La France et l’Union européenne ont officiellement désigné, lundi 13 juillet, la Russie comme responsable du mode opératoire d’attaque baptisé Turla. Selon cette attribution, le 16e Centre du FSB, l’un des services de renseignement russes, orchestre depuis 2004 des campagnes d’infiltration visant des ministères, des acteurs de la défense, le corps diplomatique et des institutions judiciaires françaises. Une ingérence au long cours, documentée par plusieurs agences européennes.
Un mode opératoire actif depuis deux décennies
Depuis l’invasion russe à grande échelle de l’Ukraine en 2022, les cyberattaques se sont multipliées, visant Kiev mais aussi les États européens engagés dans une coopération étroite avec les autorités ukrainiennes. Un autre groupe russe, APT28 (aussi connu sous le nom de Fancy Bear), cible depuis 2015 des gouvernements, des armées et des médias en France, en Allemagne et ailleurs dans l’UE. Il constitue un outil clé du renseignement militaire russe.
Andy Piazza, directeur senior du renseignement sur les menaces pour l’Unit 42 de Palo Alto Networks, résume la porosité entre guerre numérique et guerre classique : « Le conflit moderne prouve que les opérations cyber sont désormais indissociables de la guerre cinétique. Les acteurs étatiques utilisent le cyberespionnage pour cartographier des cibles physiques, comme les sites de fabrication de défense, souvent en coordination directe avec des frappes. » Il ajoute que ce conflit a confirmé que « l’hygiène cyber de base relève d’un enjeu hautement stratégique ».
Ce n’est pas la seule puissance active dans ce domaine. Selon le Council on Foreign Relations, quatre pays (Chine, Russie, Iran, Corée du Nord) concentreraient à eux seuls près de 77 % des opérations cyber étatiques dans le monde. La Russie mêle espionnage, sabotage et influence, tandis que la Chine privilégie un espionnage industriel discret et constant, tourné vers l’acquisition de technologies.
L’hôpital de Cannes, victime d’un rançongiciel
En avril 2024, l’hôpital Simone Veil de Cannes a subi une cyberattaque attribuée au groupe LockBit, auteur de 7 000 attaques entre 2022 et 2024. Les malfaiteurs ont exploité une vulnérabilité pour verrouiller les réseaux, exfiltré environ 60 Go de données administratives et personnelles (dossiers médicaux, bulletins de salaire, copies de pièces d’identité), puis exigé une rançon.
L’hôpital a refusé de payer, basculé en mode dégradé et reporté ses interventions non urgentes. Une partie des données volées a fini par être publiée sur le dark web.
D’autres pays européens ont connu des épisodes comparables. Fin mars 2025, plusieurs sites officiels belges, dont MyGov.be et le site du Parlement wallon, ont été rendus inaccessibles par une cyberattaque revendiquée par le collectif de hackers pro-russes NoName057.
La Roumanie et la Grèce, maillons faibles de l’Union
L’exposition aux cyberattaques n’est pas la même partout dans l’Union. Le chercheur Arnault Barichella pointe le cas roumain : « La Roumanie est un exemple d’un pays très exposé aux cyberattaques et pourtant, par manque de budget et de moyens, vu que c’est un État membre un peu plus pauvre, ils ont du mal à se protéger efficacement. Il représente ainsi l’un des principaux maillons faibles de l’UE. »
La Grèce n’est pas épargnée par ce constat. « @Beaucoup de pays, même en Europe du Sud, comme la Grèce par exemple, où c’est loin d’être une priorité », note-t-il, avant d’ajouter : « Le problème, c’est qu’on est très interconnecté au sein de l’UE, donc en raison de la structure du marché unique, si un État membre est mal protégé, il constitue un maillon faible. »
Pour Barichella, la Russie le sait et a tendance à cibler en priorité ce type de pays comme la Roumanie ou la Grèce, vu que c’est plus facile, avant que le virus ne se propage au reste du réseau européen. D’où, dit-il, la nécessité de renforcer la cohésion et la coopération au niveau de l’Union européenne.
Le baromètre CESIN de janvier 2025 donne une mesure de cette pression continue : 47 % des entreprises européennes ont subi au moins une cyberattaque réussie en 2024, un chiffre stable malgré la hausse des menaces recensées par l’Agence de l’UE pour la cybersécurité (ENISA), qui en a identifié neuf catégories principales en septembre 2024, des rançongiciels à la manipulation informationnelle en passant par les attaques sur les chaînes d’approvisionnement.
Un arsenal réglementaire encore inégal selon les pays
Face à cette pression, l’Union a construit un empilement de textes. La directive NIS 1, adoptée en 2016, a posé les premières obligations de protection des infrastructures critiques. Sa révision, NIS 2, élargit la liste des secteurs concernés et impose la notification des incidents aux autorités nationales.
Le Cyber Resilience Act, en vigueur depuis le 10 décembre 2024 et applicable pour l’essentiel en 2027, impose des exigences de sécurité tout au long du cycle de vie des produits numériques, avec un marquage CE pour les produits conformes. Le règlement DORA, applicable depuis le 17 janvier 2025, cible spécifiquement le secteur financier.
Côté budget, l’UE prévoyait d’investir 1,6 milliard d’euros pour la cybersécurité sur la période 2021-2027 dans le cadre du programme Digital Europe. Un financement supplémentaire de 1,3 milliard d’euros a été ajouté pour 2025-2027, ciblant notamment la protection des hôpitaux et des câbles sous-marins. Une constellation de satellites baptisée IRIS² (Infrastructure for Resilience, Interconnectivity and Security by Satellite), dotée d’un budget estimé à 6 milliards d’euros, doit garantir une connectivité résiliente dès 2027.
En France, la structure de défense repose sur trois agences : la DGSE, l’ANSSI et le ComCyber. François Deruty, directeur du renseignement sur les menaces chez Sekoia et ancien sous-directeur Opérations de l’ANSSI, en défend le bilan : « Elle est reconnue mondialement comme faisant partie des meilleures pour la partie opérationnelle et technique. DGSE, ANSSI, ComCyber… ça montre que cette structure-là, créée il y a quelque temps, fonctionne aujourd’hui et a démontré ses capacités opérationnelles. »
