Dans la nuit du 11 au 12 octobre, les systèmes de réfrigération de centaines de supermarchés français ont été la cible d'une cyberattaque. En modifiant à distance les paramètres de dégivrage des équipements, les pirates ont provoqué une hausse des températures dans les installations frigorifiques et des incidents dans plusieurs magasins. L’attaque est inhabituelle par ses cibles, mais met en exergue une menace grandissante: celle des opérations informatiques capables de perturber directement le fonctionnement d'infrastructures civiles.

Le parquet de Paris a ouvert lundi une information judiciaire et requis des mandats d'arrêt internationaux contre plusieurs responsables iraniens, dont les dirigeants de l'unité mise en cause. Le lendemain, le ministre français des Affaires étrangères, Jean-Noël Barrot, a annoncé que la France ne s'interdisait aucune mesure de riposte contre Téhéran. C’est au cœur des accusations françaises que figure Shahid Kaveh, une unité cyberoffensive affiliée au Centre électronique et cyber des Gardiens de la révolution (CGRI). Mais que sait-on réellement de cette structure, de ses responsables et de ses activités ?

Une unité intégrée à l'appareil cyber des Gardiens de la révolution

Shahid Kaveh opère au sein du Centre électronique et cyber du Corps des gardiens de la révolution islamique (CGRI-CEC), l'une des structures iraniennes chargées des opérations informatiques offensives. Le rapport publié le 9 novembre par le Centre de coordination des crises cyber français (C4), qui rassemble notamment l'Agence nationale de la sécurité des systèmes d'information (ANSSI), la Direction générale de la sécurité intérieure (DGSI), la Direction générale de la sécurité extérieure (DGSE) et le commandement de la cyberdéfense, identifie Mahdi Lashgarian et Reza Salarvand comme les deux responsables de Shahid Kaveh. Hamid Reza Lashgarian, également cité dans les enquêtes occidentales, dirige quant à lui le Centre électronique et cyber du CGRI, auquel cette unité est rattachée.

Le nom de l'unité renvoie à Mohammad Kaveh, un commandant des Gardiens de la révolution tué en 1986 pendant la guerre Iran-Irak. Le terme «Shahid», qui signifie «martyr» en persan et en arabe, est couramment employé dans la dénomination des structures militaires iraniennes en hommage à des combattants morts au combat.

L'organisation est surtout connue à travers plusieurs identités numériques utilisées pour revendiquer ses opérations et diffuser ses messages. Le C4 français cite notamment CyberAv3ng3rs, Soldiers of Solomon, Mr. Soul et Cyber Isnaad Front, ainsi que CyberbanNews, présenté comme son organe de communication en ligne. CyberAv3ng3rs n'est donc pas nécessairement une organisation distincte : il s'agit de l'un des avatars publics associés à Shahid Kaveh.

Des infrastructures civiles étudiées dès 2020

Les premières informations détaillées sur les activités de Shahid Kaveh remontent à juillet 2021. La chaîne britannique Sky News avait alors révélé l'existence de cinq documents internes iraniens, totalisant 57 pages et présentés comme confidentiels. Selon une source sécuritaire connaissant leur contenu, ils avaient été élaborés par une cellule appelée Intelligence Team 13, ou Intelligence Group 13, rattachée à Shahid Kaveh.

Ces documents témoignaient d'un intérêt pour les vulnérabilités de plusieurs infrastructures civiles occidentales. Ils portaient notamment sur les systèmes de gestion des bâtiments intelligents, les pompes à carburant des stations-service, les équipements électriques et les communications satellitaires utilisées dans le transport maritime. L'un des rapports étudiait les systèmes de ballast des navires commerciaux et les conséquences que leur perturbation pourrait avoir sur la stabilité des navires.

Les recherches mentionnaient des entreprises internationales telles que WAGO et Franklin Fueling Systems, ainsi que des technologies utilisées en France, aux États-Unis et au Royaume-Uni. Elles reposaient toutefois largement sur des informations accessibles publiquement. Elles témoignent donc d'un travail de reconnaissance et de préparation de cibles potentielles, sans démontrer que les scénarios étudiés ont tous donné lieu à des opérations.

Des attaques contre les systèmes industriels

Shahid Kaveh s'est fait connaître à partir de 2023 sous le pseudonyme de CyberAv3ng3rs. En novembre de cette année-là, le groupe a ciblé des automates programmables industriels de l'entreprise israélienne Unitronics, utilisés notamment dans les réseaux de distribution d'eau et les installations énergétiques.

Selon un avis conjoint publié par le FBI, la CISA et la NSA, au moins 75 équipements Unitronics ont été compromis aux États-Unis entre novembre 2023 et janvier 2024, dont au moins 34 dans le secteur de l'eau. Les appareils visés étaient accessibles depuis Internet et certains conservaient leurs mots de passe par défaut, ce qui a facilité leur compromission. Les pirates ont notamment remplacé les programmes contrôlant leur fonctionnement et affiché des messages hostiles à Israël sur leurs interfaces.

Le groupe a également revendiqué des opérations contre des équipements industriels israéliens et américains en mars et avril derniers. Le rapport français indique qu'il disposait, depuis au moins juin 2024, de scripts permettant de scanner, d'accéder à et de contrôler des équipements de Schneider Electric, Siemens et Rockwell. En avril 2026, ses opérateurs ont notamment effectué des opérations de reconnaissance sur des systèmes Schneider Electric en France.

Le sabotage au service d'une stratégie de déstabilisation

L'objectif de ces opérations ne semble pas se limiter au vol de données ou à l'espionnage. Le ciblage d'automates industriels peut permettre de perturber directement le fonctionnement d'installations physiques, qu'il s'agisse de réseaux d'eau, de systèmes énergétiques ou d'équipements frigorifiques. Les messages de propagande affichés sur les appareils compromis montrent également que certaines opérations cherchent à rendre visible leur dimension politique.

Le 2 février 2024, le département américain du Trésor avait sanctionné six responsables du commandement cyber-électronique des Gardiens de la révolution, dont Hamid Reza Lashgarian et Mahdi Lashgarian. Washington accuse CyberAv3ng3rs d'être affilié à cette structure et propose jusqu'à 10 millions de dollars pour toute information permettant d'identifier ou de localiser les personnes impliquées dans ses activités malveillantes.

L'étendue exacte de la chaîne de commandement et le degré d'autonomie de Shahid Kaveh restent difficiles à établir publiquement. Les documents divulgués permettent néanmoins d'en dessiner les contours : une unité militaire spécialisée dans le ciblage des systèmes industriels, capable de préparer des intrusions et de les transformer en opérations de sabotage.