Sector16 : un hacker russe plaide coupable pour avoir visé centrales et gazoducs en France

Le 1^er mai 2026 ^[1], un ressortissant russe connu sous le pseudonyme « Digit » ^[2] a plaidé coupable devant un tribunal fédéral du district central de Californie ^[3]. Artem Vladimirovich Revenskii ^[2], membre du groupe de piratage parrainé par le gouvernement russe Sector16 ^[4], a reconnu avoir conspiré pour endommager des infrastructures pétrolières et gazières aux États-Unis, en Ukraine, en Allemagne, en France et en Lettonie ^[5].

LES ENJEUX

Infrastructures critiques françaises ciblées

Sector16 a revendiqué des intrusions dans des centrales hydroélectriques en France, accédant aux systèmes de contrôle des turbines et des niveaux d'eau.

Une cyberguerre à bas coût

Couper l'électricité ukrainienne trois jours pour environ 60 000 dollars: le rapport coût-impact redéfinit la grammaire du conflit hybride.

Le levier judiciaire extraterritorial

Les chefs 18 U.S.C. § 1030, § 1343 et § 1028A offrent à Washington une cartographie des passerelles entre Alabuga et les services russes.

Pression hacktiviste record sur la France

845 mentions hostiles ciblant la France au T1 2025, +50 %, sans réponse publique coordonnée de l'ANSSI ou du SGDSN.

Financement par fraude hôtelière

Vols d'identité, réservations frauduleuses, partage 50/50 avec hôtels complices: une caisse noire visant 150 000 dollars en quelques mois.

Inculpé pour conspiration en vue d’endommager des ordinateurs protégés, fraude électronique et vol d’identité aggravé ^[6], il encourt jusqu’à 27 ans de prison fédérale ^[7]. L’accord de plaidoyer, conclu jeudi 30 avril ^[8] en échange d’une recommandation de peine réduite ^[9], ouvre une fenêtre rare sur les méthodes d’un groupe que Washington qualifie de bras armé cyber du Kremlin.

Une grille pénale fédérale

Les trois chefs retenus contre Revenskii s’appuient sur des piliers classiques du droit pénal fédéral américain: la conspiration pour endommager des ordinateurs protégés, la fraude électronique (wire fraud) et le vol d’identité aggravé (aggravated identity theft) ^[6]. C’est l’empilement de ces chefs qui produit le plafond théorique de 27 ans annoncé par le ministère de la Justice ^[7].

Du Texas à Poltava: la cartographie d’une offensive

Selon les pièces déposées au tribunal, Sector16 a pris en janvier 2025 le contrôle direct des pompes et des réservoirs de stockage d’une installation pétrolière au Texas ^[10]. Dans le Dakota du Nord, le groupe a piraté une exploitation pétrolière et gazière, puis élaboré un plan pour vendre cet accès au gouvernement russe ^[11]. Des installations industrielles à New York et en Pennsylvanie ont également été compromises ^[12].

L’opération la plus alarmante s’est déroulée en septembre 2025 ^[13], lorsque les pirates ont accédé à une installation de gaz naturel à Poltava, en Ukraine ^[14]. Revenskii a alors discuté avec ses complices d’un plan pour causer des dommages physiques en attaquant le matériel, en déformant le gazoduc et en surchargeant les équipements de ventilation et d’extraction ^[15]. Une prime de 75 000 dollars a été évoquée pour déclencher une détonation sur site ^[16]. Sur le plan stratégique, Revenskii a discuté d’une offre de cinq millions de roubles, soit environ 60 000 dollars ^[17], pour couper l’électricité ukrainienne pendant trois jours consécutifs ^[18]. « Le projet a déjà commencé. L’argent a été versé d’avance », écrivait-il à ses interlocuteurs ^[19].

Selon plusieurs sources, en décembre 2015 et 2016, le groupe Sandworm, lié au renseignement militaire russe (GRU), avait provoqué les premières coupures d’électricité jamais documentées causées par une cyberattaque, privant des centaines de milliers de foyers ukrainiens de courant. Plus récemment, l’attaque par rançongiciel contre une importante infrastructure énergétique américaine avait paralysé l’approvisionnement en carburant de la côte est. Le dossier Sector16 s’inscrit dans cette filiation: non plus un acte isolé, mais une routine industrielle.

La France dans le viseur: centrales hydroélectriques visées

Le volet français de l’affaire mérite une attention particulière. Sector16 a revendiqué des intrusions dans des centrales hydroélectriques en France et dans une papeterie en Allemagne ^[20]. Ces revendications ne sont pas isolées: en collaboration avec le groupe russe OverFlame ^[21], Sector16 a affirmé avoir obtenu un accès non autorisé aux systèmes de contrôle d’une installation hydroélectrique du sud de la France ^[22]. Les images de l’interface de contrôle suggéraient un système conçu pour gérer la régulation du niveau d’eau, le contrôle de la pression et la surveillance de la turbidité ^[23].

Sollicités, ni l’Agence nationale de la sécurité des systèmes d’information (ANSSI), ni les opérateurs hydroélectriques français, ni le ministère de la Transition énergétique n’ont répondu à nos demandes de commentaire au moment de la publication. Ce silence institutionnel - sur un incident touchant des infrastructures classées d’importance vitale au sens du Code de la défense - constitue en soi un fait notable. Aucune communication publique n’a été faite à ce jour sur l’éventuelle saisine du parquet national antiterroriste, compétent en matière d’attaques contre des systèmes d’information d’opérateurs d’importance vitale.

Pression hacktiviste: la France saturée, l’État muet

Cette campagne s’inscrit dans une vague plus large. Au premier trimestre 2025, le renseignement cyber Cyble a détecté 845 mentions d’activités hostiles ciblant la France ^[24] dans les canaux clandestins, en hausse de près de 50 % par rapport à 2024 ^[25]. Les attaques par déni de service distribué représentent 73 % des incidents ^[26]; les compromissions de systèmes industriels (ICS), 27 % ^[27]. NoName057(16) ^[28] concentre 30 % des attaques ^[29], Z-pentest 20 % ^[30].

Derrière ces chiffres, une cartographie sectorielle précise: Z-pentest a revendiqué un accès SCADA à une centrale hydroélectrique française avec captures d’écran des paramètres de contrôle des turbines ^[31], Golden Falcon Team a ciblé une application de surveillance de stations d’épuration municipales ^[32], et l’Île-de-France apparaît comme la région la plus exposée ^[33]. Énergie, eau, transport: trois maillons de la chaîne logistique civile sont travaillés simultanément. Pourtant, aucune communication coordonnée de l’ANSSI, du SGDSN ou du ministère de l’Intérieur n’a été rendue publique sur cette série d’incidents. Cet écart entre l’intensité documentée des attaques et la rareté de la parole officielle française est, en soi, un angle mort de la doctrine cyber nationale.

Alabuga: fonctionnaire le jour, hacker la nuit?

Avant son arrestation en République dominicaine le 2 novembre 2025 ^[34] et son transfert vers Newark dans le New Jersey ^[35], Revenskii travaillait dans la zone économique spéciale d’Alabuga, en Tatarstan ^[36]. En 2023 ^[37], il y occupait le poste de chef spécialiste du module analytique du Service des Projets Spéciaux ^[38], pour 2,1 millions de roubles annuels ^[39]. Cette zone abrite la production de drones, dont la version russe du Shahed iranien ^[40].

C’est ici que le dossier devient vertigineux. Comment un cadre salarié d’une zone industrielle stratégique russe - déjà sous sanctions occidentales pour son rôle dans la production de drones d’attaque - peut-il, en parallèle, coordonner des opérations de sabotage contre des gazoducs ukrainiens et des centrales françaises? Deux hypothèses s’affrontent, et les pièces judiciaires américaines ne tranchent pas. Première lecture: Alabuga sert de couverture institutionnelle, et le service interne dans lequel travaillait Revenskii ^[38] est précisément l’interface entre l’industrie de défense russe et les opérations cyber offensives. Seconde lecture: Revenskii menait une double vie, et son employeur ignorait ses activités nocturnes. Ni le Kremlin, ni la direction d’Alabuga n’ont apporté la moindre clarification sur la nature exacte de ce service. Cet unanimisme du non-dit est, à ce stade, l’élément le plus parlant du dossier.

La fraude hôtelière, caisse noire du hacktivisme

Pour financer les opérations de Sector16, le groupe avait monté un dispositif d’auto-financement aussi banal que redoutablement efficace: la fraude aux réservations hôtelières. Le mécanisme repose sur trois étages. Premier étage: le vol d’identités personnelles, collectées sur des marchés clandestins ou par phishing, qui servent à ouvrir des moyens de paiement frauduleux. Deuxième étage: la réservation de chambres d’hôtel à grande échelle avec ces fonds détournés ^[41]. Troisième étage, le plus original: un partage des recettes à hauteur de 50 % ^[42] avec des établissements hôteliers complices, qui acceptent en contrepartie de ne pas signaler ces transactions comme suspectes ^[41]. Le dispositif visait plus de 150 000 dollars de bénéfices en quelques mois en 2024 ^[43].

L’intérêt opérationnel est double. D’une part, ce schéma génère des liquidités intraçables, qui n’apparaissent dans aucun virement bancaire entre la Russie et les opérateurs cyber. D’autre part, il blanchit le financement à la source: pour les autorités de régulation, il s’agit de simples litiges de fraude à la carte bancaire, pas d’un flux de financement d’opérations contre des infrastructures critiques étrangères. Cette caisse noire artisanale a ainsi pu nourrir, en parallèle des éventuels financements étatiques, l’achat d’accès, d’outils et de services nécessaires aux opérations de Sector16 - et constitue, à ce titre, l’un des éléments les plus instructifs du dossier sur la mécanique économique réelle du hacktivisme parrainé.

La guerre asymétrique à 60 000 dollars

Au-delà de la chronique judiciaire, le dossier Revenskii révèle une mécanique économique vertigineuse. Couper l’électricité d’un pays en guerre pour 60 000 dollars ^[17]: c’est le rapport coût-dégât d’une cyberguerre asymétrique poussée à son point d’efficacité maximale. Pour le prix d’un véhicule de luxe, un acteur étatique achète la possibilité d’une catastrophe civile. Le décalage entre l’investissement et l’impact potentiel - hôpitaux à l’arrêt, chaîne du froid rompue, signalisation ferroviaire neutralisée - redéfinit la grammaire du conflit hybride.

Cet angle mort est confirmé par les chiffres du secteur énergétique. Selon une étude Sophos de juillet 2024 ^[44] portant sur 275 responsables IT ^[45] dans 14 pays ^[46], 67 % des organisations énergie, pétrole et gaz ont subi une attaque par rançongiciel sur l’année écoulée ^[47]. Un rapport publié en janvier 2025 ^[48] documente une hausse de 80 % des attaques contre l’énergie et les utilities sur 2024 ^[49]. Deux chiffres incompatibles à première vue: Cyble compte les mentions hostiles contre la France (+50 %), l’autre baromètre mesure les attaques par rançongiciel dans le secteur énergie mondial (+80 %). Périmètres et méthodologies distincts, conclusions convergentes: la pression sur les infrastructures critiques s’intensifie.

Le levier extraterritorial

L’enjeu dépasse Revenskii. Selon avia-pro.net, média russe spécialisé en aviation, Washington pourrait utiliser sa compétence extraterritoriale pour exercer une pression supplémentaire sur Moscou ^[50]. Le témoignage attendu du hacker ^[51], lié à l’écosystème militaro-industriel d’Alabuga, fournirait aux procureurs américains une cartographie inédite des passerelles entre cybercriminalité et services russes. Pour la France, dont les centrales hydroélectriques figurent désormais sur les tableaux de chasse de Sector16 ^[20], l’enjeu est moins théorique qu’il n’y paraît: les images de salles de contrôle compromises circulent déjà sur Telegram ^[23].