La guerre hybride comme grille de lecture : ce qu'elle rend visible et ce qu'elle masque

Selon Teresa Coratella, directrice adjointe du bureau de Rome de l'ECFR, les attaques hybrides font partie de la réalité quotidienne des Européens, rapporte Decode39, qui identifie une panoplie d'outils : cyberattaques, drones, sabotage et attaques contre les infrastructures critiques, pression économique, instrumentalisation de la migration et désinformation. La même publication présente la désinformation comme l'outil le plus visible et le plus tangible de cet ensemble.

L'Observatoire de l'Intelligence Économique documente régulièrement, incident par incident, les faits qui alimentent cette lecture. L'analyse qui suit ne les recense pas de nouveau. Elle porte sur la grille elle-même, devenue en quelques années le cadre par défaut de lecture des menaces en Europe, et pose une question simple : qu'est-ce qu'une organisation gagne à l'adopter, et qu'est-ce qu'elle perd sans s'en apercevoir ?

Une grille de lecture n'est ni vraie ni fausse. Elle est plus ou moins productive, et elle produit toujours deux effets simultanés : elle rend visibles des relations que les découpages antérieurs dissimulaient, et elle rend invisibles des distinctions que ces découpages préservaient. Le travail d'analyse consiste à tenir les deux effets ensemble.

Ce que la notion recouvre exactement, et ce qui la distingue de ses voisines

La guerre hybride désigne l'emploi combiné, par un acteur étatique, de moyens situés sous le seuil du conflit armé ouvert, avec un objectif politique et une gestion délibérée de l'ambiguïté sur l'auteur. Trois éléments sont donc requis simultanément : la combinaison, le maintien sous le seuil, et l'ambiguïté d'attribution. Retirer l'un des trois fait sortir de la catégorie.

Cette définition la distingue nettement de trois notions voisines avec lesquelles elle est souvent confondue. La criminalité économique poursuit un gain, pas un objectif politique. La guerre économique met en jeu des instruments assumés, tarifs, normes, contrôle des investissements, dont les auteurs revendiquent l'usage. La compétition informationnelle ordinaire, enfin, ne cherche pas à rester sous un seuil puisqu'elle ne franchit aucune ligne. Le critère décisif reste l'ambiguïté entretenue par l'auteur.

Ce point de définition n'est pas un raffinement académique. Il détermine qui traite l'incident dans une organisation. Un même fait matériel, une coupure de câble, un arrêt de production chez un fournisseur, une campagne de dénigrement, appelle une réponse assurantielle, juridique ou sécuritaire selon la catégorie dans laquelle on le range. Et cette catégorie, dans la plupart des cas réels, n'est pas connue au moment où il faut réagir.

Ce que la grille rend visible : la continuité entre des faits traités séparément

L'apport principal de la notion tient à un déplacement d'échelle. Avant elle, une intrusion informatique relevait de la direction des systèmes d'information, une avarie sur un site industriel de la sûreté, une campagne de dénigrement de la communication, une rupture d'approvisionnement des achats. Chacun de ces événements était traité comme un accident local, avec sa propre base de comparaison et son propre budget.

La grille hybride pose l'hypothèse inverse : ces événements forment potentiellement une séquence unique, conduite par un même acteur, dont chaque élément pris isolément reste sous le seuil de la réaction. La question qu'elle impose est une question de corrélation, non de gravité individuelle. Elle oblige à rapprocher des faits que l'organigramme sépare, et c'est là son mérite le plus solide.

La liste d'outils rapportée par Decode39 illustre cette exigence de rapprochement. Cyberattaques, drones, sabotage d'infrastructures critiques, pression économique, instrumentalisation de la migration et désinformation ne relèvent, dans presque aucune organisation publique ou privée, du même service. Aucune de ces entités ne détient à elle seule la vue qui permettrait de reconnaître la séquence, et cette dispersion est précisément ce que l'adversaire exploite.

Ce qu'elle masque : l'écrasement des seuils et la dilution des responsabilités

Le premier angle mort est celui du seuil. En plaçant sur un continuum unique la campagne de rumeurs et le sabotage d'une infrastructure, la grille rend difficile la formulation d'une réponse graduée. Or une doctrine de réponse suppose des seuils explicites : à partir de quel niveau une organisation change de posture, engage un coût, saisit une autorité. Un continuum sans paliers produit soit une alerte permanente, soit une accoutumance, et le second résultat est le plus fréquent.

Le second angle mort est celui de la preuve. La catégorie hybride intègre l'ambiguïté d'attribution dans sa définition même, ce qui crée une tentation de raisonnement circulaire : l'absence de preuve d'un commanditaire devient l'indice que le commanditaire pratique bien l'ambiguïté. Une grille qui se confirme aussi bien par la présence que par l'absence d'indices cesse d'être un instrument d'analyse. Il faut donc lui adjoindre une règle stricte de qualification par les traces disponibles.

Le troisième angle mort est organisationnel. Quand tout devient hybride, plus rien n'a de propriétaire clair. Les incidents remontent vers une instance transverse qui n'a ni les moyens techniques des métiers, ni le mandat d'agir sur les opérations. Le résultat observable est une couche d'analyse supplémentaire, appréciée en comité et sans effet sur le terrain.

Le biais de saillance : pourquoi la désinformation occupe tout le champ

Decode39 présente la désinformation comme l'outil le plus visible et le plus tangible de la panoplie hybride. Cette formulation mérite d'être prise au mot, car elle décrit une propriété d'observation et non une hiérarchie d'efficacité. Une campagne informationnelle laisse des traces publiques, horodatées, capturables et rejouables. Une pression économique exercée sur un fournisseur ne laisse, elle, presque aucune trace publique.

Il en résulte un biais de saillance très concret dans les dispositifs de veille. On mesure ce qui est mesurable, on publie ce qui est publiable, et l'attention des directions se porte sur la partie du phénomène qui produit des captures d'écran. Les instruments les plus coûteux pour la cible, ceux qui touchent l'accès aux marchés, aux composants ou aux financements, restent sous le radar par défaut de matière observable.

La correction n'est pas de délaisser le suivi informationnel, qui reste le capteur le plus rapide dont dispose une organisation. Elle consiste à ne jamais confondre le volume de signaux collectés avec le poids réel des menaces, et à documenter explicitement les zones où l'absence de signal traduit une absence de capteur. NewsCore (www.newscore.fr) couvre en continu des millions de sources multilingues, relie les signaux entre secteurs et fait remonter les corrélations vers les équipes concernées.

Conséquences organisationnelles : faire de la grille un instrument de cartographie

La grille est déjà entrée dans le droit, ce qui rend son examen d'autant plus nécessaire. European Express rapporte que le cabinet allemand a approuvé une réforme des lois sur le renseignement étendant l'autorité du Service fédéral de renseignement et de l'Office fédéral de protection de la Constitution, et que le ministre de l'Intérieur, Alexander Dobrindt, la justifie par une pression soutenue de l'espionnage, des cyberattaques, du sabotage et de l'influence étrangère. L'énumération reprend presque terme à terme la panoplie hybride : la catégorie d'analyse est devenue une catégorie de compétence.

L'usage productif de la notion n'est pas un usage de qualification, où chaque incident recevrait l'étiquette hybride, mais un usage de cartographie. Il consiste à établir la liste des dépendances critiques de l'organisation, énergie, composants, fournisseurs uniques, réputation des dirigeants, accès aux marchés publics, puis à identifier pour chacune le capteur qui la surveille et le service qui en répond. La grille sert alors à révéler les dépendances sans capteur.

Cette approche appelle deux règles simples. Chaque incident conserve son propriétaire métier, qui reste responsable de la réponse immédiate. Et une instance transverse, dotée d'un rythme de revue fixe, examine les corrélations entre incidents sur une fenêtre glissante suffisamment longue, parce qu'une séquence hybride se reconnaît sur des mois et jamais sur une journée.

Une grille de lecture qui explique tous les incidents n'en explique aucun. Sa valeur tient aux distinctions qu'elle maintient, pas au nombre de faits qu'elle absorbe.

Questions fréquentes sur la notion de guerre hybride

Qu'est-ce qui distingue une attaque hybride d'une attaque informatique ordinaire ?

Trois conditions doivent être réunies pour parler d'action hybride : un objectif politique et non lucratif, un maintien délibéré sous le seuil du conflit ouvert, et une ambiguïté entretenue sur l'auteur. Une intrusion informatique menée pour extorquer une rançon remplit rarement la première condition. La difficulté pratique est que ces trois conditions ne sont presque jamais établies au moment de l'incident, ce qui impose de traiter l'événement selon sa nature matérielle et de réviser la qualification plus tard.

Pourquoi la désinformation est-elle l'outil hybride le plus commenté ?

Parce qu'elle est la plus observable. Elle laisse des traces publiques, datées et conservables, que n'importe quelle organisation collecte sans autorisation particulière. Les autres instruments, pression sur un fournisseur, blocage d'un composant, retard administratif ciblé, produisent des effets au moins aussi lourds mais presque aucune trace exploitable de l'extérieur. La fréquence des commentaires mesure donc la disponibilité de la matière, pas l'importance relative de l'instrument.

Comment utiliser la grille hybride sans tomber dans la sur-interprétation ?

En la réservant à la cartographie des dépendances et à la recherche de corrélations, jamais à la qualification d'un incident isolé. Concrètement, chaque événement garde son propriétaire métier et son traitement ordinaire, tandis qu'une revue périodique cherche les répétitions et les convergences sur plusieurs mois. La règle de garde-fou est de n'invoquer l'hypothèse hybride que lorsqu'elle est soutenue par des traces positives, et de considérer l'absence de preuve comme une absence de preuve.