’à un procès et une condamnation, mais pas jusqu’à une arrestation tant que les intéressés restent en Iran. Les sanctions européennes visent surtout à isoler. Paris affiche à la fois fermeté et refus de l’escalade.

Une procédure contre des responsables restés en Iran

L’information judiciaire porte sur des atteintes à des systèmes informatiques et des dégradations par un moyen dangereux pour les personnes, commises en bande organisée. Ces infractions sont aggravées par le fait d’avoir agi « dans le but de servir une puissance étrangère, en l’espèce l’Iran » (ICI). L’enquête initiale avait été confiée à l’Office anti-cybercriminalité de la police et à la DGSI. Les mandats d’arrêt sont requis par le parquet : il revient aux juges de les délivrer.

Un mandat d’arrêt international permet d’arrêter une personne si elle se trouve dans un pays qui coopère ; il ne la fait pas sortir de chez elle. Il n’empêche pas pour autant d’aller jusqu’au bout de la procédure. La justice française sait juger des absents. Le 24 mai 2024, la cour d’assises de Paris a condamné par défaut à la perpétuité trois hauts responsables syriens restés en Syrie, et leurs mandats d’arrêt sont restés en vigueur (JusticeInfo). Un tel procès ne mène pas les accusés en prison, mais il établit publiquement les faits et leur interdit, de fait, de voyager dans les pays qui appliqueraient les mandats.

Les États-Unis visent depuis longtemps des Iraniens par la justice ou par des sanctions.

• 2016, une inculpation. La justice américaine a inculpé sept Iraniens travaillant pour des entités liées aux Gardiens de la révolution. L’un d’eux était poursuivi pour s’être introduit en 2013 dans le système de commande d’un petit barrage de l’État de New York. Il n’avait pas pu en actionner la vanne, déconnectée pour maintenance (département de la Justice).
• 2024, des sanctions et une récompense. Les six responsables du centre cyber sanctionnés en février ont fait l’objet, en août, d’une récompense de 10 millions de dollars pour toute information.

Inculpation, sanctions et récompense exposent publiquement des noms et compliquent les déplacements des intéressés.

Des sanctions européennes au poids surtout symbolique

La France proposera aux autres pays de l’Union de sanctionner « des entités et des individus iraniens impliqués dans cette cyberattaque ». Jean-Noël Barrot en a donné le contenu : « des interdictions d’entrée sur le territoire européen, des gels d’avoirs et des immobilisations de leurs actifs financiers ». L’Union dispose d’un régime de sanctions propre aux attaques informatiques. Elle s’en est servie contre Emennet Pasargad en mars 2026, puis contre des acteurs russes, dont Z-Pentest, en juillet.

Contre des responsables qui ne voyagent pas en Europe et n’y ont pas d’avoirs connus, l’effet matériel est faible. Le CGRI figure déjà depuis janvier sur la liste européenne des organisations terroristes. Ces sanctions valent surtout comme signal collectif : des pays européens qui nomment ensemble un auteur. La Belgique s’est dite ouverte à la proposition française. Aucun autre État membre n’a pris position publiquement au 11 novembre.

Des mesures « non publiques »

La déclaration du 9 novembre réserve à la France le droit de prendre « toute mesure supplémentaire, publique et non-publique ». Interrogé, le ministre a répondu : « Par définition, puisque ce n’est pas public, je ne vais pas en faire état. » Il a renvoyé à la « doctrine française de cyberdéfense », qui « ouvre un certain nombre de possibilités ». On ne peut ni décrire ces mesures ni en mesurer l’effet.

Dissuader sans rompre

Le ministre dit à la fois que la France « ne s’interdit rien » et qu’elle agit « avec beaucoup de sang-froid », pour ne pas « se laisser entraîner dans une forme d’escalade ». Paris a encore des sujets à traiter avec Téhéran. Il y a le programme nucléaire, que Barrot cite lui-même, et la sécurité des agents de l’ambassade, agressés en juillet. Il y a aussi le canal qui a permis la libération de Cécile Kohler et Jacques Paris en avril. L’ambassadeur iranien invoque justement des « échanges actifs » entre les deux pays, qui auraient dû permettre de vérifier les faits plutôt que d’accuser publiquement. Aucun responsable français n’a dit ce que la riposte pourrait coûter à ce canal.

09 Qui protège, qui paie

L’attribution à un État ne change pas qui devait protéger les boîtiers : les exploitants et leurs prestataires. Elle peut compliquer l’indemnisation, déjà incertaine, sans la rendre impossible. Des boîtiers restaient joignables début novembre.

La protection reste l’affaire des exploitants

Une attaque d’État ne rend pas les boîtiers moins exposés qu’ils ne l’étaient. Le 4 novembre, Facta décrivait des appareils joignables sur Internet, souvent anciens, sans réseau protégé, parfois avec leur mot de passe d’origine. Danfoss expliquait que beaucoup des appareils touchés avaient « atteint leur fin de vie » et ne recevaient plus de mises à jour (Reuters via Devdiscourse). Jean-Noël Barrot l’a dit à sa manière : « il faut que chacun, entreprises et organisations », prenne « toutes les mesures nécessaires pour se protéger ».

Le projet de loi dit « Résilience » transpose plusieurs directives européennes de cybersécurité, dont celle connue sous le nom de NIS 2. Retiré de l’ordre du jour de l’Assemblée nationale le 6 octobre, il y a été réinscrit pour une discussion à partir du 9 novembre (Leto). Le ministre le dit « en cours d’examen ». Il étendrait les obligations de sécurité de 6 à 18 secteurs. On ne sait pas si les magasins d’alimentation et leurs prestataires de froid y seraient soumis.

Personne ne sait encore qui paiera

Le ministère chiffre les pertes à « plusieurs dizaines de millions d’euros ». Thierry Cotillard, président du groupe des Mousquetaires, propriétaire d’Intermarché, avançait dès octobre un ordre de grandeur semblable, et annonçait une action en justice des enseignes. Les Mousquetaires estimaient que les systèmes étaient gérés par Danfoss ; la réponse de Danfoss sur ce point n’est pas connue, et aucune suite judiciaire n’est connue au 11 novembre.

L’assurance couvre mal ce type de dommage. Quatre courtiers ont dit à l’agence Reuters, le 15 octobre, que les contrats d’assurance contre les attaques informatiques couvrent les frais d’enquête ou de communication, mais rarement les pertes physiques comme la marchandise. Intermarché a dit à l’AFP que son assurance ne couvrait pas ce type d’incident. Carrefour, Monoprix, Coopérative U et E.Leclerc n’ont pas répondu à Reuters.

L’attribution à un État ajoute une incertitude. Ces contrats excluent d’ordinaire les actes de guerre, a expliqué à Reuters un souscripteur, sous couvert d’anonymat. C’est l’assureur qui invoque cette exclusion pour refuser de payer, et c’est à lui de prouver qu’un État est derrière l’attaque.

• L’attribution française peut aider l’assureur. Le marché de l’assurance de Londres a rédigé des modèles de clause pour les contrats cyber des entreprises. L’un d’eux prévoit que l’attribution officielle par le gouvernement du pays touché peut servir d’élément de preuve (LMA 5567A). On ignore si les contrats des enseignes françaises reprennent ce modèle.
• Elle ne suffit pas. Hors guerre, ce même modèle n’exclut la garantie que si l’attaque a gravement atteint, dans le pays touché, un service essentiel comme la santé ou l’eau, ou la sécurité du pays. Ce point reste à démontrer pour des frigos de supermarchés.
• Un précédent américain va dans le sens des assurés. NotPetya a touché 40 000 ordinateurs du laboratoire américain Merck. En 2023, une cour d’appel du New Jersey a jugé que l’exclusion pour « action hostile ou guerrière » de ses contrats ne s’appliquait pas, parce qu’elle suppose une action militaire ; près de 700 millions de dollars de garantie étaient en jeu (Claims Journal). Ce jugement ne lie pas un juge français, mais il montre qu’une attaque attribuée à un État n’échappe pas forcément à l’assurance.

On ignore ce que contiennent les contrats des enseignes françaises. Aucun assureur ni aucune enseigne n’a dit invoquer une exclusion de guerre.

Ce qui reste exposé

Des boîtiers restaient joignables début novembre, surtout en France. En France, Censys comptait le 2 novembre encore 220 boîtiers de la gamme Danfoss qu’elle suit, contre 1 825 le 11 octobre : près de neuf sur dix n’étaient plus visibles trois semaines plus tard. Une autre société, Bitsight, qui mesure autrement, trouvait encore la France en tête des pays les plus exposés. Les boîtiers des autres marques ne sont pas comptés.

Bilan de l’enquête

Ce qui est établi. Le 9 novembre, la France a attribué au CGRI, par son unité Shahid Kaveh, l’attaque de la nuit du 11 au 12 octobre contre environ 700 sites français. Le parquet a ouvert une information judiciaire visant le chef de l’unité et ses deux adjoints, sans les nommer, et requis des mandats d’arrêt. L’Iran dément. Selon le parquet, les alarmes de température ont été coupées. La note officielle compte au moins 15 départs de feu, le parquet une vingtaine. De petites installations hydroélectriques ont aussi été visées. La vague de novembre en Europe n’est attribuée à personne.

Ce que vaut l’accusation. Quatre indices publiés, plus des adresses en Iran citées par le parquet, forment un ensemble cohérent. Ils concordent avec ce que les agences américaines décrivent de CyberAv3ngers depuis 2023 et avec les attaques du froid en Israël au printemps 2026. Un seul relie directement l’attaque à l’unité, et aucun n’est vérifiable de l’extérieur. La note française nomme trois responsables sur la foi de cinq pages publiques ; la justice, elle, ne nomme personne dans ce qui est publié.

Ce qui reste discuté. Le contenu du relais de CyberbanNews ; la correspondance entre les trois noms et les personnes visées par la justice ; le lien entre les deux vagues ; le motif, entre représailles et cible d’opportunité.

Ce qui reste inconnu. Les lieux et la gravité des départs de feu, les installations hydroélectriques visées, l’évaluation du risque couru par les personnes, et qui paiera les pertes.

Ce que Facta corrige. La phrase du 4 novembre selon laquelle la technique laissait « trop peu de traces pour distinguer un amateur d’un État » était trop affirmative. Le tableau des hypothèses sur les auteurs ne reprenait pas la piste iranienne que l’édition citait pourtant ailleurs.

Panorama médiatique

Panorama médiatique

Depuis le 4 novembre, la couverture s’est faite en deux temps : la revendication prorusse du 4, rapportée comme non vérifiée par la presse belge et les sites spécialisés, puis l’attribution française du 9.

L’accusation, reprise comme celle de la France. Les agences et les grands médias attribuent l’accusation à Paris et placent le démenti iranien dans le même article : AFP, reprise par franceinfo, RTBF ou ICI le 9 ; Al Jazeera le 9 ; CNBC le 10. Franceinfo et Sud Radio, le 10, portent surtout sur les sanctions et les mesures non publiques.

Le périmètre de l’accusation, parfois élargi. TechCrunch titre le 9 sur des attaques contre des magasins « et des banques du sang », et étend l’accusation au reste de l’Europe. Ni l’Établissement français du sang ni l’Europe ne sont visés, comme l’a précisé l’ANSSI ; franceinfo a publié le 10 cette mise au point.

L’explication technique. Next détaille le 9 les indices de la note, et BleepingComputer met en avant les départs de feu. Peu de médias distinguent la force inégale des indices.

Sources et méthode

Sources et méthode

Références principales

• Centre de coordination des crises cyber, note CERTFR-2026-CTI-009, 9 novembre 2026.
• Ministère de l’Europe et des Affaires étrangères :

- déclaration d’attribution, 9 novembre 2026 ;

- attribution au GRU, avril 2025 ;

- expulsion de deux agents iraniens ;

- convocation de l’ambassadeur.

• Présidence de la République : adresse aux Français du 3 mars 2026 ; Conseil de défense du 28 février 2026.
• Parquet de Paris, communiqué du 9 novembre, cité par l’AFP : franceinfo, RTBF, ICI.
• Jean-Noël Barrot : entretien sur franceinfo, 10 novembre 2026 ; Sud Radio.
• Réponses iraniennes : franceinfo, Quartz, ANI.
• Belgique : RTBF, 10 novembre.
• Établissement français du sang : Le Quotidien du médecin, d’après l’AFP.
• États-Unis :

- CISA, AA26-097A et CISA, AA23-335A ;

- Trésor américain, 2 février 2024 ;

- The Record, août 2024 et 4 septembre 2026 ;

- département de la Justice, 24 mars 2016 ;

- Nextgov, 29 octobre ; NPR, 3 novembre.

• Chercheurs et presse spécialisée :

- SentinelOne, mis à jour le 4 novembre ;

- Bitsight, 4 novembre ;

- Claroty, 9 août 2026 ;

- Next, 9 novembre.

• Revendication prorusse : L’Avenir, Pasquale Pillitteri, Libre Média, Arab News.
• Justice et précédents : JusticeInfo et FIDH, mai 2024 ; Le Monde Informatique, 2017.
• Assurance et loi : Reuters via Devdiscourse, 15 octobre ; clause LMA 5567A ; Claims Journal, mai 2023 ; Leto, 5 novembre.
• Contexte : Public Sénat ; Le Temps ; The Register ; Finances News Hebdo.
• Édition précédente : Facta Mundi, 4 novembre 2026 et ses sources (Censys, AFP, Reuters, Sekoia, Commission européenne).

Démarche

L’enquête part de l’édition du 4 novembre. Elle a revérifié ses faits provisoires et cherché ce qui était nouveau depuis sa clôture : d’abord dans les textes officiels français, américains et belges, puis dans la presse et les analyses de sociétés de cybersécurité. Chaque indice de la note du C4 a été confronté à ce que d’autres sources disent de l’unité désignée. Après relecture, la position française sur la guerre a été reprise sur les textes de l’Élysée, et les précédents judiciaires et assurantiels sur les sources primaires ou la presse spécialisée.

Limites

• Ce que l’on ne peut pas vérifier. Les indices techniques de l’attribution ne sont pas publiés : Facta ne peut en juger que la cohérence, pas la réalité.
• Ce qui n’a pas été trouvé.

- Le contenu du message de CyberbanNews du 13 octobre.

- Les lieux et la gravité des départs de feu, et les installations hydroélectriques visées. Les articles de presse annoncés sur ces installations n’ont pas été retrouvés.

- Le texte intégral du communiqué du parquet. La délivrance des mandats d’arrêt et la correspondance entre les trois noms de la note et les personnes visées par la justice ne sont pas publiques.

- La résidence actuelle des Iraniens inculpés aux États-Unis, et l’état de leur procédure.

• Ce qui repose sur des sources fragiles ou indirectes.

- La chronologie détaillée de la guerre de 2026 (cessez-le-feu, frappes de novembre) vient surtout d’une encyclopédie en ligne ; elle n’est reprise que dans la chronologie.

- La paraphrase des propos de l’ambassadeur iranien sur les ennemis de l’Iran est de seconde main (Quartz, d’après TF1 Info).

- L’attribution de NotPetya à la Russie s’appuie ici sur le rapport d’un consultant des assureurs cité par Claims Journal.

- Les pannes des bases militaires américaines ne sont connues que par des sources anonymes (Nextgov) et d’anciens responsables (NPR).

• Ce qui n’a pas été lu en source primaire.

- Le Code pénal (articles sur les dégradations dangereuses et sur l’intérêt d’une puissance étrangère) : Légifrance et Vie publique ont refusé l’accès.

- La règle de vote des sanctions européennes, faute d’avoir pu lire la page du Conseil.

- L’article du Temps sur le classement du CGRI, réservé aux abonnés : seuls son titre et son introduction ont été lus.

• Accès refusés ou vides : Europe 1, The Hacker News, Cybernews, le site du Conseil de l’Union européenne, Légifrance, Vie publique, eWeek, une fiche du FBI et de la CISA sur le froid, plusieurs articles de France 24, Ouest-France et Euronews.

Rectifications

• « Trop peu de traces. » Le 4 novembre, Facta écrivait que la technique laissait « trop peu de traces pour distinguer un amateur d’un État ». La formule était trop affirmative : c’était vrai des traces publiques, pas nécessairement de celles dont disposent les enquêteurs (chapitre « Ce qui a changé depuis le 4 novembre »).
• La piste iranienne. Le tableau des hypothèses du 4 novembre ne reprenait pas la piste iranienne, que l’édition citait pourtant pour les supermarchés de bases militaires américaines, ni les cas israéliens (même chapitre).
• « Supermarchés » ou « sites ». Au lieu d’« environ 700 supermarchés », il faut lire « environ 700 sites », dont des boucheries, un abattoir et des usines agroalimentaires.