Turla infiltre la défense slovaque

La Slovaquie dit avoir été visée par des cyberopérations liées au FSB russe, contre des infrastructures critiques, l’énergie et l’industrie d’armement. Aucun sabotage n’a été signalé, mais l’affaire expose une faiblesse européenne : l’accès discret vaut déjà pression stratégique.

Un routeur mal configuré, une passerelle VPN oubliée, une console d’administration exposée : ces équipements sans prestige sont devenus les portes d’entrée des infrastructures modernes. En Slovaquie, des pirates liés à l’État russe auraient testé ces accès autour de systèmes connectés aux réseaux énergétiques, à la production d’armes et à plusieurs ministères.

Le ministère slovaque des affaires étrangères a confirmé que le pays avait été ciblé par des opérations cyber attribuées au service de renseignement russe FSB (Topky/TASR). Le ministère des investissements a précisé que l’activité visait les infrastructures critiques, l’industrie de défense et le secteur énergétique (TA3). Aucune centrale ne s’est arrêtée. Aucun train n’a été immobilisé. C’est précisément ce qui rend l’affaire sérieuse : l’objectif n’était pas forcément de frapper, mais de comprendre où frapper plus tard.

Le cambrioleur qui ignore la télévision

L’opération en cause, connue sous le nom de Turla, ne ressemble pas à un groupe de rançongiciel cherchant un paiement rapide. Pilotée par l’unité Centre 16 du FSB, elle vise à pénétrer les réseaux en silence, à y rester et à collecter du renseignement pendant des mois, parfois des années (CISA). Le bon parallèle n’est pas le voleur qui emporte l’écran du salon, mais celui qui photographie le tableau électrique, repère les caméras et prend l’empreinte des clés.

Les points d’entrée sont banals. Une alerte conjointe de la CISA et du FBI décrit des acteurs du Centre 16 exploitant des routeurs mal configurés, des paramètres faibles de gestion réseau et des passerelles VPN obsolètes, c’est-à-dire les équipements placés à la frontière entre une organisation et Internet (CISA AA26-194A, FBI/IC3). Une passerelle VPN fonctionne comme un registre des visiteurs doublé d’un plan des lieux : elle indique qui se connecte, depuis où, et vers quels systèmes internes. Ses fichiers de configuration peuvent aussi révéler des liens de confiance et des chemins vers des zones plus sensibles du réseau (AttackIQ).

Pour un ministère ou une entreprise énergétique, cela signifie qu’un attaquant peut cartographier les faiblesses sans déclencher d’alarme visible. Au vu des éléments publics, l’affaire relève davantage de la reconnaissance stratégique que de la préparation démontrée d’un sabotage imminent.

Pourquoi les voisins s’en inquiètent

Les infrastructures européennes ne fonctionnent pas comme une rangée de maisons séparées, mais comme un immeuble dont les câbles et les conduites se croisent. La Slovaquie et l’Autriche partagent un réseau de transport gazier et un corridor ferroviaire très fréquenté entre Vienne et Bratislava (Gas Connect Austria, ÖBB). La Tchéquie partage avec la Slovaquie des canaux d’échange de données de défense et des systèmes liés aux régions frontalières (Novinky). Rien n’indique que ces systèmes aient été compromis. Mais cette interdépendance explique pourquoi une intrusion slovaque devient une vulnérabilité européenne.

Aucun État voisin n’a fait état d’une compromission confirmée liée à cet incident. Le risque se situe ailleurs : des configurations volées, des identifiants de fournisseurs ou une connaissance fine des points faibles peuvent servir à préparer de futures opérations contre des systèmes connectés. L’Autriche a convoqué l’ambassadeur de Russie à propos de cyberattaques liées. L’Union européenne et le Royaume-Uni ont imposé leurs premières sanctions conjointes contre le Centre 16 et l’opération Turla (Sabr Cyber & Tech News, formiche.net). Le message est politique : même sans dommage transfrontalier prouvé, les gouvernements considèrent désormais l’accès clandestin comme une menace partagée.

Un code du bâtiment ne répare pas un routeur

C’est exactement le scénario pour lequel la directive NIS2 a été conçue. Ce texte, sorte de code du bâtiment pour les services numériques essentiels, oblige les opérateurs d’infrastructures critiques à gérer leurs risques cyber, à signaler rapidement les incidents et à sécuriser leurs chaînes de fournisseurs (EUR-Lex). La gestion slovaque de l’affaire en teste la logique. Selon plusieurs médias, le gouvernement n’aurait confirmé les attaques qu’après des questions de journalistes (TA3), tandis que l’opposition l’accuse d’une passivité dangereuse (Aktuality).

Un code du bâtiment impose des sorties de secours et des détecteurs de fumée. Il n’empêche pas quelqu’un de laisser la porte ouverte. NIS2 peut fixer des délais de notification et imposer des évaluations de risque ; elle ne remplace pas un routeur obsolète et ne renouvelle pas une clé VPN compromise.

Ce qui s’est produit en Slovaquie ne prouve pas que la Russie puisse paralyser les infrastructures européennes à volonté. Les acteurs liés à Moscou ont ciblé des systèmes susceptibles de leur permettre de comprendre, cartographier et préparer des moyens de pression contre des services critiques. Les accès sont discrets, la présence patiente, l’ambition de long terme. Pour l’Europe, le vrai test consiste à traiter l’infiltration silencieuse avec le même sérieux que la panne visible.