Le CGRI dans votre SI : les opérations cyber iraniennes contre la France décryptées

En novembre 2026, le CERT-FR a publié un document d'analyse sans précédent : les activités cyber offensives menées par des acteurs liés au Corps des Gardiens de la Révolution Islamique (CGRI) contre des cibles françaises. Ce n'est pas une surprise pour ceux qui suivent le threat landscape depuis des années — mais c'est la première fois que l'agence française documente aussi explicitement l'Iran comme menace étatique prioritaire contre nos intérêts nationaux. Il est temps de prendre ce sujet au sérieux.

Pourquoi l'Iran est une menace cyber que l'on sous-estime chroniquement

Quand on parle de cybermenaces étatiques en Europe, les regards se tournent instinctivement vers la Russie et la Chine. Normal : leurs opérations sont plus volumineuses, plus documentées, et frappent des cibles plus visibles. Mais l'Iran occupe depuis 2012 une place de choix dans le top 5 mondial des puissances cyber offensives, et cette position s'est considérablement renforcée depuis 2020.

Le CGRI dispose de plusieurs unités cyber qui ont chacune leur spécialité. L'APT33 (Elfin) est spécialisé dans le sabotage d'infrastructures industrielles — c'est le groupe qui avait déployé des wipers dans des entreprises saoudiennes et américaines du secteur pétrolier et gazier. L'APT35 (Charming Kitten) conduit des campagnes d'espionnage intensives contre des chercheurs, journalistes, et personnalités politiques — avec des techniques de phishing particulièrement sophistiquées. L'APT42, identifié plus récemment, se distingue par ses attaques ciblant l'écosystème des think tanks, des universités et des organisations de défense des droits humains.

Ce que ces groupes ont en commun : une patience opérationnelle qui dépasse souvent ce que l'on observe du côté russe, une capacité à maintenir des accès dormants pendant des mois avant de les activer, et une tendance à cibler des individus précis plutôt que des réseaux en masse. Le CGRI ne cherche pas toujours à faire du bruit — il cherche à comprendre, à influencer, et parfois à dissuader.

En France spécifiquement, les intérêts iraniens cibles deux grandes catégories d'organisations : celles impliquées dans la politique étrangère française vis-à-vis de l'Iran (négociateurs du nucléaire, spécialistes du Moyen-Orient dans les think tanks et universités, journalistes couvrant la région), et celles dont les technologies intéressent Téhéran malgré les sanctions internationales (défense, aéronautique, énergie, chimie).

Ce que révèle le document du CERT-FR de novembre 2026

Le document publié le 9 novembre 2026 par le CERT-FR représente un effort de transparence remarquable de la part de l'agence. Il documente des campagnes attribuées avec un niveau de confiance élevé à des acteurs liés au CGRI, ciblant des entités françaises dans plusieurs secteurs. Sans reproduire l'intégralité du document ici (il est disponible publiquement sur le site cert.cyber.gouv.fr), plusieurs éléments méritent d'être mis en lumière.

Premier point : les vecteurs d'entrée initiaux. Les opérations iraniennes documentées utilisent en priorité le spear phishing (hameçonnage ciblé) avec des leurres très spécifiques au contexte de la cible. On ne parle pas d'un email générique « votre colis est en attente » — on parle de messages qui référencent des conférences réelles auxquelles la cible a participé, des publications récentes de la victime, ou des contacts qu'elle connaît réellement. Le niveau de personnalisation implique un travail de renseignement préalable significatif, souvent mené via OSINT (collecte en source ouverte) et parfois via des comptes compromis de l'entourage de la cible.

Deuxième point : l'infrastructure. Les opérations iraniennes documentées utilisent massivement des services cloud légitimes pour héberger leur infrastructure de commande et contrôle. Microsoft OneDrive, Google Drive, Dropbox, GitHub : ces plateformes sont utilisées comme canaux C2 car leur trafic est difficile à distinguer de l'usage légitime en entreprise. Cette technique, connue sous le nom de « living off trusted sites » ou LOTS, complique considérablement la détection réseau classique basée sur des listes noires de domaines malveillants.

Troisième point : la persistance. Une fois l'accès initial établi, les acteurs iraniens documentés cherchent à installer des mécanismes de persistance discrets, souvent basés sur des outils légitimes du système d'exploitation (Living Off the Land, LOtL). Sur Windows, l'utilisation de tâches planifiées, de clés de registre Run, et de DLL side-loading dans des répertoires légitimes est préféré aux backdoors compilés facilement détectables. Cette approche ralentit la détection par les antivirus et EDR conventionnels.

Quatrième point : les objectifs. Contrairement à certains acteurs russes qui cherchent parfois la disruption visible (sabotage, fuite d'informations à des fins de pression politique), les opérations iraniennes documentées en France sont principalement orientées vers la collecte silencieuse de renseignements. Les cibles sont exfiltrées sur de longues durées, avec des volumes de données limités pour rester sous les radars des DLP. L'objectif n'est pas de frapper mais de comprendre — et parfois d'identifier des leviers d'influence ou de pression.

Les secteurs français dans le collimateur

Le document du CERT-FR et les analyses de threat intelligence complémentaires permettent d'identifier les secteurs prioritairement ciblés par les acteurs iraniens en France en 2025-2026 :

Recherche et enseignement supérieur : les universités françaises spécialisées en sciences dures (physique nucléaire, chimie, biologie moléculaire, ingénierie aérospatiale) sont des cibles récurrentes. L'Iran cherche à combler les lacunes technologiques créées par les sanctions internationales via l'espionnage académique. Les chercheurs sont ciblés individuellement via leurs adresses email professionnelles et leurs comptes sur des plateformes académiques comme ResearchGate ou Academia.edu.

Défense et industrie de défense : les sous-traitants de la BITD (Base Industrielle et Technologique de Défense) française, notamment ceux travaillant sur des technologies à double usage civil-militaire, sont dans le viseur. La DGSI (Direction Générale de la Sécurité Intérieure) a d'ailleurs alerté à plusieurs reprises sur des approches d'ingénierie sociale visant des employés de ces entreprises via LinkedIn.

Énergie et industrie chimique : TotalEnergies et ses sous-traitants, les industriels de la chimie fine, les acteurs du nucléaire civil. L'Iran cherche des informations sur les technologies de raffinage, les procédés chimiques sous sanctions, et les capacités de production énergétique européennes.

Think tanks et médias : les organisations travaillant sur la politique étrangère française, les chercheurs spécialistes du Moyen-Orient, les journalistes couvrant l'Iran et ses proxies régionaux. L'objectif est à la fois le renseignement (comprendre les positions françaises) et parfois l'influence (identifier des sources susceptibles d'être instrumentalisées).

Communautés diasporiques : les organisations de la diaspora iranienne en France, les opposants au régime vivant en exil, les défenseurs des droits humains travaillant sur l'Iran. Ces individus font l'objet d'une surveillance extensive et parfois de harcèlement numérique.

Les tactiques concrètes que vous devez connaître

Au-delà des généralités, voici les techniques documentées qui permettent aux défenseurs d'adapter leurs contrôles :

Phishing via identités usurpées : les acteurs iraniens créent des comptes email imitant des chercheurs réels (légères variations typographiques dans le nom), des journalistes connus, ou des officiels d'organisations internationales. Ces comptes envoient des emails invitant la cible à participer à une conférence, à réviser un document, ou à consulter un rapport — avec une pièce jointe ou un lien vers un site de collecte de credentials.

MFA fatigue sur les comptes Microsoft 365 : comme d'autres acteurs APT, les groupes iraniens utilisent de plus en plus les attaques par saturation d'authentification multi-facteur (MFA push bombing). Après avoir obtenu des credentials via phishing, ils déclenchent des dizaines de demandes d'approbation MFA en espérant que la cible finira par en accepter une par erreur ou par exaspération. Cette technique a été documentée contre des cibles françaises dans le secteur de la défense.

Watering hole sur des forums spécialisés : compromission de forums en ligne fréquentés par les cibles (forums d'expatriés iraniens, blogs spécialisés en physique ou chimie, sites de communautés académiques) pour servir des exploits drive-by ou des pages de phishing aux visiteurs. Technique plus rare mais documentée dans plusieurs campagnes APT35.

Exploitation de VPN et passerelles d'accès distant : les mêmes failles Ivanti Connect Secure que celles documentées dans l'alerte CERTFR-2026-ALE-013 ont été exploitées dans le passé par des acteurs iraniens pour obtenir un accès initial. Les groupes APT iraniens font partie des acteurs qui utilisent activement le catalogue CISA KEV pour cibler des organisations n'ayant pas encore patché.

Comment se défendre concrètement : priorités pour les RSSI

Face à ce profil de menace, les recommandations génériques de cybersécurité ne suffisent pas. Voici ce que je recommande concrètement aux RSSI des organisations françaises potentiellement ciblées :

Renforcez la sensibilisation au spear phishing ciblé : vos simulations de phishing standards ne reproduisent pas la sophistication des leurres iraniens. Organisez des sessions de sensibilisation spécifiques sur le phishing de personnalisation élevée. Montrez à vos équipes des exemples réels de spear phishing ciblé. L'humain reste le maillon le plus ciblé.

Passez au MFA résistant au phishing : abandonnez les push notifications MFA au profit de clés FIDO2/WebAuthn (YubiKey, Passkeys) ou au minimum de codes OTP basés sur TOTP plutôt que de notifications push. Les push notifications sont vulnérables aux attaques de fatigue MFA. Cette migration est douloureuse mais non négociable pour les organisations à risque élevé.

Durcissez la détection des accès cloud C2 : configurez votre SIEM pour alerter sur des volumes inhabituels d'uploads vers des services cloud (OneDrive, Google Drive, Dropbox) depuis des postes qui ne devraient pas en avoir besoin. La détection du LOTS (Living Off Trusted Sites) requiert une baseline comportementale par utilisateur et par poste, pas seulement des signatures statiques.

Inventoriez et purgez vos accès distants : chaque appliance VPN, chaque passerelle d'accès distant, chaque interface de gestion exposée sur Internet est un vecteur potentiel. Inventoriez exhaustivement, appliquez les patches avec des délais maximaux de 72h pour les CVSS > 8.0, et envisagez le passage au ZTNA pour remplacer le VPN concentrateur par des accès applicatifs granulaires.

Surveillez les tentatives de reconnaissance OSINT : les acteurs iraniens font un travail de reconnaissance préalable extensif sur vos employés. Conduisez régulièrement des exercices de red team OSINT sur vos propres collaborateurs exposés (direction, R&D, relations internationales) pour identifier ce qu'un attaquant pourrait utiliser comme leurre personnalisé.

Établissez des procédures de signalement rapide : les acteurs iraniens exploitent souvent une fenêtre de quelques jours entre la publication d'une CVE critique et son exploitation. Vos équipes doivent pouvoir aller de l'alerte CERT-FR au patch appliqué en moins de 48h pour les systèmes exposés sur Internet. Si ce SLA n'est pas tenu aujourd'hui, c'est votre première priorité.

L'angle que les médias oublient : la menace physique derrière la menace cyber

Un aspect souvent omis dans la couverture des opérations cyber iraniennes : elles s'inscrivent dans un dispositif de renseignement et d'action hybride qui inclut également des opérations physiques. La DGSI et plusieurs services de renseignement européens ont documenté des tentatives d'action paramilitaire iranienne sur le sol européen en 2022-2024, ciblant des membres de la diaspora opposante et des personnalités politiques.

La cyber est l'outil de reconnaissance : elle permet d'identifier les cibles, de cartographier leurs réseaux relationnels, de localiser leurs déplacements. Pour les organisations travaillant sur des sujets sensibles liés à l'Iran, la menace cyber ne peut pas être dissociée de la menace physique. La protection numérique doit accompagner une réflexion plus large sur la sécurité des personnes.

Ce n'est pas de la paranoïa. C'est la réalité documentée par les agences de renseignement de cinq pays européens dans leurs rapports publics de 2023 à 2026. En France, l'ANSSI et la DGSI publient régulièrement des rapports sur ces menaces — ils méritent d'être lus par toutes les organisations potentiellement ciblées.

Conclusion

La publication de l'alerte CERT-FR de novembre 2026 sur les opérations cyber du CGRI contre la France n'est pas un événement isolé : c'est la confirmation d'une tendance documentée depuis des années qui monte en intensité. L'Iran a investi massivement dans ses capacités cyber offensives et dispose aujourd'hui d'acteurs sophistiqués capables de conduire des opérations d'espionnage de long terme contre des cibles françaises.

Pour les RSSI et les décideurs des organisations potentiellement ciblées, le message est simple : cette menace existe, elle est documentée, et les recommandations pour s'en protéger sont connues. Le gap entre savoir quoi faire et le faire effectivement reste le principal problème. Patcher rapidement, durcir le MFA, former les équipes au spear phishing sophistiqué, surveiller les comportements anormaux vers les services cloud : ce ne sont pas des innovations — c'est de l'hygiène cyber de base appliquée avec rigueur.

La cybersécurité efficace contre des acteurs étatiques n'est pas une question de technologie miracle. C'est une question d'exécution disciplinée des fondamentaux, maintenue dans le temps. Les acteurs iraniens, comme tous les APT, cherchent le chemin de moindre résistance. Ne leur en offrez pas un.