Cyberattaque des frigos - 700 sites ciblés et des départs de feu, la France accuse une unité iranienne

La cyberattaque des frigos a ciblé environ 700 sites de la grande distribution en France et provoqué au moins 15 départs de feu, selon l’ANSSI. Le 9 novembre 2026, la France a officiellement attribué ce sabotage à Shahid Kaveh, une unité cyber-offensive liée aux Gardiens de la révolution iraniens. Communiqué de l’ANSSI.

Les premières informations portaient sur des produits perdus et des consignes de dégivrage détournées. Les éléments publiés par les autorités donnent désormais une autre dimension à l’incident : une commande informatique peut entraîner des dégâts physiques, jusqu’à mettre une installation en danger.

700 sites ciblés dans la nuit du 11 au 12 octobre

L’annonce du 9 novembre concerne l’attaque menée dans la nuit du 11 au 12 octobre 2026, et non une nouvelle vague survenue cette semaine. L’ANSSI décrit des paramètres de dégivrage modifiés vers de hautes températures, avec des pertes de marchandises et des départs de feu. Bilan officiel de l’ANSSI.

Le rapport du Centre de coordination des crises cyber, le C4, cite notamment Casino, Leclerc, Coopérative U, Metro, Carrefour et Intermarché. Il signale aussi des victimes dans l’agroalimentaire : petites boucheries, abattoir et usines coopératives. Rapport du C4, pages 1 et 2.

Ce bilan complète notre premier article sur les frigos de Leclerc, Intermarché et Super U. Les chiffres communiqués pendant les premières heures de l’incident donnaient une vision encore partielle de son ampleur.

La France attribue le sabotage à l’unité Shahid Kaveh

Le C4 relie l’opération à Shahid Kaveh, affiliée au centre électronique et cyber des Gardiens de la révolution. Son analyse s’appuie sur plusieurs éléments concordants : infrastructure d’attaque, méthodes de reconnaissance, relais de l’opération par un canal associé à cette unité et traces d’utilisation du persan. Il observe également le ciblage concomitant d’équipements de petites installations hydroélectriques françaises, avec des effets qualifiés de modérés. Analyse d’attribution du C4.

Il s’agit donc d’une attribution officielle française, fondée sur les investigations des services concernés. Le ministère des Affaires étrangères annonce la convocation de l’ambassadeur d’Iran et la proposition de nouvelles sanctions européennes. Il évalue les pertes alimentaires à plusieurs dizaines de millions d’euros. Déclaration de France Diplomatie du 9 novembre.

Cette annonce porte sur le périmètre décrit par les autorités. Elle ne permet pas d’attribuer automatiquement à la même unité tous les incidents frigorifiques rapportés depuis, notamment les cas européens et l’incident chez Coolworld, prestataire de l’EFS.

Une fonction de maintenance utilisée pour endommager les installations

Le dégivrage est une fonction normale d’un équipement frigorifique. Son détournement montre qu’un attaquant peut causer des dommages en modifiant des réglages légitimes, sans avoir à chiffrer une base de données ou à arrêter un serveur.

Pour l’entreprise, l’enjeu dépasse la disponibilité informatique : marchandises détruites, fermeture de rayons, vérifications techniques et conditions de remise en service. Rétablir l’accès au contrôleur ne suffit pas à démontrer que l’installation peut reprendre son activité.

Le chiffre des départs de feu confirme la gravité des conséquences. Les publications consultées ne détaillent toutefois pas leur mécanisme pour chaque site. Il faut donc conserver cette distinction entre le bilan officiel et l’analyse technique propre à chaque installation.

Les accès de maintenance font partie du périmètre de sécurité

Dès octobre, le CERT-FR avait alerté sur des compromissions de contrôleurs Danfoss AK-SM et AK-SC, Copeland XWEB et Dixell XWEB. Il recommande de supprimer l’exposition directe des interfaces sur Internet, de vérifier les configurations et de rétablir les accès à travers un VPN sécurisé ou un réseau protégé. Alerte CERTFR-2026-ALE-012.

Le bulletin rappelle aussi qu’une remise à zéro ne suffit pas si un équipement vulnérable reste exposé, notamment lorsqu’il ne reçoit plus de correctifs.

Pour un exploitant multisite, notre recommandation est de rendre ce périmètre visible :

• Identifier les équipements et leurs responsables : modèle, version, prestataire de maintenance et accès utilisés.
• Encadrer les connexions distantes : droits nécessaires, comptes identifiés et suppression des accès devenus inutiles.
• Surveiller les changements sensibles : configurations, seuils, plages de dégivrage et ouvertures de sessions, selon les capacités des équipements.
• Préparer l’intervention avec le spécialiste métier : qui reçoit l’alerte, qui peut isoler l’accès et qui valide le fonctionnement après correction.

Cette démarche commence par une cartographie des dépendances de l’infrastructure. Un équipement oublié dans l’inventaire peut pourtant commander une fonction essentielle à l’activité.

Préparer la reprise jusqu’au service réellement rendu

La sauvegarde des configurations, la disponibilité des accès de secours et les contacts des intervenants doivent être vérifiés avant l’incident. Sur un équipement physique, la reprise exige aussi de contrôler les conditions de fonctionnement avec le professionnel compétent.

Nous recommandons de tester un scénario concret : une configuration a été modifiée, le prestataire habituel est indisponible et l’accès distant doit être coupé. L’équipe sait-elle poursuivre la surveillance, restaurer les réglages et faire valider le redémarrage ? C’est le même principe que pour un PRA défini et testé par service.

Chez Forget About IT, nous accompagnons la maîtrise des réseaux, des accès d’administration et de l’exploitation Linux, en coordination avec les spécialistes des installations. Notre offre d’infogérance intègre cette connaissance des dépendances et la préparation des interventions. Échangeons sur votre infrastructure.