Frigos sabotés : la France désigne l’Iran, et vos automates exposés sont le même gibier

Le 4 novembre, je vous parlais des meubles froids de supermarchés qui se mettaient à chauffer en pleine nuit, et je vous disais que le froid commercial, c’est de la GTB. Cinq jours plus tard, l’affaire a changé de dimension : la France a officiellement désigné le coupable. Et ce n’est ni un adolescent en mal de sensations ni un groupe de rançonneurs, c’est une unité cyber d’un État.

Ce qui a été annoncé le 9 novembre

Dans une déclaration du ministère de l’Europe et des Affaires étrangères, la France attribue à l’Iran la campagne de la nuit du 11 au 12 octobre 2026 contre les contrôleurs de froid de plus de 700 sites de la grande distribution. Le Quai d’Orsay évoque d’importants dégâts matériels, des incendies et des pertes de marchandises estimées à plusieurs dizaines de millions d’euros. Il la présente comme la première campagne cyber de pur sabotage menée sur le territoire national.

• L’auteur désigné : l’unité Shahid Kaveh, rattachée au centre cyber du Corps des Gardiens de la Révolution islamique (CGRI). Selon la presse, elle opère aussi sous le nom de « CyberAv3ngers », déjà connu pour la campagne contre les automates Unitronics fin 2023.
• Le rapport technique : le Centre de coordination des crises cyber (C4), qui réunit notamment l’ANSSI et la DGSI, a publié un rapport commun (CERTFR-2026-CTI-009).
• Les suites : convocation de l’ambassadeur d’Iran, proposition de nouvelles sanctions européennes, et une information judiciaire ouverte par le parquet de Paris avec demande de mandats d’arrêt internationaux, selon Next.

Côté technique, Next rapporte que l’unité disposait depuis au moins juin 2024 de scripts capables de piloter des automates Schneider Electric, Siemens et Rockwell, et qu’elle a mené en avril 2026 une reconnaissance massive en Modbus TCP (port 502), notamment en France. Les contrôleurs de froid Danfoss attaqués ont vu leurs paramètres de dégivrage modifiés.

Pourquoi l’attribution change la donne pour nous

Tant qu’on croyait à un acte opportuniste, on pouvait se dire « mon client n’est pas une cible ». L’attribution balaie cet argument : un acteur étatique patient a cartographié pendant des mois tout ce qui répondait sur Internet, puis a frappé en une nuit. Il n’a pas choisi des magasins, il a choisi des équipements joignables. Un automate de GTB, une passerelle Modbus de chaufferie ou une supervision exposées sont exactement le même profil de proie.

Mon plan d’action pour vos sites

• Faites l’inventaire de ce qui est joignable depuis Internet : automates, passerelles, supervisions, contrôleurs de froid ou de CVC. Contrôlez-le depuis l’extérieur, pas seulement en relisant les règles du pare-feu (une box 4G de mainteneur oubliée, ça arrive).
• Aucun port 502, 47808 (BACnet) ou interface web d’automate en direct sur Internet. L’accès distant passe par un VPN ou une passerelle d’accès dédiée, avec MFA et comptes nominatifs.
• Changez les mots de passe par défaut et mettez à jour les logiciels des contrôleurs, comme Danfoss l’a demandé à ses clients dès octobre.
• Prévoyez des garde-fous indépendants : une alarme de température hors plage remontée par un autre chemin que le contrôleur lui-même, des consignes bornées dans l’automate quand c’est possible.
• Sauvegardez les configurations et notez les valeurs de référence : après une attaque, savoir ce qui a été modifié fait gagner des heures.
• Signalez tout comportement anormal au CERT-FR : les recoupements entre sites sont précisément ce qui a permis l’attribution.

Mon avis

Ce qui me rassure, c’est la réaction : enquête technique collective, attribution publique en moins d’un mois et rapport partagé. Ce qui me fait tiquer, c’est que rien dans le mode opératoire n’était sophistiqué : des équipements exposés, un protocole sans authentification, des réglages modifiables à distance. Les mêmes recommandations figurent depuis des années dans le guide de l’ANSSI sur la cybersécurité des systèmes industriels. Le jour où ce ne sont plus des frigos mais une supervision ou des ventouses de contrôle d’accès, la facture ne se comptera plus seulement en marchandises. Alors, si vous avez un doute sur un site, ne le gardez pas pour vous : un audit d’exposition coûte bien moins cher qu’une nuit comme celle du 12 octobre.

Sources

• Ministère de l’Europe et des Affaires étrangères – Déclaration d’attribution à l’Iran de cyberattaques visant la France (09/11/2026)
• Next – Cyberattaque contre les frigos de 700 supermarchés : pourquoi la France accuse l’Iran (09/11/2026)
• La Nouvelle Tribune – La France accuse l’Iran d’avoir saboté les frigos de 700 supermarchés (11/2026)
• CERT-FR – Alerte CERTFR-2026-ALE-012 sur les contrôleurs à distance des installations de réfrigération (12/10/2026)
• Serveur-Alex – Frigos de supermarchés piratés : la deuxième vague prouve que le froid commercial, c’est de la GTB (04/11/2026)