RadioCSIRT9 novembre 202611 min

Ep.795 – Iran, Shahid Kaveh, C4 et CERT-FR – Épisode spécial du lundi 9 novembre 2026

Cyberattaques de l'Iran contre la France, de Charlie Hebdo aux supermarchés

Géopolitique et relations internationales Innovation, cyber et menaces nouvelles Iran

Marc Frédéric Gomez, expert en cybersécurité et voix de RadioCSIRT, consacre un épisode spécial à l'attribution par la France de cyberattaques à la République islamique d'Iran. Il suit dans l'ordre le rapport du Centre de coordination des crises cyber : la boutique de Charlie Hebdo défigurée en 2023, les bornes d'affichage visées avant les Jeux de Paris, puis la nuit d'octobre 2026 où les contrôleurs de froid d'environ 700 supermarchés ont été sabotés. Il détaille les indices techniques et la réponse diplomatique et judiciaire.

De Charlie Hebdo aux contrôleurs de froid

Dans cet épisode spécial de RadioCSIRT, Marc Frédéric Gomez, expert en cybersécurité, consacre onze minutes à un seul sujet : la déclaration du ministère de l’Europe et des Affaires étrangères qui attribue à la République islamique d’Iran des cyberattaques de sabotage et de déstabilisation visant la France. Il s’appuie sur le rapport CERTFR-2026-CTI-009 publié par le CERT-FR, rédigé par le Centre de coordination des crises cyber (C4), qui réunit l’Agence nationale de la sécurité des systèmes d’information (ANSSI), le Commandement de la cyberdéfense (COMCYBER), la DGA, la DGSE et la DGSI. Le rapport impute les attaques à deux unités du centre électronique et cyber du Corps des gardiens de la révolution islamique (CGRI-CEC). La première, Shahid Shoostari, connue en sources ouvertes sous les noms Iliyanet et Emennet Pasargad, prépare dès 2020 un plan contre Charlie Hebdo, puis défigure sa boutique en ligne et en exfiltre la base de données le 4 janvier 2023 ; en juillet 2024, elle compromet une société française de bornes d’affichage vidéo pour diffuser des photomontages contre la participation des athlètes israéliens aux Jeux de Paris, compromission découverte avant tout affichage. La seconde, Shahid Kaveh, agit sous des avatars activistes comme CyberAveng3rs et vise des automates industriels, Schneider Electric en tête. Dans la nuit du 11 au 12 octobre 2026, les paramètres de dégivrage des contrôleurs de froid d’environ 700 sites de la grande distribution sont modifiés : selon le ministère, les pertes en denrées se chiffrent à plusieurs dizaines de millions d’euros, et au moins 15 sites subissent des départs de feu.

Marc Frédéric Gomez détaille le faisceau d’indices du C4 (reconnaissance Modbus sur le port 502, outil de scan FOFA, relais par CyberbanNews, traces de farsi) et rappelle que le vecteur d’intrusion n’est pas publié. Il distingue aussi la seconde vague de novembre contre des supermarchés de huit pays européens, que le rapport ne couvre pas : « on ne confond pas tout ».

Pour aller plus loin

Les références de l’épisode

Centre de coordination des crises cyber (C4) : instance interministérielle auteure du rapport d’attribution.
CERT-FR : a publié le rapport CERTFR-2026-CTI-009 et l’alerte CERTFR-2026-ALE-012.
CGRI-CEC : centre électronique et cyber du Corps des gardiens de la révolution islamique, dont dépendent les deux unités.
Shahid Shoostari : unité connue sous les noms Iliyanet, Emennet Pasargad et Aria Sepehr Ayandehsazan, visée par les sanctions cyber de l’Union européenne le 16 mars 2026.
Shahid Kaveh : unité de sabotage industriel, qui opère sous les avatars CyberAveng3rs (CyberAv3ngers dans les sources américaines), Soldiers of Solomon, Mr. Soul et Cyber Isnaad Front.
Charlie Hebdo : cible de l’unité Shahid Shoostari dès 2020, attaque de sa boutique en ligne en janvier 2023.
Lab Dookhtegan : groupe se présentant comme dissident iranien, qui a révélé en 2021 le plan contre Charlie Hebdo.
Microsoft : a attribué en février 2023 l’attaque contre Charlie Hebdo à l’acteur Neptunium, sous l’avatar Holy Souls.
Unitronics : fabricant israélien d’automates visé par une campagne revendiquée en novembre 2023.
Trésor américain : sanctions du 2 février 2024 contre six responsables du CGRI-CEC.
Avis conjoint AA26-097A de la CISA, du FBI et de la NSA (7 avril 2026) : exploitation d’automates exposés sur internet.
Danfoss, Copeland et Dixell : fabricants des contrôleurs et superviseurs listés dans l’alerte du CERT-FR.
NoName057(16) et Z-Pentest Alliance : groupes qui revendiquent la seconde vague de novembre, sans confirmation indépendante.
Parquet de Paris : ouverture d’une information judiciaire et réquisition de mandats d’arrêt internationaux contre des membres de Shahid Kaveh.

Au fil de l’épisode

00:00:02 : un épisode spécial sur l’attribution à l’Iran de cyberattaques contre la France
00:00:32 : le rapport du C4 publié par le CERT-FR
00:01:03 : les unités Shahid Shoostari et Shahid Kaveh, le premier ciblage de Charlie Hebdo
00:01:37 : la défiguration de la boutique de Charlie Hebdo le 4 janvier 2023
00:02:05 : l’attribution par Microsoft et l’avatar Holy Souls
00:02:37 : Shahid Kaveh, CyberAveng3rs et la campagne contre Unitronics
00:03:08 : les sanctions du Trésor américain et les scripts contre les automates
00:03:40 : les bornes d’affichage vidéo visées avant les Jeux de Paris
00:04:32 : les indices techniques et l’avis du FBI
00:05:01 : les sanctions européennes de mars 2026
00:05:34 : l’avis AA26-097A et la reconnaissance Modbus en France
00:06:07 : la nuit du 11 au 12 octobre 2026 dans la grande distribution
00:06:38 : marchandises perdues et départs de feu
00:07:02 : petites installations hydroélectriques et alerte du CERT-FR
00:07:41 : un vecteur d’intrusion non publié et la seconde vague de novembre
00:08:20 : le faisceau d’indices du C4
00:09:13 : les dirigeants nommés et une attaque qualifiée d’inédite
00:09:45 : la réponse diplomatique et judiciaire de la France

FAQ

Qu’est-ce que le C4 ?

Le Centre de coordination des crises cyber (C4) est, comme le rappelle Marc Frédéric Gomez, une instance interministérielle qui réunit l’ANSSI, le Commandement de la cyberdéfense, la DGA, la DGSE et la DGSI. Ses services techniques ont rédigé le rapport CERTFR-2026-CTI-009, qui impute à deux unités du CGRI-CEC des cyberattaques visant la France depuis 2020.

Qui est Shahid Kaveh ?

Shahid Kaveh est, selon le rapport du C4, une unité cyberoffensive du centre électronique et cyber du Corps des gardiens de la révolution islamique. Elle agit derrière des avatars activistes comme CyberAveng3rs et mène des campagnes de sabotage contre des équipements industriels, en Israël, aux États-Unis, en France et dans d’autres pays européens. Le C4 lui attribue l’attaque d’octobre 2026.

Que s’est-il passé dans les supermarchés français en octobre 2026 ?

Dans la nuit du 11 au 12 octobre 2026, les attaquants ont modifié les paramètres de dégivrage des contrôleurs de froid d’environ 700 sites de la grande distribution. D’après le ministère, les pertes en denrées atteignent plusieurs dizaines de millions d’euros et au moins 15 sites ont connu des départs de feu. Des acteurs de l’agroalimentaire figurent aussi parmi les victimes.

Sur quels indices la France attribue-t-elle l’attaque à l’Iran ?

Le C4 cite une infrastructure réutilisée pour reconnaître des équipements Schneider Electric par le protocole Modbus sur le port 502, l’emploi de l’outil de scan FOFA habituel à l’unité, le relais de l’attaque par CyberbanNews dès le 13 octobre et des traces de farsi. Le parquet de Paris évoque aussi des adresses IP liées à l’Iran.

Quelles mesures la France a-t-elle annoncées ?

La France a convoqué l’ambassadeur d’Iran, proposera à ses partenaires européens de nouvelles sanctions et se réserve d’autres mesures, publiques ou non. Sur le plan judiciaire, le parquet de Paris ouvre une information judiciaire et requiert des mandats d’arrêt internationaux contre plusieurs membres de Shahid Kaveh, explique Marc Frédéric Gomez.