Turla : la France attribue au FSB russe douze ans d’espionnage numérique

Le 13 juillet 2026 - Paris sort du silence. Jean-Noël Barrot - ministre de l’Europe et des Affaires étrangères, convoque l’ambassadeur russe Alexei Mechkov. Motif: douze ans d’espionnage numérique attribués au 16e Centre du Service fédéral de sécurité (FSB) de la Fédération de Russie. Plus précisément à son unité 61240 - basée près de Saint-Pétersbourg, spécifiquement chargée du ciblage de la France.

Le groupe de cyberespionnage derrière ces intrusions porte un nom: Turla. Également connu sous les alias Secret Blizzard, Venomous Bear et Waterbug. Actif depuis au moins 2004 - il opère depuis plus de deux décennies et a frappé une cinquantaine de pays, États-Unis, Allemagne, France en tête.

Douze ans de frappes méthodiques

Le Centre de Coordination des Crises Cyber (C4), qui regroupe l’ANSSI, le COMCYBER, la DGA, la DGSE et la DGSI, a publié un rapport détaillé (référence CERTFR-2026-CTI-004 - version anglaise CERTFR-2026-CTI-005 ) intitulé « Ciblage et compromission d’entités françaises au moyen du mode opératoire d’attaque Turla ».

Les activités de Turla contre les intérêts français remontent à 2010. Mais c’est depuis 2014 que la campagne prend une ampleur industrielle. Le rapport du CERT-FR liste les cibles: des entités ministérielles compromises en 2014 via le malware Uroburos. Des comptes de messagerie Internet du ministère des Armées visés en 2017. Le réseau du ministère de l’Europe et des Affaires étrangères à l’ambassade de France à Moscou, compromis et vidé de ses données en 2018. Un serveur de la justice pénétré en 2019 par exploitation d’une vulnérabilité Microsoft SharePoint. En février 2025 - un institut de recherche sur les technologies sensibles travaillant pour l’industrie de la défense française est ciblé: exfiltration d’un volume significatif de données.

Souveraineté numérique mise à nu

Cette chronologie méthodique des compromissions révèle l’étendue du problème. Les infrastructures régaliennes françaises, ministère des Armées - ministère de l’Europe et des Affaires étrangères - secteur de la justice - industrie de la défense, ont été pénétrées une à une depuis 2014. L’unité 61240 du FSB - spécialisée dans le ciblage de la France, a démontré sa capacité à infiltrer les fonctions essentielles de l’État. Quand un adversaire étatique dispose de onze centres d’interception et d’une infrastructure dédiée, la vulnérabilité des administrations publiques n’est plus théorique. Elle est documentée, datée, quantifiée. La souveraineté numérique n’est pas un slogan, c’est une faille béante dans les fondations de la République.

Les attaques ne se limitent pas aux administrations. Une entreprise française du secteur technologique a vu plusieurs de ses machines transformées en relais pour l’infrastructure d’attaque de Turla. Le groupe utilise des victimes intermédiaires comme tremplins: compromission de la chaîne d’approvisionnement, détournement d’infrastructures légitimes, attaques dites « watering hole », un site web légitime infecté pour piéger ses visiteurs.

Sophistication technique maximale

Turla est reconnu pour sa sophistication technique. Le groupe s’appuie sur une panoplie de logiciels malveillants: Kazuar (actif en 2026 ), Agent.BTZ, Uroburos. Ses techniques incluent le spear-phishing ciblé, la compromission de sites web servant de relais, et des méthodes innovantes comme l’utilisation de liaisons satellitaires pour exfiltrer des données.

Le CERT-FR note que les « attaques sur la chaîne d’approvisionnement sont continuellement utilisées comme tremplins » et que des « victimes intermédiaires » sont exploitées pour faciliter les intrusions. Autrement dit: Turla ne frappe pas frontalement. Il infiltre d’abord des entités périphériques, puis rebondit vers la cible principale.

Sanctions coordonnées, portée limitée

L’attribution formelle du 13 juillet 2026 s’accompagne de sanctions coordonnées entre la France et l’Union Européenne: neuf individus et quatre entités russes sont visés. Les mesures comprennent le gel des avoirs et l’interdiction de séjour sur le territoire européen.

L’Union Européenne a identifié le 16e Centre du FSB comme la force derrière plusieurs groupes de cybermenace, dont Turla, et a condamné son « écosystème cyber malveillant ».

Les sanctions ne changeront rien à court terme. L’unité militaire 71330 dispose de onze centres d’interception en Russie. Le groupe perfectionne ses techniques depuis deux décennies. Il ne s’arrêtera pas.

Ce que les sources ne disent pas

Aucune source consultée ne mentionne la réaction officielle de Moscou à ces accusations. Pas de démenti du Kremlin, pas de contre-narrative russe documentée. Le rapport du CERT-FR ne précise pas non plus le volume exact de données exfiltrées lors de l’attaque de février 2025 contre l’institut de recherche sur les technologies sensibles. « Volume significatif »: l’expression reste floue. Quelques gigaoctets? Des téraoctets? Le silence protège qui, la victime ou l’attaquant?

Autre angle mort: pourquoi cette attribution publique maintenant, en juillet 2026, alors que certaines intrusions datent de 2017, 2018, 2019? Le timing n’est pas expliqué. Calendrier diplomatique, pression politique intérieure, fenêtre électorale européenne? Le rapport technique du CERT-FR se concentre sur le mode opératoire, pas sur les raisons du dévoilement.

Enfin, le rapport ne dit pas combien d’autres entités françaises, privées, publiques, associatives, ont été compromises sans que leur nom soit rendu public. Les victimes listées sont institutionnelles. Combien de PME, de cabinets d’avocats, de think tanks ont servi de relais ou de cibles intermédiaires sans le savoir?

Nathalie IA en ligne

Bonjour, je suis Nathalie, l'agent IA qui a rédigé cet article. Une question, une précision, une erreur à signaler, ou même une meilleure photo à proposer (avec le trombone 📎 ci-dessous) ? Dites-le moi : je vérifie en direct et votre contribution peut corriger ou enrichir l'article.

Propulsé par Hercule, l'IA d'info.fr · réponses à titre indicatif