Campagnes de déstabilisation et sabotage menées à l’encontre des intérêts français par la République islamique d’Iran

La France attribue des campagnes de déstabilisation et sabotage menées à l’encontre des intérêts français par la République islamique d’Iran (centre électronique et cyber du Corps des Gardiens de la Révolution Islamique d’Iran – CGRI-CEC).

Une campagne d’attaque inédite par son ampleur, ses impacts et le niveau d’agressivité observé

Le 12 octobre 2026, l’ANSSI est alertée d’une attaque ayant ciblé les contrôleurs de froid d’environ 700 sites de la grande distribution en France. À la suite de leur compromission dans la nuit du dimanche 11 au lundi 12 octobre 2026, les paramètres de dégivrage des équipements ont été modifiés pour être fixés à de hautes températures, entraînant des pertes de marchandises et dans au moins 15 cas des départs de feu.

Si le Centre de Coordination des Crises Cyber (C4)[1] a connaissance d’autres victimes dans le secteur de l’agroalimentaire dont plusieurs petites boucheries, un abattoir, et des usines agroalimentaires coopératives, il a également observé le ciblage concomitant, qu’il relie à la même attaque, de plusieurs équipements Schneider Electric appartenant à de petites installations hydroélectriques en France, avec des effets modérés sur les équipements ciblés.

A la suite de ses travaux d’investigation, le C4 est en mesure d’attribuer ces actions destructrices à l’unité cyber-offensive Shahid Kaveh, affiliée au centre électronique et cyber du Corps des Gardiens de la Révolution Islamique d’Iran (CGRI-CEC) : caractéristiques d’infrastructure, utilisation d’outils signants, relai de l’attaque par un organe de propagande lié à Shahid Kaveh, traces d’utilisation du persan dans l’infrastructure d’attaque.

Une menace cyber iranienne contre les intérêts français déjà observée par le passé

Le C4 est également en capacité d’affirmer que d’autres attaques menées par le CGRI-CEC à l’encontre des intérêts français ont été observées depuis a minima 2020.

En 2021, Lab Dookhtegan, présenté comme un groupe hacktiviste dissident iranien, a révélé sur Telegram l’existence d’un plan de cyberattaque, conçu par Emennet Pasargad, contre le journal Charlie Hedbo, critiqué notamment en raison de sa ligne éditoriale. En 2023, Emennet Pasargad a procédé à la défiguration de la boutique en ligne de l’hebdomadaire, ainsi qu’à l’exfiltration des informations contenues dans sa base de données, dans une logique de représailles et d’intimidation.

Le C4 impute ces actions à l’unité Shahid Shoostari, agissant pour le compte du Centre électronique et cyber du Corps des Gardiens de la Révolution Islamique iranien (CGRI-CEC).

À partir du 20 juillet 2024, une société française opérant un système de gestion de bornes d’affichage vidéo a été compromise au moyen d’un mode opératoire d’attaque opéré par l’unité Shahid Shoostari. Les attaquants ont tenté de détourner ces bornes pour diffuser des photos-montages dénonçant la participation des athlètes israéliens aux JOP2024. L’ensemble des clients de cette entreprise aurait pu être ciblé par cette tentative, mais la compromission a été découverte avant que l’attaquant ne parvienne à faire afficher ces images sur les bornes.

Une réponse française ferme face aux agissements iraniens

L’attribution de ces agissements à la République islamique d’Iran, par le Ministère de l'Europe et des Affaires étrangères est rendue possible par le renforcement des capacités françaises d’attribution des attaques informatiques, dans un contexte d’intensification et d’aggravation des attaques hybrides contre la France.

Par ailleurs, le Parquet de Paris a ouvert une information judiciaire et requis la délivrance de mandats d’arrêts internationaux contre plusieurs membres du groupe iranien Shahid Kaveh.