Cyberespionnage : la France accuse officiellement le FSB russe

La France a officiellement attribué, lundi 13 juillet 2026, plusieurs opérations de cyberespionnage au 16e Centre du Service fédéral de sécurité russe, le FSB. Paris accuse plus précisément l’unité 61240, présentée comme chargée du ciblage de la France, d’avoir utilisé le mode opératoire Turla contre des ministères, la diplomatie, la justice et l’industrie de défense. L’ambassadeur de Russie doit être convoqué et l’Union européenne a adopté des sanctions contre neuf personnes et quatre entités appartenant à l’écosystème cyber russe.

Cette accusation concerne une campagne durable visant des institutions directement liées à la souveraineté nationale.

Des ministères et l’industrie de défense visés

Le ministère des Affaires étrangères affirme que Turla a ciblé des comptes de messagerie du ministère des Armées depuis 2017. Le réseau de l’ambassade de France à Moscou a été attaqué en 2018, puis un serveur d’une entité du secteur judiciaire a été compromis en 2019.

En février 2025, un institut travaillant sur des technologies sensibles pour l’industrie française de défense aurait été infiltré, avec l’exfiltration d’un « volume significatif » de données. Les autorités ne précisent ni son identité ni la nature exacte des informations dérobées.

Le rapport du Centre de coordination des crises cyber indique que les victimes françaises comprennent des ministères ainsi que des acteurs de la diplomatie, de la défense, de la justice et des technologies. Turla serait utilisé depuis au moins 2004 pour espionner des institutions et des personnes à travers le monde.

Une attribution fondée sur plusieurs services

L’attribution repose sur les travaux du Centre de coordination des crises cyber, ou C4. Cette structure réunit l’Agence nationale de la sécurité des systèmes d’information, la DGSE, la DGSI, la Direction générale de l’armement et le Commandement de la cyberdéfense.

Une attribution étatique ne constitue pas une condamnation pénale. Elle représente cependant un acte diplomatique lourd : la France engage officiellement sa crédibilité en désignant un service russe, une unité précise et un mode opératoire documenté.

En avril 2025, Paris avait déjà attribué au renseignement militaire russe, le GRU, des attaques conduites avec APT28 contre une douzaine d’entités françaises. La nouvelle déclaration vise cette fois le FSB et Turla, ce qui suggère l’engagement de plusieurs branches du renseignement russe contre les intérêts français.

Neuf personnes et quatre entités sanctionnées

Jean-Noël Barrot a annoncé la convocation prochaine de l’ambassadeur russe à Paris. L’Union européenne a parallèlement sanctionné neuf individus et quatre entités impliqués dans des cyberattaques ou dans leur soutien matériel.

Les mesures prévoient le gel des avoirs présents dans l’Union, l’interdiction de fournir des fonds aux personnes et organisations visées et, pour les individus, l’interdiction d’entrer ou de transiter sur le territoire européen.

Ces sanctions dépassent la seule campagne Turla. Elles visent notamment des fournisseurs d’hébergement utilisés par des cybercriminels, des groupes prorusses ayant attaqué des infrastructures énergétiques ou hydrauliques, des soutiens techniques du GRU et des développeurs de logiciels malveillants.

Une menace directe pour la souveraineté française

Le cyberespionnage recherche des secrets diplomatiques, militaires, scientifiques ou industriels. Les informations volées peuvent aider un État à anticiper les décisions françaises, contourner des technologies de défense ou préparer de futures opérations de sabotage.

L’Union européenne accuse le 16e Centre du FSB d’avoir également ciblé l’Allemagne, la Pologne, les Pays-Bas, la Finlande et plusieurs autres États. En Pologne, des opérations attribuées au même acteur auraient visé les secteurs de l’eau et de l’énergie dans une logique de sabotage.

Paris relie ces attaques à une stratégie hybride mêlant espionnage, désinformation, ingérences politiques et déstabilisation. Le ministère insiste sur les élections françaises de 2027, période durant laquelle institutions, partis, médias et prestataires numériques seront particulièrement exposés.

Les sanctions ne remplaceront pas la protection technique

Désigner publiquement l’agresseur est nécessaire, mais ne suffit pas. Les sanctions ont une portée limitée lorsque les responsables ne possèdent aucun avoir en Europe et ne prévoient pas d’y voyager. La protection réelle dépend d’abord de la sécurisation des messageries, des administrations, des entreprises de défense et de leurs sous-traitants.

La cybersécurité doit être traitée comme une mission régalienne au même titre que la défense du territoire. L’accusation du 13 juillet montre que des services étrangers cherchent déjà à pénétrer les institutions françaises. La réponse devra combiner sanctions, contre-espionnage et protection technique, sans attendre qu’une opération de renseignement se transforme en sabotage.