Francia accusa l’Iran: gli indizi sull’attacco ai frigoriferi dei supermercati

La Francia accusa l’Iran di aver sabotato, nella notte tra l’11 e il 12 ottobre 2026, i controllori di refrigerazione di centinaia di supermercati. Il 9 novembre il ministero degli Esteri ha pubblicato una dichiarazione di attribuzione. Lo stesso giorno il Centro di coordinamento delle crisi cyber (C4) ha reso pubblico il rapporto CERTFR-2026-CTI-009. I due testi indicano lo stesso esecutore, l’unità Shahid Kaveh del Corpo dei Guardiani della Rivoluzione islamica, ma non pesano le prove allo stesso modo.

La Francia accusa l’Iran: cosa afferma Parigi

Nell’aprile 2026 è stata vista condurre ricognizioni di massa con Modbus su sistemi Schneider, anche in Francia. Cita danni materiali considerevoli, principi d’incendio e perdite alimentari stimate in diverse decine di milioni di euro. La definisce la prima campagna cyberoffensiva condotta unicamente a fini di sabotaggio sul territorio nazionale.

Sull’attribuzione la formula è netta. La Francia accusa l’Iran e dichiara di essere in grado di attribuirgli le azioni, eseguite dall’unità Shahid Kaveh, affiliata al centro elettronico e cyber dei Guardiani. Il testo le giudica contrarie al diritto internazionale e al quadro delle Nazioni Unite sul comportamento responsabile degli Stati nel cyberspazio, a cui l’Iran ha aderito.

Le misure annunciate sono tre: la convocazione dell’ambasciatore iraniano; la proposta ai partner europei di nuove sanzioni contro persone ed entità iraniane coinvolte in questo attacco e in altre attività cyber ostili; la riserva di adottare altre misure, pubbliche e non pubbliche. Come precedente il ministero ricorda le sanzioni europee del marzo 2026 contro Emennet Pasargad. L’entità avrebbe contribuito agli attacchi contro Charlie Hebdo nel 2023 e contro l’organizzazione dei Giochi olimpici di Parigi nel 2024.

Cosa documenta il C4

Il C4 riunisce ANSSI, COMCYBER, DGA, DGSE e DGSI. l rapporto, di cinque pagine e classificato TLP:CLEAR, si dice in grado di imputare gli attacchi osservati a due unità del centro elettronico e cyber dei Guardiani: Shahid Kaveh e Shahid Shoostari. Per i frigoriferi usa però una formula più cauta di quella del ministero: parla di un fascio di indizi che indica i Guardiani come mandanti e Shahid Kaveh come esecutore.

Gli indizi sono quattro:

• la stessa infrastruttura è servita, nello stesso periodo, a ricognizioni su apparati Schneider Electric, con tecniche che Shahid Kaveh usa almeno da aprile 2026 (protocollo Modbus, porta 502);
• per scansionare i sistemi di refrigerazione gli operatori hanno usato lo strumento FOFA, abituale nel modo operativo dell’unità;
• dal 13 ottobre 2026 l’attacco è stato rilanciato da CyberbanNews, organo di propaganda associato a Shahid Kaveh;
• nell’infrastruttura d’attacco ci sono tracce di farsi.

Sugli effetti il rapporto riferisce che, dopo la compromissione, i parametri di sbrinamento sono stati portati a temperature elevate. Ne sono derivate perdite importanti di merce e almeno 15 principi d’incendio. Tra i colpiti il C4 cita i gruppi Casino, Leclerc, Coopérative U, Metro, Carrefour e Intermarché, e segnala vittime nell’agroalimentare: piccole macellerie, un macello, stabilimenti cooperativi. Collega alla stessa azione anche apparati Schneider Electric di piccoli impianti idroelettrici francesi, con effetti contenuti.

Le due unità del centro cyber dei Guardiani

Secondo il C4, Shahid Kaveh opera dietro avatar hacktivisti (CyberAv3ngers, Soldiers of Solomon, Mr. Soul, Cyber Isnaad Front) e un organo di comunicazione, CyberbanNews, che rivendicano alcune sue azioni. Conduce campagne di sabotaggio su larga scala contro impianti industriali, soprattutto in Israele e negli Stati Uniti, ma anche in Francia e in altri Paesi europei.

Il rapporto ricorda la campagna del novembre 2023 contro la società israeliana Unitronics, che produce sistemi di controllo industriale. Ricorda anche la campagna di marzo e aprile 2026 contro interessi israeliani e americani, che ha toccato apparecchi frigoriferi israeliani. Nell’aprile 2026 è stata vista condurre ricognizioni di massa con Modbus su sistemi Schneider, anche in Francia.

Shahid Shoostari, nota anche come Iliyanet o Emennet Pasargad, colpisce la Francia dal 2020. Il C4 le attribuisce l’attacco a Charlie Hebdo del 4 gennaio 2023, con la deturpazione del negozio online e l’esfiltrazione del database. Le attribuisce anche la compromissione di un’azienda francese di terminali di affissione video, iniziata il 20 luglio 2024. Fu scoperta prima che gli aggressori mostrassero i fotomontaggi contro la partecipazione degli atleti israeliani ai Giochi.

Come si leggono i due documenti

Le differenze verificabili sono tre. La prima riguarda le formule: il C4 parla di un fascio di indizi, il ministero di una Francia in grado di attribuire. La seconda riguarda la natura degli indizi. Nel caso dei Giochi del 2024 il C4 documenta tre elementi: due indirizzi IP di fornitori di accesso iraniani sulla rete della vittima; un account Instagram in persiano che pubblicò i fotomontaggi; un giornale iraniano che li rilanciò. Nel caso dei frigoriferi nessuno dei quattro indizi è un indirizzo di rete verificabile. La terza riguarda il perimetro: il rapporto non spiega come i controllori siano stati compromessi e non allega dati tecnici controllabili da terzi.

Nessuno dei due testi tratta gli episodi segnalati dopo il 12 ottobre, Italia compresa, ricostruiti nel nostro approfondimento sull’attacco ai frigoriferi.

Letture della redazione

Le letture che seguono sono della redazione: nessuna fonte le sostiene in questa forma.

1. Il bersaglio ricorrente è il controllore industriale, non il supermercato. Contro questa lettura pesa il fatto che il C4 non descrive come siano stati scelti i bersagli francesi. Il filo comune emerge solo dall’elenco delle campagne passate: Unitronics nel 2023, apparecchi frigoriferi israeliani nel 2026, ricognizioni su apparati Schneider, Siemens e Rockwell, cioè sistemi tipici della sicurezza OT.
2. Il passaggio dagli indizi all’attribuzione è una decisione politica. Contro questa lettura pesa il fatto che i servizi riuniti nel C4 possono disporre di elementi che il rapporto non pubblica.

Cosa resta aperto

Restano due punti. Il primo è tecnico: come gli aggressori abbiano raggiunto i controllori. Il secondo è diplomatico: l’esito della proposta di sanzioni ai partner europei e delle altre misure che Parigi si è riservata di adottare. Per ora la Francia accusa l’Iran con una dichiarazione netta; il rapporto che la accompagna indica l’esecutore con quattro indizi e nessun dato tecnico verificabile.

Fonti

• Ministère de l’Europe et des Affaires étrangères, Déclaration d’attribution à l’Iran de cyberattaques visant la France, 9 novembre 2026.
• CERT-FR, CERTFR-2026-CTI-009, Activités cyber offensives ciblant la France menées par des acteurs iraniens liés au CGRI, 9 novembre 2026 (PDF).