La France accuse l'unité iranienne Shahid Kaveh du piratage des réfrigérateurs des supermarchés; et Téhéran dément tout

Paris nomme l'unité, Téhéran nie tout

Le lundi 9 novembre, la France a fait quelque chose de très rare en public : nommer une unité cybernétique d'un État étranger et l'accuser d'une attaque sur le sol français. Le ministre des Affaires étrangères, Jean-Noël Barrot, a déclaré pouvoir confirmer que les Gardiens de la révolution d'Iran avaient mené les cyberattaques qui ont fait surchauffer les systèmes de réfrigération des supermarchés français dans la nuit du 11 au 12 octobre, qualifiant l'opération d'« inédite par son niveau d'agressivité ».

La procureure de Paris, Laure Beccuau, a ouvert une enquête judiciaire contre le chef de l'unité tenue pour responsable, Shahid Kaveh, une unité offensive affiliée au centre cybernétique des Gardiens, et ses deux adjoints, et a requis des mandats d'arrêt internationaux. La France a convoqué l'ambassadeur d'Iran et annoncé qu'elle demanderait des sanctions européennes.

Le mardi 10 novembre, le ministère iranien des Affaires étrangères a rejeté les accusations, les qualifiant d'« infondées et partiales ». Téhéran a déclaré qu'il défendrait ses intérêts, sans mentionner Shahid Kaveh du tout.

Sept cents sites, une seule chaîne du froid, et une piste d'indices

L'attaque a frappé dans la nuit du 11 au 12 octobre, lorsque des pirates ont pris le contrôle du logiciel qui régule la température des unités de réfrigération commerciale, des systèmes fournis par l'entreprise danoise Danfoss, et ont poussé les réglages de dégivrage à des températures élevées. Plus de 100 magasins Coopérative U et environ 180 Intermarché et Netto ont été touchés, ainsi que Carrefour, Monoprix et E.Leclerc. Dans certains magasins, la température aurait atteint 50 °C pendant la nuit. Des tonnes de denrées ont été détruites, les pertes atteignent plusieurs dizaines de millions d'euros, et au moins 15 incendies se sont déclarés. Les attaques d'octobre ont été racontées ici au moment où les rayons se vidaient : le premier récit du piratage des réfrigérateurs des supermarchés.

L'attribution française repose sur un rapport de quatre pages publié le 9 novembre par le Centre de coordination des crises cyber et le CERT-FR national. Le rapport indique que l'infrastructure d'attaque avait aussi servi à sonder des équipements Schneider Electric, que des traces de persan ont été trouvées dans l'infrastructure, et que CyberbanNews, l'organe de propagande de l'unité, a relayé l'attaque le 13 octobre.

Le rapport nomme trois hommes : Hamid Reza Lashgarian, 65 ans, chef du centre cybernétique des Gardiens et commandant de la Force Al-Qods ; Mahdi Lashgarian, 37 ans ; et Reza Salarvand, 35 ans, commandants de Shahid Kaveh. Hamid Reza et Mahdi Lashgarian faisaient déjà l'objet de sanctions américaines imposées en 2024.

Que reste-t-il à établir : le mobile, la méthode, et la deuxième vague

La France n'a pas publié le renseignement sous-jacent; seulement les indicateurs techniques du rapport du CERT-FR. L'attribution est extrêmement difficile, car les attaquants peuvent dissimuler leur localisation et semer de fausses pistes, et Paris n'a pas expliqué ce qui a permis d'écarter les autres suspects.

Le mobile reste flou. La France, comme les autres pays européens, a gardé un profil bas dans la guerre qui a repris cette année entre l'Iran, Israël et les États-Unis, et rien dans la déclaration française n'explique pourquoi les supermarchés français ont été choisis.

On ignore si la deuxième vague de piratages, début novembre, plus de 100 magasins à travers l'Europe, et trois établissements du service du sang les 1er et 2 novembre, est liée à l'attaque d'octobre. La France s'est bien gardée d'attribuer cette vague à l'Iran. On ignore également si les pannes de réfrigérateurs dans environ six économats militaires américains depuis fin août, que Reuters a rapportées comme faisant l'objet d'une enquête pour cyberattaques délibérées, partagent un même auteur.

Pourquoi une attaque contre des réfrigérateurs compte-t-elle comme une attaque contre une nation ?

L'attaque compte par ce qu'elle a visé. La réfrigération des supermarchés est une infrastructure civile : quand elle tombe en panne, les dégâts se mesurent en stocks avariés et en incendies. Une opération de sabotage contre l'approvisionnement alimentaire d'un grand pays européen est d'une autre nature que les intrusions habituelles, et les mots de Barrot, une « atteinte majeure aux intérêts de la nation et à la sécurité des Français », ont été choisis pour le dire.

Elle compte parce que la France a nommé des noms, ce que les gouvernements font rarement, parce que l'attribution expose les méthodes et invite à la riposte. Le faire maintenant, au milieu d'une guerre dans laquelle la France n'est pas belligérante, signale que Paris juge le coût du silence supérieur au coût de la confrontation; et Bruxelles a promis une « réponse rapide et unie » une fois que les États membres auront discuté de l'annonce.

Et l'unité nommée par la France n'est pas nouvelle : ses groupes de façade, sous des noms comme CyberAveng3rs, revendiquent des attaques depuis des années; y compris la compromission d'au moins 75 automates Unitronics aux États-Unis en novembre 2023. L'opération française, si l'attribution se confirme, est de loin la plus réussie du groupe à ce jour.

Nommer l'unité, c'est le message

Nommer Shahid Kaveh en public se lit d'abord comme une dissuasion par la divulgation. L'attribution est habituellement gardée secrète parce qu'elle brûle des sources et des méthodes ; la publier est un choix délibéré pour augmenter le prix de la prochaine attaque. Le message s'adresse à Téhéran, mais aussi à tous les autres États qui regardent : les outils de l'unité sont désormais consignés.

Le choix de la cible est le second message : la réfrigération vide les rayons, déclenche des incendies et oblige un gouvernement à expliquer pourquoi la nourriture de ses citoyens est jetée. Pour un attaquant qui veut imposer des coûts sans déclencher de réponse militaire, c'est presque idéal.

Le risque pour Paris est que l'attribution devienne une échelle. L'Iran a nié l'attaque ; la France a promis des sanctions et s'est réservé des mesures non divulguées. Chaque pas est calibré pour rester sous le seuil du conflit ouvert, mais la reprise de la guerre dans le Golfe a déjà brouillé ce seuil.

Que va-t-il arriver à la chaîne du froid, à la liste des sanctions, et aux imitateurs ?

La première conséquence tombe sur les distributeurs. Les groupes de supermarchés à travers l'Europe auditent désormais le logiciel qui pilote leur réfrigération, et la question de savoir qui peut atteindre une chambre froide depuis internet est devenue un sujet de conseil d'administration. La vague de novembre garantit que l'audit se déroule en Belgique, au Luxembourg et en Suède aussi bien qu'en France. Le schéma plus large des attaques contre les congélateurs et des incendies est documenté dans notre précédent reportage sur les incendies et les pertes.

La deuxième conséquence est institutionnelle. Si l'Union européenne suit la France, ce sera la première fois que le bloc sanctionne une unité cybernétique d'État pour le sabotage d'une infrastructure civile. La discussion du bloc dans les jours à venir dira si l'attribution devient une politique ou s'enlise.

La troisième conséquence est l'imitation. Les attaques françaises ont montré que les contrôleurs industriels, ceux qui font tourner les stations d'eau, les sites énergétiques et les usines agroalimentaires, peuvent être atteints et transformés en arme. Les techniques sont désormais décrites dans un rapport public. Le versant défensif, l'intelligence artificielle dans la cyberdéfense, est une course que l'Europe mène déjà, comme le montre notre couverture de l'IA dans la cyberdéfense.

Sanctions, mandats, et la vague de novembre

Dans les jours à venir, les États membres de l'Union européenne discuteront de la demande française de sanctions. L'enquête de la procureure de Paris se poursuit, et les mandats d'arrêt mettront à l'épreuve la question de savoir si les trois hommes nommés voyageront un jour vers un pays qui les exécuterait.

L'Iran a déclaré qu'il prendrait les mesures qu'il juge nécessaires, et a accusé la France de projeter ses propres défaillances : « un gouvernement qui ne parvient même pas à gérer la température de ses propres réfrigérateurs ». Le prochain développement à surveiller est de savoir si la France attribuera aussi la vague de novembre, ou si cette vague, comme les incidents des bases américaines, restera sans attribution.