Frigos de supermarchés piratés : la justice française soupçonne une unité iranienne

Le parquet de Paris a ouvert, lundi 9 novembre 2026, une information judiciaire contre le chef du groupe iranien Shahid Kaveh et ses deux adjoints. Il les soupçonne d’être à l’origine de la cyberattaque des supermarchés d’octobre, qui a visé les installations frigorifiques d’environ 700 sites de la grande distribution. Le même jour, la France a accusé l’Iran par la voix de son ministre des Affaires étrangères, Jean-Noël Barrot. Pour les commerces et les PME, l’affaire rappelle qu’un équipement technique branché sur Internet peut devenir une cible.

L’attaque a eu lieu dans la nuit du 11 au 12 octobre 2026. Les pirates ont pris la main sur des contrôleurs Danfoss et Dixell, ces boîtiers qui pilotent à distance le froid des meubles réfrigérés. Ils sont entrés par leurs interfaces web, des pages d’administration accessibles depuis un navigateur. Le dégivrage, d’ordinaire limité à environ deux heures par jour, est devenu illimité, jusqu’à 50 °C, et les alertes des sondes étaient éteintes. Bilan : des pertes alimentaires importantes et une vingtaine de départs de feu.

Shahid Kaveh est une unité rattachée au centre cyber des Gardiens de la révolution, corps d’élite du régime iranien. Pour lui attribuer l’attaque, les enquêteurs s’appuient sur plusieurs éléments techniques. Ils citent une façon d’opérer typique de ce groupe, l’usage du farsi, la langue parlée en Iran, et des adresses IP renvoyant vers des terminaux localisés dans ce pays. L’adresse IP est le numéro qui identifie une machine sur Internet. La justice réclame des mandats d’arrêt internationaux.

Jean-Noël Barrot a évoqué « une attaque d’une ampleur inédite et d’une agressivité inédite ». Il promet des sanctions à l’échelle européenne contre les auteurs de l’opération. La France a aussi convoqué l’ambassadeur d’Iran pour protester contre ce qu’elle qualifie d’acte extrêmement grave. Le groupe visé n’est pas un inconnu : pour les agences américaines, il opère aussi sous le nom de CyberAv3ngers. Washington a déjà promis jusqu’à 10 millions de dollars pour des informations sur ses responsables.

Une attribution encore à prouver

La prudence reste de mise. Une information judiciaire ne vaut pas condamnation, et une adresse IP peut se maquiller, rappelle Clubic. Téhéran dément habituellement ce type d’opérations. Le communiqué du parquet passe sous silence une vague plus récente, qui a touché des supermarchés en Belgique, au Luxembourg et en Suède. Les attaques survenues dans ces autres pays européens n’ont pas encore été attribuées.

Des contrôleurs restés exposés

Quel que soit l’auteur, le point faible est connu. Le 12 octobre 2026, le CERT-FR, service de l’Agence nationale de la sécurité des systèmes d’information (ANSSI), a publié l’alerte CERTFR-2026-ALE-012, mise à jour le 16 octobre. Elle vise des contrôleurs Danfoss ainsi que les systèmes Xweb de Copeland et de Dixell. Elle rappelle qu’exposer une interface de gestion sur Internet est contraire aux bonnes pratiques. Selon le fabricant danois, les AK-SM 800 et AK-SC 355 compromis sont des modèles anciens, privés de mises à jour de sécurité. Des AK-SM 800A, toujours suivis, ont pourtant été touchés eux aussi.

Des campagnes d’attaques sont probablement toujours en cours visant ces équipements.

Les décomptes ont varié. La presse française évoquait d’abord 250 à 350 magasins touchés. Le ministre des Finances, Roland Lescure, a ensuite avancé devant le Parlement le chiffre de 700 supermarchés. Les contrôleurs, eux, restent nombreux en ligne : Baptiste Robert, dirigeant de la société Predicta Lab, a recensé 2752 systèmes Danfoss exposés sur Internet, dont 1590 en France. Dès mai 2025, l’agence américaine de cybersécurité CISA avait signalé une faille permettant de contourner l’authentification de contrôleurs Danfoss, référencée CVE-2025-41450.

Interrogé par Reuters, Danfoss s’est dit au courant d’incidents touchant un nombre limité de systèmes de gestion du froid en France. Les appareils concernés utilisaient un micrologiciel obsolète, c’est-à-dire une version périmée de leur logiciel interne. Le fabricant assure avoir conseillé de longue date à ses clients de tenir à jour les systèmes encore suivis. Pour les modèles privés de correctifs, il recommande leur remplacement par des équipements plus récents. Vincent Strubel, patron de l’ANSSI, pointe des défauts de sécurisation élémentaire sur ces contrôleurs : « Il est en tout état de cause urgent de les déconnecter d’Internet ».

Ce que les entreprises doivent vérifier

Le CERT-FR demande d’abord de supprimer l’exposition Internet des unités concernées et de toutes celles joignables sur une adresse IP publique. Ensuite : « Rétablir l’accès uniquement via un VPN sécurisé ou un réseau protégé. » Le VPN désigne un tunnel chiffré réservé aux personnes autorisées. L’alerte recommande aussi de vérifier les plages de dégivrage et d’appliquer les consignes du constructeur, comme le mode de sécurité Strict et le changement des mots de passe par défaut. Sur un appareil en fin de vie compromis, une simple réinitialisation d’usine ne suffit pas.

Nous retenons qu’un boîtier qui ne ressemble pas à un ordinateur en reste un aux yeux d’un attaquant. Tout appareil joignable depuis Internet par une page d’administration mérite le même examen qu’un serveur. Chauffage, caméras, NAS (serveurs de stockage) ou automates : dressez-en la liste, demandez à l’installateur comment il s’y connecte et préférez un accès par VPN. Les propriétaires de Synology l’ont appris avec le rançongiciel C3RB3R : un appareil oublié des mises à jour devient une proie facile.