Hackers, trolls et robots russes à l'assaut des élections européennes

L'offensive avait été anticipée dès janvier dans une note diffusée par les services de renseignement estoniens. C'est désormais une réalité : hackers et officines de propagande, affiliées au Kremlin, multiplient les interventions visant les Européens à l'heure de la campagne pour le renouvellement des 751 députés de Stasbourg.

"Depuis 3-4 mois, on a pu voir de multiples groupes russes cibler les gouvernements européens ; leurs ministère de la défense ou des affaires étrangères et aussi, de manière significative, d'importants groupes médiatiques de ces pays, notamment en France et en Allemagne", remarque Benjamin Read, analyste en charge du cyber-espionnage chez FireEye, société de sécurité spécialisée dans la cyber-défense. Ayant pour client certaines de ces institutions, FireEye refuse de révéler l'identité ou même la nationalité des victimes, ni même de dire si certaines de ces attaques - essentiellement des tentatives d'hameçonnage c'est-à-dire d'usurpation d'identité afin de pénétrer certains réseaux - ont été couronnées de succès. 

Des pirates informatiques proches du renseignement russe

Ceux qui conduisent ces attaques, en revanche, sont clairement identifiés : "il s'agit principalement d'un groupe que l'on suit depuis longtemps : APT28, il est notoirement lié aux Renseignement militaires russes, le GRU", précise Benjamin Read.

APT28, également connu comme Fancy Bear est actif depuis au moins 2007 où certaines attaques, visant la Géorgie, ont été repérées. En France le groupe est considéré comme responsable de la cyberattaque contre TV5 Monde ayant entraîné l'arrêt de la diffusion de la chaîne pendant 48h en 2015. Un an plus tard, APT28 pilotait l'intrusion dans les serveurs du Comité National Démocrate, ainsi que le vol et la dissémination de ses e-mails durant la campagne de la Présidentielle américaine.

Un autre groupe de pirates informatiques, tout aussi proche du renseignement russe, a également été identifié par FireEye comme ciblant plus particulièrement les Européens ces dernières semaines : SandWorm Team, considéré comme responsable de la cyber-attaque visant le réseau électrique ukrainien en décembre 2015. 230 000 personnes s'étaient retrouvées sans électricité dans l'est du pays en plein hiver.

Entre virus et propagande

SandWorm et APT 28 disposent d'outils informatiques parfois très sophistiqués : on a comparé le virus Industroyer utilisé contre les réseaux électriques ukrainiens au célèbre Stuxnet implanté en Iran par les Américains pour torpiller le programme d'enrichissement d'Uranium en 2009. Mais les attaques russes, visant la campagne européenne, empruntent également des biais beaucoup plus classiques : ceux de la propagande. Et là, ce sont les nouveaux médias qui sont investis: les réseaux sociaux.

L'entreprise de Cyber-sécurité SafeGuard Cyber, spécialisé dans la surveillance de ces réseaux a cartographié les opérations de désinformation entre novembre 2018 et mars dernier. L'entreprise mesure régulièrement et depuis des années, l'activité de ceux qu'ils appellent des "protagonistes malveillants". Il peut s'agir aussi bien de "bots" ou robots à propagande : de faux comptes qui publient et republient automatiquement certains posts pendant des heures ; il peut aussi s'agir de "trolls", de véritables propagandistes ceux-là, payés, et qui s'inventent des profils pour aller "pourrir" en ligne systématiquement toute discussion quant à certains sujets, notamment dans les forums de discussion. La Russie a d'ailleurs inventé de véritables "fermes à troll", employant plusieurs centaines de ces personnes.

Le volume des attaques subies est lié à la représentation au parlement européen

SafeGuard Cyber a repéré un volume d'activité de ces "protagonistes malveillants" visant plus spécifiquement les campagnes électorales des pays qui enverront le plus de députés au Parlement de Strasbourg le 26 mai prochain. " Il y a une claire corrélation entre le volume des attaques et le niveau de représentation au Parlement", indique George Kamide, directeur de recherche chez SafeGuard Cyber. L'Allemagne, qui envoie 96 députés à Strasbourg, est ainsi le pays le plus fréquemment visé, suivi par la France qui compte 79 députés, puis l'Italie avec ses 76 députés. 

Les contenus poussés sur les réseau sociaux par ces "protagonistes malveillants" "ne sont pas des arguments particulièrement "de droite" ou "de gauche" remarque encore George Kamide ; ce qu'ils essaient de faire c'est de casser la fabrique sociale d'un pays, d'y semer le chaos. Ils s'adressent à tout le spectre politique" d'un pays. Par exemple quand le 4 mars Emmanuel Macron publie sa tribune dans le Guardian sur sa vision de l'Europe, on a constaté dans la foulée, une multiplication de l'activité des acteurs malveillants. Elle visait clairement à reformater la perception qu'on pourrait avoir de l'événement. Leur but c'était de s'approprier l'histoire, de détourner le faisceau des projecteurs de la tribune de Macron. Et pour ce faire ils ont poussé aussi bien des théories de la conspiration eurosceptiques, que des laïus pro-européens !"

Les réseaux sociaux colonisés par des faux comptes

Il faut dire qu'en matière de désinformation, les propagandistes du monde entier ont désormais la part belle avec ces réseaux sociaux ; c'est bien là qu'une majorité d'Américains mais aussi de plus en plus d'Européens choisissent de s'informer quotidiennement. Or le nombre de fausses informations et de faux comptes que l'on y peut croiser est proprement hallucinant. Selon SafeGuard Cyber au moins 12% des comptes qui suivent le Président de la commission européenne Jean-Claude Juncker, par exemple, sont en fait des faux : des "bots" et autres "protagonistes malveillants".

Quant au plus important des réseaux sociaux, Facebook et ses 2,32 milliards de membres, il a publié au début de l'année ses indicateurs principaux concernant fausses informations et faux comptes. On y apprend qu'entre octobre 2017 et septembre 2018 Facebook a "pris des mesures" (essentiellement désactivé) sur quelques 2,830 milliards de faux comptes. En clair, le réseau en supprime en moyenne 7,75 millions tous les jours.