Parigi attribuisce ufficialmente a un’unità informatica dei Guardiani della rivoluzione iraniani gli attacchi contro la refrigerazione dei supermercati francesi. La Procura apre un’istruttoria sui responsabili di Shahid Kaveh, mentre il governo convoca l’ambasciatore di Teheran e annuncia un’iniziativa per nuove sanzioni europee.
La Francia accusa ufficialmente l’Iran di aver sabotato i sistemi frigoriferi della grande distribuzione nella notte fra l’11 e il 12 ottobre. Il 9 novembre il caso ha registrato due sviluppi: l’apertura di un’istruttoria giudiziaria contro i responsabili di un’unità informatica collegata ai Pasdaran e l’attribuzione pubblica dell’attacco da parte della diplomazia francese.
Il ministro degli Esteri Jean-Noël Barrot ha indicato i Guardiani della rivoluzione come responsabili dell’operazione, annunciando la convocazione dell’ambasciatore iraniano e sanzioni da promuovere a livello europeo. La posizione è formalizzata in una dichiarazione del ministero degli Esteri francese.
Il governo va dunque oltre l’ipotesi investigativa riportata nei primi lanci di agenzia. L’accertamento delle responsabilità penali individuali resta invece affidato alla magistratura, che ha avviato una nuova fase del procedimento.
L’inchiesta sul gruppo Shahid Kaveh
La procuratrice di Parigi Laure Beccuau ha annunciato l’apertura di un’information judiciaire, l’istruttoria condotta da giudici incaricati di approfondire i fatti. Secondo Le Parisien, sono stati designati due magistrati istruttori.
Il procedimento riguarda il capo del gruppo iraniano Shahid Kaveh, due suoi vice e qualsiasi altra persona che dovesse essere identificata. La Procura descrive il gruppo come un’unità informatica offensiva affiliata al Centro elettronico e cyber dei Guardiani della rivoluzione, indicato con la sigla CGRI-CEC.
Le ipotesi comprendono violazioni dei sistemi informatici e danneggiamenti con mezzi pericolosi per le persone, commessi in forma organizzata. Viene contestata anche la finalità di servire gli interessi di una potenza straniera, individuata nell’Iran.
La Procura ha inoltre chiesto mandati d’arresto internazionali nei confronti delle persone coinvolte. Si tratta di una richiesta: le fonti francesi consultate non permettono di presentare i mandati come già emessi o eseguiti.
Gli elementi che portano gli investigatori verso Teheran
L’indagine è stata condotta dall’Office anti-cybercriminalité, l’ufficio francese contro la criminalità informatica, e dalla DGSI, il servizio di sicurezza interna.
Nel comunicato della Procura, ripreso da TF1 Info e Le Parisien, vengono citati un insieme di modalità operative riconducibili all’unità iraniana, tracce dell’uso del farsi e indirizzi informatici associati a terminali localizzati in Iran.
Un rapporto congiunto pubblicato dal CERT-FR aggiunge elementi all’attribuzione. Il documento è firmato dai servizi tecnici del Centro di coordinamento delle crisi cyber, C4, che riunisce autorità civili, intelligence e strutture della difesa.
Il rapporto collega l’infrastruttura impiegata nell’attacco ad attività di ricognizione su apparecchiature industriali e segnala modalità già osservate nelle operazioni di Shahid Kaveh. Richiama inoltre il rilancio dell’episodio, il 13 ottobre, su CyberbanNews, canale associato all’unità.
La valutazione francese si basa quindi su più elementi convergenti, non soltanto sulla collocazione geografica di un indirizzo IP o sulla lingua utilizzata. È la ricostruzione resa pubblica dalle autorità francesi, sulla quale proseguiranno gli accertamenti giudiziari.
Circa 700 siti colpiti, alimenti distrutti e principi d’incendio
La campagna ha interessato circa 700 siti della distribuzione alimentare francese. L’attacco ha compromesso la regolazione della temperatura, costringendo diversi operatori a eliminare prodotti freschi e surgelati.
Secondo la ricostruzione della Procura riportata da TF1 Info, gli aggressori avevano preso il controllo a distanza delle apparecchiature, avviando cicli di sbrinamento anomali e senza limite di durata, mentre venivano disattivati gli allarmi previsti oltre determinate temperature.
Le conseguenze hanno superato il danno alle merci. Il rapporto del C4 documenta principi d’incendio in almeno 15 casi. Indica inoltre vittime dell’attacco anche nell’agroalimentare, fra cui piccole macellerie, un macello e impianti cooperativi.
Lo stesso documento riferisce il contemporaneo coinvolgimento di apparecchiature di piccoli impianti idroelettrici francesi, con effetti descritti come moderati, collegandolo alla medesima operazione.
Il punto è il passaggio dall’accesso digitale al danno fisico: una modifica impartita da remoto può compromettere una merce, fermare un’attività o creare una situazione di pericolo.
L’allarme dell’ANSSI: sfruttate debolezze elementari
La ricostruzione degli autori dell’attacco si affianca a una domanda altrettanto importante: perché quegli impianti erano raggiungibili e controllabili dall’esterno?
Il direttore generale dell’ANSSI, Vincent Strubel, ne aveva parlato già il 21 ottobre, durante un’audizione al Senato francese. Nel resoconto parlamentare, Strubel indica carenze di sicurezza di base: apparecchiature esposte direttamente su internet, amministrazione non adeguatamente protetta e password deboli.
Il responsabile dell’agenzia aveva anche invitato alla prudenza sulle analisi che attribuivano l’incidente a specifiche vulnerabilità software rese pubbliche dai ricercatori: secondo la valutazione disponibile in quel momento, non erano quelle le falle sfruttate.
È una distinzione sostanziale. Un’operazione attribuita a un apparato statale può approfittare di difese insufficienti senza richiedere strumenti particolarmente sofisticati. La dimensione geopolitica del caso rende ancora più urgente correggere quelle debolezze.
Le misure richieste agli operatori
L’allerta del CERT-FR, pubblicata il 12 ottobre e aggiornata nei giorni successivi, riguarda diverse famiglie di dispositivi di controllo della refrigerazione.
Le indicazioni operative chiedono di eliminare l’esposizione diretta a internet delle interfacce di gestione, verificare le configurazioni e ripristinare gli accessi attraverso reti protette o connessioni sicure. Vengono richiamati anche gli aggiornamenti disponibili e la modifica delle password predefinite.
L’agenzia avverte che un semplice ripristino delle impostazioni di fabbrica può essere insufficiente: se il dispositivo torna online nelle medesime condizioni di vulnerabilità, può essere nuovamente compromesso.
Il problema riguarda l’intera catena di gestione, compresi manutentori e fornitori che controllano gli impianti da remoto. La continuità del servizio dipende anche da come vengono assegnati, protetti e sorvegliati questi accessi.
Ambasciatore convocato e sanzioni europee: cosa è deciso
Sul piano diplomatico, Barrot ha dichiarato di aver convocato l’ambasciatore iraniano per una protesta formale. Parigi intende inoltre proporre ai partner europei nuove sanzioni contro persone ed entità iraniane coinvolte.
L’annuncio francese non equivale a una decisione già adottata dall’Unione europea. Occorrerà verificare destinatari, contenuto e tempi delle misure concordate.
La Francia si riserva anche ulteriori risposte, pubbliche o non pubbliche, che ritenga necessarie e proporzionate. Nel comunicato ufficiale definisce la campagna una svolta per ampiezza e aggressività, in quanto diretta espressamente al sabotaggio.
L’inchiesta penale e l’iniziativa diplomatica procedono così su due piani distinti: identificare le responsabilità personali e rispondere all’operazione che il governo attribuisce allo Stato iraniano.
Che cosa significa per gli attacchi negli altri Paesi
Episodi simili hanno interessato altri Stati europei. L’attribuzione annunciata da Parigi riguarda però la campagna contro gli impianti francesi dell’11 e 12 ottobre.
Non consente, da sola, di attribuire all’Iran tutti gli attacchi successivi alla catena del freddo, compresi quelli segnalati in Italia. Né dimostra un collegamento con violazioni di archivi o minacce agli aeroporti: per ciascun episodio servono riscontri specifici.
La novità francese è comunque rilevante per l’intera Europa. Autorità tecniche, intelligence e magistratura hanno reso pubblica una ricostruzione che lega il sabotaggio di attività quotidiane a un apparato statale. La sicurezza informatica dei servizi essenziali passa anche dalle apparecchiature meno visibili, spesso gestite da remoto e considerate estranee ai grandi scenari di conflitto.
Fonti
- Ministero degli Esteri francese — Dichiarazione ufficiale di attribuzione all’Iran degli attacchi contro la Francia, 9 novembre 2026.
- CERT-FR / C4 — Rapporto sulle attività informatiche offensive di unità iraniane legate ai Guardiani della rivoluzione, 9 novembre 2026.
- Le Parisien — L’istruttoria giudiziaria e gli elementi indicati dalla Procura di Parigi, 9 novembre 2026.
- TF1 Info — I reati ipotizzati, la richiesta di mandati internazionali e la dinamica del sabotaggio, 9 novembre 2026.
- Europe 1 / AFP — Le dichiarazioni di Jean-Noël Barrot sulla responsabilità iraniana e sulle sanzioni, 9 novembre 2026.
- Senato francese — Audizione del direttore dell’ANSSI Vincent Strubel, 21 ottobre 2026.
- CERT-FR — Allerta e raccomandazioni per i sistemi di refrigerazione, ottobre 2026.
- ANSA — Il lancio sull’apertura dell’inchiesta francese, 9 novembre 2026.