L’attribution de cyberattaques au groupe Turla par l’Europe est un acte politique majeur. Elle révèle l’escalade des défis techniques, l’impact de l’IA sur le cyberespionnage russe et la nécessité d’une autonomie stratégique européenne face à ces menaces persistantes et aux sanctions étatiques.
La récente attribution publique par la France, rejointe par ses partenaires européens, d’une série d’attaques informatiques au groupe Turla, lié au service de renseignement russe FSB, constitue un message politique fort. Cette démarche vise à adresser un signal clair sur le territoire numérique. Cet événement met en lumière l’escalade des défis techniques auxquels sont confrontés les experts en analyse CTI face aux menaces russes dans le paysage du cyberespionnage.
La menace de Turla, l’anatomie d’une attribution et ses répercussions
François Deruty, de chez Sekoia, une plateforme de sécurité opérationnelle s’appuyant sur l’intelligence artificielle (IA) pour la détection et réponse aux attaques informatiques, distingue deux niveaux d’attribution.
Il y a l’attribution technique qui repose sur la capacité à relier des attaques spécifiques au mode opératoire de Turla. Puis, il y a l’attribution politique qui est un message public. Ce n’est pas une première. Une attribution similaire ayant été faite il y a un an à APT28, un autre groupe lié au GRU, le renseignement militaire russe.
L’attribution à Turla, rattaché au FSB, s’est déroulée « lundi midi juste avant le défilé du 14 juillet où il y avait Zelenski qui était présent, il y avait l’armée ukrainienne qui défilait ». Il souligne la dimension symbolique et le puissant message politique envoyé.
Une telle divulgation publique, bien que nécessaire, contraint les attaquants à faire évoluer leurs méthodes. « Quand on donne des éléments techniques, notamment des capacités de détection, évidemment les attaquants en face, ils peuvent changer leur infrastructure », explique François Deruty. Cette dynamique s’apparente à un jeu du chat et de la souris. Il s’agit d’une course constante entre les défenseurs et les attaquants où l’adaptation demeure primordiale.
Cependant, l’impact d’une telle divulgation est généralement maîtrisé pour l’État. Les attaquants ont déjà sûrement et on sait commencer à faire évoluer leur moyen d’attaquer des différentes cibles et que du coup l’impact est quand même maîtrisé.
Les équipes de Cyber Threat Intelligence (CTI) sont en première ligne. Elles utilisent des « pots de miel (Honeypots) » déployés globalement pour surveiller et détecter les attaques. Ces équipes font face à des modes opératoires de cybermenace particulièrement furtifs :
- Polymorphisme des malwares
Les groupes comme Turla exploitent l’IA pour générer rapidement des centaines de versions différentes d’un même code malveillant. Chacune avec une signature unique, rendant la détection extrêmement ardue. « L’intelligence artificielle permet de dire… “je voudrais que tu m’en fasses 200 versions mais avec des signatures différentes qui soient pas la même que la première” », détaille François Deruty, comparant ce processus à celui d’un virus qui mute.
- Exfiltration satellitaire
Turla est connu pour des méthodes d’exfiltration de données très discrètes. Elles impliquent l’utilisation de flux satellitaires pour acheminer des informations. Ce procédé, presque indétectable pour les entités privées, permet aux attaquants de « s’en servir entre deux satellites, ils envoient des données et ils les exfiltrent en les récupérant au milieu ».
- Compromission d’infrastructures étatiques
Ils peuvent également compromettre les systèmes d’interception légale des télécommunications des opérateurs dans certains pays. Il dépasse les capacités de surveillance des entreprises privées.
- Partage d’infrastructures
L’attribution est rendue plus difficile par le fait que les services de renseignement russes (FSB, GRU, SVR) partagent parfois leurs infrastructures d’attaque ou leurs modes opératoires. Le malware Kasuar, par exemple, lié à Turla, a montré des similitudes avec le mode opératoire Gamaredon. Le C4, la structure française mentionnée dans les documents officiels et regroupant « plusieurs entités des armées françaises du ministère de l’intérieur et de l’agence nationale de cybersécurité », dispose des moyens d’aller plus loin dans l’attribution précise.
Les cibles privilégiées de Turla sont claires. « Turla se concentre sur le renseignement stratégique : gouvernements, ministères (affaires étrangères, défense, intérieur), entités sensibles et même des ONG qui constituent des dossiers contre la Russie. L’objectif est l’espionnage stratégique de haut niveau au sein des pays européens et de l’OTAN », précise François Deruty.
Au-delà des protections techniques, des vulnérabilités organisationnelles persistent, souvent liées aux facteurs humains. Les VIP en déplacement utilisent des équipements moins sécurisés ou personnels. Ils représentent un angle mort significatif, créant des points d’entrée inattendus pour les attaquants.
L’avenir du cyberespionnage à l’ère de l’IA et de l’autonomie stratégique
L’IA va drastiquement accélérer la recherche de vulnérabilités et le déploiement d’attaques. François Deruty avertit. « Les groupes d’attaquants l’ont bien compris : avec les intelligences artificielles, je peux taper à la porte de tout un tas d’équipements en quelques minutes, récupérer ceux qui sont vulnérables ». Cette course à la vitesse représente un défi majeur pour les trois à cinq prochaines années.
L’Etat et le citoyen dans la lutte contre le cyberespionnage
Face à cette escalade, l’Europe doit développer son autonomie stratégique en matière d’IA et de cybersécurité. Le continent ne doit donc pas dépendre de solutions étrangères. L’émergence de champions européens est cruciale pour la défense.
Si le citoyen lambda n’est pas une cible directe de Turla, il est fortement impacté par la cybermenace globale : hameçonnage, fuites de données, fraudes. Ces données, une fois sur le marché noir, peuvent être exploitées par des groupes de haut niveau pour des attaques ciblées. La sensibilisation reste primordiale. Pour cause, tout employé, même à un niveau modeste, peut devenir un point d’entrée pour les attaquants.
La fin de l’impunité des cyberattanquants
La lutte contre ces menaces exige une coopération renforcée entre secteurs public et privé, ainsi qu’à l’échelle internationale (Europol, C4 en France). L’impunité des cyberattaquants diminue progressivement grâce aux efforts judiciaires. C’est notamment le cas en France avec le Parquet Cyber G3, qui obtient de plus en plus de résultats concrets. Les personnes nommées dans les documents officiels font l’objet de mandats d’arrêt. Ils signifient qu’ils ne pourront plus sortir de Russie, marquant des progrès tangibles dans les sanctions étatiques contre le groupe Turla.
La cyberstratégie comme arme au XXIe siècle
Contrairement à la dissuasion nucléaire, l’arme cyber devient désormais une « arme d’emploi ». Elle est utilisée quotidiennement et en parallèle de conflits physiques pour « désactiver l’électricité, perturber l’eau, perturber les télécommunications » et en synergie avec des « stratégies de désinformation sur les réseaux sociaux », illustrant son intégration totale dans la guerre hybride.
Des initiatives comme Pall Mall tentent de réguler certains outils d’espionnage (NSO, Pegasus). Cependant, la réponse à une attaque cyber reste proportionnée, non pas nécessairement par une riposte cyber, mais par les moyens jugés adéquats. Le paysage de la cybersécurité est donc en constante mutation, exigeant agilité, innovation et coopération pour faire face à des menaces de plus en plus sophistiquées.
