Frigos piratés : la France accuse les Gardiens de la révolution iraniens

Des contrôleurs de froid reprogrammés pour dégivrer à haute température, environ 700 sites de la grande distribution touchés et au moins 15 départs de feu. Un mois après la cyberattaque du 12 octobre 2026, l'État français désigne officiellement les responsables : une unité cyber des Gardiens de la révolution iraniens. Voici ce qu'il faut retenir.

Le 9 novembre 2026, le Centre de Coordination des Crises Cyber (C4), qui rassemble l'ANSSI, le COMCYBER, la DGA, la DGSE et la DGSI, a publié un rapport à propos de plusieurs cyberattaques, dont celles ayant ciblé les équipements DANFOSS. Ce rapport attribue plusieurs attaques visant la France à deux unités du Centre électronique et cyber du Corps des Gardiens de la Révolution islamique (CGRI-CEC) : Shahid Kaveh et Shahid Shoostari.

"L'attaque ciblant des contrôleurs de réfrigération industriels français les 11 et 12 octobre 2026 constitue une attaque inédite par son ampleur et son niveau d'agressivité.", peut-on lire dans le document. Dans le même temps, le parquet de Paris a ouvert une information judiciaire visant le chef de Shahid Kaveh et ses deux adjoints, avec une demande de mandats d'arrêt internationaux.

Shahid Kaveh : du scan Modbus au sabotage des frigos

Dans la nuit du 11 au 12 octobre 2026, les attaquants ont modifié les paramètres de dégivrage des contrôleurs de froid d'environ 700 sites pour les fixer à de hautes températures. Le C4 cite les groupes Casino, Leclerc, Coopérative U, Metro, Carrefour et Intermarché, mais aussi des boucheries, un abattoir et des usines agroalimentaires. Il relie à la même opération le ciblage d'équipements Schneider Electric de petites installations hydroélectriques, avec des effets moindres.

Dirigée par Reza Salarvand et Mahdi Lashgarian, l'unité Shahid Kaveh opère derrière des noms hacktivistes, dont CyberAv3ngers, qui avait revendiqué en novembre 2023 la campagne contre les automates de l'israélien Unitronics. Si l'État français attribue les attaques à ce groupe, c'est pour plusieurs raisons :

• Infrastructure partagée : la même infrastructure a servi à des actions de reconnaissance sur des équipements Schneider Electric d'unités de production d'énergie et d'eau, via le protocole Modbus sur le port 502 (technique observée chez Shahid Kaveh depuis avril 2026).

• Outil de scan : les opérateurs ont utilisé FOFA, ce qui est habituel avec eux.

• Revendication : l'attaque a été relayée sur CyberbanNews, l'organe de propagande de ce groupe, dès le 13 octobre 2026.

• Langue : des traces de farsi ont été retrouvées dans l'infrastructure d'attaque.

Si Shahid Kaveh s'intéresse à Modbus, ce n'est pas un hasard, même si ici il est associé à la phase de reconnaissance plutôt qu'à la compromission des équipements. Dans sa version TCP, ce protocole industriel n'intègre aucune authentification : un équipement joignable sur le port 502 lit et écrit ses registres pour qui le lui demande. Couplé à FOFA, qui indexe les équipements exposés à la manière de Shodan, le ciblage devient presque industriel. Pas besoin de faille zero-day !

Toutefois, dans le cas de l'attaque des frigos, Modbus sert en interne, entre le superviseur et les régulateurs. Ce qui était exposé sur Internet, c’est l’interface web du superviseur (HTTP/HTTPS). Autrement dit, ce n’est pas par Modbus que les attaquants sont entrés. Ni, a priori, par les failles révélées par Claroty dans l’AK-SM 800A : devant le Sénat, le 21 octobre, Vincent Strubel, directeur général de l’ANSSI, a écarté cette piste. Selon lui, les attaquants ont profité d’autres facteurs : des équipements directement exposés sur Internet, mal sécurisés et protégés par des mots de passe faibles. Danfoss précise de son côté que la plupart des équipements touchés étaient d’anciens modèles en fin de vie, qui ne reçoivent plus de mises à jour de sécurité.

Charlie Hebdo et JO 2024 : l'autre unité, Shahid Shoostari

Le second volet de ce rapport concerne Shahid Shoostari (également connue sous le nom d'Emennet Pasargad). Le C4 lui attribue la défiguration de la boutique en ligne de Charlie Hebdo et l'exfiltration de sa base de données le 4 janvier 2023, jour où l'hebdomadaire devait publier les résultats d'un concours de caricatures d'Ali Khamenei.

Dans un registre totalement différent, un autre incident est évoqué et il est lié aux JO de Paris 2024. Les faits remontent au 20 juillet 2024 lorsqu'une société française gérant des bornes d'affichage vidéo a été compromise par ce groupe. L'objectif des attaques était de pouvoir diffuser des photomontages dénonçant la participation des athlètes israéliens, mais l'intrusion a été découverte avant.

Dans ce rapport, ce qui m'a un peu surpris par rapport à ce que l'on a l'habitude de voir, c'est l'annexe présente à la fin du document. En effet, cette annexe contient les photos de trois responsables présumés, dont Hamid Reza Lashgarian, présenté comme le dirigeant du CGRI-CEC.

Enfin, sachez que ce rapport ne parle pas de la cyberattaque ayant ciblé le prestataire de l'EFS. Même équipe ou simple coïncidence ? Pour l'instant, la question reste sans réponse.

Ajouter IT-Connect à mes
sources préférées

Cofondateur d'IT-Connect et Microsoft MVP "Cloud and Datacenter Management". Mon obsession depuis près de 15 ans ? Rendre l'administration système et la cybersécurité accessibles, que vous soyez junior ou confirmé. Plus qu'un métier, l'IT est pour moi une véritable passion. J’accompagne au quotidien les sysadmins et les professionnels de l’IT dans leur montée en compétences et leur veille technique.