Le 13 juillet 2026, à la veille de la fête nationale, la France et l’Union européenne ont officiellement attribué plusieurs opérations de cyberespionnage ayant visé des intérêts français au 16e Centre du FSB russe, au travers d’un mode opératoire connu sous le nom de Turla.

Cette annonce intervient un peu plus d’un an après l’attribution publique d’une autre série d’attaques à APT28, un ensemble d’activités cette fois rattaché au GRU, le service de renseignement militaire russe.

Pour un lecteur peu familier de la cybersécurité, ces noms peuvent sembler abstraits. Turla, APT28, FSB ou encore GRU désignent pourtant des réalités différentes qu’il est essentiel de distinguer pour comprendre la portée de ces annonces.

Que signifie réellement une APT ?

Dans le domaine de la cybersécurité, les équipes de renseignement sur la menace regroupent sous une même appellation les campagnes d’attaques présentant des caractéristiques communes. Elles analysent notamment les techniques employées, les infrastructures utilisées, les logiciels malveillants déployés, les secteurs ciblés ou encore les habitudes opérationnelles des attaquants.

Ces regroupements sont généralement qualifiés d’APT, pour Advanced Persistent Threat (« menace persistante avancée »).

Le terme désigne des activités conduites par des acteurs disposant de moyens importants, capables d’agir discrètement sur une longue durée afin d’atteindre des objectifs stratégiques, qu’il s’agisse d’espionnage, d’influence ou de sabotage.

Une APT ne correspond donc pas nécessairement à une unité officiellement identifiée. Il s’agit avant tout d’un ensemble d’activités cyber suffisamment cohérentes pour être suivies sous une même appellation.

APT28 : le mode opératoire associé au renseignement militaire russe

APT28 désigne un mode opératoire d’attaque actif depuis au moins 2004. Selon les éditeurs de cybersécurité, il est également connu sous les noms Fancy Bear, Sofacy ou encore Pawn Storm.

Les autorités françaises attribuent les activités associées à APT28 au GRU, la Direction principale du renseignement de l’état-major russe.

Le GRU constitue le service de renseignement militaire de la Russie. Il collecte des informations à l’étranger et soutient les intérêts militaires et stratégiques du pays.

Les campagnes attribuées à APT28 ciblent régulièrement des gouvernements, des ministères, des armées, des partis politiques, des médias, des entreprises de défense, des organismes de recherche ou encore des infrastructures critiques.

Si la collecte de renseignement demeure leur objectif principal, ces opérations peuvent également participer à des campagnes d’influence, de déstabilisation ou à la préparation d’actions plus offensives.

Turla : une activité de cyberespionnage attribuée au FSB

Turla est également un mode opératoire actif depuis au moins 2004.

Les autorités françaises attribuent les activités associées à Turla au 16e Centre du FSB, le Service fédéral de sécurité de la Fédération de Russie.

Le FSB est l’un des principaux services de renseignement russes. Il intervient principalement dans les domaines de la sécurité intérieure, du contre-espionnage et du renseignement, tout en disposant également de capacités offensives dans le cyberespace.

Les campagnes attribuées à Turla visent principalement des organisations présentant un intérêt stratégique : administrations, ambassades, organismes de défense, institutions judiciaires, entreprises technologiques, centres de recherche ou encore personnes détenant des informations sensibles.

Contrairement aux groupes cybercriminels cherchant un gain financier immédiat, l’objectif n’est généralement pas de chiffrer les données ou de réclamer une rançon, mais de conserver un accès discret au système d’information afin d’y collecter durablement des renseignements.

Pour y parvenir, les opérateurs de Turla utilisent notamment des campagnes d’hameçonnage ciblé, l’exploitation de vulnérabilités, la compromission de serveurs de messagerie ou encore de faux logiciels imitant des applications légitimes.

Ils peuvent également compromettre une première organisation sans chercher à lui voler directement des informations. Son infrastructure devient alors un relais permettant de masquer une attaque dirigée contre une autre cible.

Deux acteurs différents, des objectifs parfois similaires

Bien qu’ils soient tous deux associés à des services de renseignement russes, Turla et APT28 correspondent à deux ensembles d’activités distincts.

Le premier est attribué au FSB, tandis que le second est rattaché au GRU. Leurs objectifs peuvent parfois converger, notamment lorsqu’il s’agit de collecter des informations diplomatiques, militaires ou technologiques, mais leurs équipes, leurs outils et leurs chaînes de commandement sont considérés comme distincts.

Cette distinction est importante. Parler simplement de « hackers russes » masque la diversité des acteurs impliqués ainsi que les missions propres à chacun des services de renseignement russes.

Une menace discrète et durable

Les activités de Turla et d’APT28 montrent que le cyberespionnage étatique ne prend pas toujours la forme d’une attaque spectaculaire. L’objectif est souvent de pénétrer discrètement un système d’information, d’y collecter des messages, des documents ou des identifiants, puis de conserver cet accès pendant plusieurs mois, voire plusieurs années.

Les compromissions évoquées par les autorités françaises concernent notamment des ministères, des représentations diplomatiques, des organismes judiciaires ou encore des entreprises développant des technologies sensibles.

Des techniques connues, utilisées avec méthode

La sophistication de groupes comme Turla ou APT28 ne repose pas uniquement sur des outils complexes. Ils exploitent également des techniques largement connues : campagnes d’hameçonnage, vol d’identifiants, vulnérabilités non corrigées, faux sites de connexion ou équipements exposés sur Internet et insuffisamment supervisés.

Leur véritable force réside dans leur capacité à combiner ces méthodes, à les adapter à leurs cibles et à exploiter des infrastructures parfaitement légitimes hébergeurs cloud, VPN, plateformes gratuites ou serveurs déjà compromis  afin de rendre leurs activités beaucoup plus difficiles à détecter.

L’attribution, un exercice particulièrement complexe

Attribuer une cyberattaque consiste à identifier son véritable commanditaire.

Cet exercice est particulièrement délicat, car les attaquants utilisent de fausses identités, des infrastructures réparties dans plusieurs pays, des machines appartenant à des victimes intermédiaires et parfois même des outils déjà employés par d’autres groupes.

Une simple adresse IP localisée en Russie ne permet donc évidemment pas de conclure à l’implication de l’État russe.

L’attribution repose au contraire sur un faisceau d’indices : les outils employés, les infrastructures utilisées, les techniques d’attaque, le choix des victimes, les habitudes opérationnelles des attaquants, certaines erreurs qu’ils peuvent commettre, ainsi que les informations issues du renseignement.

En France, ce travail est notamment conduit au sein du Centre de coordination des crises cyber (C4), qui réunit l’ANSSI, le COMCYBER, la DGA, la DGSE, la DGSI ainsi que, dans son format stratégique, le ministère de l’Europe et des Affaires étrangères.

Cette organisation permet de croiser les analyses techniques, l’expertise militaire et les renseignements collectés par les différents services de l’État.

De l’analyse technique au message diplomatique

Une attribution publique ne constitue pas uniquement une conclusion technique.

Même lorsque les experts disposent d’éléments particulièrement solides, la décision de désigner officiellement un État relève également d’une décision politique.

La publication du nom de Turla, du FSB et de son 16e Centre illustre ainsi la volonté française de transformer les résultats de l’analyse technique en un message diplomatique adressé à la Russie.

Cette démarche peut être analysée comme une forme de dissuasion par la transparence : démontrer que les opérations offensives sont détectées, comprises et finalement attribuées à leurs commanditaires.

Si cette stratégie ne fait évidemment pas disparaître la menace, elle réduit progressivement l’avantage que procure l’anonymat dans le cyberespace et facilite la coordination des réponses européennes.

Quels enseignements pour les entreprises ?

Ces campagnes rappellent qu’une organisation peut être ciblée non pour les informations qu’elle détient, mais pour les accès qu’elle possède vers un client, un partenaire ou une administration. Elle peut également être compromise afin que ses serveurs servent de relais dans une attaque visant une autre victime.

La cybersécurité doit donc être pensée à l’échelle de l’ensemble de la chaîne de confiance : sous-traitants, hébergeurs, prestataires informatiques, éditeurs de logiciels, fournisseurs de services cloud ou partenaires.

Enfin, ces opérations rappellent que la prévention ne suffit pas. Les entreprises doivent également être capables de détecter des comportements anormaux, de conserver des journaux techniques exploitables et de conduire rapidement des investigations lorsqu’une compromission est suspectée.

Au-delà de la seule protection technique, les cas Turla et APT28 illustrent une réalité devenue incontournable : comprendre une cyberattaque ne consiste plus uniquement à analyser un malware ou une vulnérabilité, mais également à identifier les intérêts stratégiques poursuivis, les acteurs impliqués et la place qu’occupe chaque organisation dans une chaîne d’attaque beaucoup plus large.