2027 : la guerre de l’information est déclarée

L'essentiel

Depuis les MacronLeaks de 2017, aucun rendez-vous électoral français majeur n'a été épargné par des tentatives de manipulation impliquant des acteurs étrangers. Cette enquête en reconstitue l'architecture à partir de la grille du droit français, qui distingue depuis 2021, par quatre critères cumulatifs, l'ingérence numérique étrangère du bruit endogène des réseaux sociaux. Elle documente l'écosystème russe (Doppelgänger, Portal Kombat, Matriochka, Storm-1516) et sa dimension industrielle établie par les procédures américaines et les fuites de la Social Design Agency ; les opérations hybrides sous faux drapeau de 2023-2025 ; les ingérences azerbaïdjanaises visant l'outre-mer ; le cas chinois et ses angles morts de détection ; puis deux déplacements que le prisme russe ne capture pas : le basculement américain de 2025, qui a fait de l'ancien garant de la lutte contre la désinformation un adversaire déclaré du cadre européen de régulation, et le précédent Cambridge Analytica, qui démontre que les techniques de manipulation ne requièrent aucun étranger. L'évaluation d'impact retenue est volontairement inconfortable : effets mesurés faibles sur les audiences, effet fort démontré dans un cas hybride au moins, effet institutionnel maximal atteint chez un voisin européen (l'annulation roumaine de décembre 2024), effets non mesurables sur les infrastructures algorithmiques. L'échéance de 2027 constituera le test de falsification de ces deux lectures concurrentes.

Le 21 juillet 2026, une vidéo circule sur X : Édouard Philippe serait atteint d'une maladie neurodégénérative. Le 1er août, un faux article imitant le média Blast accuse Léa Salamé d'orchestrer un complot médiatique au profit de la candidature de Raphaël Glucksmann, sa voix reconstituée par intelligence artificielle à l'appui. Le 4 août, de faux reportages reprenant les chartes graphiques de BFMTV, RFI, Le Parisien, Ouest-France, Libération, France 24 et de l'AFP prêtent à Gabriel Attal une maladie de Parkinson 1franceinfo, « Storm-1516, Matriochka... Qui se cache derrière les ingérences russes dans la campagne présidentielle, et quel est leur mode opératoire ? », août 20262Next, « Présidentielle 2027 : des ingérences aux conséquences difficilement quantifiables », août 2026. En quinze jours, trois candidats déclarés ou pressentis à l'élection présidentielle de 2027 ont été visés par des contenus fabriqués, que VIGINUM impute à deux modes opératoires prorusses documentés de longue date : Storm-1516, appuyé par le réseau CopyCop, pour les deux premiers ; Matriochka, avec un « niveau de confiance élevé », pour le troisième 1franceinfo, « Storm-1516, Matriochka... Qui se cache derrière les ingérences russes dans la campagne présidentielle, et quel est leur mode opératoire ? », août 20262Next, « Présidentielle 2027 : des ingérences aux conséquences difficilement quantifiables », août 2026.

Cette séquence prolonge une campagne continue qui vise le débat public français depuis 2017, et dont l'analyse exige une double discipline : distinguer le bruit endogène de l'opération caractérisée, et tenir la frontière entre ingérence étrangère et manipulation intérieure pour ce qu'elle est, une frontière juridique, non technique. La confusion entre ces registres est elle-même un enjeu stratégique : la surestimation de la menace sert les intérêts de ses commanditaires autant que sa sous-estimation.

Une grammaire de la menace : ce qui sépare le troll de l'opération d'État

Le droit français fournit un critère de démarcation précis. Le décret du 13 juillet 2021 créant VIGINUM, service rattaché au Secrétariat général de la défense et de la sécurité nationale (SGDSN), définit l'ingérence numérique étrangère comme une opération « impliquant, de manière directe ou indirecte, un État étranger ou une entité non étatique étrangère, et visant à la diffusion artificielle ou automatisée, massive et délibérée, par le biais d'un service de communication au public en ligne, d'allégations ou imputations de faits manifestement inexactes ou trompeuses de nature à porter atteinte aux intérêts fondamentaux de la Nation » 3Décret n° 2021-922 du 13 juillet 2021 portant création du service VIGINUM, Légifrance ; définition de l'ingérence numérique étrangère reprise dans les rapports publics du service.

Quatre critères cumulatifs structurent la qualification : implication d'un acteur étranger, diffusion artificielle ou automatisée, caractère massif et délibéré, atteinte aux intérêts fondamentaux. Un internaute français qui fabrique une fausse information, même virale, ne remplit pas le premier critère : il relève du droit commun. Un média d'État étranger qui diffuse ouvertement une ligne hostile sans procédés inauthentiques ne remplit pas le deuxième : il relève de la propagande. C'est la combinaison des quatre qui fait basculer un contenu du registre de l'opinion, fût-elle mensongère, vers celui de l'opération.

Conséquence contre-intuitive : l'immense majorité des fausses informations circulant en France ne relève pas de l'ingérence étrangère. Le rapport de VIGINUM sur les municipales de mars 2026 documente ainsi 28 pages Facebook et 15 sites francophones administrés depuis l'étranger, diffusant des contenus alarmistes générés par intelligence artificielle ; le service émet l'hypothèse d'une finalité avant tout lucrative, le sensationnalisme servant à générer des revenus publicitaires 4VIGINUM, « Protection du débat public contre les ingérences numériques étrangères durant les élections municipales des 15 et 22 mars 2026 », rapport public, SGDSN, 11 juin 20265Next, « Élections municipales 2026 : des ingérences numériques pro-russes, anti-LFI et putaclics », juin 2026. La frontière entre l'escroquerie à l'attention et l'opération d'État existe ; la tracer exige un travail d'attribution que ni l'indignation ni l'intuition ne remplacent. On verra qu'elle devient elle-même poreuse à mesure que se constitue un marché de l'ingérence à la demande.

2017, la matrice : les MacronLeaks et la naissance d'un appareil

L'histoire française de la menace commence le vendredi 5 mai 2017, à quelques heures de l'ouverture de la période de réserve précédant le second tour de la présidentielle. Environ neuf gigaoctets de courriels et de documents dérobés à cinq collaborateurs de la campagne d'Emmanuel Macron sont publiés sur 4chan, propulsés sur Twitter par des figures de la droite alternative américaine, puis repris par WikiLeaks sans vérification 6Next (ex-Next INpact), « Chronique des #MacronLeaks, du piratage d'En Marche ! aux intox de l'extrême-droite », mai 2017. La chronologie est une signature : la publication intervient une heure environ avant le début du silence électoral, privant la cible de sa capacité de réponse au moment où l'attaque atteint son audience maximale 6Next (ex-Next INpact), « Chronique des #MacronLeaks, du piratage d'En Marche ! aux intox de l'extrême-droite », mai 2017. L'analyse du corpus révèle un second procédé : l'insertion de documents fabriqués parmi les documents authentiques, dont certains faux que l'équipe numérique d'En Marche avait elle-même semés lors des campagnes de hameçonnage subies 6Next (ex-Next INpact), « Chronique des #MacronLeaks, du piratage d'En Marche ! aux intox de l'extrême-droite », mai 20177The Conversation, « MacronLeaks : stratégies du mensonge sous une pluie de données », mai 2017. Le « hack and leak » contaminé, où le vrai véhicule le faux, deviendra un standard.

L'attribution a connu deux temps, qui mesurent la difficulté probatoire de la matière. En 2017, la société Flashpoint évoquait le groupe APT28 avec une « confiance modérée » 6Next (ex-Next INpact), « Chronique des #MacronLeaks, du piratage d'En Marche ! aux intox de l'extrême-droite », mai 2017. Le 29 avril 2025, huit ans plus tard, le ministère de l'Europe et des Affaires étrangères a attribué au GRU le mode opératoire APT28, citant expressément « la tentative de déstabilisation du processus électoral français en 2017 », l'ANSSI publiant le même jour son rapport technique 8Ministère de l'Europe et des Affaires étrangères, « Russie : attribution de cyberattaques contre la France au service de renseignement militaire russe (APT28) », déclaration officielle, 29 avril 20259ANSSI (CERT-FR), « Ciblage et compromission d'entités françaises au moyen du mode opératoire d'attaque APT28 », rapport CERTFR-2025-CTI-006, 29 avril 2025 ; c'est, selon Reuters, la première attribution publique que Paris fonde sur ses propres renseignements 10Reuters, « France accuses Russian intelligence of repeated cyber attacks since 2021 », 29 avril 2025.

Rien n'indique que les MacronLeaks aient pesé sur l'issue du scrutin. Ils ont produit autre chose : la loi de 2018 sur la manipulation de l'information, la création de VIGINUM et la doctrine militaire de lutte informatique d'influence en 2021 peuvent se lire comme autant de réponses différées au 5 mai 2017 11Ministère des Armées, éléments publics de doctrine militaire de lutte informatique d'influence (L2I), octobre 2021.

Le précédent roumain : l'effet maximal démontré

Si 2017 fournit la matrice, la Roumanie fournit la mesure du risque maximal. Le 6 décembre 2024, la Cour constitutionnelle roumaine annule à l'unanimité l'ensemble du processus électoral présidentiel, deux jours avant le second tour 12INCYBER, « Roumanie : une opération d'influence sur TikTok provoque l'annulation de la présidentielle », décembre 2024, d'après la décision de la Cour constitutionnelle roumaine du 6 décembre 2024 et les documents déclassifiés du renseignement roumain. Călin Georgescu, crédité de quelque 2 % d'intentions de vote durant la campagne, était arrivé en tête du premier tour avec 22,94 % des suffrages au terme d'une campagne menée presque exclusivement sur TikTok, plateforme utilisée par environ 9 millions de Roumains 12INCYBER, « Roumanie : une opération d'influence sur TikTok provoque l'annulation de la présidentielle », décembre 2024, d'après la décision de la Cour constitutionnelle roumaine du 6 décembre 2024 et les documents déclassifiés du renseignement roumain13IREDIC, « L'élection présidentielle annulée en Roumanie en raison d'une campagne massive de manipulations sur TikTok », décembre 2024 ; ouverture d'une procédure formelle de la Commission européenne contre TikTok au titre du DSA, 17 décembre 2024. Les documents déclassifiés par le renseignement roumain décrivent une promotion coordonnée : influenceurs rémunérés (à partir de 100 dollars pour 20 000 abonnés) appelant à voter pour un « candidat idéal » jamais nommé, commentaires de comptes inauthentiques, traitement algorithmique jugé préférentiel 12INCYBER, « Roumanie : une opération d'influence sur TikTok provoque l'annulation de la présidentielle », décembre 2024, d'après la décision de la Cour constitutionnelle roumaine du 6 décembre 2024 et les documents déclassifiés du renseignement roumain. Le 17 décembre 2024, la Commission européenne ouvre une enquête formelle contre TikTok au titre du règlement sur les services numériques 13IREDIC, « L'élection présidentielle annulée en Roumanie en raison d'une campagne massive de manipulations sur TikTok », décembre 2024 ; ouverture d'une procédure formelle de la Commission européenne contre TikTok au titre du DSA, 17 décembre 2024.

L'épisode exige d'être décomposé avant d'être invoqué. Est établi : la décision d'annulation, unanime et définitive. Sont déclassifiés : des documents du renseignement roumain décrivant une promotion coordonnée. Est alléguée, non tranchée judiciairement : l'origine étrangère de l'opération, que les services roumains suggèrent sans la démontrer publiquement. Est indéterminable, enfin : la part causale de la campagne dans l'ascension du candidat, qu'aucune méthode ne permet d'isoler d'une dynamique protestataire réelle. Ce qui demeure, une fois ces couches séparées, suffit pourtant : une campagne de manipulation alléguée peut conduire, par l'intermédiaire d'une décision juridictionnelle, à un effet institutionnel maximal dans un État membre de l'Union et de l'OTAN. VIGINUM en a tiré les conséquences dès février 2025, dans un rapport analysant les modes opératoires observés sur TikTok et évaluant « le risque de leur transposition en France » 14Ministère de l'Europe et des Affaires étrangères, « Ingérences numériques étrangères : publication du rapport VIGINUM sur les manipulations de l'information » (élection présidentielle roumaine de 2024, modes opératoires TikTok et risque de transposition en France), 5 février 2025. Le remède s'est enfin révélé presque aussi corrosif que le mal : l'annulation a nourri un narratif de confiscation démocratique, dont le vice-président américain J.D. Vance a fait, deux mois plus tard à Munich, l'exemple central de son réquisitoire contre l'Europe 15Fondation Jean-Jaurès, « À Munich, J.D. Vance rompt avec l'Europe et les valeurs démocratiques », avril 2025. Une ingérence réussie place la démocratie visée devant une alternative dont les deux branches la blessent : valider un scrutin suspect, ou l'annuler et alimenter le récit de l'élection volée. Cette tenaille définit la gravité stratégique de la menace.

L'archipel russe : quatre modes opératoires, une infrastructure industrielle

L'écosystème le plus documenté visant la France est d'origine russe. VIGINUM en a dressé la cartographie en février 2025, pour les trois ans de l'invasion de l'Ukraine 16SGDSN et VIGINUM, « Guerre en Ukraine : trois années d'opérations informationnelles russes », 24 février 2025. Quatre modes opératoires s'y distinguent, moins comme des organisations que comme des ensembles cohérents de tactiques, d'infrastructures et de narratifs.

Le premier, RRN, également désigné sous les noms de Doppelgänger ou Ruza Flood, repose sur l'usurpation : plusieurs centaines de sites, clones typographiques de médias établis (Le Monde, Le Parisien, The Washington Post, Der Spiegel) et d'institutions (OTAN, ministère de l'Europe et des Affaires étrangères) d'une part, pseudo-médias francophones à consonance anodine d'autre part, détectés en 2022 et caractérisés par VIGINUM en juin 2023 16SGDSN et VIGINUM, « Guerre en Ukraine : trois années d'opérations informationnelles russes », 24 février 202517EU DisinfoLab, « Doppelganger hub », dossier de synthèse, consulté en août 2026. Sur ce dispositif, la connaissance publique a changé de nature : l'opération est désormais documentée de l'intérieur. L'affidavit déposé par le FBI le 4 septembre 2024 à l'appui de la saisie de 32 noms de domaine établit, notes de réunions internes à l'appui, que les sociétés russes Social Design Agency (SDA), Structura et ANO Dialog opéraient « sous la direction et le contrôle de l'administration présidentielle russe », en particulier de son premier directeur adjoint Sergueï Kirienko 18Département de la Justice des États-Unis, communiqué « Justice Department Disrupts Covert Russian Government-Sponsored Foreign Malign Influence Operation » et affidavit du FBI à l'appui de la saisie de 32 noms de domaine, district Est de Pennsylvanie, 4 septembre 2024. La SDA est sous sanctions européennes, américaines et britanniques 19OpenSanctions, fiche « Social Design Agency », d'après les fichiers de sanctions financières de l'Union européenne (2024) ; sanctions du Trésor américain (mars 2024) et britanniques (octobre 2024). Ses documents internes, fuités à partir de septembre 2024 auprès d'un consortium de médias européens, livrent des ordres de grandeur autodéclarés, invérifiables indépendamment mais cohérents avec les constats des plateformes : environ 33,9 millions de commentaires fabriqués et près de 40 000 contenus pour le seul premier tiers de 2024 20RFE/RL, « Leaked Records Detail Vast Russian Influence Campaign Targeting Ukraine, EU », septembre 2024 ; CEPA, « We're Winning, Say Russia's Disinformation Campaigns », 2025, d'après les documents internes fuités de la Social Design Agency, 105 000 dollars d'achats publicitaires sur les plateformes de Meta avec Struktura 21franceinfo, « Vrai ou faux. Tweets, memes et caricatures... Comment une ferme à trolls russe a déstabilisé les élections en Europe, avec l'appui du Kremlin », septembre 2024, dont plus de 8 000 publicités politiques diffusées après l'entrée en vigueur des sanctions selon l'analyse de CheckFirst 22CheckFirst, « Influence by Design : Doppelgänger, Sanctions, Meta, and the Social Design Agency », février 2025. La désinformation d'État n'est pas un artisanat : c'est une sous-traitance, avec ses devis, ses indicateurs et ses rapports d'activité au commanditaire.

Le deuxième, Portal Kombat, procède par saturation. Révélé par VIGINUM en février 2024, ce réseau d'au moins 193 « portails d'information », dont pravda-fr[.]com pour la France, republie de manière automatisée des contenus de sources russes officielles ou affiliées : 152 000 articles en trois mois lors de la détection, pour des audiences directes faibles, comme le montre le relevé de novembre 2023 23VIGINUM, « Portal Kombat : un réseau structuré et coordonné de propagande prorusse », rapports techniques, SGDSN, 12 et 14 février 2024. Les investigations de VIGINUM attribuent la création et l'administration des sites à TigerWeb, entreprise de développement web domiciliée en Crimée 23VIGINUM, « Portal Kombat : un réseau structuré et coordonné de propagande prorusse », rapports techniques, SGDSN, 12 et 14 février 2024.

Cette faiblesse apparente appelle deux lectures complémentaires. Celle du réseau dormant, avancée par VIGINUM dès 2024 : une infrastructure prépositionnée, activable lors d'une échéance électorale 23VIGINUM, « Portal Kombat : un réseau structuré et coordonné de propagande prorusse », rapports techniques, SGDSN, 12 et 14 février 2024. Et celle de la contamination des intermédiaires cognitifs, documentée en mars 2025 par la société NewsGuard, qui a constaté la reprise de contenus du réseau Pravda par les principaux agents conversationnels du marché 24France 24, « Portal Kombat : quand la désinformation russe "biberonne" ChatGPT et autres IA », d'après le rapport NewsGuard, mars 2025 : l'audience visée ne serait plus l'électeur mais la machine qui l'informe. L'efficacité de cette stratégie reste à quantifier ; son intention paraît difficilement contestable au vu des volumes engagés.

Le troisième, Matriochka, actif au moins depuis septembre 2023, cible les médiateurs : ses opérateurs fabriquent de faux reportages estampillés Le Parisien, Euronews, RFI ou BFM TV, puis interpellent directement journalistes et cellules de vérification pour leur demander d'« enquêter », saturant les capacités de vérification tout en pariant sur l'erreur de reprise 25VIGINUM, « Matriochka : une campagne prorusse ciblant les médias et la communauté des fact-checkers », rapport technique, SGDSN, 10 juin 2024. Le quatrième, Storm-1516, décrit par Microsoft comme un rejeton de l'ancienne Internet Research Agency, fabrique de fausses révélations à fort potentiel de scandale, adossées à des vidéos manipulées, et cible les dirigeants européens en période électorale : la France après la dissolution de juin 2024, l'Allemagne en 2025, la pré-campagne française de 2026 1franceinfo, « Storm-1516, Matriochka... Qui se cache derrière les ingérences russes dans la campagne présidentielle, et quel est leur mode opératoire ? », août 2026.

La vague de l'été 2026 contre Philippe, Glucksmann et Attal illustre cette division du travail : Storm-1516 fabrique le scandale, Matriochka l'habille aux couleurs des médias français, des réseaux de comptes inauthentiques l'amplifient. Les vues des vidéos visant Gabriel Attal, entre 100 000 et 200 000, ont été obtenues « en grande partie de façon artificielle et inauthentique » selon VIGINUM 1franceinfo, « Storm-1516, Matriochka... Qui se cache derrière les ingérences russes dans la campagne présidentielle, et quel est leur mode opératoire ? », août 2026.

Le faux drapeau, de la rue à l'écran

L'expression « opération sous faux drapeau » désigne une action conçue pour être attribuée à un autre acteur que son commanditaire. Appliquée au champ français, elle décrit une série d'affaires qui, entre octobre 2023 et mai 2025, ont combiné action physique sur le territoire et amplification numérique coordonnée, avec pour caractéristique commune de mimer un conflit intérieur français.

La matrice est l'affaire des étoiles…