Attribution d’une cyberattaque : ce que la France a réellement prouvé contre l’Iran dans l’affaire des frigos

Réponse immédiate

Le 9 novembre 2026, la France a rendu publique l’attribution d’une cyberattaque à l’Iran : le sabotage des contrôleurs de froid d’environ 700 sites de la grande distribution, dans la nuit du 11 au 12 octobre. Le ministère de l’Europe et des Affaires étrangères désigne l’unité Shahid Kaveh, rattachée aux Gardiens de la Révolution. Le rapport technique publié le même jour avance quatre indices, sans les données brutes qui permettraient de les vérifier de l’extérieur. C’est un faisceau, pas une preuve publique.

Ce que la France a annoncé le 9 novembre 2026

L’attribution d’une cyberattaque repose ici sur deux textes qui n’ont ni le même auteur ni la même fonction. Le premier est politique, le second est technique.

La déclaration qualifie l’opération de « première campagne cyberoffensive opérée purement à des fins de sabotage sur le territoire national ». Elle chiffre les pertes en denrées alimentaires à « plusieurs dizaines de millions d’euros », sans détail ni méthode. Le rapport du C4 ajoute deux éléments que la presse a peu repris : des victimes hors de la grande distribution (petites boucheries, un abattoir, des usines agroalimentaires coopératives) et le ciblage concomitant d’équipements Schneider Electric de petites installations hydroélectriques, « avec des effets modérés ».

Les quatre indices de l’imputation, et ce que chacun vaut

Le rapport parle d’un « faisceau d’indices ». C’est le bon terme : aucun indice publié ne suffit seul. Le tableau les classe du plus solide au plus fragile, selon un critère simple : la difficulté pour un tiers de le fabriquer exprès.

Notre lecture : la force du dossier tient au premier indice, parce qu’il relie l’attaque d’octobre à une surveillance antérieure que les services décrivent depuis juin 2024 (scripts visant des équipements Schneider Electric, Siemens et Rockwell). Les trois autres rendent l’hypothèse cohérente, ils ne la démontrent pas. Le lecteur extérieur doit donc faire confiance aux services, et c’est le prix assumé de toute attribution publique : les sources et méthodes qui la fondent ne sont pas divulguées.

Imputation technique, attribution politique : deux décisions distinctes

Le vocabulaire officiel distingue deux étapes. Le C4 parle d’imputation : relier une attaque à un mode opératoire, puis à un acteur. Le ministère parle d’attribution : un choix politique de nommer publiquement un État et d’en tirer des conséquences diplomatiques. La première est un travail d’analyse du cycle du renseignement ; la seconde ne vient que si l’État juge utile de rendre l’imputation publique.

La comparaison avec un rapport plus ancien montre ce qui a changé. En avril 2025, le rapport CERTFR-2025-CTI-006 sur APT28 décrivait des opérateurs « publiquement rattachés par différentes sources à la Russie » : le CERT-FR s’appuyait alors sur des tiers. En 2026, le C4 écrit qu’il est « en mesure d’imputer » les attaques à des unités nommées, et le rapport sur l’Iran publie même les noms de deux commandants de Shahid Kaveh et du dirigeant du centre cyber du CGRI.

Notre relevé : la pratique française d’attribution en 2026

Pour cet article, nous avons relevé le 12 novembre 2026 la rubrique « Rapports menaces et incidents » du CERT-FR. Elle compte neuf références publiées en 2026, de CERTFR-2026-CTI-001 à CERTFR-2026-CTI-009, dont deux versions, française et anglaise, d’un même rapport sur Turla. Deux rapports seulement imputent des activités à un service étatique nommé, et chacun accompagne une déclaration du ministère.

Ce relevé appelle une remarque d’intelligence économique. En juillet, la France a parlé en même temps que l’Union. En novembre, elle parle d’abord seule, sur un sabotage qui a frappé des entreprises françaises, puis demande à l’Union de suivre. L’attribution sert ici d’instrument de sécurité économique : nommer l’auteur prépare des sanctions et avertit l’acteur que ses unités sont identifiées. Que cela dissuade une nouvelle campagne reste une hypothèse : seuls les prochains mois permettront de l’évaluer.

Lecture intelligence économique : du vol de données au sabotage

Jusqu’ici, les attributions françaises visaient surtout l’espionnage. Le cas iranien change la nature du risque pour les entreprises : il ne s’agit plus de protéger des informations, mais des machines. La sécurité économique d’un magasin, d’un abattoir ou d’une petite centrale dépend alors d’équipements de contrôle industriel que leur exploitant ne surveille souvent pas lui-même.

Notre article du 15 octobre sur la cyberattaque des supermarchés décrivait cette chaîne fabricant, frigoriste, assureur et magasin, et concluait que l’attribution n’était pas établie à cette date. Elle l’est désormais au sens politique. Le diagnostic technique, lui, ne change pas : l’attaquant a trouvé des interfaces exposées. Le rapport du C4 le confirme en décrivant des « actions massives de reconnaissance » menées en avril 2026, six mois avant le passage à l’acte.

Méthode : ce qu’une entreprise peut faire de l’attribution d’une cyberattaque

Une attribution ne protège personne. Elle fournit en revanche une information exploitable : le profil d’un attaquant, ses outils et ses cibles. Cinq étapes, dans l’ordre.

1. Inventorier ses équipements de contrôle industriel : froid, énergie, eau, bâtiment. Noter la marque, le modèle, la version logicielle et la personne qui les maintient. Le rapport cite Schneider Electric, Siemens et Rockwell parmi les marques visées par les scripts de l’unité.
2. Chercher ses propres adresses dans les moteurs d’appareils connectés (Shodan, Censys, FOFA). Un service Modbus joignable sur le port 502 depuis Internet doit être fermé : ce protocole n’a pas été conçu pour être exposé. Rester sur ses propres adresses : se connecter à l’équipement d’un tiers relève de l’article 323-1 du Code pénal, comme le rappelle notre guide OSINT.
3. Appliquer les mesures de l’alerte CERTFR-2026-ALE-012 pour les installations de froid : supprimer l’exposition, rétablir l’accès par un VPN, contrôler les plages de dégivrage, changer les mots de passe par défaut.
4. Lire son contrat d’assurance cyber à la lumière de l’attribution : certaines polices excluent les opérations menées par un État. C’est une question à poser à son assureur ou à son courtier, clause par clause, avant le prochain incident.
5. Coter le risque : un sabotage d’équipement a une gravité et une vraisemblance différentes d’une fuite de données. La matrice des risques d’Intelligence Stratégique permet de les noter séparément et d’en tirer un plan d’action daté.

Ce que dit le droit, à jour au 12/11/2026

Aucune instance internationale n’est chargée de valider l’attribution d’une cyberattaque à un État : c’est un acte souverain, que chaque gouvernement décide et motive comme il l’entend. La déclaration du 9 novembre invoque le droit international et le « cadre normatif de comportement responsable des États dans le cyberespace des Nations unies », auquel l’Iran a souscrit selon le ministère. Ces normes, non contraignantes, ne prévoient pas de mécanisme de sanction.

Les sanctions annoncées passeraient par le régime cyber de l’Union européenne, celui que le ministère cite dans sa déclaration du 13 juillet 2026 sur le FSB. Selon la déclaration du 9 novembre, l’Union a déjà sanctionné en mars 2026 l’entité iranienne Emennet Pasargad pour des cyberattaques contre la France. Sur le plan pénal, l’enquête relève du parquet de Paris, qui a publié son propre communiqué.

Limites et précautions

• Le rapport public ne contient ni adresses IP, ni empreintes de fichiers, ni indicateurs techniques de l’attaque d’octobre : les indices sont décrits, pas fournis. Une vérification indépendante n’est pas possible avec les seuls documents publiés.
• Le montant des pertes, « plusieurs dizaines de millions d’euros », est une estimation du ministère, sans méthode publiée.
• La liste des enseignes touchées (Casino, Leclerc, Coopérative U, Metro, Carrefour, Intermarché) vient du rapport du C4. Elle ne dit pas combien de magasins de chaque groupe ont été touchés, ni lesquels étaient des points de vente indépendants.
• Le communiqué du parquet de Paris n’est diffusé que sur un réseau social : nous ne l’avons pas lu et rien de ce qui précède n’en est tiré.
• Les noms des dirigeants iraniens figurent dans un document officiel français. Ils n’ont pas été jugés : l’attribution est une accusation d’État, pas une condamnation.

Questions fréquentes

Qui a piraté les frigos des supermarchés en octobre 2026 ?

Selon la déclaration du ministère de l’Europe et des Affaires étrangères du 9 novembre 2026, l’unité cyberoffensive Shahid Kaveh, affiliée au centre électronique et cyber du Corps des Gardiens de la Révolution islamique d’Iran. Le rapport technique du C4 présente l’attaque comme commanditée par le CGRI et exécutée par cette unité.

Comment la France attribue-t-elle une cyberattaque ?

Les services techniques réunis au sein du C4 (ANSSI, COMCYBER, DGA, DGSE, DGSI) imputent d’abord l’attaque à un mode opératoire et à un acteur. Le gouvernement décide ensuite de rendre cette imputation publique, ou non, par une déclaration du ministère de l’Europe et des Affaires étrangères.

Quelles preuves la France a-t-elle publiées contre l’Iran ?

Quatre indices décrits dans le rapport CERTFR-2026-CTI-009 : une infrastructure partagée avec des repérages déjà associés à l’unité, l’outil FOFA, un relais de propagande le 13 octobre et des traces de farsi. Les données techniques sous-jacentes ne sont pas publiées.

Une attribution entraîne-t-elle des sanctions ?

Pas automatiquement. Le 9 novembre 2026, la France a convoqué l’ambassadeur d’Iran et annoncé qu’elle proposerait de nouvelles sanctions européennes. Leur adoption dépend des États membres de l’Union.

Sources

1. Déclaration d’attribution à l’Iran de cyberattaques visant la France, ministère de l’Europe et des Affaires étrangères, 9 novembre 2026 : diplomatie.gouv.fr
2. CERTFR-2026-CTI-009, Activités cyber offensives ciblant la France menées par des acteurs iraniens liés au CGRI, CERT-FR (C4), 9 novembre 2026 : cert.cyber.gouv.fr, rapport en PDF : CERTFR-2026-CTI-009.pdf
3. Attribution à la Russie d’activités cyber malveillantes à des fins d’espionnage en France, ministère de l’Europe et des Affaires étrangères, 13 juillet 2026 : diplomatie.gouv.fr
4. CERTFR-2026-CTI-004, Ciblage et compromission d’entités françaises au moyen du mode opératoire d’attaque Turla, CERT-FR (C4), 13 juillet 2026 : cert.cyber.gouv.fr
5. CERTFR-2025-CTI-006, Ciblage et compromission d’entités françaises au moyen du mode opératoire d’attaque APT28, CERT-FR, 29 avril 2025 : cert.cyber.gouv.fr
6. Rapports menaces et incidents du CERT-FR, liste relevée le 12 novembre 2026 : cert.cyber.gouv.fr
7. « Cyberattaque contre les frigos de 700 supermarchés : pourquoi la France accuse l’Iran », Next, 9 novembre 2026 : next.ink

À jour au 12/11/2026.

PUBLIÉ LE 12.11.2026 · UNE ERREUR ? SIGNALEZ-LA