Des frigos sabotés, quinze départs de feu : la France accuse l’Iran

Sur environ 700 sites de la grande distribution en France, les pirates ont utilisé une fonction parfaitement ordinaire pour provoquer des dégâts : le dégivrage des installations frigorifiques. En imposant des températures anormalement élevées, ils ont entraîné des pertes alimentaires estimées à plusieurs dizaines de millions d’euros. Dans au moins quinze cas, des départs de feu ont été constatés.

Lundi 9 novembre, la France a officiellement attribué cette attaque, menée dans la nuit du 11 au 12 octobre, à l’unité Shahid Kaveh, liée aux Gardiens de la révolution iraniens. Selon le Quai d’Orsay, il s’agit de la première campagne cyberoffensive conduite sur le territoire national uniquement dans un but de sabotage.

Mais le rapport publié par les services français révèle aussi une dimension moins visible : les pirates ont ciblé des boucheries, un abattoir, des usines agroalimentaires et même de petites centrales hydroélectriques.

Le problème dépasse largement les supermarchés. Des équipements conçus pour faire fonctionner des installations physiques sont devenus accessibles à des attaquants capables d’en détourner les commandes.

Des rayons surgelés aux centrales hydroélectriques

Les premières informations sur les attaques d’octobre avaient déjà révélé l’ampleur des perturbations et les risques liés aux contrôleurs frigorifiques connectés. Le rapport du Centre de coordination des crises cyber (C4), publié le 9 novembre, apporte deux faits nouveaux.

D’abord, les dégâts physiques. Les quinze départs de feu recensés montrent que le sabotage informatique peut dépasser la destruction de marchandises. Une commande numérique agit ici directement sur un équipement capable de chauffer, de refroidir et, lorsque ses réglages sont détournés, de provoquer un incident matériel.

Ensuite, l’étendue des cibles. Le C4 identifie, en plus des enseignes de distribution, plusieurs petites boucheries, un abattoir et des usines agroalimentaires coopératives. Il relie également à la même opération le ciblage d’équipements Schneider Electric installés dans de petites centrales hydroélectriques françaises. Les effets observés sur ces dernières sont qualifiés de modérés.

Ce rapprochement est essentiel. Une chambre froide et une petite centrale électrique semblent n’avoir rien en commun. Elles utilisent pourtant toutes deux des systèmes de contrôle industriel, chargés de traduire des commandes informatiques en actions physiques.

Pourquoi l’Iran s’en prend-il à la France ?

Le mobile précis reste inconnu. Mais une piste géopolitique mérite l’attention : le 24 septembre, Emmanuel Macron annonçait l’envoi de militaires, de radars et de systèmes de défense pour protéger le terminal pétrolier saoudien de Yanbu, menacé par les Houthis alliés de Téhéran. Selon l’entreprise française de cybersécurité Sekoia, cette intervention pourrait avoir été perçue par l’Iran comme un soutien direct à un adversaire.

Deux semaines et demie plus tard, les réfrigérateurs français étaient sabotés. Aucun élément public ne permet d’établir un lien de représailles. Mais l’opération correspond à une pratique déjà documentée des unités cyber iraniennes : frapper des équipements civils vulnérables pour infliger des dommages économiques, intimider et démontrer leur capacité de nuisance.

Une attaque préparée contre des machines ordinaires

Selon le C4, l’unité Shahid Kaveh disposait depuis plusieurs années de moyens pour rechercher et cibler des équipements industriels. Les enquêteurs ont rapproché l’attaque française d’infrastructures informatiques et de méthodes déjà associées à cette unité.

L’identification repose sur plusieurs indices concordants : des outils caractéristiques, des infrastructures réutilisées, des traces de persan et la diffusion de l’attaque par un canal de propagande lié au groupe.

L’attribution à l’Iran est donc une conclusion officielle des autorités françaises, fondée sur leurs investigations. Le rapport public ne permet toutefois pas de reconstituer précisément la méthode d’intrusion employée sur chaque installation frigorifique.

La vulnérabilité générale est, elle, parfaitement identifiée.

Un contrôleur frigorifique permet à un prestataire de vérifier les températures, recevoir les alarmes et modifier les paramètres d’une installation sans se déplacer. Ce service facilite la maintenance de milliers d’équipements. Mais lorsque son interface d’administration est directement accessible depuis Internet, elle peut également devenir une cible.

La protection existe. Son déploiement est le véritable problème

Dès le 12 octobre, le CERT-FR avait publié des consignes opérationnelles : supprimer l’exposition directe des contrôleurs à Internet, sécuriser les accès à distance, vérifier les réglages de dégivrage et appliquer les mises à jour disponibles.

Ces mesures sont connues. Leur application à une multitude de commerces, d’exploitations et de prestataires est plus difficile.

Un responsable de magasin peut ignorer comment son installation est connectée. Le frigoriste peut dépendre de cette connexion pour surveiller les alarmes. Certains appareils anciens ne reçoivent plus de correctifs. Et l’entreprise qui exploite l’installation n’est pas nécessairement celle qui administre son accès informatique.

Le CERT-FR signale également une contrainte pratique : avant de couper une connexion vers un prestataire frigoriste, l’exploitant doit vérifier les conditions de son assurance. Une intervention mal préparée pourrait supprimer la télésurveillance dont dépend la sécurité de son installation.

Il faut donc organiser une maintenance à distance qui reste possible sans exposer directement les commandes industrielles. Cela suppose de connaître les équipements installés, de sécuriser leurs accès, de clarifier les responsabilités contractuelles et, pour certains appareils devenus impossibles à maintenir, de les remplacer ou de les isoler.

Identifier les auteurs ne suffit pas à empêcher la prochaine attaque

La France dispose désormais d’une attribution officielle et de plusieurs moyens de réponse.

Le parquet de Paris a ouvert une information judiciaire et requis des mandats d’arrêt internationaux contre plusieurs membres de Shahid Kaveh. L’ambassadeur d’Iran a été reçu au Quai d’Orsay mardi 10 novembre. Paris souhaite également proposer de nouvelles sanctions européennes, qui restent à adopter. Le ministre Jean-Noël Barrot a évoqué la possibilité d’autres réponses, y compris non publiques.

Cette attribution démontre une capacité française à réunir les renseignements techniques, identifier les responsables présumés et organiser une réponse avec ses partenaires européens. Elle constitue un levier diplomatique et judiciaire face à des opérations difficiles à poursuivre par les moyens traditionnels.

Mais l’attribution ne sécurise aucun contrôleur frigorifique. Aucun bilan national publié ne permet encore de savoir combien d’équipements vulnérables ont été mis à l’abri depuis octobre.

La seconde vague d’attaques européennes observée début novembre ne peut pas, à ce stade, être automatiquement imputée au même groupe.

Reste une priorité industrielle : permettre aux techniciens de continuer à dépanner les machines à distance, sans laisser à un inconnu la possibilité de transformer une opération de dégivrage en départ de feu.