Technomedia

Pour la première fois, les autorités françaises attribuent officiellement au 16e Centre du FSB, le service de sécurité russe, une campagne d'espionnage informatique visant des intérêts français depuis plus d'une décennie. Un rapport conjoint des services de l'État détaille les méthodes employées par le groupe Turla et les secteurs touchés, tandis que Paris dénonce une menace durable contre ses intérêts stratégiques.

L'attribution est sans ambiguïté. Dans un rapport conjoint publié le 13 juillet par le Centre de coordination des crises cyber (C4),  les services français de renseignement et de cybersécurité (l’ANSSI, le COMCYBER, la DGA, la DGSE et la DGSI) désignent le 16e Centre du Service fédéral de sécurité russe (FSB) comme l'auteur d'une campagne d'espionnage visant des intérêts français au moyen du mode opératoire d'attaque (MOA) Turla. Une prise de position publique rare, qui s'accompagne d'une déclaration politique du ministère de l'Europe et des Affaires étrangères condamnant « avec la plus grande fermeté » ces activités.

Le document retrace des opérations menées depuis au moins 2010 contre des administrations, des organismes publics et des entreprises françaises. Les enquêteurs identifient plus particulièrement l'unité militaire 61240, basée près de Saint-Pétersbourg, comme chargée du ciblage de la France en matière de renseignement d'origine électromagnétique et d'opérations cyber offensives.

Le rapport décrit Turla comme un mode opératoire utilisé depuis au moins 2004 pour des missions de collecte de renseignement. Connu dans l'industrie sous plusieurs appellations – Snake, Uroburos, Venomous Bear ou Secret Blizzard –, cet ensemble de techniques s'appuie aussi bien sur des outils accessibles publiquement que sur des logiciels malveillants sophistiqués développés spécifiquement pour infiltrer des environnements Windows, Linux ou macOS, compromettre des serveurs de messagerie et exploiter des vulnérabilités, y compris de type « zero day ». Les opérateurs cherchent avant tout la discrétion et la persistance afin de conserver durablement l'accès aux systèmes compromis.

Un historique inédit des compromissions observées depuis 2014

Les autorités françaises dressent également un historique inédit des compromissions observées. Dès 2014, des entités ministérielles françaises sont ciblées au moyen du malware Uroburos. À partir de 2017, des comptes de messagerie du ministère des Armées sont compromis dans une campagne visant des cadres de l'administration. En 2018, le réseau de l'ambassade de France à Moscou est infiltré afin de procéder à des opérations de reconnaissance et d'exfiltration de données. L'année suivante, un serveur relevant du secteur de la justice est compromis après l'exploitation d'une vulnérabilité de SharePoint. Plus récemment, entre 2021 et 2025, plusieurs victimes intermédiaires françaises sont identifiées, avant qu'en 2025 une entité travaillant sur des technologies avancées ne soit à son tour visée.

Le ministère des Affaires étrangères élargit le constat. Selon lui, ces opérations s'inscrivent dans une stratégie russe plus vaste de déstabilisation, aux côtés des campagnes de désinformation, des actions hybrides et des cyberattaques menées contre l'Ukraine et les États qui la soutiennent. Paris souligne que plusieurs partenaires européens ont également été ciblés et rappelle que l'Union européenne attribue désormais officiellement une série d'attaques au 16e Centre du FSB.

La diplomatie française insiste enfin sur la dimension politique de cette attribution. Elle juge ces activités « inacceptables » pour un membre permanent du Conseil de sécurité des Nations unies et affirme que la France mobilisera, avec ses partenaires, l'ensemble des moyens disponibles pour anticiper, décourager et répondre aux actions cyber malveillantes, notamment à l'approche des échéances électorales de 2027.

Philippe Rioux