« La menace existentielle pour la France reste la désinformation », entretien avec l’ancien chef de la cyberdéfense militaire

Viginium, l’organisme français contre les ingérences numériques étrangères, publiait un rapport le 12 février 2024 sur des sites de désinformation russes destinés à « directement à polariser le débat public numérique francophone ». Assez pour avertir la population française ? « Difficile de lutter contre de telles manœuvres de manipulation », constate Arnaud Coustillière, vice-amiral d’escadre. Officier de haut-rang, il a participé à la création de la cyberdéfense française.

Dans son ouvrage, Un soldat de la cyberguerre (Éditions Tallandier) paru en février dernier, il décrit tour à tour le retard français, le lancement d’un corps militaire dédié à la défense du cyberespace et l’élaboration d’une doctrine offensive. Si la lutte dans le cyberespace sera intense pour les prochaines années, celle du champ informationnel paraît encore plus décisive.

Numerama : Vous avez été confronté à un premier grand front de la cyberguerre contre Daesh dès 2014. Est-ce que la bataille contre le terrorisme a concentré trop de force, au point d’oublier d’autres menaces ?

Arnaud Coustillière : La propagande de Daesh mettait en péril la vie des Français à l’époque. N’oublions pas que le contingent francophone était le deuxième plus important après l’arabophone au sein de l’État islamique, avec près de 3 000 soldats. Ces mêmes soldats se chargeaient de la propagande à destination de la France. Il fallait donc agir vite, la contrer efficacement, mobiliser nos forces sur place contre leur infrastructure. Tout cela a beaucoup occupé l’armée jusqu’en 2017.

La menace russe débute à peu près à la même période, d’abord concentrée sur les pays d’Afrique francophone, en grimpant doucement dans cette zone. À vrai dire, nous avons très tôt surveillé l’évolution de leur narratif. En 2016, nous avons commencé à nous pencher dessus avec le premier observatoire de la propagande russe.

Le premier ministre norvégien a déclaré qu’un conflit avec la Russie débuterait par le front cyber, partagez-vous cet avis ?

Je n’aime pas le mot conflit, car il renvoie au droit de la guerre et tout le cadre juridique qui en découle. Le mot confrontation est peut-être plus adapté pour cette situation. La Russie est plus habile, elle travaille en deçà d’un certain seuil, pour éviter qu’on ne parle de guerre.

La cyber est par nature une arme « grise » et le Kremlin la maitrise parfaitement, à travers des éléments clairement identifiés comme les mercenaires des Wagner, mais aussi avec des méthodes plus déguisées. La cyberattaque en 2015 contre la chaîne de télé TV5 Monde est un parfait exemple, en laissant croire qu’il s’agissait d’une opération islamiste.

Aux États-Unis, on tolère le hack-back, c’est-à-dire la contre-cyberattaque d’un acteur privé contre les hackers pour récupérer ses données. Est-ce que la France et l’Europe devrait adopter une posture similaire ?

Je suis partisan de cette idée, si un cadre légal est posé. En établissant un certain nombre de règles, les entreprises devraient pouvoir aller s’attaquer aux groupes de hackers qui les ont ciblés, et récupérer leur propre information. Je sais que c’est impensable en Europe et c’est dommage.

Vous rappelez que les plateformes de réseaux sociaux ont réagi à la propagande de Daesh en 2015 en supprimant rapidement des propos ou des vidéos choquantes. Peut-on attendre autant des GAFAM pour contrer la propagande russe en 2024 ?

C’est plus compliqué, parce que Daesh était caractérisé comme un ennemi commun. Avec Vladimir Poutine, on rentre dans une vision plus politique, rien ne vous empêche d’être en France et de vouloir penser comme lui, et si on exigeait des actes de la part des entreprises de réseaux sociaux, on entrerait tout de suite sur des débats de censure.

Or, les deux phénomènes, la propagande de Daesh comme celle de la Russie, ont un but commun, la destruction de notre modèle de civilisation. Il nous reste toujours d’autres armes et c’est à nous de réfléchir sur des moyens pour signaler une manipulation. Le service Viginium est un bon exemple.

Vous citez dans votre ouvrage une cyberattaque qui a perturbé la connexion avec les drones français en 2011. Comment s’assurer que de telles situations ne se reproduisent pas au moment où les drones deviennent un élément indispensable de l’arsenal français ?

À l’époque, on s’est préoccupé de déployer, sans s’assurer qu’il était sécurisé. L’appareil, un drone Harfang de taille conséquente (16,6 mètres d’envergure), était connecté à Internet. C’était presque de la bêtise. Le manque de maturité de l’appareil industriel sur le risque cyber était encore flagrant et je pense qu’il s’est amélioré depuis.

L’Ukraine a eu recours à des systèmes civils pour ses drones et des systèmes de connexion comme Starlink, parce que c’était une urgence pour le pays. Dans ce type de situation, il faut agir avec tous les moyens que l’on a entre les mains, mais recourir à des systèmes civils, c’est ouvrir la porte à une résilience faible. Oui, on peut imaginer un déploiement de Starlink par des militaires, mais seulement dans des situations d’extrême urgence. Le défi est plutôt de produire rapidement des appareils avec notre industrie.

Quelle est à votre avis la menace la plus prioritaire pour les années à venir ?

La désinformation reste la menace existentielle pour la France. Elle pose un réel défi pour la cohésion nationale et l’avenir de nos démocraties. Une cyberattaque, cela reste un élément technique, potentiellement grave, mais on sait comment le contrer. C’est plus difficile en revanche lorsqu’il s’agit de stopper une influence. Nos enfants débutent très tôt sur le web, les réseaux sociaux et ils n’échapperont pas à l’influence de ces puissances étrangères.