Sabotage industriel : remonter jusqu’à l’auteur

La guerre contre les machines ordinaires · Volet 4/7

Une machine déréglée laisse des traces, une attaque revendiquée produit un récit. Entre les deux, il faut établir l’effet physique, retrouver l’action qui l’a provoqué et mesurer jusqu’où les preuves permettent de remonter. Des incidents frigorifiques européens aux dossiers américains et danois, l’enquête révèle aussi des divergences dans les descriptions officielles des groupes.

Dans un article publié le 3 novembre 2026, le média public estonien ERR rapporte une précision de la RIA, l’autorité des systèmes d’information : les motivations de l’attaque contre les équipements frigorifiques de Selver demeurent inconnues. La déclaration concerne l’incident du lundi 2 novembre. Une intrusion peut donc être identifiée alors que l’intention de son auteur reste à établir. 1

En France, l’alerte du CERT-FR publiée le 12 octobre, puis actualisée le 16, confirme des compromissions touchant plusieurs familles de contrôleurs frigorifiques. Son rôle est d’identifier un danger et d’orienter la protection des installations. L’identification des attaquants reste ouverte dans le document consulté. 2

Le quatrième volet de cette enquête part de cet écart entre le dommage visible et la connaissance de son origine. Les épisodes précédents ont suivi la commande jusqu’à la machine, puis les accès confiés aux mainteneurs. Il faut maintenant remonter dans l’autre sens : à partir d’un fonctionnement anormal, retrouver une action, une responsabilité et, éventuellement, un commanditaire. Chacun de ces passages demande des pièces différentes.

Le sabotage offre un sujet particulièrement sensible à cette confusion. Une marchandise peut perdre sa valeur sans être emportée. Un service peut être interrompu sans demande de rançon rendue publique. Ces possibilités décrivent une mécanique de destruction ; elles laissent entière la question des motivations dans une affaire déterminée. Dans les documents que nous avons pu consulter au 3 novembre, nous n’avons trouvé aucune preuve publique reliant les incidents frigorifiques de l’automne à un auteur nommé.

La première enquête se déroule dans la machine

Avant de chercher une signature, il faut comprendre ce qui a changé. Une interface affiche une consigne, c’est-à-dire une valeur cible. Un équipement exécute des commandes. Des capteurs mesurent certaines grandeurs. Le rapprochement de ces éléments doit permettre de reconstruire le fonctionnement réel, en conservant les différences entre une valeur demandée, une valeur enregistrée et une observation physique indépendante.

Le guide du NIST, institut américain des normes et de la technologie, consacré à la sécurité des technologies opérationnelles, ces systèmes qui surveillent ou commandent un procédé physique, donne à l’analyse des incidents cette dimension particulière. Il demande de distinguer les causes cyber et non cyber et d’intégrer la connaissance de l’installation. Une action accidentelle d’un utilisateur autorisé, une défaillance ou une intervention hostile peuvent appeler des investigations différentes. La version finale de référence utilisée ici est la révision 3, publiée en septembre 2023. 4

Pour notre enquête, cela impose de séparer trois questions. Quel ordre ou changement est enregistré ? Quel effet a effectivement atteint le procédé ? Quelle conséquence cet effet a-t-il eue sur l’activité ? Dans le froid commercial, une modification de réglage, une excursion de température et une décision de retrait des produits appartiennent à cette chaîne, à des endroits distincts. Relier ces étapes à un site précis demande ses dossiers individuels. Leur contenu reste hors de cette collecte documentaire.

Méthode et périmètre

Schéma analytique l0g, fondé sur les exigences de reconstitution NIST et NCSC. Les trois étapes sont des catégories de preuve, sans volumes, températures, durées ni architecture de victime observés. La décision sur les produits requiert son propre dossier. Le dommage s’établit avec des mesures et un constat d’exploitation.

L’audition du 21 octobre 2026 du directeur général de l’ANSSI, agence française de cybersécurité, illustre l’utilité de cette reconstruction. Dans le passage du compte rendu sénatorial consulté, Vincent Strubel distingue les vulnérabilités antérieurement publiées de l’explication retenue à ce stade pour les compromissions examinées : des équipements directement exposés et des mots de passe faibles. Cette analyse porte sur les cas et les informations dont disposait alors l’agence. Son extension aux événements de novembre exigerait de nouveaux éléments. 3

Le détail change la recherche des preuves. Lorsqu’un défaut d’accès suffit à expliquer une intrusion, la simple présence d’une vulnérabilité connue dans le produit apporte peu à l’identification de la voie réellement empruntée. Une enquête utile vérifie le chemin suivi, au lieu de choisir après coup la faille la plus spectaculaire du catalogue.

Quelques minutes peuvent renverser le récit

Les traces sont rarement réunies dans un seul document. Une connexion peut apparaître chez un prestataire, une modification dans le contrôleur et une mesure dans un autre système. Le centre national britannique de cybersécurité (NCSC) recommande de rapprocher les sources utiles à la réponse à incident et souligne le rôle de l’horodatage. Le NIST traite également la synchronisation des horloges comme une condition importante de la corrélation des événements. 5 4

Prenons un exemple entièrement fictif. Un journal d’accès indique 02 h 03, un changement de réglage 02 h 01 et une mesure indépendante 02 h 04. La lecture brute place la modification avant la connexion. Or l’horloge du premier système avance de cinq minutes, décalage supposé établi par une vérification indépendante. Les deux autres systèmes sont supposés synchronisés à UTC dans cet exemple. Après soustraction du décalage connu, la connexion se situe à 01 h 58 UTC. L’ordre apparent s’inverse.

Méthode et périmètre

Trois systèmes fictifs, le même jour non spécifié. Les heures affichées sont distinguées de la référence UTC. Session : 02:03 affiché, avec une avance connue de +5 minutes, donne 01:58 UTC. Réglage : 02:01 ; mesure : 02:04, tous deux supposés synchronisés avec la référence. Les décalages sont supposés établis indépendamment, sans ajustement pour soutenir une hypothèse. Les positions indiquent un ordre et aucune durée. Les originaux restent conservés. Causalité et identité demandent des preuves distinctes.

Cette correction laisse les questions essentielles ouvertes : la session a-t-elle exécuté le changement, l’action était-elle autorisée, et qui utilisait le compte ? Le calcul restaure une chronologie cohérente. La causalité demande encore un lien entre les événements. Les horaires originaux et la justification de leur normalisation doivent rester lisibles pour qu’un autre analyste puisse reprendre le raisonnement.

Le contexte de maintenance compte lui aussi. Les recommandations du NCSC pour les connexions industrielles prévoient une coordination entre interventions et surveillance. Une activité inhabituelle peut correspondre à un travail prévu ; le dossier doit alors rapprocher la mission autorisée des actions réellement réalisées. 6

De même, l’absence d’une ligne dans un journal ne renseigne qu’à la mesure de ce que ce journal était capable d’enregistrer et de conserver. Avant d’interpréter un silence comme la preuve qu’un événement n’a jamais eu lieu, il faut documenter la couverture des traces. Cette exigence découle directement du travail de recoupement décrit par le NCSC. 5

Une intention de nuire, plusieurs histoires possibles

Un précédent américain montre combien la trajectoire d’un auteur peut être proche de l’exploitation quotidienne. Dans l’affaire de Discovery Bay, le ministère de la Justice annonce en mai 2024 la condamnation de Rambler Gallo, ancien salarié du prestataire chargé d’une installation de traitement des eaux. Après son départ, il avait utilisé un accès distant pour désinstaller un logiciel de supervision. Il avait plaidé coupable. Le communiqué décrit un prestataire chargé des eaux usées, puis un ensemble traitant l’eau et les eaux usées. Il rapporte une interruption du logiciel de surveillance et une menace pour la sécurité du système. 7

Ce cas offre un point d’appui solide : le statut judiciaire dépasse ici celui d’une revendication ou d’une accusation initiale. Il rappelle surtout qu’une atteinte à une infrastructure peut provenir d’une relation professionnelle antérieure. Lui attribuer un mobile psychologique précis, comme la vengeance, demanderait d’autres éléments que ceux retenus dans cet article.

À l’autre extrémité, un avis conjoint publié le 9 décembre 2025 par les agences américaines et leurs partenaires décrit des groupes pro-russes cherchant à atteindre des installations exposées. Il souligne leur recherche de visibilité, leur connaissance parfois limitée des procédés et l’existence de revendications exagérées ou fausses. Des effets physiques réels figurent également dans le périmètre étudié. 8

Le mobile, la compétence et le dommage peuvent donc évoluer séparément. Dans un scénario d’opportunisme, la disponibilité d’un accès explique le choix de la cible. Dans un scénario de pression politique, le secteur ou le moment choisi devient plus significatif. Une relation ancienne avec le site peut orienter l’enquête vers un accès conservé. Ces hypothèses sont des pistes de travail, à confronter aux traces et au contexte ; aucune n’est ici attribuée aux attaques frigorifiques de 2026.

Une difficulté supplémentaire vient de la coexistence possible des intérêts. L’auteur qui cherche une reconnaissance publique peut aussi recevoir de l’argent. Un intermédiaire peut servir plusieurs donneurs d’ordre. L’enquête doit donc préciser l’objet de chaque conclusion : qui a eu accès, qui a agi, qui a choisi la cible, qui a financé l’opération ? Répondre à l’une de ces questions ne ferme pas mécaniquement les autres.

La revendication est une pièce produite par une partie intéressée

Une vidéo de commande à distance possède une force immédiate : elle montre un écran et paraît donner accès à l’action. Sa valeur probante dépend pourtant de ce qu’il est possible d’authentifier. Le lieu, la date, l’origine de la séquence et son rapport au fonctionnement réel demandent chacun un contrôle. Une preuve d’accès peut établir une capacité limitée tout en laissant incertaine l’ampleur du dommage annoncé.

L’avis conjoint de décembre 2025 rend cette prudence particulièrement concrète puisqu’il décrit à la fois des incidents ayant eu des conséquences et des communications mensongères. Une publication hostile mérite donc d’être conservée comme une revendication attribuée à son émetteur, puis confrontée à des observations indépendantes. La reprendre comme un bilan matériel ferait disparaître cette étape. 8

Le bénéfice informationnel et le dommage industriel doivent ainsi être suivis sur deux plans. La visibilité d’une revendication mesure sa circulation. La capacité de l’installation à assurer son service, les constats des équipes et les documents de reprise renseignent l’effet opérationnel. Nous ne disposons d’aucune mesure permettant de convertir la première en estimation du second pour les incidents étudiés.

Trois documents officiels, des contours de groupe différents

L’examen des précédents révèle un écart documentaire qui mérite mieux qu’une parenthèse. Le 9 décembre 2025, le ministère américain de la Justice présente CARR, Cyber Army of Russia Reborn, en donnant Z-Pentest comme autre nom du groupe. Selon les accusations exposées, CARR a été créé, financé et dirigé par le renseignement militaire russe (GRU). Le même communiqué lui attribue notamment une attaque de novembre 2024 contre une usine de transformation de viande à Los Angeles, avec des produits détériorés et une fuite d’ammoniac. Il s’agit d’accusations, dont l’article conserve le statut. 9

L’avis technique conjoint publié le même jour dessine une histoire plus différenciée. Il décrit la formation de Z-Pentest en septembre 2024 par des responsables issus de CARR et de NoName, dans un contexte de mécontentement vis-à-vis du soutien reçu. Le passage présente cette nouvelle activité comme séparée de l’implication du GRU. 8

Neuf jours plus tard, le renseignement militaire danois attribue à la Russie une attaque de 2024 contre un service d’eau du pays. Son évaluation désigne Z-Pentest et ses liens avec l’État russe. La note publique expose la conclusion ; elle ne livre pas les éléments sous-jacents permettant au lecteur de reproduire l’attribution. 10

Méthode et périmètre

Comparaison textuelle du communiqué du DOJ du 9 décembre 2025, de l’avis AA25-343A du même jour (p.5) et de la note du DDIS du 18 décembre. Les panneaux reproduisent le sens des formulations, sans résoudre les relations organisationnelles. Les dates sont des dates de publication, pas les dates des attaques. Le DDIS y évalue la Russie comme responsable de l’attaque danoise de 2024, en nommant Z-Pentest et ses liens étatiques. La note publique expose la conclusion ; les pièces sous-jacentes en sont absentes. Aucune attribution des incidents frigorifiques de 2026 n’est dessinée.

Ces documents n’ont ni la même fonction, ni exactement le même objet. Un alias dans un communiqué judiciaire, une séparation dans une chronologie de renseignement technique et un lien étatique évalué dans une affaire nationale décrivent des relations différentes. Les formulations créent une question de périmètre qui demeure ouverte dans notre collecte. Elles justifient de demander des précisions aux institutions, plutôt que de fabriquer un organigramme unique.

Deux précautions suivent. Le cas américain montre qu’un dommage touchant la chaîne alimentaire peut entrer dans un dossier de sabotage allégué. La ressemblance du secteur apporte une piste de comparaison ; elle laisse à démontrer tout lien avec l’Europe en 2026. Par ailleurs, nous n’avons pas confirmé l’issue judiciaire ultérieure des accusations annoncées en décembre 2025. Leur présentation ici reste celle du document d’origine, sans transformer d’anciennes dates de procès en état actuel de la procédure.

Remonter jusqu’à un État demande une preuve supplémentaire

Le cadre du CERT-EU, service de cybersécurité des institutions européennes, révisé en avril 2026, fournit une distinction utile. L’attribution technique rassemble des observations et cherche à relier des activités. L’attribution politique appartient à un autre niveau de responsabilité. Le document précise aussi qu’un lien géographique avec un pays n’implique pas, à lui seul, la direction de l’opération par son État. 11

On peut ainsi identifier un ensemble d’activités cohérentes sans connaître l’état civil des opérateurs. On peut identifier une personne sans établir qui lui a donné ses instructions. Un soutien financier et un ordre portant sur une opération précise constituent encore des propositions différentes. Le vocabulaire doit garder ces séparations, même lorsque la lecture géopolitique paraît convaincante.

Méthode et périmètre

Graphe pédagogique l0g inspiré du cadre CERT-EU et du CRS. Chaque relation est une proposition à étayer, pas un niveau de certitude acquis. Les tirets et les losanges indiquent des liens à examiner; les distances et tailles n’expriment ni force ni probabilité. Les types de preuve sont illustratifs et dépendent du cas.

Le Congressional Research Service, service de recherche du Congrès américain, décrit l’attribution comme un travail de recoupement entre données techniques et autres renseignements, avec examen d’explications concurrentes. Ce principe protège contre une forme de raisonnement circulaire : sélectionner les éléments compatibles avec une hypothèse, puis présenter leur accumulation comme si toutes les autres avaient été testées. 12

La solidité d’une analyse dépend également de l’indépendance des pièces. Dix articles reprenant le même communiqué constituent dix publications, mais une seule origine documentaire pour l’affirmation concernée. Un compte rendu judiciaire, un relevé technique et un constat d’exploitation peuvent apporter des éclairages différents ; encore faut-il vérifier qu’ils ne se citent pas mutuellement sans nouvelle observation. Le travail consiste donc à conserver pour chaque conclusion son origine documentaire et son statut.

FIRST, réseau international d’équipes de réponse aux incidents, rappelle enfin que la confiance dans une analyse et la vraisemblance attribuée à une hypothèse répondent à des questions distinctes. Une formulation prudente doit exposer la qualité des éléments, leur cohérence et leurs manques. Le corpus permet ici une qualification argumentée de l’incertitude ; lui associer un pourcentage demanderait une méthode et des données supplémentaires. 13

Reprendre l’activité pendant que l’identité reste ouverte

Pour l’exploitant, ces distinctions ont une conséquence immédiate. Le diagnostic de sécurité, la remise en état de l’installation et la décision sur les marchandises suivent leurs propres exigences. Dans notre reconstruction économique, un équipement revenu à un fonctionnement attendu, un stock déclaré utilisable et une activité redevenue normale sont trois états à documenter séparément. Aucune durée standard ni facture de victime ne peut être déduite des sources réunies ici.

Le NIST avertit que les mesures de confinement dans un environnement industriel peuvent affecter le procédé lui-même. Le NCSC demande de préparer l’isolement en tenant compte des dépendances et de la continuité. La préservation des éléments d’enquête doit donc être coordonnée avec les responsables opérationnels et de sécurité des personnes, sans retarder une action urgente nécessaire à leur protection. 4 14

Méthode et périmètre

Reconstruction conceptuelle, sans calendrier ni durées mesurées. Les branches décrivent des besoins à coordonner sous la responsabilité des équipes compétentes. Les flèches ne constituent ni une procédure technique ni une consigne de coupure. Les validations sur les produits dépendent du dossier opérationnel et sanitaire applicable.

Cette coordination a une valeur économique même lorsque le commanditaire demeure inconnu. Elle permet d’expliquer pourquoi une fonction a été arrêtée, quelles vérifications conditionnent sa reprise et quelles incertitudes subsistent. Elle rend aussi visibles les travaux supplémentaires : contrôles locaux, rapprochement des relevés, validation de la configuration, puis reprise du service. Leur chiffrage demande des données d’intervention dont le périmètre puisse être établi.

Le débat public peut avancer au même rythme de précision. Une organisation peut publier un constat de perturbation, confirmer ensuite une action malveillante et ne nommer un acteur que lorsqu’elle dispose d’éléments suffisants. Une révision explicite de l’analyse enrichit l’information. La stabilité d’un récit initial ne mérite aucun privilège face à une pièce nouvelle.

Dans cette enquête, la conclusion tient à une frontière nette : les compromissions frigorifiques sont documentées, tandis que leur rattachement public à un auteur nommé reste à établir dans le corpus consulté. Les précédents montrent plusieurs chemins vers le dommage industriel et plusieurs niveaux de preuve sur leurs responsables. Pour passer de l’un à l’autre, les pièces décisives seraient une reconstitution technique individualisée, des éléments d’identification corroborés et, pour un commanditaire, un lien documenté avec la conduite de l’opération. La machine peut être réparée avant que cette dernière question soit tranchée. L’enquête, elle, doit garder la question ouverte.

Périmètre de l’enquête

Enquête documentaire arrêtée au 3 novembre 2026. Les incidents frigorifiques sont traités séparément des précédents américains et danois. Les faits rapportés par les autorités, les accusations judiciaires et les évaluations de renseignement conservent leurs statuts. Les journaux individuels des victimes restent hors de cette collecte. L’exemple horaire est entièrement fictif, sur un même jour non spécifié ; il explique une correction de décalage et ses limites.

Prolonger l’enquête

• Volet 1 : les congélateurs devenus une cible, pour les faits documentés et le mécanisme physique.
• Volet 2 : qui commande réellement les machines ?, pour les réglages, les droits et les fonctions locales.
• Volet 3 : télémaintenance et accès des prestataires, pour le périmètre réseau et le retrait des droits.

Sources

Documents vérifiés le 3 novembre 2026. Les références précisent les versions consultées et le périmètre des exemples.

1. [1] · ERR, entretien avec Mai Kraft (RIA) · 3 novembre 2026 · Consulté le 3 novembre 2026RIA : les motivations de l’attaque contre Selver restent inconnues

   ERR rapporte les propos de la responsable du centre de cybersécurité de la RIA sur les motivations encore inconnues après l’incident du 2 novembre.

   Passages et périmètre

   Entretien : motifs de l’attaque ; contexte Selver. Déclaration d’autorité rapportée par le média public. L’incertitude sur le mobile reste distincte de l’identification d’un auteur ; aucun dossier technique de victime n’a été obtenu. HTML original téléchargé en HTTPS et lu ; date confirmée par les métadonnées de publication.

2. [2] · ANSSI / CERT-FR · 12 octobre 2026 ; révision du 16 octobre 2026 · Consulté le 3 novembre 2026Incident ciblant les contrôleurs à distance des installations de réfrigération

   Compromissions de plusieurs familles de contrôleurs frigorifiques ; portée d’une alerte technique de protection.

   Passages et périmètre

   Résumé ; systèmes affectés ; historique du document. Le bulletin ne nomme aucun auteur et ne reconstitue pas chaque incident individuellement. Page officielle lue intégralement dans ses passages utiles.

3. [3] · Sénat / directeur général de l’ANSSI · Séance du 21 octobre 2026 · Consulté le 3 novembre 2026Audition de Vincent Strubel devant la commission des affaires étrangères, de la défense et des forces armées

   Strubel distingue les vulnérabilités publiées des défauts d’exposition et de mots de passe alors retenus pour les cas examinés.

   Passages et périmètre

   Réponse de Vincent Strubel à la question sur les équipements frigorifiques. Analyse datée, dans le périmètre de l’agence à cette séance. Son extension aux incidents de novembre exigerait de nouveaux éléments. Compte rendu HTML officiel téléchargé et lu ; date de séance confirmée.

4. [4] · NIST · 28 septembre 2023 ; révision 3 finale · Consulté le 3 novembre 2026SP 800-82 révision 3 : sécurité des technologies opérationnelles

   Synchronisation pour corréler les événements ; analyse des causes cyber et non cyber ; effets opérationnels du confinement.

   Passages et périmètre

   §6.2.12, page imprimée 125 ; §6.4.3–6.4.4, page 136. Les schémas et horaires sont pédagogiques. La révision 4 repérée est un projet initial, distinct de la version finale utilisée. PDF officiel lu ; pages imprimées 125 et 136 rendues et inspectées. Statut vérifié sur CSRC.

5. [5] · NCSC, Royaume-Uni · Revue affichée : 19 septembre 2019 ; version 1.0 · Consulté le 3 novembre 2026Réponse à incident : capacités techniques

   Sources de traces, synchronisation temporelle, conservation et vérification de la disponibilité des éléments d’enquête.

   Passages et périmètre

   Evidence and log availability ; Log management and evidence capture ; Log testing ; Analysis. Recommandations générales. La couverture et la disponibilité des journaux doivent être vérifiées pour l’installation concernée. Page officielle lue intégralement dans ses passages utiles.

6. [6] · NCSC et agences partenaires · 14 janvier 2026 ; version 1.0 · Consulté le 3 novembre 2026Connectivité industrielle sécurisée, principe 7 : journaliser et surveiller

   Coordination entre maintenance et surveillance ; vérification de la légitimité des actions réalisées.

   Passages et périmètre

   Principe 7 ; Unauthorised activity. Une intervention prévue donne un contexte ; son ticket autorisé ne démontre pas la conformité de chaque action. Page officielle lue intégralement dans ses passages utiles.

7. [7] · Ministère américain de la Justice, district nord de Californie · 13 mai 2024 · Consulté le 3 novembre 2026Discovery Bay : condamnation d’un ancien salarié de prestataire après une attaque informatique

   Annonce du plaider-coupable et de la condamnation d’un ancien salarié du prestataire d’exploitation ; utilisation d’un accès distant conservé après son départ et interruption du logiciel de surveillance.

   Passages et périmètre

   Présentation de la peine ; description du prestataire exploitant une installation d’eaux usées ; accord de plaider-coupable et intervention après le départ. Communiqué officiel, sans consultation du dossier judiciaire intégral. Les éléments retenus décrivent une menace pour la sécurité du système ; ils n’établissent ni contamination ni blessure. Le mobile psychologique n’est pas reconstitué ici. Texte HTML officiel intégral lu le 3 novembre 2026.

8. [8] · FBI, CISA, NSA et partenaires internationaux, dont l’ACSC australien · 9 décembre 2025 · Consulté le 3 novembre 2026AA25-343A : attaques opportunistes de groupes prorusses contre des infrastructures critiques

   Évaluation des groupes et de leur histoire ; distinction entre recherche de visibilité, revendications trompeuses et dommages opérationnels réels.

   Passages et périmètre

   Pages 5–6 : CARR et création de Z-Pentest en septembre 2024 ; page 7 : capacités et revendications ; pages 8–9 : portée et conséquences. Évaluation des coauteurs dans le périmètre de cet avis. La description de la création de Z-Pentest séparément de l’implication du GRU ne démontre ni une indépendance universelle du groupe ni l’auteur des incidents frigorifiques de 2026. Version PDF officielle consultée chez le coauteur ACSC ; passages des pages 5–9 lus en texte. Téléchargement local et inspection des pages rendues non confirmés.

9. [9] · Ministère américain de la Justice, Office of Public Affairs · 9 décembre 2025 ; mise à jour affichée le 22 juillet 2026 · Consulté le 3 novembre 2026DOJ : accusations contre deux groupes de piratage présentés comme soutenus par la Russie

   Présentation des accusations concernant CARR, avec Z-Pentest comme alias, la direction attribuée au GRU et une attaque alléguée contre une usine de viande de Los Angeles en novembre 2024.

   Passages et périmètre

   Introduction procédurale ; rubrique Cyber Army of Russia Reborn ; rappel final de la présomption d’innocence. Accusations présentées dans un communiqué, distinctes d’un jugement. La recherche officielle arrêtée au 3 novembre 2026 n’a confirmé aucune issue ultérieure de ces chefs ; les dates de procès initialement annoncées ne valent pas calendrier actuel. Aucun lien vers les incidents frigorifiques européens de 2026 n’est déduit. Texte HTML officiel intégral lu le 3 novembre 2026 ; recherche de suivi sur les domaines DOJ, FBI et CDCA, avec lecture d’un calendrier judiciaire de juillet 2026 sans valeur de verdict.

10. [10] · Service danois du renseignement de défense, DDIS / FE · 18 décembre 2025, date imprimée sur la note · Consulté le 3 novembre 2026DDIS : évaluation de la responsabilité russe dans des cyberattaques destructrices et perturbatrices contre le Danemark

    Évaluation attribuant une attaque de 2024 contre un service d’eau danois à Z-Pentest et appréciant les liens du groupe avec l’État russe.

    Passages et périmètre

    Note anglaise d’une page ; paragraphe d’ouverture et paragraphe consacré à Z-Pentest. Évaluation publique du renseignement danois ; les preuves sous-jacentes permettant de la reproduire ne sont pas présentées dans cette note. Le cas danois reste distinct des incidents frigorifiques de 2026. PDF original téléchargé en HTTPS et lu ; rendu de la page unique inspecté.

11. [11] · CERT-EU · 13 février 2026 ; révision du 8 avril 2026 · Consulté le 3 novembre 2026Cadre d’analyse du renseignement sur les cybermenaces

    Attribution technique et politique ; liens géographiques ; confiance et incertitudes.

    Passages et périmètre

    Chapitres 10 et 11 ; historique, version 2. Un lien géographique rapporté n’établit pas la direction de l’opération par un État. Aucun score d’attribution n’est calculé ici. Page officielle lue intégralement dans ses passages utiles.

12. [12] · Congressional Research Service · 8 janvier 2025 ; version 8 · Consulté le 3 novembre 2026R46974 : cyberattaques sélectionnées, 2012–2024

    Recoupement de données techniques et d’autres renseignements ; examen d’hypothèses concurrentes et statut des sources d’attribution.

    Passages et périmètre

    Section Attribution. Synthèse méthodologique et historique ; les incidents de novembre 2026 dépassent son périmètre. Texte HTML officiel lu via l’outil web ; requête HTTPS directe limitée par une réponse 403.

13. [13] · FIRST, groupe de travail CTI · Sans date affichée · Consulté le 3 novembre 2026Communiquer les incertitudes dans le renseignement sur les cybermenaces

    Distinction entre confiance analytique fondée sur la qualité des éléments et expressions de vraisemblance.

    Passages et périmètre

    FIRST WEP Standard ; FIRST LCA Standard ; Consider How To Communicate The Uncertainty. Les catégories de langage ne deviennent pas une probabilité numérique calculée à partir du corpus. Page officielle lue intégralement dans ses passages utiles.

14. [14] · NCSC et agences partenaires · 14 janvier 2026 ; version 1.0 · Consulté le 3 novembre 2026Connectivité industrielle sécurisée, principe 8 : préparer l’isolement

    Préparer l’isolement avec les dépendances, la continuité et les relais opérationnels.

    Passages et périmètre

    Principe 8 ; effets sur l’activité et contrats avec les tiers. Cadre à adapter et valider par les responsables compétents. Aucune consigne de coupure d’une installation en service n’est donnée ici. Page officielle lue intégralement dans ses passages utiles.