2027 : la guerre de l’information est déclarée

L'essentiel

Depuis les MacronLeaks de 2017, aucun rendez-vous électoral français majeur n'a été épargné par des tentatives de manipulation impliquant des acteurs étrangers. Cette enquête en reconstitue l'architecture à partir de la grille du droit français, qui distingue depuis 2021, par quatre critères cumulatifs, l'ingérence numérique étrangère du bruit endogène des réseaux sociaux. Elle documente l'écosystème russe (Doppelgänger, Portal Kombat, Matriochka, Storm-1516) et sa dimension industrielle établie par les procédures américaines et les fuites de la Social Design Agency ; les opérations hybrides sous faux drapeau de 2023-2025 ; les ingérences azerbaïdjanaises visant l'outre-mer ; le cas chinois et ses angles morts de détection ; puis deux déplacements que le prisme russe ne capture pas : le basculement américain de 2025, qui a fait de l'ancien garant de la lutte contre la désinformation un adversaire déclaré du cadre européen de régulation, et le précédent Cambridge Analytica, qui démontre que les techniques de manipulation ne requièrent aucun étranger. L'évaluation d'impact retenue est volontairement inconfortable : effets mesurés faibles sur les audiences, effet fort démontré dans un cas hybride au moins, effet institutionnel maximal atteint chez un voisin européen (l'annulation roumaine de décembre 2024), effets non mesurables sur les infrastructures algorithmiques. L'échéance de 2027 constituera le test de falsification de ces deux lectures concurrentes.

Le 21 juillet 2026, une vidéo circule sur X : Édouard Philippe serait atteint d'une maladie neurodégénérative. Le 1er août, un faux article imitant le média Blast accuse Léa Salamé d'orchestrer un complot médiatique au profit de la candidature de Raphaël Glucksmann, sa voix reconstituée par intelligence artificielle à l'appui. Le 4 août, de faux reportages reprenant les chartes graphiques de BFMTV, RFI, Le Parisien, Ouest-France, Libération, France 24 et de l'AFP prêtent à Gabriel Attal une maladie de Parkinson [1][2]. En quinze jours, trois candidats déclarés ou pressentis à l'élection présidentielle de 2027 ont été visés par des contenus fabriqués, que VIGINUM impute à deux modes opératoires prorusses documentés de longue date : Storm-1516, appuyé par le réseau CopyCop, pour les deux premiers ; Matriochka, avec un « niveau de confiance élevé », pour le troisième [1][2].

Cette séquence prolonge une campagne continue qui vise le débat public français depuis 2017, et dont l'analyse exige une double discipline : distinguer le bruit endogène de l'opération caractérisée, et tenir la frontière entre ingérence étrangère et manipulation intérieure pour ce qu'elle est, une frontière juridique, non technique. La confusion entre ces registres est elle-même un enjeu stratégique : la surestimation de la menace sert les intérêts de ses commanditaires autant que sa sous-estimation.

Une grammaire de la menace : ce qui sépare le troll de l'opération d'État

Le droit français fournit un critère de démarcation précis. Le décret du 13 juillet 2021 créant VIGINUM, service rattaché au Secrétariat général de la défense et de la sécurité nationale (SGDSN), définit l'ingérence numérique étrangère comme une opération « impliquant, de manière directe ou indirecte, un État étranger ou une entité non étatique étrangère, et visant à la diffusion artificielle ou automatisée, massive et délibérée, par le biais d'un service de communication au public en ligne, d'allégations ou imputations de faits manifestement inexactes ou trompeuses de nature à porter atteinte aux intérêts fondamentaux de la Nation » [3].

Quatre critères cumulatifs structurent la qualification : implication d'un acteur étranger, diffusion artificielle ou automatisée, caractère massif et délibéré, atteinte aux intérêts fondamentaux. Un internaute français qui fabrique une fausse information, même virale, ne remplit pas le premier critère : il relève du droit commun. Un média d'État étranger qui diffuse ouvertement une ligne hostile sans procédés inauthentiques ne remplit pas le deuxième : il relève de la propagande. C'est la combinaison des quatre qui fait basculer un contenu du registre de l'opinion, fût-elle mensongère, vers celui de l'opération.

Conséquence contre-intuitive : l'immense majorité des fausses informations circulant en France ne relève pas de l'ingérence étrangère. Le rapport de VIGINUM sur les municipales de mars 2026 documente ainsi 28 pages Facebook et 15 sites francophones administrés depuis l'étranger, diffusant des contenus alarmistes générés par intelligence artificielle ; le service émet l'hypothèse d'une finalité avant tout lucrative, le sensationnalisme servant à générer des revenus publicitaires [4][5]. La frontière entre l'escroquerie à l'attention et l'opération d'État existe ; la tracer exige un travail d'attribution que ni l'indignation ni l'intuition ne remplacent. On verra qu'elle devient elle-même poreuse à mesure que se constitue un marché de l'ingérence à la demande.

2017, la matrice : les MacronLeaks et la naissance d'un appareil

L'histoire française de la menace commence le vendredi 5 mai 2017, à quelques heures de l'ouverture de la période de réserve précédant le second tour de la présidentielle. Environ neuf gigaoctets de courriels et de documents dérobés à cinq collaborateurs de la campagne d'Emmanuel Macron sont publiés sur 4chan, propulsés sur Twitter par des figures de la droite alternative américaine, puis repris par WikiLeaks sans vérification [6]. La chronologie est une signature : la publication intervient une heure environ avant le début du silence électoral, privant la cible de sa capacité de réponse au moment où l'attaque atteint son audience maximale [6]. L'analyse du corpus révèle un second procédé : l'insertion de documents fabriqués parmi les documents authentiques, dont certains faux que l'équipe numérique d'En Marche avait elle-même semés lors des campagnes de hameçonnage subies [6][7]. Le « hack and leak » contaminé, où le vrai véhicule le faux, deviendra un standard.

L'attribution a connu deux temps, qui mesurent la difficulté probatoire de la matière. En 2017, la société Flashpoint évoquait le groupe APT28 avec une « confiance modérée » [6]. Le 29 avril 2025, huit ans plus tard, le ministère de l'Europe et des Affaires étrangères a attribué au GRU le mode opératoire APT28, citant expressément « la tentative de déstabilisation du processus électoral français en 2017 », l'ANSSI publiant le même jour son rapport technique [8][9] ; c'est, selon Reuters, la première attribution publique que Paris fonde sur ses propres renseignements [10].

Rien n'indique que les MacronLeaks aient pesé sur l'issue du scrutin. Ils ont produit autre chose : la loi de 2018 sur la manipulation de l'information, la création de VIGINUM et la doctrine militaire de lutte informatique d'influence en 2021 peuvent se lire comme autant de réponses différées au 5 mai 2017 [11].

Le précédent roumain : l'effet maximal démontré

Si 2017 fournit la matrice, la Roumanie fournit la mesure du risque maximal. Le 6 décembre 2024, la Cour constitutionnelle roumaine annule à l'unanimité l'ensemble du processus électoral présidentiel, deux jours avant le second tour [12]. Călin Georgescu, crédité de quelque 2 % d'intentions de vote durant la campagne, était arrivé en tête du premier tour avec 22,94 % des suffrages au terme d'une campagne menée presque exclusivement sur TikTok, plateforme utilisée par environ 9 millions de Roumains [12][13]. Les documents déclassifiés par le renseignement roumain décrivent une promotion coordonnée : influenceurs rémunérés (à partir de 100 dollars pour 20 000 abonnés) appelant à voter pour un « candidat idéal » jamais nommé, commentaires de comptes inauthentiques, traitement algorithmique jugé préférentiel [12]. Le 17 décembre 2024, la Commission européenne ouvre une enquête formelle contre TikTok au titre du règlement sur les services numériques [13].

L'épisode exige d'être décomposé avant d'être invoqué. Est établi : la décision d'annulation, unanime et définitive. Sont déclassifiés : des documents du renseignement roumain décrivant une promotion coordonnée. Est alléguée, non tranchée judiciairement : l'origine étrangère de l'opération, que les services roumains suggèrent sans la démontrer publiquement. Est indéterminable, enfin : la part causale de la campagne dans l'ascension du candidat, qu'aucune méthode ne permet d'isoler d'une dynamique protestataire réelle. Ce qui demeure, une fois ces couches séparées, suffit pourtant : une campagne de manipulation alléguée peut conduire, par l'intermédiaire d'une décision juridictionnelle, à un effet institutionnel maximal dans un État membre de l'Union et de l'OTAN. VIGINUM en a tiré les conséquences dès février 2025, dans un rapport analysant les modes opératoires observés sur TikTok et évaluant « le risque de leur transposition en France » [14]. Le remède s'est enfin révélé presque aussi corrosif que le mal : l'annulation a nourri un narratif de confiscation démocratique, dont le vice-président américain J.D. Vance a fait, deux mois plus tard à Munich, l'exemple central de son réquisitoire contre l'Europe [15]. Une ingérence réussie place la démocratie visée devant une alternative dont les deux branches la blessent : valider un scrutin suspect, ou l'annuler et alimenter le récit de l'élection volée. Cette tenaille définit la gravité stratégique de la menace.

L'archipel russe : quatre modes opératoires, une infrastructure industrielle

L'écosystème le plus documenté visant la France est d'origine russe. VIGINUM en a dressé la cartographie en février 2025, pour les trois ans de l'invasion de l'Ukraine [16]. Quatre modes opératoires s'y distinguent, moins comme des organisations que comme des ensembles cohérents de tactiques, d'infrastructures et de narratifs.

Le premier, RRN, également désigné sous les noms de Doppelgänger ou Ruza Flood, repose sur l'usurpation : plusieurs centaines de sites, clones typographiques de médias établis (Le Monde, Le Parisien, The Washington Post, Der Spiegel) et d'institutions (OTAN, ministère de l'Europe et des Affaires étrangères) d'une part, pseudo-médias francophones à consonance anodine d'autre part, détectés en 2022 et caractérisés par VIGINUM en juin 2023 [16][17]. Sur ce dispositif, la connaissance publique a changé de nature : l'opération est désormais documentée de l'intérieur. L'affidavit déposé par le FBI le 4 septembre 2024 à l'appui de la saisie de 32 noms de domaine établit, notes de réunions internes à l'appui, que les sociétés russes Social Design Agency (SDA), Structura et ANO Dialog opéraient « sous la direction et le contrôle de l'administration présidentielle russe », en particulier de son premier directeur adjoint Sergueï Kirienko [18]. La SDA est sous sanctions européennes, américaines et britanniques [19]. Ses documents internes, fuités à partir de septembre 2024 auprès d'un consortium de médias européens, livrent des ordres de grandeur autodéclarés, invérifiables indépendamment mais cohérents avec les constats des plateformes : environ 33,9 millions de commentaires fabriqués et près de 40 000 contenus pour le seul premier tiers de 2024 [20], 105 000 dollars d'achats publicitaires sur les plateformes de Meta avec Struktura [21], dont plus de 8 000 publicités politiques diffusées après l'entrée en vigueur des sanctions selon l'analyse de CheckFirst [22]. La désinformation d'État n'est pas un artisanat : c'est une sous-traitance, avec ses devis, ses indicateurs et ses rapports d'activité au commanditaire.

Le deuxième, Portal Kombat, procède par saturation. Révélé par VIGINUM en février 2024, ce réseau d'au moins 193 « portails d'information », dont pravda-fr[.]com pour la France, republie de manière automatisée des contenus de sources russes officielles ou affiliées : 152 000 articles en trois mois lors de la détection, pour des audiences directes faibles, comme le montre le relevé de novembre 2023 [23]. Les investigations de VIGINUM attribuent la création et l'administration des sites à TigerWeb, entreprise de développement web domiciliée en Crimée [23].

Cette faiblesse apparente appelle deux lectures complémentaires. Celle du réseau dormant, avancée par VIGINUM dès 2024 : une infrastructure prépositionnée, activable lors d'une échéance électorale [23]. Et celle de la contamination des intermédiaires cognitifs, documentée en mars 2025 par la société NewsGuard, qui a constaté la reprise de contenus du réseau Pravda par les principaux agents conversationnels du marché [24] : l'audience visée ne serait plus l'électeur mais la machine qui l'informe. L'efficacité de cette stratégie reste à quantifier ; son intention paraît difficilement contestable au vu des volumes engagés.

Le troisième, Matriochka, actif au moins depuis septembre 2023, cible les médiateurs : ses opérateurs fabriquent de faux reportages estampillés Le Parisien, Euronews, RFI ou BFM TV, puis interpellent directement journalistes et cellules de vérification pour leur demander d'« enquêter », saturant les capacités de vérification tout en pariant sur l'erreur de reprise [25]. Le quatrième, Storm-1516, décrit par Microsoft comme un rejeton de l'ancienne Internet Research Agency, fabrique de fausses révélations à fort potentiel de scandale, adossées à des vidéos manipulées, et cible les dirigeants européens en période électorale : la France après la dissolution de juin 2024, l'Allemagne en 2025, la pré-campagne française de 2026 [1].

La vague de l'été 2026 contre Philippe, Glucksmann et Attal illustre cette division du travail : Storm-1516 fabrique le scandale, Matriochka l'habille aux couleurs des médias français, des réseaux de comptes inauthentiques l'amplifient. Les vues des vidéos visant Gabriel Attal, entre 100 000 et 200 000, ont été obtenues « en grande partie de façon artificielle et inauthentique » selon VIGINUM [1].

Le faux drapeau, de la rue à l'écran

L'expression « opération sous faux drapeau » désigne une action conçue pour être attribuée à un autre acteur que son commanditaire. Appliquée au champ français, elle décrit une série d'affaires qui, entre octobre 2023 et mai 2025, ont combiné action physique sur le territoire et amplification numérique coordonnée, avec pour caractéristique commune de mimer un conflit intérieur français.

La matrice est l'affaire des étoiles…