Le vendredi 5 mai 2017, quelques heures avant la clôture légale de la campagne présidentielle, des milliers de documents dérobés à l’équipe d’Emmanuel Macron sont déversés sur internet. Le candidat est qualifié pour le second tour, qui se tient le surlendemain. À l’instant où l’archive apparaît, la loi française interdit à sa campagne de s’exprimer et aux médias de publier le moindre élément nouveau. Le silence est général. Sauf sur les réseaux, où l’archive circule.
Huit ans plus tard, en avril 2025, la France attribue officiellement l’opération au renseignement militaire russe.
Elle a échoué. Elle a échoué parce que l’archive était trop volumineuse pour être exploitée en 44 heures, parce que la presse française a très majoritairement choisi de ne pas relayer avant vérification, et parce qu’il ne restait pas assez de temps pour que le doute s’installe. Aucune de ces trois raisons n’est une défense. Ce sont trois circonstances.
En 2027, les circonstances ne seront pas les mêmes.
Ce que c’est
Le faux dossier consiste à diffuser une archive de documents mêlant des pièces authentiques dérobées et des pièces fabriquées, publiée à un moment choisi pour que la vérification soit impossible avant le vote.
Trois éléments, et ils sont cumulatifs : le vol, le mélange, le calendrier. Retirez-en un, l’opération cesse de fonctionner. Un faux intégral ne trompe personne longtemps. Un vol authentique publié six mois avant le scrutin laisse le temps de la réponse. C’est la combinaison qui fait l’arme.
Comment ça marche
Quatre outils, qu’il faut regarder séparément parce qu’ils n’exigent ni les mêmes moyens ni les mêmes délais.
L’intrusion. Elle est presque toujours banale, et presque toujours ancienne. Un courriel d’hameçonnage adressé à un collaborateur périphérique, des mois avant l’échéance. Ce n’est pas le candidat que l’on vise, c’est l’attaché de presse, le stagiaire, le prestataire. Le maillon faible d’une campagne n’est presque jamais la campagne elle-même.
Le mélange. C’est le cœur du dispositif, et le plus contre-intuitif. On n’insère pas beaucoup de faux dans l’archive ; on en insère peu. Assez pour produire l’effet recherché, pas assez pour être repéré vite. Le lecteur qui vérifie trois documents et les trouve exacts cesse de vérifier, puis transporte, sans le savoir, les pièces fabriquées avec les authentiques. L’authenticité partielle contamine l’ensemble.
Le canal. En 2017, l’archive apparaissait sur une plateforme anonyme sans crédibilité propre, ce qui obligeait chacun à se forger un jugement. En 2027, elle apparaîtra d’abord sur un site qui ressemble à un grand titre de la presse française, à une lettre près dans le nom de domaine. C’est un procédé qui porte un nom, le typosquattage, et auquel une tribune entière de cette série est consacrée. Le lecteur ne jugera plus le document : il jugera l’enseigne.
L’amplification. Des réseaux de comptes coordonnés donnent l’impulsion initiale ; des militants sincères prennent le relais, convaincus de servir leur camp ; les rédactions suivent, parce qu’un sujet qui occupe l’espace devient un sujet. À la fin de la chaîne, plus personne ne sait qui a commencé.
Ce qui s’est déjà passé
Le précédent français de 2017 n’est pas isolé. En 2025, en Moldavie, un mode opératoire identifié sous le nom de Storm-1516 a diffusé de fausses investigations visant la présidente Maia Sandu, en les habillant des codes du journalisme d’enquête.
Et le procédé est désormais installé sur le sol français. À l’approche des élections municipales de mars 2026, VIGINUM, le service de l’État chargé de la vigilance contre les ingérences numériques étrangères, a documenté un réseau de faux titres de presse locale entièrement inventés. Insikt Group / Recorded Future en a répertorié 141 en septembre 2025. Pré-positionnés en vue du scrutin, ils ont été pour la plupart suspendus par l’Afnic avant d’avoir eu d’effet significatif. Ce n’était pas une fin ; c’était une répétition générale.
Puis il a visé un candidat. Début août 2026, le Secrétariat général de la défense et de la sécurité nationale informe l’eurodéputé Raphaël Glucksmann qu’il est la cible d’une opération attribuée au même mode opératoire que Storm-1516. Le dispositif reprend point par point ce qui vient d’être décrit : un média fabriqué de toutes pièces, reprenant les codes exacts d’un média en ligne français existant, sert de point de départ à de faux documents ; d’autres faux médias, se présentant comme « anti-système », prennent le relais de la diffusion. La chaîne complète : fabrication, hébergement sur une enseigne d’apparence crédible, amplification par des relais tiers, a donc tourné en entier sur une cible française, neuf mois avant le premier tour. Ce dossier était écrit avant.
Ce que l’attaquant cherche vraiment
Pas votre croyance : votre temps.
Un journaliste qui démêle le vrai du fabriqué dans une archive de plusieurs milliers de pièces y consacre des jours. Ces jours sont le produit recherché. Pendant qu’une rédaction vérifie, elle ne traite pas autre chose ; pendant qu’une campagne se défend, elle ne fait pas campagne.
Le second objectif est plus durable, et plus grave : installer un doute qui survivra au démenti. Car le démenti est lui-même un événement médiatique, qui rappelle l’accusation à ceux qui ne l’avaient pas vue. À la fin, ce qui reste dans les esprits n’est ni l’accusation ni la réfutation. C’est l’existence d’une affaire.
Ce que dit le droit et où il se tait
Le droit français couvre bien le début de la chaîne, et mal la suite.
L’intrusion est solidement réprimée. Les articles 323-1 et suivants du code pénal punissent l’accès et le maintien frauduleux dans un système de traitement automatisé de données ainsi que l’extraction de données. L’article 226-15 punit l’atteinte au secret des correspondances. Sur ce volet, il ne manque rien, sinon la possibilité d’identifier l’auteur, qui opère depuis l’étranger.
La diffusion est mal saisie. L’article L97 du code électoral punit d’un an d’emprisonnement et de 15 000 euros d’amende « ceux qui, à l’aide de fausses nouvelles, bruits calomnieux ou autres manœuvres frauduleuses, auront surpris ou détourné des suffrages ». Le projet de loi présenté en conseil des ministres le 22 juillet 2026 propose de porter ces peines à trois ans et 45 000 euros, et jusqu’à six ans lorsque les faits servent les intérêts d’une puissance étrangère. Mais l’infraction suppose de démontrer que des suffrages ont effectivement été surpris ou détournés, alors que cette preuve n’est presque jamais rapportable.
Reste le seul outil rapide : le référé de l’article L163-2 du code électoral, créé par les lois de décembre 2018. Il permet au juge des référés, saisi par le ministère public, par un candidat, par un parti ou par toute personne ayant intérêt à agir, d’ordonner en 48 heures les mesures nécessaires pour faire cesser une diffusion. Il s’applique pendant les trois mois précédant le premier jour du mois d’élections générales, et jusqu’à la date du tour de scrutin.
Lisez maintenant ses conditions, mot pour mot. Il vise « des allégations ou imputations inexactes ou trompeuses d’un fait de nature à altérer la sincérité du scrutin à venir », diffusées « de manière délibérée, artificielle ou automatisée et massive ». Et le Conseil constitutionnel, en validant le dispositif, a exigé que le caractère inexact ou trompeur soit manifeste.
Le texte exige une inexactitude manifeste ; une archive dont l’essentiel des pièces est authentique se prête mal à cette qualification. Le mélange produit exactement l’effet qui fait échouer la condition d’activation. La technique est construite, volontairement ou non, contre le seul dispositif d’urgence censé la saisir.
Deux compléments, tout de même. Les sites imitant la presse relèvent du droit des marques et du parasitisme. Et la divulgation de correspondances privées relève des articles 226-1 et 226-2 du code pénal. Mais la reprise, par un journaliste, d’informations d’intérêt général issues d’un vol bénéficie d’une protection solide au titre de la liberté d’expression : poursuivre le relais est, en pratique, hors de portée.
On sait donc poursuivre celui qui entre par effraction. On ne sait pas empêcher ce qu’il fait de ce qu’il a volé.
Ce qu’il faut surveiller
Ces vigilances s’adressent aux états-majors de campagne, parce que ce sont eux qui disposent du temps de préparation et des moyens de décision.
Écrivez avant la campagne le protocole de réponse applicable en période de réserve légale : qui parle, par quel canal, sur quelle validation technique, dans quel délai. Improviser en 44 heures est impossible. Appliquer un protocole rédigé six mois plus tôt ne l’est pas.
Traitez comme une cible tout ce qui gravite autour de la campagne sans en faire partie : prestataires, agences, bénévoles, comptes personnels des collaborateurs. C’est par là qu’on entre.
Considérez que toute archive apparue dans les jours précédant un scrutin est partiellement fabriquée, et organisez la capacité d’en administrer la preuve : conservation horodatée des documents authentiques, capacité d’expertise mobilisable, interlocuteur technique identifié avant la crise.
Et vérifiez le nom de domaine complet, caractère par caractère, avant de relayer quoi que ce soit. Une lettre modifiée, un tiret ajouté : c’est la signature du typosquattage.
Institut Synopia et Jacky ISABELLO
Fondateur du cabinet Parlez-moi d’Impact et conseiller en analyse stratégique de la communication de l’Institut Synopia
