Turla, APT28, victimes intermédiaires : la nouvelle grammaire du cyberespionnage étatique en France

Le 13 juillet 2026, la France, appuyée par l'Union européenne, a publiquement attribué le mode opératoire Turla au 16^e Centre du Service fédéral de sécurité de la Fédération de Russie (FSB). L'attribution s'appuie sur un rapport conjoint du Centre de coordination des Crises Cyber (C4), qui réunit l'ANSSI, le COMCYBER, la DGA, la DGSE, la DGSI et le ministère de l'Europe et des Affaires étrangères.

Cette démarche n'est pas isolée. Elle intervient quinze mois après l'attribution publique du mode opératoire APT28 au renseignement militaire russe (GRU), en avril 2025. Une doctrine française d'attribution publique des cyberattaques étatiques prend forme, en coordination avec les instances européennes.

Mais l'élément le plus important pour les entreprises françaises ne se trouve pas dans l'attribution elle-même. Il se trouve dans un concept documenté par le rapport C4 : la victime intermédiaire. Une notion qui modifie en profondeur la manière dont une organisation devrait penser sa propre exposition au cyberespionnage.

Turla : origine, opérateurs, objectifs

Turla désigne à la fois un mode opératoire d'attaque et l'acteur qui le met en œuvre. Le terme a d'abord été employé par les chercheurs en cybersécurité pour nommer un ensemble d'attaques informatiques partageant les mêmes caractéristiques techniques : mêmes outils, mêmes cibles, mêmes procédures. L'ANSSI parle de « mode opératoire d'attaque » (MOA) pour désigner ce type de faisceau technique, indépendamment de la question de son auteur.

Le rapport du C4 du 13 juillet 2026 franchit un pas supplémentaire : il attribue formellement l'opération du MOA Turla au 16^e Centre du FSB, plus précisément à son unité militaire 61240, chargée du ciblage de la France. Cette unité s'appuie sur des entreprises russes comme AO AST et NPP Gamma, connues pour apporter un appui aux activités cyber offensives des services de renseignement russes.

D'après le rapport, Turla est opéré depuis au moins 2004 à des fins de collecte de renseignement, de reconnaissance et d'espionnage informatique. Turla n'est donc pas un groupe de pirates indépendants : c'est une capacité offensive d'un État, mise en œuvre par une unité militaire identifiée. Le FSB dispose par ailleurs d'autres modes opératoires, comme Berserk Bear, employé en décembre 2025 contre des infrastructures du réseau électrique polonais à des fins de sabotage.

Turla est également connu, selon les éditeurs de sécurité, sous d'autres noms : Snake, Uroburos, Venomous Bear ou Waterbug. Ces alias désignent le même acteur.

Deux catégories de victimes identifiées

Le rapport distingue clairement deux typologies de victimes françaises :

Les victimes finales sont celles que les attaquants cherchent réellement à compromettre pour en extraire du renseignement. Le C4 cite plusieurs cas concrets :

compromission de comptes de messagerie du ministère des Armées à partir de 2017 ;
compromission du réseau du ministère de l'Europe et des Affaires étrangères à l'ambassade de France à Moscou en 2018 ;
compromission d'une entité du secteur de la justice hébergeant un service de formation continue en 2019 ;
compromission plus récente du système d'information d'une entité travaillant sur des technologies avancées, en 2025.

Les victimes intermédiaires, elles, sont des organisations dont les systèmes d'information sont compromis « de manière opportuniste » pour servir de relais dans les infrastructures malveillantes utilisées ensuite contre les victimes finales. Le rapport indique que ces victimes intermédiaires proviennent de « secteurs variés », sans en dresser la liste, ce qui souligne précisément l'idée centrale : n'importe quel secteur peut être concerné.

La différence entre les deux catégories est fondamentale. Une victime finale est ciblée pour ce qu'elle est. Une victime intermédiaire est ciblée pour ce qu'elle permet.

Comment une organisation ordinaire devient une victime intermédiaire

Trois mécanismes principaux expliquent l'utilisation d'organisations « ordinaires » comme relais dans des campagnes de cyberespionnage étatique.

Premier mécanisme : le rebond technique. Une entreprise compromise fournit à l'attaquant une adresse IP française « propre », qui n'éveille pas de suspicion. Les défenseurs de la cible finale, quand ils examinent l'origine d'une tentative d'intrusion, voient une adresse française familière, souvent d'une organisation à première vue anodine. La véritable origine de l'attaque (un serveur russe) est masquée par ce rebond.

Deuxième mécanisme : la relation de confiance métier. Lorsqu'une organisation est fournisseur, prestataire ou sous-traitant d'une entité sensible, ses échanges avec elle (courriels, factures, documents) sont attendus et légitimes. Un attaquant qui contrôle sa messagerie peut envoyer au client sensible un courriel piégé qui ressemble à s'y méprendre à une communication ordinaire. Le destinataire l'ouvre en confiance, parce qu'il attend ce type d'échange.

Troisième mécanisme : la chaîne logicielle. Lorsqu'une organisation fournit un logiciel, une mise à jour, ou un composant technique à une entité sensible, sa livraison est un canal de confiance. Un attaquant qui a compromis sa chaîne de production peut y insérer un code malveillant, qui sera installé par le client en toute bonne foi. Cette technique, dite d'attaque sur la chaîne logicielle, a été rendue tristement célèbre par l'affaire SolarWinds en 2020, où une entreprise américaine d'édition logicielle a servi de vecteur d'attaque vers plusieurs ministères des États-Unis.

Les critères de sélection des attaquants étatiques n'ont donc rien à voir avec la taille de l'organisation, son chiffre d'affaires ou sa notoriété. Ce qui compte, c'est sa connectivité à une cible d'intérêt et son niveau de protection réel. Une PME industrielle sous-traitante d'un maître d'œuvre de défense, un cabinet d'avocats conseillant des groupes stratégiques, un éditeur de logiciel utilisé par des administrations : toutes ces organisations peuvent devenir des victimes intermédiaires sans en avoir la moindre conscience.

Le mode opératoire

Le rapport C4 documente plusieurs techniques utilisées par les opérateurs de Turla pour compromettre leurs cibles, qu'elles soient finales ou intermédiaires.

L'hameçonnage ciblé (aussi appelé spear-phishing) consiste à envoyer un courriel piégé à une personne précisément identifiée, dans un contexte crédible pour elle. À la différence du phishing de masse, l'hameçonnage ciblé s'appuie sur un travail préalable de renseignement sur la victime (son rôle, ses contacts, ses projets en cours).

Les attaques par point d'eau (watering hole) consistent à compromettre un site web légitime fréquenté par les cibles visées, par exemple le site d'une association professionnelle, d'un fournisseur habituel ou d'un média spécialisé. Le site compromis distribue ensuite un code malveillant aux visiteurs qui correspondent au profil recherché.

Ces techniques exploitent des vulnérabilités présentes dans les services de messagerie, les navigateurs, les applications métier et les serveurs web. Le C4 souligne également que Turla utilise des infrastructures « louées ou déjà compromises » qui rendent la détection très difficile, c'est-à-dire des serveurs ou des services cloud dont les attaquants prennent le contrôle sans que leurs propriétaires légitimes le sachent.

Le C4 qualifie ce mode opératoire de « sophistiqué ». Ce qualificatif n'est pas neutre : il signifie que les défenses standard (antivirus classiques, pare-feu périmétriques) ne suffisent pas à détecter ces attaques. La protection contre ce type de menace repose sur un dispositif plus complet, articulant plusieurs couches techniques et une gouvernance rigoureuse.

Se protéger : 4 axes de travail

La protection contre les campagnes de cyberespionnage étatique repose sur des fondamentaux qui existent, qui sont éprouvés, et qui demandent une mise en œuvre disciplinée. Quatre axes de travail se dégagent, sans qu'aucun ne soit à négliger.

Cartographier son exposition. Toute réflexion utile commence par une question honnête : quelles sont les organisations sensibles avec lesquelles nous sommes en relation ? Clients grands comptes, fournisseurs de secteurs stratégiques, partenaires industriels, groupes auxquels nous appartenons. Cette cartographie est le point de départ. Sans elle, il est impossible de savoir si l'on est susceptible d'être visé comme relais dans une chaîne d'attaque. Ce travail relève d'une démarche d'accompagnement en amont, qui articule l'analyse métier et l'analyse de risque.

Auditer sa posture réelle. Un audit organisationnel et technique permet d'identifier les zones réellement exploitables : configurations de messagerie insuffisamment durcies, comptes à privilèges mal maîtrisés, absence de segmentation réseau, retards de mise à jour, dépendances logicielles non documentées. Les techniques utilisées par les opérateurs de Turla ciblent précisément ces zones-là. Un audit conduit par des consultants expérimentés révèle non seulement l'état technique du système, mais également les mécanismes organisationnels qui laissent ces vulnérabilités s'installer.

Renforcer les défenses opérationnelles. Plusieurs mesures produisent un effet réel contre ce type de menace :

durcir les configurations des services de messagerie et des navigateurs, qui sont les vecteurs d'attaque privilégiés ;
mettre en place une gestion rigoureuse des comptes à privilèges, ceux qui donnent accès aux ressources critiques ;
segmenter le réseau pour limiter les possibilités de rebond interne en cas de compromission d'un poste ou d'un serveur ;
déployer une supervision capable de détecter des comportements inhabituels, plutôt que de se limiter à la détection de signatures de virus connus.

Se préparer à réagir. Une victime intermédiaire ne saura probablement jamais, par elle-même, qu'elle est compromise. La détection viendra le plus souvent d'un tiers : un client sensible qui identifie une intrusion venant de l'infrastructure de la victime intermédiaire, ou une notification du CERT-FR (Computer Emergency Response Team - France).

Il faut anticiper cette situation : disposer d'un plan de réponse à incident, avoir identifié les procédures de coordination avec l'ANSSI et le CERT-FR, avoir exercé les équipes à la gestion de crise. La détection est difficile, la réaction doit être préparée.

Un mouvement de fond, pas une actualité isolée

Deux attributions publiques en quinze mois. Une stratégie nationale de cybersécurité 2026-2030 publiée en janvier 2026 par le Secrétariat général de la défense et de la sécurité nationale, articulée autour de cinq piliers dont l'un vise explicitement à « entraver l'expansion de la cybermenace ». Une coordination européenne qui s'assume politiquement, avec sanctions coordonnées à la clé. La cyberdéfense française entre dans une phase où elle devient publique, structurée et politiquement portée.

Pour les organisations françaises, cette évolution a deux conséquences pratiques. D'abord, les attaques dont on parle publiquement ne sont que la partie visible d'une activité continue et documentée. Ensuite, les régulateurs et les autorités considéreront désormais que les entreprises sont informées de ces risques. La responsabilité de se protéger, y compris comme maillon d'une chaîne, devient plus explicite.

Le concept de victime intermédiaire est probablement le message le plus utile du rapport C4 pour les organisations françaises. Il déplace le point de départ de la réflexion cyber : on ne se protège plus seulement de ce qu'on a de précieux ; on se protège aussi de ce qu'on représente pour d'autres. Ce déplacement est silencieux, mais il change en profondeur la manière dont une politique de sécurité doit être conçue.