Cyberespionnage Turla : la France et l'UE attribuent formellement à la Russie le ciblage d'entités stratégiques françaises

Le 13 juillet 2026, le Centre de Coordination des Crises Cyber (C4) a révélé le ciblage et la compromission d'entités françaises via le mode opératoire d'attaque Turla, rattaché au 16^e Centre du FSB russe. Fait rare : cette révélation s'accompagne, le jour même, d'une double déclaration formelle d'attribution — par la France et par l'Union européenne. Une escalade diplomatique qui doit alerter les DPO et RSSI sur la persistance de la menace étatique.

Ce qui s'est passé

Dans son rapport CERTFR-2026-CTI-004, le CERT-FR (ANSSI) documente une campagne de ciblage et de compromission d'entités françaises au moyen du mode opératoire Turla. Actif depuis au moins 2004, ce groupe opère à des fins de collecte de renseignement contre des cibles stratégiques dans le monde entier. En France, la victimologie identifiée par le C4 inclut des ministères, ainsi que des entités des secteurs diplomatique, de la défense, de la justice et des technologies — des cibles « intermédiaires » et « finales » dans une logique de rebond au sein des chaînes de confiance.

Le même jour, deux déclarations d'attribution formelle ont été publiées : l'une par le ministre de l'Europe et des Affaires étrangères au nom de la France, l'autre par la Haute Représentante de l'UE pour les affaires étrangères et la politique de sécurité, au nom de l'Union et de ses États membres. Ces textes rattachent explicitement les activités cyber-malveillantes de Turla au 16^e Centre du FSB, dans le prolongement des campagnes d'espionnage menées contre l'Ukraine, l'OTAN et l'UE depuis le déclenchement de la guerre d'agression russe le 24 février 2022.

Pourquoi c'est important pour les organisations

Une attribution étatique conjointe France-UE est un signal fort : elle confirme que la menace ne relève pas d'un acteur isolé mais d'une capacité offensive structurée, inscrite dans la durée depuis plus de vingt ans. Pour les entreprises et administrations qui gravitent autour des secteurs cités — y compris comme sous-traitants ou prestataires technologiques —, le risque de compromission via rebond doit être réévalué sans attendre un ciblage direct.

Sur le plan RGPD, tout accès non autorisé à des données à caractère personnel dans le cadre de cette campagne active l'article 32 du règlement (obligation de sécurité, état de l'art) et, en cas de compromission avérée, la chaîne notification CNIL sous 72 heures puis communication aux personnes concernées si le risque est élevé. Pour les organisations relevant de la directive NIS 2, les obligations de notification d'incident à l'ANSSI s'ajoutent à ce cadre, même si la transposition française reste en suspens.

Leto avait déjà documenté ce réflexe de vigilance renforcée lors d'un précédent avis du CERT-FR sur une vulnérabilité affectant des pare-feux largement déployés dans les administrations : les alertes ANSSI ne sont jamais de simples bulletins techniques, elles déclenchent une chaîne d'obligations juridiques précises.

Ce que ça change pour les organisations

Trois actions concrètes découlent de ce rapport. D'abord, les RSSI des secteurs concernés — et de leurs sous-traitants — doivent confronter leurs journaux aux indicateurs de compromission publiés dans le rapport téléchargeable du CERT-FR, sur une profondeur d'historique large compte tenu de la nature persistante de Turla. Ensuite, les DPO doivent documenter, dans leur registre des violations, toute investigation ouverte à la suite de cette alerte, même en l'absence de preuve immédiate d'exfiltration de données personnelles — la procédure de qualification d'une violation impose cette traçabilité dès le doute raisonnable. Enfin, les entités qui entretiennent des relations contractuelles avec des ministères, des acteurs de la défense ou de la diplomatie doivent revoir leurs clauses de sécurité au titre de l'article 28 du RGPD, la compromission d'un sous-traitant technologique étant un vecteur classique de ce type de campagne.

Ce que Leto pense de cette décision

La double attribution France-UE marque un changement de posture : documenter une intrusion ne suffit plus, il faut aussi la nommer politiquement. C'est un signal utile aux DPO, qui peuvent désormais s'appuyer sur une reconnaissance officielle du niveau de la menace pour justifier des investissements de sécurité auprès de leur direction. Mais l'attribution étatique ne change rien à l'obligation de résultat du RGPD : que la menace vienne d'un service de renseignement étranger ou d'un cybercriminel isolé, l'article 32 impose la même vigilance, et l'article 33 la même rigueur de notification. Leto recommande de ne pas attendre un ciblage confirmé pour agir : la persistance de Turla depuis 2004 montre que la préparation, pas la réaction, fait la différence.

Sources : CERT-FR (ANSSI), Rapport CERTFR-2026-CTI-004, Ministère de l'Europe et des Affaires étrangères, déclaration d'attribution