La France et l’Union européenne ne tournent plus autour du pot. Elles accusent officiellement la Russie d’être à l’origine de Turla. Une vaste campagne de cyberespionnage qui cible des organisations françaises depuis plus de vingt ans.
Paris et Bruxelles ont également annoncé des sanctions contre treize personnes et organisations liées à cet écosystème cyber russe. Parmi elles, un groupe soupçonné d’avoir participé à des actions de déstabilisation pendant les Jeux olympiques de Paris 2024.
Turla, mais qu’est-ce que c’est et quel lien avec la France ?
Il s’agit d’un groupe de pirates lié au 16e Centre du FSB, le principal service de renseignement russe. Son objectif serait infiltrer discrètement dans les réseaux de ministères, d’ambassades, d’entreprises stratégiques et d’organismes liés à la défense pour récupérer des informations sensibles.
Autant vous prévenir, ce n’est pas le petit nouveau de la cybersécurité. Les premières traces de ses activités remontent à 2004. Et, plus de vingt ans plus tard, il reste l’un des acteurs les plus actifs du cyberespionnage mondial.
Par ailleurs, depuis le début de la guerre en Ukraine en 2022, Turla aurait même accéléré la cadence. Les gouvernements européens, les armées et les entreprises qui soutiennent Kiev figurent désormais parmi ses principales cibles.
En tant que membre de l’Union européenne et de l’OTAN, la France se retrouve naturellement dans son viseur.
Les experts le connaissent sous plusieurs surnoms, comme Secret Blizzard, Venomous Bear, Pensive Ursa, Pacifier ou encore Waterbug. Mais il s’agit bien de la même organisation, déjà attribuée à la Russie par plusieurs pays. Dont les États-Unis, l’Estonie, la République tchèque et l’Ukraine.
Selon les autorités françaises, cette unité dispose d’une organisation particulièrement solide. Elle s’appuie sur plusieurs centres d’interception répartis à travers la Russie afin de surveiller différentes régions du monde.
L’un d’entre eux serait spécialement chargé de suivre les activités de la France et de l’Europe. Les enquêteurs indiquent également que le groupe bénéficie du soutien de certaines entreprises technologiques russes pour développer ou mener ses opérations.
Un groupe particulièrement redoutable
Ce qui rend Turla particulièrement redoutable, ce n’est pas seulement son ancienneté. C’est sa capacité à évoluer sans cesse. Le groupe utilise parfois des outils de piratage connus comme Mimikatz ou Metasploit, mais il s’appuie surtout sur ses propres logiciels malveillants.
Plusieurs d’entre eux, comme Agent.BTZ, Uroburos, Carbon, Gazer ou Kazuar, sont devenus célèbres dans le monde de la cybersécurité. Kazuar est d’ailleurs l’un de ses outils favoris.
Ce logiciel agit comme une porte dérobée. Une fois installé sur un ordinateur, il permet aux pirates d’y accéder à distance, d’y récupérer des données et d’y revenir quand ils le souhaitent. Ce, souvent sans éveiller le moindre soupçon.
Pour compromettre leurs victimes, les attaquants misent généralement sur des e-mails de phishing soigneusement préparés. Sinon, ils optent pour des attaques dites de « point d’eau », qui consistent à infecter un site internet fréquenté par leurs cibles.
Ils exploitent également des failles de sécurité inédites, appelées zero day, avant même que les éditeurs n’aient le temps de publier un correctif. Une fois à l’intérieur d’un réseau, Turla fait tout pour rester invisible.
Le groupe utilise des serveurs compromis, détourne des sites WordPress et recycle parfois les outils développés par d’autres groupes de pirates afin de brouiller les pistes. Cette capacité à masquer son origine explique pourquoi certaines campagnes ont mis des années avant d’être officiellement attribuées.
France dans son viseur
Les autorités françaises estiment que les attaques de Turla contre la France ne datent pas d’hier. Dès 2014, plusieurs entités ministérielles auraient été compromises à l’aide du malware Uroburos.
En 2017, des boîtes mail de responsables du ministère des Armées ont également été ciblées. L’année suivante, c’est le réseau de l’ambassade de France à Moscou qui aurait été infiltré.
Les pirates auraient mené des opérations de reconnaissance avant d’exfiltrer des données sensibles. En 2019, un serveur SharePoint utilisé dans le secteur de la justice française a lui aussi été compromis. Ce qui a exposé potentiellement plusieurs milliers de comptes.
Les attaques ne se sont pas arrêtées là. Entre 2019 et 2025, plusieurs organisations françaises ont servi de cibles directes ou de relais techniques. En février 2025, un institut de recherche travaillant sur des technologies liées à l’industrie de défense a notamment subi un important vol de données.
La menace dépasse largement les frontières françaises. L’Union européenne attribue également au 16e Centre du FSB plusieurs cyberattaques contre différents États membres. Genre, des opérations de sabotage visant les infrastructures liées à l’eau et à l’énergie en Pologne.
- Partager l'article :
