TL;DR

  • Le 9 novembre 2026, Paris a attribué à l'unité iranienne Shahid Kaveh le sabotage, dans la nuit du 11 au 12 octobre, des contrôleurs de froid de plus de 700 sites.
  • L'État a déployé une riposte complète : convocation de l'ambassadeur, sanctions européennes proposées, information judiciaire, mandats d'arrêt requis et rapport technique du C4.
  • La gravité affichée par la déclaration et le rattachement de l'unité aux Gardiens de la Révolution pourraient servir d'arguments aux assureurs pour invoquer d'éventuelles exclusions.
  • L'attribution ne dit pas qui, de l'exploitant, du prestataire ou du fabricant, répond des consoles laissées accessibles.

L'attribution française engage justice, diplomatie et sanctions, mais laisse aux victimes deux questions coûteuses : qui paie, et qui répond des consoles exposées.

Le 9 novembre 2026, le ministère de l'Europe et des Affaires étrangères a attribué à l'Iran la campagne qui, dans la nuit du 11 au 12 octobre, a visé des contrôleurs de réfrigération dans plus de 700 sites de la grande distribution. Le bilan officiel fait état de dégâts matériels, de départs d'incendie et de pertes en denrées alimentaires. Next recense au moins 15 départs de feu et cite Casino, Leclerc, Coopérative U, Metro, Carrefour et Intermarché parmi les enseignes touchées. Paris désigne l'unité Shahid Kaveh, affiliée au centre électronique et cyber du Corps des Gardiens de la Révolution islamique. Sur le plan politique, la réponse est complète. Elle ne règle pas pour autant ce qui coûte de l'argent aux entreprises : qui paie, et qui répond des équipements laissés ouverts.

Le mécanisme : un vecteur encore discuté

Selon le parquet de Paris, cité par France 24, les attaquants ont pris le contrôle des équipements via des interfaces web. Ils ont lancé des cycles de dégivrage anormaux à durée illimitée et désactivé les alertes des sondes de température. Le point commun des sites était un contrôleur du fabricant danois Danfoss.

Le vecteur initial reste discuté. Danfoss affirme, selon Next, que les modèles visés étaient obsolètes ou non mis à jour, ce qui renvoie la responsabilité vers les magasins et leurs sous-traitants. Mi-octobre, le vecteur n'était pas établi selon les autorités, plusieurs vulnérabilités étant évoquées comme pistes possibles. Le CERT-FR, dans son bulletin du 13 octobre, a surtout pointé l'exposition d'une interface de gestion sur Internet, contraire aux bonnes pratiques.

Attribution technique et attribution politique, publiées ensemble

Il faut distinguer deux opérations. L'attribution technique relève des analystes : comparer des indices, aboutir à un degré de confiance. L'attribution politique est la décision d'un gouvernement de nommer un État. Cette fois, Paris a publié les deux. Le Centre de coordination des crises cyber, le C4, qui regroupe l'ANSSI, la DGSE, la DGSI, la DGA et le Commandement de la cyberdéfense, a diffusé un rapport conjoint. Next en détaille le faisceau d'indices : reconnaissance massive menée en avril 2026 via le protocole Modbus TCP sur le port 502, un protocole de dialogue avec les automates qui ne prévoit ni authentification ni chiffrement ; usage du logiciel de scan FOFA ; traces de farsi dans l'infrastructure ; relais de l'attaque par l'organe de propagande CyberbanNews dès le 13 octobre. Le parquet évoque aussi des adresses IP renvoyant vers l'Iran. Le C4 reste prudent sur un cas voisin, les chambres froides de l'Établissement français du sang, sur lequel il ne se prononce pas.

Les suites sont déjà engagées : convocation de l'ambassadeur, proposition de nouvelles sanctions européennes contre des entités et des individus iraniens, information judiciaire ouverte par le parquet de Paris, qui a requis des mandats d'arrêt internationaux visant le responsable de l'unité et deux adjoints, sous le régime de la présomption d'innocence. Le précédent existe : l'Union a sanctionné en mars 2026 l'entité Emennet Pasargad pour des opérations visant Charlie Hebdo en 2023 et les Jeux de Paris en 2024. La graduation est nette. Reste un doute : des mandats d'arrêt contre des responsables d'une unité étatique ont surtout une portée symbolique tant qu'ils ne voyagent pas.

Ce que l'annonce ne dit pas : qui paie

Pour les distributeurs, la question décisive se joue dans leur police cyber. Or la déclaration française emploie un registre fort : elle décrit une atteinte majeure à la sécurité des Français et parle de « première campagne cyberoffensive opérée purement à des fins de sabotage ». Elle désigne une unité affiliée au centre électronique et cyber des Gardiens de la Révolution. La déclaration ne parle ni de force armée ni d'acte de guerre. Mais, à notre lecture, ce rattachement à un corps relevant d'un appareil d'État pourrait être rapproché par un assureur d'une exclusion liée aux actes de guerre ou aux opérations menées par des États, si la police en contient une. Plus l'État dramatise pour dissuader, plus il fournit potentiellement de matière à discuter l'indemnisation.

Il s'agit ici d'une hypothèse de raisonnement, non d'un constat. Nous n'avons examiné aucun contrat : tout dépendra de la rédaction de chaque police, notamment de la définition de l'opération étatique et de qui la constate. Les victimes ont intérêt à relire ces clauses avant toute déclaration de sinistre.

Ni qui répond des consoles exposées

Quel que soit l'attaquant, le constat technique demeure : des interfaces de gestion étaient accessibles depuis Internet. Next rappelle que Claroty avait recensé 2 765 interfaces AK-SM 800A exposées, sans que le lien avec l'attaque soit établi. Le partage des responsabilités entre exploitants, prestataires de maintenance et fabricants reste ouvert. La directive NIS2, pour les entités régulées, et le Cyber Resilience Act, pour les produits connectés, ont vocation à l'encadrer. Leur application à des enseignes de distribution et à des fabricants de matériel frigorifique reste à analyser au cas par cas. Un régulateur ou un juge regardera ce qui a été fait avant l'incident, pas seulement l'identité de l'attaquant.

Concrètement, les entreprises disposent déjà du bulletin du CERT-FR et du rapport du C4. Le travail consiste à cartographier les équipements connectés des points de vente, à couper ce qui n'a pas besoin d'être administré à distance et à exiger des prestataires un filtrage strict des accès.

La France a fait payer un prix diplomatique et judiciaire à l'attaquant, et ce prix pourrait s'alourdir si les Vingt-Sept suivent sur les sanctions. Pour les victimes, le bilan est plus mitigé. L'attribution ne modifie en rien la question des consoles laissées ouvertes : les obligations de sécurité existaient avant l'attaque et s'apprécieront comme avant. Elle pourrait en revanche compliquer l'indemnisation, selon la rédaction des polices. Nommer l'agresseur ne dispense pas de fermer la porte.

Sources