Opérations d’influence et cyberopérations imputées à des acteurs russes par les autorités françaises et leurs partenaires. Chaque dossier distingue l’attribution à un réseau, à un service ou à l’État.
Les liens décrivent une relation entre États et renvoient aux fiches réciproques quand elles existent.
La Russie a lancé l’invasion à grande échelle de l’Ukraine en février 2022. L’Assemblée générale de l’ONU a exigé le retrait des forces russes; la fiche Ukraine décrit le point de vue du pays agressé.[30]
Ouvrir la fiche UkraineLes faits, récits médiatiques et paroles politiques sont classés du plus récent au plus ancien et clairement distingués.
Reste du monde · Gravité 1/5 — Mineure
#Des frappes ukrainiennes ont endommagé plusieurs centres de données de Yandex en octobre 2026 et perturbé des services. Cloudflare a constaté l’effondrement du trafic vers Yandex Search (AS13238), presque entièrement composé de robots d’indexation vérifiés, et une baisse sur Yandex.Cloud (AS200350). Pour un client suivi, des bots malveillants ont ensuite migré vers d’autres hébergeurs. Cloudflare n’a observé aucune variation anormale du trafic des réseaux sociaux : le trafic depuis des adresses russes a baissé de 0,6 % et le trafic mondial a augmenté de 1,2 % pendant la période.[17][18][19][20]
Attribution : Les frappes sont attribuées à l’Ukraine. Les activités russes de Yandex sont aujourd’hui exploitées par IPJSC Yandex, société constituée en Russie. La société mère néerlandaise les a cédées en 2024 à un consortium mené par des membres de la direction de ces activités russes; elles représentaient plus de 95 % du chiffre d’affaires consolidé du groupe sur les neuf premiers mois de 2023. Aucun membre du consortium ne détient seul une participation de contrôle. Nous classons donc ces opérations sous Russie selon le pays de la société concernée et l’origine de sa direction, sans en déduire une direction par l’État russe. Les mesures HTTP de Cloudflare ne comptent pas les comptes ou publications de désinformation sur les réseaux sociaux. Les données disponibles ne démontrent donc pas une chute des bots d’influence; elles montrent surtout l’interruption du crawl de recherche et le déplacement de certains bots malveillants hébergés sur Yandex.Cloud.
Portée établie : Perturbations de services Yandex confirmées; effet sur les opérations d’influence non établi.
Ciblant la France · Gravité 4/5 — Élevée
#Les autorités françaises ont indiqué que des opérations attribuées au 16e Centre du FSB et à l’unité militaire 61240 ont ciblé des intérêts français depuis 2010. Les compromissions rendues publiques comprennent des comptes de messagerie du ministère des Armées depuis 2017, le réseau du ministère des Affaires étrangères à l’ambassade de Moscou en 2018, une entité du secteur judiciaire en 2019 et un acteur technologique en 2025. Des victimes intermédiaires ont aussi servi de relais.[7][8]
Attribution : Attribution publiée par la France et l’UE au FSB, avec désignation d’unités et description de la chaîne de compromission par l’ANSSI/C4. Les éléments publics n’établissent pas que chaque incident cité ait la même finalité ou le même degré de compromission.
Portée établie : Collecte de renseignement et accès à des comptes ou réseaux; les détails non publiés restent hors de ce résumé.
Ciblant la France · Gravité 3/5 — Modérée
#VIGINUM a documenté une opération visant notamment Pierre-Yves Bournazel, avec le faux site « Macron avec Bournazel » et une vidéo prétendant qu’il voulait transformer le Centre Pompidou en refuge pour migrants. Le bilan public des municipales 2026 relève plusieurs ingérences numériques, dont des opérations prorusses. VIGINUM indique que l’audience de cette opération est restée limitée.[24][25]
Attribution : VIGINUM attribue ce mode opératoire à Storm-1516, opération informationnelle russe. L’attribution repose sur le rapprochement des infrastructures, contenus et méthodes avec des opérations antérieures. Le rapport décrit une portée limitée; il ne démontre pas d’effet sur le résultat du scrutin.
Portée établie : Tentative de déstabilisation de la campagne et de la confiance électorale; effet sur les votes non établi.
Reste du monde · Gravité 5/5 — Très élevée
#Une attaque coordonnée a visé des installations éoliennes et solaires, une entreprise industrielle et une centrale de chaleur. Le malware cherchait à détruire des systèmes informatiques et de contrôle industriel. Les réseaux électriques sont restés stables et aucune interruption d’alimentation n’a été constatée.[26][28][27]
Attribution : Le CERT Polska rapporte que les infrastructures et flux recoupent largement le cluster suivi sous les noms Static Tundra, Berserk Bear, Ghost Blizzard ou Dragonfly. Le ministère polonais de l’Énergie qualifie l’opération d’attaque étatique; l’ANSSI indique explicitement que le FSB a employé Berserk Bear contre des infrastructures électriques polonaises en décembre 2025. Cette attribution est étayée par les autorités; le blackout n’a pas eu lieu.
Portée établie : Tentative de sabotage informatique et OT; pas de coupure électrique ni de déstabilisation du réseau constatée.
Ciblant la France · Gravité 3/5 — Modérée
#La Poste a confirmé une attaque par déni de service distribué d’ampleur inédite, qui a rendu indisponibles plusieurs systèmes centraux et perturbé le suivi des colis ainsi que certains services de la Banque Postale. Le groupe NoName057(16) a revendiqué l’opération.[21][22][23]
Attribution : La revendication est celle de NoName057(16), réseau cybercriminel prorusse décrit par Europol. La DGSI a été saisie de l’enquête. Aucune attribution publique définitive de cette attaque au gouvernement russe n’est établie; une orientation prorusse ne prouve pas une commande du Kremlin.
Portée établie : Perturbations de services en ligne et de suivi; la livraison a continué et les services ont été rétablis progressivement. Aucun effet politique n’est établi.
Reste du monde · Gravité 3/5 — Modérée
#Le mécanisme de réponse rapide du G7 a relevé plus de 450 contenus liés, avec un haut degré de confiance, à des opérations telles qu’Overload, Portal Kombat, Undercut et Storm-1516. Les méthodes incluaient l’usurpation de médias, des récits contre Maia Sandu et la promotion de faux contenus. L’activité s’est intensifiée pendant le week-end électoral.[15]
Attribution : L’analyse canadienne du mécanisme G7 établit des liens de contenu et de méthode avec des réseaux prorusses. Elle ne prétend pas que chacun des 450 contenus a été directement produit par un service russe.
Portée établie : Tentative de fragiliser la confiance dans les institutions et le scrutin; le rapport ne conclut pas que le résultat électoral ait été altéré.
Récit d’un média · TASS · agence de presse publique russe
#Le reportage met en avant les appels à la démission, les slogans contre l’Europe et l’opposition au soutien occidental à l’Ukraine, à partir d’un rassemblement particulier à Paris.[33][34]
Statut et influence de l’État : TASS est une agence appartenant à l’État russe. Son statut public est établi; cela ne signifie pas que chaque article soit dicté par le Kremlin.
Limites : Un reportage sur une manifestation ne mesure pas la représentativité des slogans ni le soutien de la population française à ces positions.
Ciblant la France · Gravité 3/5 — Modérée
#Le rapport technique de VIGINUM analyse 77 opérations documentées jusqu’au 5 mars 2025. Parmi les contenus visant la France figurent un faux site usurpant la charte de la coalition « Ensemble » et promettant une « prime Macron » en échange d’un vote, ainsi que des récits visant des responsables politiques. Le dispositif utilise de faux sites, des vidéos de prétendus lanceurs d’alerte et des comptes amplificateurs.[14]
Attribution : VIGINUM relie le mode opératoire à des acteurs russes à partir des récits, des infrastructures et de la chaîne de diffusion. L’attribution concerne le réseau Storm-1516 et ne signifie pas que chaque relais ou influenceur était nécessairement conscient de participer à l’opération.
Portée établie : Usurpation de sources et manipulation du débat électoral; aucune preuve présentée que ces contenus aient changé le résultat du scrutin.
Ciblant la France · Gravité 4/5 — Élevée
#Le ministère des Affaires étrangères a publiquement attribué au renseignement militaire russe plusieurs cyberattaques visant la France. Le périmètre présenté comprend le piratage de la campagne présidentielle d’Emmanuel Macron en 2017, l’attaque de TV5Monde en 2015 et des tentatives contre une organisation sportive en lien avec les Jeux de Paris. L’ANSSI décrit séparément une campagne APT28 menée de 2021 à 2024 contre une dizaine d’entités françaises pour collecter du renseignement.[4][5][6]
Attribution : Attribution officielle française au GRU, fondée sur l’analyse des incidents et leur rapprochement avec le mode opératoire APT28; l’Union européenne avait déjà relié ce mode opératoire à la Fédération de Russie. C’est une attribution étatique publique, pas une simple déduction fondée sur la langue ou l’origine d’une adresse IP.
Portée établie : Intrusions et tentatives d’intrusion à des fins de collecte; la publication ne dit pas que les opérations ont modifié un résultat électoral.
Ciblant la France · Gravité 4/5 — Élevée
#VIGINUM a décrit une campagne prorusse active depuis septembre 2023 : de faux contenus (vidéos, graffitis ou mèmes) sont mis en circulation, puis des comptes coordonnés interpellent médias et vérificateurs pour les pousser à traiter ces faux. L’opération a ciblé des acteurs français et ceux de plus de 60 pays. En novembre 2023, VIGINUM avait également documenté l’amplification automatisée de graffitis antisémites attribués à des tiers à Paris.[12][13]
Attribution : L’existence de la campagne et ses procédés sont documentés par VIGINUM. Le rôle de comptes d’amplification ne prouve pas que les opérateurs ont eux-mêmes réalisé les actes physiques mis en scène; les responsabilités doivent rester dissociées.
Portée établie : Surcharge des rédactions et fact-checkers, diffusion de faux récits, instrumentalisation de faits sensibles en France.
Parole politique · Vladimir Poutine
#Président de la Fédération de Russie · discours annuel à l’Assemblée fédérale
En réponse au débat sur l’éventualité d’un déploiement occidental en Ukraine, Poutine avertit des conséquences « tragiques » pour les pays concernés et invoque les précédentes invasions de la Russie par Napoléon et Hitler. La déclaration vise les pays occidentaux, dans un contexte où Emmanuel Macron venait de refuser d’exclure cette possibilité.[35][36]
Limites : La menace est formulée à l’égard de plusieurs pays occidentaux, pas de la France seule. Il s’agit d’une déclaration politique officielle; elle ne décrit pas une décision militaire déjà prise.
Ciblant la France · Gravité 3/5 — Modérée
#VIGINUM a identifié 193 portails automatisés qui republiaient des sources prorusses sans production éditoriale originale, en promouvant notamment les récits justifiant l’invasion de l’Ukraine. Les publics français et ceux d’autres pays soutenant Kyiv étaient visés. Une analyse ultérieure a décrit l’extension du réseau à 224 domaines. VIGINUM a relié la création et l’administration de sites à l’entreprise russe TigerWeb, installée en Crimée et dirigée notamment par un citoyen russe.[9][10][11]
Attribution : VIGINUM documente l’architecture, les contenus et les opérateurs du réseau; TigerWeb est reliée à la fabrication et à l’administration des portails. Cela établit une opération prorusse et des acteurs russes, mais ne démontre pas à lui seul un ordre direct du Kremlin.
Portée établie : Amplification de contenus favorables au récit du pouvoir russe auprès des audiences françaises et européennes.
Ciblant la France · Gravité 4/5 — Élevée
#Après la restitution de la base de Gossi le 19 avril 2022, un drone français a filmé des hommes de Wagner constituant un faux charnier sur le terrain. Le compte « Dia Diarra » a ensuite diffusé des images en accusant les forces françaises d’avoir laissé un charnier. Le Sénat décrit l’opération comme une tentative de fabriquer une preuve contre la France, dans le contexte de son retrait du Mali.[1][2]
Attribution : Le rapport sénatorial attribue la mise en scène à Wagner, groupe paramilitaire russe, à partir des images et de leur chronologie. Il ne désigne pas d’ordre direct du Kremlin; l’attribution porte donc sur Wagner et l’opération russe au sens de l’acteur, pas sur une chaîne de commandement étatique démontrée.
Portée établie : Tentative documentée de faire accuser la France de crimes de guerre; le rapport ne démontre pas que cette opération ait, à elle seule, déterminé le retrait français ni l’opinion malienne.
Récit d’un média · Sputnik France · agence internationale
#L’article met en avant les propos de Julian Assange sur d’éventuelles révélations concernant Emmanuel Macron pendant la campagne présidentielle française. Une analyse comparative note que des médias pro-Kremlin ont adopté des titres alarmistes autour de ces révélations.[31][32][34]
Statut et influence de l’État : Sputnik est exploité par Rossiya Segodnya, groupe médiatique public russe. Son financement et sa gouvernance relèvent de l’État russe; cela ne prouve pas qu’un responsable ait commandé cet article précis.
Limites : Cet exemple illustre un cadrage d’article, pas une preuve que Sputnik ait créé les fuites ou piloté une opération. Le récit ne représente pas la presse russe dans son ensemble.
Reste du monde · Gravité 4/5 — Élevée
#Un rapport de la Délégation parlementaire au renseignement retrace la demande russe de dérogation à l’embargo sur les armes en 2017, à laquelle la France ne s’est pas opposée, puis l’arrivée d’instructeurs identifiés comme Wagner. Le groupe a pris une place centrale dans la sécurité présidentielle, la formation des forces et l’occupation d’un ancien camp français; le rapport décrit une éviction progressive de la France au profit de la Russie.[3]
Attribution : La demande de dérogation est une démarche officielle russe; le rapport parlementaire qualifie la séquence de processus d’ingérence et attribue les activités sécuritaires à Wagner. Les sources ne permettent pas d’affirmer que Moscou a, seul, causé le départ français ni que chaque activité du groupe était directement ordonnée par l’État russe.
Portée établie : Substitution durable d’un acteur russe à des fonctions sécuritaires précédemment occupées par la France et perte d’influence française; le rapport décrit une contribution à ce recul, pas une causalité unique.
Reste du monde · Gravité 4/5 — Élevée
#Les autorités américaines ont décrit une campagne comprenant des services de renseignement, des médias et des intermédiaires. Le Trésor américain a documenté les liens de plusieurs entités avec le FSB, le GRU ou le SVR, ainsi que le financement de l’Internet Research Agency par Evgueni Prigojine.[16]
Attribution : Désignations et documents officiels américains relient des entités nommées à des services russes; ces conclusions attribuent une campagne à des acteurs russes, sans faire de chaque message en ligne une action directement contrôlée par l’État.
Portée établie : Campagne visant à influencer le débat et à exacerber les divisions; l’ampleur de son effet sur les votes demeure distincte de l’existence de l’opération.
Nous attribuons au pays uniquement les opérations pour lesquelles une autorité ou une enquête documente le lien. Une affiliation pro-russe ne suffit pas à prouver un ordre du Kremlin. Les frappes ukrainiennes d’octobre 2026 ont perturbé des centres de données Yandex, mais les données disponibles ne démontrent pas une chute des bots de désinformation : le recul observé concerne surtout le robot d’indexation Yandex et certains trafics ont migré.
Indice de gravité éditorial sur 5 : il estime la portée et les conséquences documentées de l’action, séparément du niveau de certitude de son attribution. Les faits signalés ou contestés peuvent donc avoir une gravité distincte de leur degré de preuve.
Dernière revue éditoriale : 2026-10-20. Les faits sont accompagnés de références directes; une attribution à une entreprise, un groupe cyber ou un réseau d’influence n’établit pas à elle seule l’intention d’un État.
[1]Rapport d’information sur les influences étatiques extra-européennes en Afrique · Sénat — Commission des affaires étrangères, de la défense et des forces armées · 2024
[2]Rapport d’information sur les influences étatiques extra-européennes en Afrique (rapport complet) · Sénat · 2024
[3]Rapport d’activité de la Délégation parlementaire au renseignement 2022-2023 · Délégation parlementaire au renseignement — Sénat · 2023
[4]Russie — Attribution de cyberattaques contre la France au service de renseignement militaire russe · Ministère de l’Europe et des Affaires étrangères · 2025-04-29
[5]Campagne d’attaque du mode opératoire APT28 · ANSSI / CERT-FR · 2025-04-29
[6]Déclaration de l’UE sur les activités cyber malveillantes persistantes de la Fédération de Russie · Conseil de l’Union européenne · 2024-05-03
[7]Ciblage et compromission d’entités françaises par le FSB · ANSSI / CERT-FR · 2026-07-01
[8]Attribution à la Russie d’activités cyber malveillantes à des fins d’espionnage en France · Ministère de l’Europe et des Affaires étrangères · 2026-07-01
[9]Portal Kombat : un réseau structuré et coordonné de propagande prorusse · VIGINUM / SGDSN · 2024-02-12
[10]Portal Kombat : extension du réseau de propagande russe · VIGINUM / SGDSN · 2024-04-29
[11]Rapport technique VIGINUM sur Portal Kombat, partie 2 · VIGINUM / SGDSN · 2024-02-14
[12]Matriochka : une campagne prorusse ciblant les médias et la communauté des fact-checkers · VIGINUM / SGDSN · 2024-06-10
[13]Russie : nouvelle ingérence numérique russe contre la France · Ministère de l’Europe et des Affaires étrangères · 2023-11-09
[14]Analyse du mode opératoire informationnel russe Storm-1516 · VIGINUM / SGDSN · 2025-05-06
[15]Moldovan election: Foreign information manipulation and interference · Rapid Response Mechanism Canada / G7 · 2025-10-09
[16]Treasury Takes Action Against Russian Government Officials and the Russian Troll Farm · U.S. Department of the Treasury · 2021-04-15
[17]Yandex outage: what happened to automated traffic? · Cloudflare · 2026-10-14
[18]Ukraine strikes on Russian data centers disrupt online services · Le Monde · 2026-10-13
[19]Yandex N.V. announces binding agreement to divest its Russia-based businesses · Yandex Investor Relations · 2024-02-05
[20]Yandex N.V. announces successful completion of the divestment of its Russia-based businesses · U.S. Securities and Exchange Commission · 2024-07-15
[21]Incident informatique du 22 décembre · Groupe La Poste · 2025-12-22
[22]Cyberattack disrupts French postal service during holiday rush · Associated Press · 2025-12-23
[23]Global operation targets NoName057(16) pro-Russian cybercrime network · Europol · 2025-07-15
[24]Bilan des ingérences numériques étrangères ayant ciblé les élections municipales · VIGINUM / SGDSN · 2026-06-11
[25]Rapport public — élections municipales 2026 · VIGINUM / SGDSN · 2026-06-11
[26]Cyberatak na infrastrukturę sektora energii w Polsce — szczegółowy raport CERT Polska · Ministère polonais de l’Énergie / CERT Polska · 2026-02-02
[27]Ciblage et compromission d’entités françaises par le FSB · ANSSI / CERT-FR · 2026-07-13
[28]Energy Sector Incident Report - 29 December 2025 · CERT Polska · 2026-01-30
[29]Revue nationale stratégique 2025 · SGDSN · 2025-07-13
[30]Aggression against Ukraine — Resolution ES-11/1 · Assemblée générale des Nations unies · 2022-03-02
[31]Assange: des révélations sur Macron dans les mails de Clinton · Sputnik France · 2017-02-03
[32]The Macron Leaks Operation: A Post-Mortem · Atlantic Council · Digital Forensic Research Lab · 2019-06
[33]Mass demonstration for resignation of Macron, PM takes place in Paris · TASS · 2025-09-07
[34]Russia — media landscape and press freedom · Reporters sans frontières · 2026-10-20
[35]Address to the Federal Assembly · Présidence de la Fédération de Russie · 2024-02-29
[36]Putin warns the West of nuclear war if it sends troops to Ukraine · Associated Press · 2024-02-29