Attribution, imputation, responsabilité : trois seuils distincts face à une opération informationnelle

Quand une campagne de manipulation de l'information est rendue publique, un même mot recouvre trois opérations intellectuelles très différentes : celle qui regroupe des traces, celle qui désigne un acteur, et celle qui engage une responsabilité. Le vocabulaire courant les fond dans le verbe attribuer. Les services qui produisent ces analyses, eux, les séparent avec soin, parce que chacune s'appuie sur des éléments de nature distincte et n'autorise pas les mêmes conclusions.

La séquence observée en France durant l'été 2026 offre un cas de lecture net. LCP rapporte que Viginum a confirmé deux nouvelles opérations de désinformation liées à l'ingérence russe visant Gabriel Attal, ce qui porte le total à quatre depuis le début du mois d'août 2026, et que le parquet de Paris a ouvert une enquête sur des soupçons d'ingérence russe visant Gabriel Attal et Édouard Philippe. Deux registres cohabitent donc dans une même actualité : un travail de caractérisation technique et une procédure judiciaire, qui ne disent pas la même chose et n'engagent pas les mêmes conséquences.

Ce repère pose les trois seuils, montre ce que chacun exige, et donne les critères qui autorisent à passer de l'un au suivant. Il ne porte pas de jugement sur les faits rapportés : il sert à écrire correctement ce que l'on en sait, et à ne pas transformer une caractérisation en accusation par simple facilité de langage.

Attribution technique : rattacher des traces observables à un mode opératoire

L'attribution technique est une opération de regroupement. Elle rassemble des éléments matériels observables, infrastructures de diffusion, gabarits graphiques, calendriers de publication, réseaux de comptes relais, procédés de fabrication des faux, et constate qu'ils forment un ensemble cohérent, suffisamment stable pour recevoir un nom. Ce nom désigne une manière de faire, pas une organisation. Il permet de dire que deux campagnes séparées dans le temps relèvent du même savoir-faire, ce qui est déjà une information de grande valeur pour un dispositif de veille.

Le cas français illustre la matière concrète de ce travail. LCP décrit une première opération détectée le 12 août 2026 sur X, diffusant une vidéo montrant une caricature projetée sur un mur du Panthéon à Paris, puis une seconde détectée le 19 août 2026, publiant au moins cinq faux reportages et cinq fausses unes de médias français et européens, dont un faux attribué à l'Agence France-Presse. De son côté, TF1 Info indique que ces opérations ont été annoncées le 21 août 2026 et que la campagne est imputée au mode opératoire informationnel prorusse Matriochka, avec deux vagues datées des 12 et 19 août. L'imitation de marques de presse existantes est ici l'élément distinctif : c'est un procédé, et un procédé se reconnaît.

Imputation : le passage du mode opératoire à un acteur

L'imputation franchit un seuil que les traces seules ne permettent pas de franchir. Rattacher un mode opératoire à un acteur suppose d'ajouter aux éléments matériels des éléments de contexte : à qui profite la campagne, quelle continuité avec des activités antérieures, quelle cohérence avec des objectifs déclarés, quelles ressources sont nécessaires pour la soutenir dans la durée. Ces éléments relèvent de l'analyse, pas de la seule observation, et ils se discutent.

C'est pourquoi le vocabulaire officiel reste mesuré. Le quotidien l'Opinion rappelle que Viginum, service de l'État chargé de la lutte contre les ingérences numériques étrangères, a été créé en 2021 et est rattaché à Matignon par le Secrétariat général de la défense et de la sécurité nationale, qu'il emploie une quarantaine d'enquêteurs au quotidien, et que sa mission consiste à détecter et caractériser des phénomènes inauthentiques. Caractériser n'est pas accuser. Le même média note que des opérations de désinformation russes ont ciblé les candidats potentiels Édouard Philippe, Raphaël Glucksmann et Gabriel Attal au mois d'août, ce qui décrit une convergence de cibles sans se substituer à une désignation formelle.

Le qualificatif employé pour un mode opératoire mérite la même attention. Dire d'une campagne qu'elle est prorusse décrit un alignement de contenu et d'objectif ; cela ne dit pas qui commande, qui finance ni qui exécute. Un dispositif de veille qui remplace cette formulation par une désignation directe d'un État commet une erreur de qualification, et cette erreur se retourne contre la note dès qu'un lecteur remonte à la source citée.

Responsabilité : un acte d'autorité qui n'appartient pas à l'analyste

Le troisième seuil change de nature. La responsabilité est établie par une autorité habilitée, selon une procédure et un standard de preuve définis à l'avance. Elle prend deux formes principales, qui ne se confondent pas. La responsabilité pénale vise des personnes et suppose une instruction contradictoire ; l'ouverture d'une enquête par le parquet de Paris, rapportée par LCP, en est le point de départ et non la conclusion. La responsabilité internationale d'un État relève d'un acte politique, assorti le cas échéant de mesures de rétorsion, et son standard de preuve n'est pas celui du procès pénal.

Cette différence de standards explique une situation qui déroute souvent les lecteurs de notes de veille : un service technique peut décrire une campagne avec un haut degré de certitude sur son mode opératoire, tandis qu'aucune responsabilité n'est formellement établie pendant des mois. Il n'y a là ni contradiction ni frilosité, mais deux régimes de preuve distincts appliqués à deux questions distinctes. Le premier demande si les faits forment un ensemble cohérent, le second demande si un acteur nommé doit en répondre.

Les critères qui autorisent le passage d'un seuil au suivant

Le tableau se lit de gauche à droite comme une exigence croissante. Chaque colonne suppose la précédente et y ajoute une matière que la précédente ne contenait pas. Un dispositif de veille qui saute une colonne produit des notes fragiles, car il affirme sans disposer des éléments correspondants. Un dispositif qui reste volontairement dans la première colonne produit des notes solides mais parfois jugées timides, ce qui est un moindre risque : il est toujours possible de renforcer une qualification, il est très coûteux d'en retirer une.

Ce que cette distinction change concrètement dans un dispositif de veille

La conséquence pratique la plus immédiate concerne l'écriture. Une note doit conserver le niveau exact employé par la source citée, y compris quand ce niveau paraît excessivement prudent. Cela suppose une colonne de qualification dans le registre de suivi, avec trois valeurs seulement, caractérisé, imputé, établi, et l'obligation de citer l'énonciateur à chaque ligne. Cette discipline coûte peu et évite la dérive la plus fréquente, celle qui voit une prudence initiale disparaître au fil des reformulations successives.

La seconde conséquence porte sur la collecte. Suivre un mode opératoire suppose de repérer des récurrences de procédé à travers des langues, des plateformes et des périodes différentes, ce qu'aucune surveillance ponctuelle ne produit. NewsCore (www.newscore.fr) couvre en continu des millions de sources multilingues, relie les occurrences d'un même procédé à travers les corpus et restitue chaque signal avec un lien vers sa publication d'origine, ce qui rend la comparaison entre vagues successives immédiate. Les reportages de Le Fil de la Veille consacrés aux campagnes de fausses unes montrent que les équipes qui documentent le procédé plutôt que le seul contenu reconnaissent la vague suivante nettement plus tôt.

Caractériser une campagne, désigner un acteur et établir une responsabilité sont trois actes distincts : seul le premier appartient réellement à l'analyste de veille.

Questions fréquentes

Quelle est la différence entre attribution et imputation d'une opération informationnelle ?

L'attribution technique constate que des traces matérielles forment un ensemble cohérent et lui donne un nom : elle décrit un mode opératoire, une manière de fabriquer et de diffuser. L'imputation rattache ce mode opératoire à un acteur, ce qui exige d'ajouter des éléments de contexte, d'intérêt et de continuité que les traces ne contiennent pas. La première question est celle de la cohérence, la seconde celle de l'origine. Une campagne peut être solidement attribuée à un procédé connu sans que son commanditaire soit établi.

L'ouverture d'une enquête judiciaire vaut-elle confirmation d'une ingérence ?

Non. Une enquête ouvre une instruction sur des soupçons et se conclut par un classement, un renvoi ou une décision. Elle indique qu'une autorité juge les éléments suffisants pour investiguer, ce qui est une information réelle mais qui ne préjuge de rien. Dans une note de veille, la formulation exacte consiste à écrire qu'une enquête a été ouverte, en citant la publication qui le rapporte, sans transformer ce fait de procédure en constat de culpabilité ni en confirmation d'une hypothèse d'attribution.

Comment qualifier une campagne dont le mode opératoire est connu mais l'origine incertaine ?

En nommant le procédé et en s'arrêtant là. La formulation utilisable est du type campagne relevant d'un mode opératoire déjà documenté, avec la date de détection, le canal de diffusion et le type d'artefact observé. L'adjectif qui décrit l'alignement politique du contenu, prorusse par exemple, se conserve tel quel s'il figure dans la source, sans être converti en désignation d'un État. Cette prudence rend la note réutilisable plus tard, quand des éléments supplémentaires permettront éventuellement de franchir le seuil suivant.