Turla : la France attribue formellement, ce que cela change pour les entreprises

Le 13 juillet 2026, le ministre de l'Europe et des Affaires étrangères, au nom de la France, et le Haut Représentant de l'Union pour les affaires étrangères, au nom de l'UE et de ses États membres, ont publié deux déclarations d'attribution formelle visant les activités cyber du 16e centre du Service fédéral de sécurité de la Fédération de Russie. Le même jour, le CERT-FR publiait un rapport technique sur le ciblage et la compromission d'entités françaises au moyen du mode opératoire Turla.

Une attribution politique, pas seulement technique

Il faut mesurer ce qui est inhabituel ici. Les rapports techniques sur Turla existent depuis des années. Ce qui est nouveau, c'est la déclaration d'attribution au niveau ministériel et européen, adossée aux travaux du Centre de coordination des crises cyber (C4). On passe d'un constat d'analyste à une position d'État.

Pour un RSSI, la conséquence est moins technique que politique : un mode opératoire d'espionnage étatique attribué publiquement devient un élément de contexte que l'on peut porter en comité de direction sans avoir à convaincre de sa réalité. C'est un levier de financement pour des sujets qui sont habituellement difficiles à défendre — journalisation longue durée, surveillance des accès privilégiés, segmentation.

Qui est visé

Le CERT-FR précise la victimologie française, intermédiaire comme finale : ministères, entités des secteurs diplomatique, de la défense, de la justice et de la technologie. Le mode opératoire est implémenté depuis au moins 2004 à des fins de collecte de renseignement contre des entités et des individus stratégiques dans le monde entier, France comprise.

Le mot à ne pas survoler est « intermédiaire ». Les victimes intermédiaires ne sont pas la cible finale : elles servent de relais, d'infrastructure de rebond ou de point d'entrée vers la cible réelle. C'est précisément le statut dans lequel se trouve une entreprise de technologie qui fournit un ministère, un cabinet qui conseille un industriel de défense, ou un prestataire d'infogérance. Se croire hors périmètre parce qu'on n'est pas une administration est une erreur de lecture.

Ce que l'espionnage change dans la détection

Un mode opératoire d'espionnage ne se détecte pas comme un rançongiciel. Il n'y a pas de bruit, pas de chiffrement, pas de rançon, pas de date de découverte imposée par l'attaquant. L'objectif est la durée : rester des mois, parfois des années, sans déclencher d'alerte.

• Les détections calibrées sur l'impact sont aveugles. Un opérateur qui exfiltre quelques mégaoctets de documents par semaine ne franchira jamais un seuil volumétrique.
• La rétention des journaux devient le facteur limitant. Quand l'intrusion est détectée, la question est de savoir depuis quand — et une rétention de trente jours répond toujours « nous ne savons pas ».
• Les comptes à privilèges et les accès de service sont la surface à instrumenter en priorité, devant le poste de travail.

Trois chantiers concrets

• Porter la rétention des journaux d'authentification et de flux sortants à douze mois au minimum sur les périmètres sensibles. C'est le seul investissement qui rend une investigation possible a posteriori, et il ne coûte que du stockage.
• Cartographier la chaîne de sous-traitance dans les deux sens : à qui fournissez-vous un accès, et de qui recevez-vous un accès. La compromission par rebond suit ces liens, pas l'organigramme.
• Mettre en place une revue périodique des associations d'appareils et des délégations sur les boîtes aux lettres et les espaces documentaires. C'est un point de persistance discret et durable, largement sous-surveillé.

Le contexte n'a pas vocation à se détendre

Le CERT-FR rappelle que les campagnes d'espionnage associées à ce mode opératoire contre l'Ukraine, les pays de l'OTAN et les États membres de l'UE se poursuivent dans le contexte de la guerre d'agression lancée par la Russie le 24 février 2022. Le Panorama de la cybermenace 2025 confirme de son côté que les modes opératoires réputés liés aux services de renseignement russes ou chinois restent tout autant observés que les années précédentes.

Il ne s'agit donc pas d'un épisode à absorber, mais d'un régime permanent. La bonne réponse n'est pas une cellule de crise mais un relèvement durable du niveau de journalisation et de surveillance des accès — précisément ce qu'une attribution publique permet enfin de faire financer.