C’est un document rare que viennent de publier l’ANSSI, le COMCYBER, la DGA, la DGSE et la DGSI, réunis au sein du Centre de Coordination des Crises Cyber (C4).

Ce 13 juillet 2026, la France a formellement attribué à la Russie une campagne d’espionnage informatique visant ses institutions les plus sensibles depuis les années 2010, dans deux déclarations distinctes : l’une portée par le ministre de l’Europe et des Affaires étrangères au nom de la France, l’autre par la Haute Représentante de l’UE au nom de l’ensemble des États membres.

Une nouvelle fois, la diplomatie cyber française se fait moins floue, en pointant directement du doigt les acteurs qu’elle accuse d’être derrière ces opérations malveillantes.

En avril 2025 et pour la première fois, la France attribuait officiellement à la Russie plusieurs cyberattaques, notamment via le groupe militaire russe GRU (APT28). // Source : X

Un service russe déjà repéré par plusieurs alliés

Derrière cette attribution, on retrouve le 16e Centre du service fédéral de sécurité de la Fédération de Russie (FSB), aussi identifié sous le nom d’unité militaire 71330.

Ce service de renseignement électronique disposerait, selon les autorités françaises, de onze centres d’interception répartis sur le territoire russe.

Selon le C4, l’unité 61240, basée près de Saint-Pétersbourg, est spécifiquement chargée de cibler la France. Elle entretiendrait des liens étroits avec des sociétés russes telles qu’AO AST ou NPP Gamma, déjà connues pour leur rôle d’appui aux opérations offensives des services russes.

Le mode opératoire employé, baptisé Turla par les autorités françaises, est loin d’être une découverte : plusieurs pays occidentaux l’ont déjà attribué à Moscou par le passé, et des éditeurs de cybersécurité le documentent sous d’autres noms : Secret Blizzard, Venomous Bear ou encore Waterbug.

Actif depuis au moins 2004, le groupe s’appuierait sur plusieurs malwares pour mener à bien leurs opérations. Parmi lesquels, Agent.BTZ et Uroburos, deux virus espions découverts au tournant des années 2010, mais aussi Kazuar, une backdoor plus récente et plus sophistiquée encore utilisée aujourd’hui en 2026.

Ministères, ambassade, justice : deux décennies de compromissions

La liste des victimes françaises dressée par le C4 est longue. Dès 2014, des entités ministérielles auraient été ciblées via Uroburos. À partir de 2017, ce sont des messageries de cadres du ministère des Armées qui auraient été compromises, une menace toujours active aujourd’hui.

En 2018, le réseau du ministère de l’Europe et des Affaires étrangères au sein de l’ambassade de France à Moscou est infiltré, avec exfiltration de données, un épisode qui fait écho à une campagne documentée par Microsoft en août 2025, visant plusieurs ambassades occidentales installées à Moscou. La même année, une entreprise française du secteur des technologies a vu plusieurs de ses machines transformées en relais pour l’infrastructure d’attaque.

En 2019, un serveur lié au secteur de la justice aurait également été compromis via une faille SharePoint, exposant potentiellement les données de plusieurs milliers de comptes utilisateurs. Le C4 recense des compromissions liées à l’opération Turla jusqu’en 2025.

Un espionnage qui s’inscrit dans la guerre en Ukraine

Le C4 souligne par ailleurs que ces activités s’intensifient dans le contexte de la guerre menée par la Russie contre l’Ukraine : Turla est aujourd’hui également utilisé pour collecter du renseignement sur Kiev et ses alliés européens, combinant hameçonnage ciblé et exploitation de vulnérabilités, parfois inédites.

Une continuité opérationnelle qui, selon Paris, illustre la permanence de la menace que représente ce service pour les intérêts français et européens.

Pour aller plus loin