La guerre hybride en Europe prend une forme très concrète avec le sabotage de réfrigérateurs commerciaux. Le 9 novembre 2026, Paris attribue l’attaque française d’octobre à une unité des Gardiens de la révolution iraniens. Des collectifs prorusses avaient revendiqué des attaques similaires. La Corée du Nord apparaît, elle, dans d’autres affaires. Derrière cette succession de noms, plusieurs opérations, organisations et degrés de certitude doivent être distingués.
L’annonce française apporte une réponse sur les auteurs désignés d’une attaque précise. Elle ne résout pas toutes les intrusions qui ont touché les installations frigorifiques européennes. Elle ne retire pas davantage leur valeur aux attributions antérieures visant Moscou ou Pyongyang dans d’autres dossiers. Le point décisif consiste à identifier, pour chaque épisode, les faits observés et ce que les investigations permettent réellement d’affirmer.
Octobre et novembre : deux vagues à ne pas confondre
La première vague frappe surtout la France dans la nuit du 11 au 12 octobre 2026. Des attaquants modifient à distance les paramètres de contrôleurs frigorifiques. Environ 700 sites de la grande distribution sont touchés. Les conséquences dépassent une indisponibilité informatique : les exploitants perdent des marchandises et doivent contrôler leurs installations avant de reprendre une activité normale.
Une nouvelle vague intervient dans la nuit du 1er au 2 novembre. Elle concerne plusieurs autres pays européens. Des commerces signalent des perturbations comparables, notamment en Belgique et en Suède. La proximité des dates, des équipements et des effets favorise l’idée d’une campagne unique. Elle n’en apporte pourtant pas la démonstration technique.
Le 9 novembre, l’attribution française vise explicitement l’attaque d’octobre contre les contrôleurs de réfrigération français. L’origine de la seconde vague reste distincte dans les informations publiques consultées à cette date. Une enquête doit établir les éventuels liens entre les épisodes. Un même type d’appareil peut intéresser plusieurs attaquants, surtout lorsque des installations comparables présentent les mêmes défauts de protection.
Shahid Kaveh, une unité iranienne derrière plusieurs noms
Les services français désignent l’unité cyberoffensive Shahid Kaveh comme exécutante de l’attaque d’octobre. Ils la rattachent au Centre électronique et cyber du Corps des Gardiens de la révolution islamique. Leur rapport nomme deux responsables, Reza Salarvand et Mahdi Lashgarian. Il décrit donc une structure liée à un appareil étatique, et non uniquement un rassemblement de militants numériques.
Cette unité apparaît sous différentes identités publiques : CyberAveng3rs, Soldiers of Solomon, Mr. Soul et Cyber Isnaad Front. Ces noms servent notamment à revendiquer certaines opérations. CyberbanNews joue un rôle de communication. Un lecteur peut ainsi rencontrer plusieurs signatures sans avoir nécessairement affaire à plusieurs organisations autonomes.
Le ciblage des équipements industriels constitue un élément central de son activité. Les précédents présentés par les autorités françaises concernent notamment Israël et les États-Unis. Ils mentionnent des équipements de contrôle industriel et des systèmes frigorifiques. Ce parcours rend le mode d’action cohérent avec les capacités attribuées à l’unité. Il ne dispense toutefois pas d’établir sa responsabilité dans chaque nouvelle attaque.
Une autre unité iranienne pour Charlie Hebdo et les JO
Le dossier français cite aussi Shahid Shoostari, connue sous les noms d’Emennet Pasargad et d’Iliyanet. Il faut la distinguer de Shahid Kaveh. Les autorités la relient à d’autres opérations contre des intérêts français, dans une logique d’intimidation ou de déstabilisation. Le partage d’un rattachement institutionnel ne signifie pas que les mêmes équipes conduisent toutes les attaques.
En janvier 2023, la boutique en ligne de Charlie Hebdo subit une défiguration et une exfiltration de données. Le journal publie alors des caricatures d’Ali Khamenei. Les services français attribuent désormais cette opération à Shahid Shoostari. L’objectif dépasse ici le dysfonctionnement d’un site marchand : le contexte éditorial fait partie du ciblage décrit par les autorités.
À partir du 20 juillet 2024, une entreprise française gérant des bornes d’affichage vidéo connaît une autre compromission. Les attaquants cherchent à diffuser des montages dénonçant la participation d’athlètes israéliens aux Jeux olympiques de Paris. La découverte de l’intrusion intervient avant leur affichage. Cette précision compte : une tentative déjouée ne doit pas être décrite comme une campagne effectivement diffusée.
Les collectifs prorusses qui ont revendiqué les frigos
NoName057(16) et Z-Pentest figurent parmi les groupes qui ont revendiqué les attaques frigorifiques sur Telegram, début novembre. Leur communication a alimenté la piste russe dans le débat public. Une analyse spécialisée publiée avant l’attribution française qualifie toutefois ces revendications de non vérifiées. La publicité donnée à une opération ne constitue pas, à elle seule, une preuve de participation.
NoName057(16) se distingue surtout par les attaques dites DDoS. Elles consistent à submerger un service de requêtes pour le rendre difficilement accessible. Des administrations, entreprises et institutions de pays soutenant l’Ukraine ont figuré parmi ses cibles. L’opération policière internationale Eastwood, menée en juillet 2025, a visé son réseau et ses infrastructures.
Le groupe s’appuie notamment sur DDoSia, un dispositif qui facilite la participation de sympathisants. L’organisation peut ainsi répartir l’effort entre plusieurs contributeurs. Ce fonctionnement diffère du sabotage d’un contrôleur industriel. Un acteur peut développer de nouvelles capacités ou collaborer avec d’autres, mais sa notoriété dans une catégorie d’attaques ne prouve pas sa responsabilité dans une autre.
Z-Pentest et CARR : des liens russes à décrire précisément
Z-Pentest se concentre davantage sur les technologies opérationnelles, celles qui commandent des équipements physiques. Des évaluations internationales le décrivent comme issu de membres de NoName057(16) et de Cyber Army of Russia Reborn, ou CARR. Sa création remonte à septembre 2024. Les secteurs de l’eau et de l’énergie figurent parmi ses cibles connues.
Le 13 juillet 2026, le Conseil de l’Union européenne impose des sanctions à Z-Pentest. Il cite notamment une attaque contre un service de distribution d’eau danois en décembre 2024. Cette décision documente un précédent européen concret. Elle ne vaut pas validation anticipée de toute revendication publiée ensuite par le groupe, notamment sur les réfrigérateurs.
Les relations avec l’État russe ne se résument pas à une formule unique. Un avis international de décembre 2025 estime que le GRU a probablement soutenu la création de CARR. Il décrit NoName comme un projet lié au centre russe CISM. Le même document présente la formation de Z-Pentest comme distincte de l’implication du GRU. Ces nuances empêchent d’assimiler automatiquement tous les collectifs prorusses à des unités militaires recevant les mêmes ordres.
Pourquoi la Russie a déjà été accusée dans d’autres affaires
Les accusations contre Moscou ne reposent pas seulement sur les déclarations de collectifs numériques. Certaines opérations ont fait l’objet d’attributions publiques précises. Le 29 avril 2025, la France a désigné le renseignement militaire russe, le GRU, pour plusieurs attaques menées avec le mode opératoire APT28. Cette appellation regroupe des techniques et des infrastructures suivies par les enquêteurs.
Paris a notamment cité le sabotage de TV5Monde en 2015 et la tentative de déstabilisation du processus électoral français en 2017. La déclaration évoquait aussi le ciblage ou la compromission d’une dizaine d’entités françaises depuis 2021. Parmi elles figuraient des services publics, des entreprises et une organisation sportive liée aux Jeux de 2024.
Un autre précédent concerne NotPetya, l’attaque destructrice de juin 2017. Le Royaume-Uni l’a attribuée à l’armée russe en février 2018. Les autorités britanniques estimaient cette responsabilité presque certaine. Ces dossiers portent sur des opérations identifiées et sur des évaluations datées. L’attribution des frigos à une unité iranienne ne les contredit pas : plusieurs États conduisent simultanément des activités offensives différentes.
La Corée du Nord apparaît dans des vols et dans WannaCry
Aucune attribution officielle des attaques frigorifiques à la Corée du Nord n’apparaît dans les éléments publics consultés pour ce dossier. Son nom renvoie en revanche à plusieurs opérations majeures, dont certaines ont récemment occupé l’actualité. Les confondre avec les frigos créerait une fausse succession de suspects dans une même enquête.
En mai 2017, WannaCry perturbe des organisations dans de nombreux pays, dont le système de santé britannique. Le 19 décembre, Londres déclare hautement probable la responsabilité d’acteurs nord-coréens connus sous le nom de Lazarus. Cette attribution concerne la campagne de rançongiciel. Elle ne décrit pas une opération contre la chaîne du froid.
Le FBI a également attribué à l’activité nord-coréenne TraderTraitor le vol de quelque 1,5 milliard de dollars chez Bybit en février 2025. Le 31 octobre 2026, il a mis en cause cette même activité dans le vol de plus de six milliards chez Binance. Le communiqué situe ce dernier épisode autour du 29 octobre. Ce sont des affaires de cryptoactifs, avec des victimes et des mécanismes distincts.
Les objectifs peuvent donc varier fortement. Voler des fonds, recueillir des renseignements, perturber une élection et dégrader une installation industrielle ne sont pas des opérations interchangeables. Un État peut poursuivre plusieurs de ces objectifs. Pour le lecteur, le nom d’un pays doit toujours rester associé à l’incident précis que les autorités lui attribuent.
Revendiquer, attribuer, juger : trois démarches différentes
La revendication constitue d’abord une déclaration de l’acteur qui se présente comme responsable. Elle peut être exacte, exagérée ou mensongère. Les collectifs cherchent parfois de la visibilité en diffusant des vidéos ou des captures d’écran. Ces éléments doivent être rapprochés des journaux techniques, du calendrier et des conséquences effectivement constatées chez les victimes.
L’attribution technique recherche des continuités : infrastructures utilisées, méthodes, outils et comportements. L’ANSSI souligne que les frontières entre acteurs étatiques et criminels se brouillent. Le recours à des outils partagés, à des services légitimes détournés ou à de fausses pistes complique les rapprochements. Une adresse de serveur ou une langue ne suffit pas à identifier un gouvernement.
L’attribution publique engage ensuite une autorité politique sur la base des informations dont elle dispose. La procédure pénale poursuit un autre objectif : établir des responsabilités individuelles selon les règles judiciaires. Une information judiciaire ou une demande de mandat d’arrêt ne constitue pas une condamnation. Dans le dossier français, cette distinction doit accompagner la présentation des personnes mises en cause.
La guerre hybride en Europe vise aussi les services quotidiens
L’expression désigne une combinaison de moyens pour affaiblir un adversaire ou influencer ses décisions. Elle peut associer cyberattaques, manipulation de l’information, sabotage, pression économique et actions militaires. Les acteurs cherchent notamment à exploiter les vulnérabilités d’une société et à rendre la réponse plus difficile. L’incertitude sur l’auteur fait parfois partie de cette difficulté.
La guerre hybride ne suppose pas l’absence de combats. Des opérations clandestines peuvent préparer, accompagner ou prolonger une guerre ouverte. Le 24 février 2022, une attaque frappe le réseau satellitaire KA-SAT, exploité par Viasat, une heure avant l’invasion russe de l’Ukraine. Les perturbations concernent l’Ukraine et plusieurs pays de l’Union européenne.
Le 10 mai suivant, l’Union attribue cette opération à la Russie. Ce cas montre l’articulation possible entre perturbation numérique et offensive militaire. Il diffère d’une attaque opportuniste conduite pour une rançon. La qualification de menace hybride dépend du contexte, des objectifs et de la coordination des moyens, pas seulement de l’existence d’un dommage informatique.
Les réfrigérateurs rendent visible une autre vulnérabilité : le numérique commande désormais des équipements ordinaires indispensables. Une intrusion peut détruire des stocks sans pénétration physique dans un magasin. Elle peut imposer des vérifications, interrompre l’activité et mobiliser les services publics. Ces effets donnent au sabotage une portée qui dépasse l’écran de l’ordinateur compromis.
La désorganisation peut compter autant que la destruction
Les institutions européennes décrivent des campagnes visant à affaiblir la confiance et à peser sur les décisions politiques. En mars 2026, le Conseil a de nouveau dénoncé les activités hybrides russes contre l’Union, ses États membres et ses partenaires. Il a notamment souligné leurs effets sur la cohésion des sociétés et sur le soutien à l’Ukraine.
Dans cette perspective, un attaquant peut rechercher plusieurs effets à partir d’un incident limité. Les pertes économiques constituent un premier résultat. L’attention médiatique et les inquiétudes sur la continuité des services peuvent en amplifier la portée. Il faut toutefois distinguer cette logique générale d’un objectif particulier démontré. Les éléments publics sur les frigos ne révèlent pas toutes les intentions précises de leurs auteurs.
La prudence évite aussi une lecture qui ferait de chaque panne un acte hostile coordonné. Les accidents, les défauts techniques et la criminalité lucrative existent. Des incidents similaires peuvent provenir d’acteurs différents. Démontrer une campagne exige davantage qu’une coïncidence de dates ou qu’un bénéfice politique supposé pour un État.
Protéger le froid sans attendre de connaître tous les auteurs
La réponse technique ne dépend pas de la conclusion définitive sur l’identité des attaquants. Les recommandations publiques insistent sur la limitation de l’exposition des équipements industriels à Internet. Elles appellent aussi à renforcer l’authentification, à inventorier les accès et à surveiller les systèmes. Les entreprises doivent savoir qui peut modifier les paramètres et par quel chemin.
Les accès nécessaires à la maintenance imposent un travail avec les prestataires. La protection doit porter sur l’ensemble de cette chaîne, pas uniquement sur le magasin. Les exploitants ont aussi besoin de procédures pour vérifier les réglages après un incident et rétablir le service en sécurité. Rendre une interface de nouveau accessible ne garantit pas que l’installation fonctionne correctement.
Sur le plan politique, Paris a annoncé une réponse diplomatique et demandé des sanctions européennes contre les responsables de l’attaque d’octobre. L’enquête judiciaire doit préciser les responsabilités individuelles. Un autre point reste ouvert au 9 novembre : l’identification des auteurs de la vague européenne de début novembre et ses éventuels liens avec la première campagne.
Photographie d’illustration : Commission européenne à Bruxelles. Crédit : Jai79 / Pixabay, photographie conservée dans la médiathèque Libnanews.
Commentaires