La justice française vise trois responsables présumés d’une unité cyberoffensive iranienne après une attaque contre 700 installations commerciales, accompagnée de pertes alimentaires et de départs de feu. Le 9 novembre 2026, le parquet de Paris annonce l’ouverture d’une information judiciaire concernant les cyberattaques ayant touché environ 700 sites de la grande distribution française en octobre. Les investigations visent trois responsables présumés d’une unité spécialisée dans les opérations numériques offensives, affiliée aux gardiens de la révolution iraniens. Les pirates auraient manipulé à distance les systèmes de dégivrage des installations frigorifiques tout en neutralisant leurs alertes thermiques. Les conséquences sont considérables : marchandises détruites et une vingtaine de départs de feu. L’enquête, confiée à l’OFAC et à la DGSI, examine désormais la possibilité d’un sabotage informatique réalisé au profit d’une puissance étrangère. L’Iran montrée du doigt. La justice française vise trois responsables présumés d’une unité cyberoffensive iranienne après une attaque contre 700 installations commerciales, accompagnée de pertes alimentaires et de départs de feu. Une cyberattaque attribuée à une unité iranienne Des systèmes frigorifiques transformés en instruments de sabotage CGRI-CEC : le hacker des gardiens iraniens Une organisation militaire au cœur des opérations cyber iraniennes Les autres cyberattaques attribuées aux unités iraniennes Des réseaux informatiques aux infrastructures critiques Une cyberattaque attribuée à une unité iranienne Dans la nuit du 11 au 12 octobre 2026, plusieurs centaines de commerces français subissent une intrusion informatique aux conséquences inhabituelles. Les attaquants ne cherchent pas simplement à rendre des ordinateurs indisponibles. Leur intervention concerne directement le fonctionnement physique des installations frigorifiques. Près d’un mois plus tard, l’affaire prend une dimension judiciaire et géopolitique. Dans un communiqué publié le 9 novembre, la procureure de Paris, Laure Beccuau, annonce l’ouverture d’une information judiciaire visant le responsable du groupe Shahid Kaveh et deux de ses adjoints. Cette structure est présentée comme une unité cyberoffensive liée au Centre électronique et cyber du Corps des gardiens de la révolution islamique (CGRI-CEC). Les qualifications judiciaires portent notamment sur des atteintes frauduleuses à des systèmes informatiques, commises en bande organisée, ainsi que sur des dégradations susceptibles de mettre des personnes en danger. Les magistrats examinent également la préparation concertée d’actes criminels et leur réalisation présumée au service d’une puissance étrangère. Le parquet demande des mandats d’arrêt internationaux. Cette démarche ne constitue toutefois ni une condamnation ni la confirmation que les trois personnes recherchées ont été/ou seront interpellées. Pour identifier les responsables, les enquêteurs de l’Office anti-cybercriminalité (OFAC) et de la Direction générale de la sécurité intérieure (DGSI) exploitent plusieurs catégories d’indices. Le dossier judiciaire mentionne un mode opératoire associé à l’unité incriminée, des traces linguistiques en farsi et des connexions provenant de terminaux localisés en Iran. Ces indicateurs nécessitent une analyse croisée. Une adresse IP étrangère peut correspondre à un équipement compromis ou à un relais informatique. De même, l’utilisation d’une langue ne prouve pas, isolément, l’identité de son utilisateur. L’attribution repose donc sur la convergence des éléments recueillis. Les détails techniques permettant de relier précisément les responsables présumés aux opérations n’ont pas été rendus publics. Cette distinction est essentielle pour comprendre l’enjeu de l’enquête : établir juridiquement les responsabilités derrière une opération numérique dont les conséquences dépassent largement l’informatique. Des systèmes frigorifiques transformés en instruments de sabotage Le scénario technique décrit par le parquet repose sur le détournement d’une fonction ordinaire : le dégivrage. Dans une installation frigorifique, cette procédure élimine périodiquement le givre afin de maintenir les performances du système. Elle doit fonctionner selon des paramètres contrôlés. Les attaquants auraient accédé aux interfaces web des contrôleurs pour modifier ces réglages et imposer des cycles de dégivrage sans limitation de durée. Le résultat recherché consiste à provoquer une élévation anormale des températures, compromettant la conservation des produits. Une seconde intervention rend l’opération particulièrement dangereuse. Les alertes associées aux sondes thermiques auraient été désactivées, réduisant les possibilités de détecter rapidement les anomalies. Cette combinaison permet de prolonger les effets du sabotage sans nécessiter une destruction immédiate des équipements. Le bilan communiqué par la justice concerne environ 700 établissements et une vingtaine de départs de feu, auxquels s’ajoutent d’importantes pertes alimentaires. Les dispositifs touchés comprennent notamment des contrôleurs commercialisés par Danfoss et Dixell. Dès le 12 octobre, le CERT-FR avait signalé des compromissions concernant les gammes Danfoss AK-SM et AK-SC, ainsi que les solutions XWEB de Dixell et Copeland. Interrogé précédemment par ZATAZ, Danfoss avait indiqué que de nombreux équipements concernés appartenaient à des générations anciennes, notamment les AK-SM800 et AK-SC355, dont le support logiciel était terminé. Certains contrôleurs AK-SM800A exploitaient également des versions obsolètes de leur micrologiciel. La durée de vie industrielle de ces matériels constitue une difficulté majeure. Un dispositif peut continuer à remplir correctement sa fonction pendant des années alors que sa protection informatique n’évolue plus. L’exposition directe de son administration sur Internet accroît alors les possibilités d’intrusion. Le point d’entrée exact utilisé dans cette affaire demeure cependant inconnu. Les informations judiciaires disponibles ne permettent pas d’établir l’exploitation d’une vulnérabilité particulière ou d’identifiants par défaut. Fuites de données, piratages, arnaques : recevez l’essentiel sur votre téléphone, gratuitement et sans pub. L’incident illustre finalement la vulnérabilité des technologies opérationnelles, ou OT, lorsque leurs fonctions physiques peuvent être commandées à distance sans protections suffisantes. Les risques concernent potentiellement d’autres environnements utilisant des systèmes de régulation thermique, notamment les entrepôts alimentaires, les installations logistiques et certains laboratoires. Rien n’indique toutefois que ces secteurs aient été visés lors des attaques d’octobre. Aucune demande de rançon ni exfiltration de données n’est mentionnée dans le communiqué judiciaire. Les éléments connus décrivent principalement une opération destinée à provoquer des dommages matériels. L’instruction devra encore déterminer l’ampleur des responsabilités individuelles, les moyens employés et l’existence éventuelle d’une coordination entre toutes les compromissions. Les pirates Iraniens ne sont pas nés de la derniére pluie. Il y a plus de 15 ans déjà, ZATAZ vous en parlait. A l'époque, un mystérieux groupe iranien diffusait le logiciel Havij, capable d'exploiter des failles d'injection SQL (SQLi). J'en parlais dès 2010 dans le magazine Capital. CGRI-CEC : le hacker des gardiens iraniens Derrière plusieurs cyberattaques contre des infrastructures industrielles et des administrations américaines apparaît une organisation militaire iranienne spécialisée dans le renseignement numérique, l'intrusion informatique et la guerre électronique. Le CGRI-CEC, commandement cyberélectronique du Corps des gardiens de la révolution islamique, appartient à l'appareil militaire iranien. Sanctionnée par les États-Unis depuis janvier 2018, cette organisation est associée à des campagnes d'espionnage, de piratage informatique et à des opérations visant des systèmes industriels. Ses activités présumées concernent notamment des administrations américaines, des entreprises stratégiques et des équipements de traitement de l'eau. Plusieurs enquêtes judiciaires et décisions de sanctions américaines documentent ses réseaux opérationnels. Toutefois, toutes les cyberattaques attribuées aux gardiens de la révolution ne relèvent pas nécessairement de ce commandement. Cette distinction demeure essentielle pour comprendre les capacités cyberoffensives de Téhéran. Une organisation militaire au cœur des opérations cyber iraniennes Le Corps des gardiens de la révolution islamique (CGRI) dispose de plusieurs structures impliquées dans le renseignement et les opérations numériques. Parmi elles figure le CGRI-CEC, également connu sous son appellation anglaise Islamic Revolutionary Guard Corps Cyber-Electronic Command. L'organisation est aussi désignée sous le nom d'IRGC Electronic Warfare and Cyber Defense Organization. Ses activités s'inscrivent dans une stratégie associant guerre électronique, renseignement numérique et capacités cyberoffensives. Les autres cyberattaques attribuées aux unités iraniennes 2020 : Préparation d'une opération contre Charlie Hebdo Ciblage attribué à Shahid Shoostari / Emennet Pasargad, dans un contexte de représailles et d'intimidation. Le rapport précise que ce projet avait été révélé en 2021 par Lab Dookhtegan. Jan. 2023 : Compromission de la boutique de Charlie Hebdo Défiguration de la boutique en ligne et exfiltration de sa base de données le 4 janvier. L'opération est imputée à Shahid Shoostari. Juil. 2024 : Tentative de détournement d'affichages durant les Jeux olympiques Compromission d'une société française gérant des bornes d'affichage vidéo. Objectif : diffuser des photomontages contre la participation des athlètes israéliens. La tentative a été découverte avant la diffusion sur les bornes. Oct. 2026 : Sabotage des installations frigorifiques Environ 700 sites ciblés et au moins 15 départs de feu. Ciblage concomitant de petites installations hydroélectriques françaises, avec des effets qualifiés de modérés. (Source C4) Les autorités américaines ont inscrit cette structure sur leur liste de sanctions le 12 janvier 2018. Cette décision constitue une première reconnaissance officielle de son rôle dans l'appareil cyber iranien. En février 2024, Washington a renforcé ses mesures en visant six responsables de l'organisation, parmi lesquels Hamid Reza Lashgarian, présenté comme son dirigeant. Ces sanctions s'inscrivent dans une série d'enquêtes américaines concernant des opérations informatiques attribuées à des acteurs liés aux gardiens de la révolution. L'une des affaires les plus significatives concerne une campagne d'espionnage informatique menée entre 2016 et 2021. Selon le département américain de la Justice, quatre ressortissants iraniens ont participé à des intrusions visant des administrations et plusieurs entreprises américaines. Leurs cibles comprenaient notamment les départements du Trésor et d'État, des sociétés du secteur de la défense, un cabinet comptable et une entreprise hôtelière. Les techniques utilisées reposaient sur des messages de phishing ciblés, des logiciels malveillants et la récupération frauduleuse d'identifiants. Dans une opération présentée par les autorités judiciaires américaines, plus de 200 000 comptes d'employés auraient été compromis. Le 23 avril 2024, Washington a annoncé des poursuites contre quatre individus et des sanctions visant deux entreprises considérées comme des structures de couverture du CGRI-CEC. Parmi elles figure Mahak Rayan Afraz, ultérieurement renommée Mehrsam Andisheh Saz Nik. Cette affaire illustre un aspect particulier du cyberespionnage étatique : l'utilisation présumée d'entreprises commerciales pour soutenir des activités clandestines. Des réseaux informatiques aux infrastructures critiques Les opérations associées aux gardiens de la révolution ne concernent pas uniquement les messageries électroniques et les bases de données. En novembre 2023, une campagne attribuée au groupe CyberAv3ngers a mis en évidence les risques pesant sur les équipements industriels connectés. Des automates programmables Unitronics, utilisés notamment dans des installations hydrauliques, ont été compromis aux États-Unis et dans plusieurs autres pays. L'une des victimes identifiées était la Municipal Water Authority of Aliquippa, en Pennsylvanie. Les attaquants ont notamment exploité l'utilisation de mots de passe par défaut pour accéder aux systèmes et modifier les interfaces de certains équipements, sur lesquelles apparaissaient des messages politiques. Cette campagne a démontré qu'un équipement industriel accessible et insuffisamment protégé pouvait devenir la cible d'une opération cyber à motivation géopolitique. Les autorités américaines ont associé CyberAv3ngers aux gardiens de la révolution. En février 2024, le Trésor américain a également établi un lien entre les activités de ce groupe et les responsables du CGRI-CEC visés par ses sanctions. Les intrusions ont confirmé la compromission d'équipements industriels, sans qu'une interruption majeure de service ait été publiquement établie pour cette campagne. Le danger réside néanmoins dans la nature des installations concernées. Contrairement à une attaque visant uniquement un serveur informatique, une intrusion dans un système de contrôle industriel peut potentiellement affecter des opérations physiques. D'autres activités attribuées aux gardiens de la révolution présentent des caractéristiques différentes. Le 14 septembre 2022, la NSA, le FBI et la CISA ont publié une alerte commune concernant des pirates affiliés au CGRI. Les investigations décrivaient l'exploitation de vulnérabilités affectant notamment Fortinet, Microsoft Exchange et VMware Horizon, avec l'utilisation de la faille Log4Shell. Les attaquants pouvaient accéder aux réseaux, dérober des informations, déployer des rançongiciels et réclamer des paiements. Les victimes potentielles appartenaient à différents secteurs, notamment ceux des infrastructures critiques aux États-Unis, en Australie, au Canada et au Royaume-Uni. Toutefois, cette alerte concernait des acteurs affiliés au CGRI dans son ensemble. Elle ne permet pas d'attribuer systématiquement chaque intrusion au seul commandement cyberélectronique. Ses opérations ciblent notamment des journalistes, des diplomates, des chercheurs et des opposants politiques. Les campagnes reposent largement sur l'ingénierie sociale, l'usurpation d'identité et la compromission de comptes. L'écosystème cyber iranien comprend également d'autres services de renseignement et des groupes se revendiquant du hacktivisme. Les réunir sous une seule appellation ferait disparaître des différences importantes de commandement et de responsabilités. [U.S. Department of the Treasury, sanctions contre les acteurs cyber iraniens, 23 avril 2024] : https://home.treasury.gov/news/press-releases/jy2292 [U.S. Department of Justice, poursuites contre quatre ressortissants iraniens, avril 2024] : https://www.justice.gov/archives/opa/pr/justice-department-charges-four-iranian-nationals-multi-year-cyber-campaign-targeting-us [MITRE ATT&CK, fiche CyberAv3ngers] : https://attack.mitre.org/groups/G1027/ Chercheur / Journaliste / Conférencier / Enseignant Damien Bancal est journaliste spécialisé en cybersécurité, expert en cyber intelligence, enseignant, conférencier, auteur de 20 livres et fondateur du projet ZATAZ en 1989. Depuis plus de 30 ans, il enquête sur la cybercriminalité, les fuites de données, le piratage informatique et la protection de l’identité numérique. Réserviste citoyen de la Gendarmerie nationale au sein de l’UNCyber, il a remporté le CTF Social Engineering du HackFest 2024 après avoir été finaliste de la compétition nord-américaine en 2023. Lauréat du Prix spécial du livre du FIC / InCyber 2022, son travail a notamment été relayé par le New York Times. Il figure également parmi les 500 personnalités tech les plus influentes recensées par Tyto PR. Le site ZATAZ.COM s’est imposé comme une référence dans l’actualité de la cybercriminalité, du piratage informatique, des violations de données et de la défense numérique. À travers ses enquêtes, ses analyses et ses alertes, Damien Bancal contribue activement à mieux informer sur les menaces qui touchent les particuliers comme les organisations. Damien Bancal poursuit son engagement à travers ses activités journalistiques, ses conférences, ses ateliers, ses cours et sa société veillezataz.com, lancée en 2022. Nvidia : l’espionnage par la séduction et le social engineering Cybersécurité : la CNIL sanctionne dix collectivités Ce site utilise Akismet pour réduire les indésirables. Découvrez comment les données de vos commentaires sont traitées. LA VEILLE CYBER QUI VA DROIT À L'ESSENTIEL. Chaque vendredi, recevez les alertes cyber, brèves inédites et menaces émergentes de ZATAZ. S'informer, c'est déjà se cybersécuriser. Vos données ont-elles fuité ?Un service Pro de ZATAZ DERNIÈRES ACTUALITÉS ●mardi 10 novembre 2026 à 03:00 Cybersécurité : la CNIL sanctionne dix collectivitésCyberattaque des frigos : la piste iranienne se préciseNvidia : l’espionnage par la séduction et le social engineering 3 astuces pour réussir la transformation digitale de son entreprise Cryptomonnaies, Waltio face à une tentative d’extorsion ciblée Quel est l’intérêt de la veille en entreprise ? Le piratage de communication met fin au trafic de cocaïne en Europe Publicités et contenu personnalisés, mesure de performance des publicités et du contenu, études d’audience et développement de services