Le dégivrage, une fonction ordinaire détournée à distance
Dans un supermarché, un contrôleur frigorifique surveille la température, règle les cycles de dégivrage et peut transmettre des alertes au technicien chargé de la maintenance. Pouvoir intervenir à distance évite des déplacements et permet de réagir rapidement à une panne. Mais cet accès donne aussi la possibilité de modifier des paramètres dont dépendent les denrées entreposées derrière les portes vitrées. Dans la nuit du 11 au 12 octobre, c’est la fonction de dégivrage qui a été détournée. Des températures trop élevées ont été programmées sur les équipements compromis. Au-delà des grandes enseignes, les enquêteurs français ont recensé d’autres victimes, dont des boucheries, un abattoir et des usines agroalimentaires.
L’analyse publiée le 10 novembre par la société de cybersécurité Sekoia éclaire la façon dont l’intrusion a pu prendre cette ampleur. Les contrôleurs Danfoss étudiés étaient directement accessibles depuis Internet et beaucoup fonctionnaient avec d’anciennes versions de leur logiciel embarqué. Les attaquants ont aussi modifié des seuils d’alarme. Un technicien pouvait donc être averti plus tard, alors même que les températures commençaient à dériver. L’analyse de Sekoia porte sur les équipements Danfoss qu’elle a étudiés. D’autres systèmes de réfrigération ont également été visés dans les incidents européens.
Shahid Kaveh, une unité connue pour viser les équipements industriels
Selon le Centre de coordination des crises cyber français, Shahid Kaveh opère au sein du centre électronique et cyber des Gardiens de la révolution. Le rapport identifie Reza Salarvand et Mahdi Lashgarian comme dirigeants de l’unité. Il lui rattache plusieurs identités publiques, dont CyberAv3ngers, Soldiers of Solomon et Cyber Isnaad Front. Sous ces noms, certaines opérations sont revendiquées en ligne sous l’apparence de collectifs de pirates militants.
L’un de ces noms était déjà apparu en novembre 2023. Les autorités américaines avaient associé CyberAv3ngers à des intrusions visant des automates du fabricant israélien Unitronics, notamment dans le secteur de l’eau aux États-Unis. Le précédent éclaire le choix des cibles françaises. Une pompe et un congélateur remplissent des fonctions différentes, mais ils dépendent tous deux d’appareils qui traduisent une commande informatique en action physique. C’est cette capacité à agir sur le fonctionnement d’une installation que les enquêteurs français placent au cœur des opérations attribuées à Shahid Kaveh.
Pour attribuer l’attaque d’octobre, Paris s’appuie sur un faisceau d’indices. Une partie de l’infrastructure informatique utilisée a également servi à repérer des équipements industriels selon des méthodes déjà associées à l’unité. Les enquêteurs y ont relevé des traces de farsi. CyberbanNews, un canal que le rapport lie à Shahid Kaveh, a relayé l’attaque dès le 13 octobre. La justice française a ouvert une information judiciaire visant des cadres présumés de l’unité. L’attribution publique du Quai d’Orsay concerne l’attaque d’octobre en France. Pour la deuxième vague, survenue début novembre dans plusieurs pays européens, Sekoia relève des similitudes techniques qui suggèrent un lien.
Au Maroc, qui peut reprendre la main sur une chambre froide ?
Début novembre, un incident distinct a touché les équipements frigorifiques utilisés sur trois sites de stockage de plasma de l’Établissement français du sang. Selon l’établissement, les équipes ont détecté l’anomalie assez tôt pour sécuriser ou transférer les produits. Aucun produit sanguin n’a été perdu. Cet épisode donne une mesure concrète de l’enjeu. Entre le moment où un réglage est modifié et celui où quelqu’un intervient sur place, le temps disponible peut décider du sort de tout un stock.
Au Maroc, l’ONSSA publie une liste des établissements agréés ou autorisés à entreposer des produits animaux ou d’origine animale sous température dirigée. C’est un point de départ pour interroger exploitants et frigoristes. Qui a accès aux réglages à distance ? Une alerte indépendante peut-elle prévenir l’équipe sur place si le contrôleur est compromis ? Combien de temps faut-il pour reprendre la main ou déplacer les produits ? Les sources publiques consultées laissent ouverte la question du nombre d’installations marocaines connectées.
Si l’attribution française se confirme, le sabotage d’octobre peut se lire comme une démonstration de force iranienne. Le message que l’opération semble adresser tient en quelques mots. « Voilà ce que nous pouvons faire à distance. » Le lendemain, à l’heure où les clients devaient faire leurs courses, des commerçants vidaient leurs congélateurs.
L’analyse publiée le 10 novembre par la société de cybersécurité Sekoia éclaire la façon dont l’intrusion a pu prendre cette ampleur. Les contrôleurs Danfoss étudiés étaient directement accessibles depuis Internet et beaucoup fonctionnaient avec d’anciennes versions de leur logiciel embarqué. Les attaquants ont aussi modifié des seuils d’alarme. Un technicien pouvait donc être averti plus tard, alors même que les températures commençaient à dériver. L’analyse de Sekoia porte sur les équipements Danfoss qu’elle a étudiés. D’autres systèmes de réfrigération ont également été visés dans les incidents européens.
Shahid Kaveh, une unité connue pour viser les équipements industriels
Selon le Centre de coordination des crises cyber français, Shahid Kaveh opère au sein du centre électronique et cyber des Gardiens de la révolution. Le rapport identifie Reza Salarvand et Mahdi Lashgarian comme dirigeants de l’unité. Il lui rattache plusieurs identités publiques, dont CyberAv3ngers, Soldiers of Solomon et Cyber Isnaad Front. Sous ces noms, certaines opérations sont revendiquées en ligne sous l’apparence de collectifs de pirates militants.
L’un de ces noms était déjà apparu en novembre 2023. Les autorités américaines avaient associé CyberAv3ngers à des intrusions visant des automates du fabricant israélien Unitronics, notamment dans le secteur de l’eau aux États-Unis. Le précédent éclaire le choix des cibles françaises. Une pompe et un congélateur remplissent des fonctions différentes, mais ils dépendent tous deux d’appareils qui traduisent une commande informatique en action physique. C’est cette capacité à agir sur le fonctionnement d’une installation que les enquêteurs français placent au cœur des opérations attribuées à Shahid Kaveh.
Pour attribuer l’attaque d’octobre, Paris s’appuie sur un faisceau d’indices. Une partie de l’infrastructure informatique utilisée a également servi à repérer des équipements industriels selon des méthodes déjà associées à l’unité. Les enquêteurs y ont relevé des traces de farsi. CyberbanNews, un canal que le rapport lie à Shahid Kaveh, a relayé l’attaque dès le 13 octobre. La justice française a ouvert une information judiciaire visant des cadres présumés de l’unité. L’attribution publique du Quai d’Orsay concerne l’attaque d’octobre en France. Pour la deuxième vague, survenue début novembre dans plusieurs pays européens, Sekoia relève des similitudes techniques qui suggèrent un lien.
Au Maroc, qui peut reprendre la main sur une chambre froide ?
Début novembre, un incident distinct a touché les équipements frigorifiques utilisés sur trois sites de stockage de plasma de l’Établissement français du sang. Selon l’établissement, les équipes ont détecté l’anomalie assez tôt pour sécuriser ou transférer les produits. Aucun produit sanguin n’a été perdu. Cet épisode donne une mesure concrète de l’enjeu. Entre le moment où un réglage est modifié et celui où quelqu’un intervient sur place, le temps disponible peut décider du sort de tout un stock.
Au Maroc, l’ONSSA publie une liste des établissements agréés ou autorisés à entreposer des produits animaux ou d’origine animale sous température dirigée. C’est un point de départ pour interroger exploitants et frigoristes. Qui a accès aux réglages à distance ? Une alerte indépendante peut-elle prévenir l’équipe sur place si le contrôleur est compromis ? Combien de temps faut-il pour reprendre la main ou déplacer les produits ? Les sources publiques consultées laissent ouverte la question du nombre d’installations marocaines connectées.
Si l’attribution française se confirme, le sabotage d’octobre peut se lire comme une démonstration de force iranienne. Le message que l’opération semble adresser tient en quelques mots. « Voilà ce que nous pouvons faire à distance. » Le lendemain, à l’heure où les clients devaient faire leurs courses, des commerçants vidaient leurs congélateurs.