Réseaux hybrides du renseignement : les limites de la lecture par organigramme

Enderi consacre une analyse au décryptage des opérations du renseignement russe et met en garde contre un réflexe répandu : la lecture trop institutionnelle. Selon Enderi, les services russes, FSB, SVR et GRU, mobilisent des réseaux qui incluent des cybercriminels, des entreprises privées et l'Église orthodoxe russe pour conduire des opérations hybrides, et le Royaume-Uni comme l'Union européenne ont sanctionné ces acteurs en juillet 2026. Comprendre une opération suppose donc de reconstituer le réseau complet des relais, et pas seulement d'identifier le service commanditaire.

Cette remarque paraît technique. Elle remet en cause une habitude d'analyse profondément installée, y compris dans les fonctions de veille et de sûreté du secteur privé. Face à un incident, la question spontanée est celle du responsable, et la réponse attendue est un nom d'organisation. Le Fil de la Veille a rapporté ces éléments dans leur actualité ; l'enjeu ici est de comprendre pourquoi ce type de réponse renseigne beaucoup moins qu'il n'y paraît.

L'argument à examiner tient en une phrase : dans un dispositif hybride, l'organisation qui décide et l'ensemble qui exécute ne coïncident pas. Il en découle que l'attribution à un service, même exacte, laisse hors du champ la plus grande partie de ce qu'il faudrait connaître pour anticiper, se protéger ou riposter. Cet article détaille cette dissociation, ses conséquences analytiques et la méthode qu'elle impose.

Pourquoi l'organigramme rassure et pourquoi il induit en erreur

Un organigramme offre trois satisfactions immédiates : il est stable, il est nommable et il permet de clore l'analyse. Attribuer un incident à un service identifié transforme une inquiétude diffuse en fait apparemment maîtrisé, et fournit à la direction une réponse formulable en une phrase. Cette clarté a un prix : elle suggère une chaîne de commandement continue, du décideur jusqu'à l'exécutant, qui n'existe pas dans les dispositifs décrits.

La réalité opérationnelle est celle d'une sous-traitance à géométrie variable. Une intention formulée à un niveau donne lieu à des exécutions confiées à des acteurs qui ne relèvent pas de la hiérarchie, qui poursuivent aussi leurs objectifs propres et dont la coordination est parfois lâche. Le résultat observable, l'incident, mêle donc des motivations d'État et des motivations privées, ce qui explique des comportements incohérents avec une lecture strictement stratégique.

L'erreur d'analyse consiste alors à interpréter chaque geste comme un signal délibéré. Une cible sans intérêt stratégique apparent, un timing maladroit, une revendication contradictoire s'expliquent souvent par l'autonomie du relais plutôt que par une intention cachée. Surinterpréter conduit à construire des scénarios sophistiqués sur des faits qui relèvent d'une opportunité saisie par un acteur intermédiaire.

Ce que chaque type de relais apporte au commanditaire

Le relais criminel apporte trois choses. Des capacités déjà constituées, accès compromis, infrastructures de diffusion, savoir-faire d'intrusion, qui n'ont pas à être développées en interne. Une déniabilité crédible, puisque l'activité relève d'une économie illicite préexistante et documentée. Et une élasticité budgétaire, l'acteur se rémunérant partiellement sur son activité propre. Le coût de cette externalisation est la perte de contrôle sur les cibles secondaires.

Le relais commercial apporte la façade. Une société de conseil, de communication ou de services techniques opère avec des contrats, des factures et une existence légale vérifiable. Elle peut contracter à l'étranger, employer du personnel local et se présenter dans des enceintes où un service ne se présenterait pas. Sa fragilité est symétrique : elle laisse des traces administratives, registres, comptes, dépôts de marques, qui constituent la matière la plus exploitable en sources ouvertes.

Le relais d'autorité morale, dont Enderi cite l'exemple de l'Église orthodoxe russe, apporte quelque chose que ni l'argent ni la technique ne procurent : la légitimité auprès de publics spécifiques et un réseau d'implantations locales anciennes. Ce type de relais ne diffuse pas des messages opérationnels, il façonne des cadres d'interprétation sur la durée. Son effet se mesure en années, ce qui le rend presque invisible aux dispositifs de veille calés sur l'actualité.

La déniabilité comme produit du réseau, pas comme précaution ajoutée

On présente souvent la déniabilité comme une couche de dissimulation ajoutée à une opération, brouillage technique, comptes jetables, infrastructures louées. Dans un dispositif hybride, elle est bien davantage : elle est produite par la structure même du réseau. Chaque relais possède une raison propre d'agir, indépendante de la commande, et cette raison est vraie. La couverture n'est pas un mensonge fabriqué, c'est une motivation réelle qui coexiste avec la commande.

Cette configuration a une conséquence directe sur la charge de la preuve. Démontrer qu'un acteur a agi pour le compte d'un service suppose d'établir un lien qui n'est visible ni dans le contenu de l'action ni dans le profil de l'auteur, puisque les deux sont explicables sans l'hypothèse de la commande. C'est ce qui rend l'attribution si laborieuse et si souvent contestée publiquement, y compris de bonne foi.

Elle explique aussi le glissement observé dans les instruments de réponse. Les régimes de sanctions adoptés par le Royaume-Uni et l'Union européenne en juillet 2026, mentionnés par Enderi, visent des acteurs du réseau plutôt que des organisations souveraines. Cette approche par les relais reconnaît implicitement que le point de pression efficace se situe sur les maillons intermédiaires, économiquement exposés et juridiquement atteignables.

Le nom du service dit d'où vient l'ordre. Le réseau des relais dit ce qui va réellement se produire, où et par quels moyens.

Reconstituer un réseau : méthode, matériaux et limites

La cartographie d'un réseau de relais se construit avec des matériaux ordinaires et abondants : registres d'entreprises et bénéficiaires effectifs, appels d'offres et marchés publics, dépôts de marques et de noms de domaine, offres d'emploi, profils professionnels publics, actes de colloques, comptes rendus d'événements, archives de sites. Aucun de ces éléments n'est confidentiel. Leur valeur naît de l'assemblage et de la datation.

Le travail utile consiste à établir des liens de trois natures : liens de personnes, un dirigeant présent dans deux structures ; liens de flux, un contrat, un financement, une prestation ; liens de coïncidence, une adresse, un prestataire technique, une temporalité partagée. Les deux premiers sont solides, le troisième est indicatif et doit rester présenté comme tel. Mélanger les trois niveaux de certitude dans une même conclusion est la faute la plus courante.

Les limites doivent être énoncées franchement. Une cartographie en sources ouvertes documente des relations, pas des instructions. Elle établit qu'un ensemble d'acteurs est connecté, elle n'établit pas qui a ordonné quoi. Cette modestie est ce qui rend le produit utilisable par un décideur, car une carte accompagnée de ses incertitudes reste exploitable, tandis qu'une carte qui affirme trop devient inutilisable dès la première contestation.

Ce que cela change pour une fonction de veille en entreprise

La première conséquence est un changement d'unité de surveillance. Suivre des organisations connues produit peu ; suivre des relations entre entités en produit beaucoup plus. Concrètement, cela signifie surveiller des sociétés de services de taille modeste, des intermédiaires commerciaux, des structures associatives et des prestataires techniques, plutôt que de se concentrer sur les acteurs déjà identifiés dans les rapports publics.

La deuxième conséquence est la nécessité d'un corpus large et multilingue, tenu dans la durée. Les traces d'un relais commercial apparaissent d'abord dans la presse économique locale, dans les annonces légales et dans les communications professionnelles, souvent des mois avant qu'un lien ne soit établi publiquement. NewsCore (www.newscore.fr) couvre en continu des millions de sources dans plus de cent langues, relie les mentions d'une même entité entre pays et fait remonter en temps réel les signaux pertinents avec le lien vers la source d'origine.

La troisième conséquence est organisationnelle. Une cartographie de réseau se construit avant l'incident, par accumulation lente, et ne s'improvise pas en situation de crise. Les analyses de l'Observatoire de l'Intelligence Économique sur les délais de détection convergent avec ce constat : ce qui manque au moment de décider n'est presque jamais une information indisponible, mais une information disponible que personne n'avait été chargé de relier aux autres.

Questions fréquentes

Pourquoi ne suffit-il pas d'attribuer une opération à un service de renseignement ?

Parce que l'attribution répond à la question de l'origine et non à celle de l'exécution. Le service commanditaire ne détermine ni les cibles secondaires, ni les modes d'accès employés, ni la durée de la campagne, qui dépendent des relais mobilisés. Une organisation qui sait seulement qu'un service la vise ne sait pas encore par quels canaux elle sera atteinte, ce qui est pourtant la seule information qui commande des mesures de protection.

Comment identifier un relais commercial dans un dispositif hybride ?

Aucun indice ne suffit isolément, et beaucoup de sociétés présentant ces caractéristiques sont parfaitement ordinaires. Les configurations à examiner associent une activité déclarée peu spécifique, une clientèle concentrée, des dirigeants dont le parcours croise des institutions sensibles, une implantation internationale disproportionnée par rapport à la taille affichée, et une empreinte publique faible malgré des marchés significatifs. Le faisceau se construit avec des registres publics et des archives.

Les sanctions contre des relais sont-elles plus efficaces que celles visant des États ?

Elles agissent différemment. Une sanction visant un intermédiaire produit un effet économique concret et immédiat : accès bancaire, contrats, mobilité, réputation commerciale. Elle atteint des acteurs dont le calcul de risque est celui d'une entreprise, pas celui d'un appareil d'État. Son effet reste toutefois partiel, car les fonctions concernées se reconstituent dans de nouvelles structures, ce qui impose une actualisation continue plutôt qu'une décision ponctuelle.

Une entreprise privée a-t-elle les moyens de cartographier ce type de réseau ?

Elle en a les moyens pour la partie qui la concerne, et c'est la seule qui compte. L'objectif raisonnable n'est pas de reconstituer un dispositif étatique complet, mais de connaître les entités qui interviennent dans son environnement direct : fournisseurs, intermédiaires, partenaires locaux, prestataires techniques. Cette cartographie de proximité, tenue à jour et documentée, apporte davantage de sécurité opérationnelle qu'une lecture générale des rapports d'attribution.