Russie, Iran ou pirates opportunistes ? Qui se cache derrière les cyberattaques contre les supermarchés européens

Selon la couverture de la BBC, NoName057(16) et Z-Pentest Alliance ont publié des messages célébrant les attaques avant que les publications et les canaux ne deviennent indisponibles. Les groupes ont affirmé avoir démontré leurs capacités techniques, mais les enquêteurs n'ont pas établi si l'une ou l'autre organisation avait réellement mené les intrusions.

Cette incertitude compte car les attaques ont fait plus que désactiver temporairement des services numériques. Elles ont perturbé des équipements utilisés pour conserver les aliments, causant des pertes financières et contraignant les distributeurs à retirer des produits de la vente.

Comme Nexus Europa l'a rapporté précédemment, les incidents de novembre ont suivi une vague plus large d'attaques contre des systèmes de réfrigération en France en octobre. L'opération antérieure avait touché environ 700 établissements et entraîné des pertes estimées à plusieurs millions d'euros.

Les derniers développements détournent l'attention de la manière dont les équipements ont été compromis pour la porter sur une question plus difficile : ces attaques s'inscrivent-elles dans une campagne plus vaste contre les infrastructures européennes ou reflètent-elles les activités de pirates faiblement connectés entre eux exploitant des systèmes accessibles ?

Des hackers pro-russes revendiquent la responsabilité, puis disparaissent

NoName057(16) et Z-Pentest Alliance sont des noms établis dans l'environnement hacktiviste pro-russe. Tous deux ont des antécédents de ciblage d'organisations dans des pays soutenant l'Ukraine, bien que leurs méthodes opérationnelles diffèrent.

Leurs revendications rapportées concernant les incidents dans les supermarchés sont apparues après la perturbation de systèmes de réfrigération dans plusieurs pays européens.

La disparition ultérieure des messages et des canaux Telegram soulève des questions sur la fiabilité de ces revendications. Toutefois, la suppression de contenus en ligne n'établit pas que les déclarations étaient fausses. Elle ne démontre pas non plus que les groupes étaient responsables.

La distinction est particulièrement importante dans le monde du piratage à motivation politique, où les revendications publiques peuvent servir des objectifs allant au-delà de la simple relation d'une intrusion réelle.

Les organisations hacktivistes peuvent utiliser des attaques réussies pour attirer des partisans, démontrer leurs capacités ou amplifier des messages politiques. Elles peuvent aussi exagérer l'ampleur d'opérations relativement limitées.

Un avis conjoint de cybersécurité de décembre 2025, publié par des agences américaines et des partenaires internationaux, avertissait spécifiquement que les hacktivistes pro-russes font fréquemment des revendications fausses ou exagérées concernant des attaques contre des infrastructures critiques.

L'avis identifiait NoName057(16), Z-Pentest et la Cyber Army of Russia Reborn parmi les groupes menant des opérations opportunistes contre des systèmes de contrôle industriels.

Il notait également que les attaquants identifient parfois de manière erronée les organisations dont ils ont compromis les systèmes.

Cela fait d'une déclaration sur Telegram une piste d'enquête potentiellement utile, mais pas une preuve indépendante de responsabilité.

Ce que les enquêteurs savent des auteurs possibles

L'enquête n'a pas produit d'attribution publiquement confirmée des attaques contre les supermarchés.

Selon la BBC, des chercheurs en cybersécurité examinant les incidents ont identifié plusieurs possibilités concurrentes.

La société française de cybersécurité Sequoia aurait constaté que certains aspects des attaques étaient cohérents avec des techniques associées à des hackers liés à la Russie. L'entreprise a toutefois aussi évoqué une possible implication iranienne, citant des similitudes avec des opérations antérieures ciblant des supermarchés en Israël.

D'autres entreprises de cybersécurité enquêtant sur les incidents auraient envisagé une explication moins significative sur le plan politique : un individu, potentiellement un adolescent, exploitant des équipements accessibles par amusement ou pour se faire connaître.

Ces possibilités ne sont pas également étayées, et aucune ne doit être traitée comme une explication établie.

Les similitudes entre les incidents peuvent aider les enquêteurs à identifier des méthodes communes, mais elles ne révèlent pas nécessairement qui a dirigé une opération.

Différents groupes peuvent exploiter les mêmes vulnérabilités, utiliser des outils similaires disponibles publiquement et imiter les techniques les uns des autres.

Le problème devient particulièrement aigu lorsque les attaques impliquent des équipements industriels mal protégés plutôt qu'un logiciel malveillant sophistiqué développé pour une cible spécifique.

Dans de telles circonstances, les enquêteurs ont besoin de plus que de preuves sur la manière dont une intrusion s'est produite. Établir la responsabilité peut nécessiter des enregistrements techniques fiables, des éléments reliant l'activité à des opérateurs connus et une corroboration par d'autres sources d'enquête.

Pour les autorités européennes, la distinction entre une opération dirigée politiquement et une intrusion opportuniste est significative. Les deux peuvent causer des dommages économiques, mais elles soulèvent des questions différentes en matière de responsabilité internationale et de réponse appropriée.

Le lien russe : qu'est-ce qui est déjà établi ?

Bien que la responsabilité des incidents dans les supermarchés reste incertaine, les activités et les contextes organisationnels des deux groupes sont nettement mieux documentés.

Selon l'avis multinational de cybersécurité publié en décembre 2025, NoName057(16) est apparu en 2022 et s'est fait connaître principalement pour des attaques par déni de service distribué contre des institutions gouvernementales et des organisations privées dans des États membres de l'OTAN et d'autres pays européens.

Ces attaques submergent généralement les services en ligne de trafic, rendant temporairement des sites web ou des plateformes numériques inaccessibles.

L'avis estimait que le Centre russe pour l'étude et la surveillance des réseaux de l'environnement des jeunes, connu sous le nom de CISM, avait créé NoName057(16) comme projet clandestin.

Selon les agences de sécurité participantes, le personnel du CISM a développé et personnalisé l'outil d'attaque DDoSia du groupe, financé son infrastructure réseau, administré des canaux Telegram et sélectionné des cibles.

Z-Pentest a suivi une trajectoire différente.

Établi en septembre 2024, il a réuni des membres de NoName057(16) et de la Cyber Army of Russia Reborn, communément appelée CARR.

L'avis estimait que la formation de CARR avait probablement été soutenue par une unité du renseignement militaire russe. Il décrivait également des désaccords sur le niveau de soutien et de financement reçus du renseignement russe comme un facteur à l'origine de la création de Z-Pentest.

Contrairement à NoName057(16), Z-Pentest s'est concentré sur les intrusions dans les technologies opérationnelles, y compris des tentatives de manipulation d'équipements utilisés par des opérateurs industriels et d'infrastructures.

Ses activités ont impliqué l'accès à des interfaces de contrôle et la médiatisation d'intrusions alléguées au moyen d'images et de vidéos.

Ces relations documentées expliquent pourquoi les enquêteurs examineraient la possibilité d'une implication russe dans des attaques contre des équipements de réfrigération européens.

Elles n'établissent toutefois pas que le renseignement russe a dirigé les incidents de novembre dans les supermarchés, ni que l'un ou l'autre groupe les a menés.

Pourquoi l'UE a sanctionné Z-Pentest avant les attaques contre les supermarchés

L'Union européenne avait déjà pris des mesures contre Z-Pentest des mois avant les derniers incidents.

Le 13 juillet 2026, le Conseil de l'Union européenne a annoncé des sanctions contre neuf individus et quatre entités associés à des cyberopérations russes et à des activités de déstabilisation.

Z-Pentest figurait parmi les organisations sanctionnées.

Le Conseil l'a décrit comme un groupe hacktiviste pro-russe ciblant des infrastructures critiques à l'international, en particulier les secteurs de l'énergie et de l'eau.

Il a spécifiquement attribué à Z-Pentest une cyberattaque de décembre 2024 contre un service public danois de l'eau.

Les sanctions visaient également Yuliya Pankratova, identifiée comme la dirigeante du groupe, et Denis Degtyarenko, décrit comme un hacker principal. Tous deux étaient associés à CARR.

Le Conseil a déclaré que CARR était lié au service de renseignement militaire russe, le GRU, et avait mené des campagnes cyber contre des organisations en Ukraine, dans des États membres de l'UE et dans d'autres pays.

Les mesures comprennent le gel des avoirs et des restrictions sur la mise à disposition de fonds ou de ressources économiques aux individus et entités désignés.

Pour les décideurs européens, la portée de ces sanctions dépasse les organisations individuelles.

Elles reflètent une préoccupation établie selon laquelle des groupes de piratage à motivation politique, faiblement organisés, peuvent participer à des opérations affectant des infrastructures essentielles, parfois avec des degrés variables de lien avec des institutions étatiques.

La distinction entre une opération dirigée par un État et un groupe sympathisant agissant indépendamment peut néanmoins rester difficile à établir dans des cas individuels.

Cette incertitude est au cœur de l'enquête sur les incidents dans les supermarchés.

De la perturbation de sites web aux dommages aux infrastructures physiques

La portée plus large des incidents dans les supermarchés apparaît plus clairement lorsqu'on les replace aux côtés d'attaques antérieures contre des systèmes industriels.

Une enquête de Bloomberg d'octobre a examiné des cyberopérations associées à des groupes liés à la Russie qui étaient passés de la perturbation de sites web à l'interférence avec des équipements physiques.

Les cas décrits comprenaient des attaques impliquant un service public danois de l'eau, des installations industrielles en Espagne et des opérateurs d'infrastructures aux États-Unis.

De tels incidents démontrent un changement dans les conséquences potentielles de méthodes de cyberattaque relativement accessibles.

Une attaque par déni de service peut temporairement empêcher des clients d'accéder à un site web. Une intrusion dans un système de contrôle industriel peut en revanche modifier le fonctionnement d'équipements qui gèrent l'eau, l'électricité, le stockage alimentaire ou des processus de fabrication.

La sophistication technique requise n'est pas nécessairement élevée.

L'avis multinational de décembre 2025 avertissait que les groupes hacktivistes pro-russes exploitent fréquemment des connexions d'accès à distance insuffisamment protégées vers des équipements industriels.

Il décrivait des attaquants utilisant des méthodes relativement basiques pour accéder à des interfaces de contrôle et manipuler des paramètres de fonctionnement.

Les agences avertissaient également que ces groupes manquent souvent de connaissances détaillées des processus industriels qu'ils perturbent.

Cette limitation ne réduit pas nécessairement le danger. Les attaquants qui comprennent mal les équipements qu'ils contrôlent peuvent causer des dommages ou des perturbations non intentionnels allant au-delà de leurs objectifs initiaux.

L'avis documentait des dommages physiques résultant de certaines opérations, sans toutefois signaler de blessures associées aux activités couvertes.

Pour les autorités de sécurité européennes, cela crée une menace qui ne peut être évaluée uniquement en examinant les capacités techniques ou l'importance politique d'un groupe de piratage particulier.

Même un attaquant inexpérimenté peut être en mesure de perturber des équipements si leurs systèmes d'accès à distance sont insuffisamment protégés.

Pourquoi une attribution incertaine complique la réponse de l'Europe

Les incidents dans les supermarchés illustrent deux problèmes distincts que les autorités européennes doivent traiter simultanément.

Le premier est opérationnel : protéger des équipements interconnectés contre les accès non autorisés.

Le second est politique et lié à l'enquête : déterminer qui est responsable lorsqu'une intrusion se produit.

Le problème opérationnel peut être traité sans connaître l'identité de l'attaquant. Les organisations peuvent restreindre les connexions à distance, mettre à jour les équipements vulnérables et améliorer la surveillance.

L'attribution est plus compliquée.

Si une intrusion est liée à un individu agissant indépendamment, la réponse peut principalement impliquer une enquête pénale et des poursuites.

Si elle est liée à un groupe organisé opérant au-delà des frontières, la coopération internationale entre forces de l'ordre devient plus importante.

Lorsque des preuves crédibles établissent une implication étatique, les gouvernements peuvent aussi envisager des mesures diplomatiques, des sanctions ou d'autres réponses dans le cadre des dispositifs juridiques existants.

L'Union européenne dispose déjà d'un mécanisme pour répondre à une cyberactivité malveillante via sa boîte à outils de cyberdiplomatie et son régime de sanctions.

Toutefois, l'application de mesures contre des individus ou des organisations particuliers exige une base défendable pour identifier les responsables.

Les sanctions de juillet contre Z-Pentest démontrent que les institutions européennes peuvent agir contre des groupes liés à des cyberopérations hostiles. Elles ne signifient pas que des attaques ultérieures impliquant des méthodes similaires peuvent être automatiquement attribuées aux mêmes acteurs.

Il existe aussi un risque à traiter chaque intrusion impliquant des équipements industriels vulnérables comme la preuve d'une campagne géopolitique coordonnée.

L'avis multinational décrit le ciblage opportuniste comme une caractéristique de plusieurs groupes hacktivistes pro-russes. Les attaquants peuvent choisir des systèmes parce qu'ils sont accessibles, et non parce que l'organisation qui les exploite a une importance stratégique particulière.

Cette distinction compte lorsqu'on évalue des attaques contre des supermarchés répartis dans différents pays européens.

Une série d'intrusions similaires peut indiquer des outils partagés, des vulnérabilités communes ou une coopération entre attaquants. Elle n'établit pas nécessairement une coordination centrale.

Le dilemme émergent de la sécurité cyber-physique en Europe

Les dernières attaques ont mis au jour un problème de sécurité qui dépasse les supermarchés.

Les équipements commerciaux et industriels dépendent de plus en plus de systèmes de contrôle en réseau, tandis que certaines installations restent accessibles via des connexions à distance insuffisamment protégées.

Cela crée des opportunités pour des attaquants dont les capacités techniques peuvent être limitées mais dont les actions peuvent avoir des conséquences physiques immédiates.

En parallèle, les groupes de piratage à motivation politique opèrent dans un environnement où revendiquer la responsabilité peut générer de la publicité, que la revendication soit étayée ou non.

La disparition rapportée des déclarations Telegram de NoName057(16) et de Z-Pentest Alliance ajoute une complication supplémentaire à l'enquête, mais ne résout pas la question de la responsabilité.

Les enquêteurs font toujours face à des explications concurrentes impliquant des groupes liés à la Russie, de possibles acteurs iraniens et des individus opportunistes.

Les preuves nécessaires pour distinguer ces scénarios sont distinctes de celles établissant que des équipements de réfrigération ont été compromis.

Pour les gouvernements européens, le défi immédiat n'est donc pas simplement d'identifier quel adversaire géopolitique a pu bénéficier de la perturbation.

Il consiste à développer la capacité d'enquêter avec précision sur les attaques tout en protégeant les systèmes physiques dont les entreprises et les services essentiels dépendent de plus en plus.