L’Europe fait face à une menace réelle contre la continuité de ses services et la confiance de ses populations. Mais les éléments publics ne permettent pas de réunir les intrusions administratives, les sabotages frigorifiques, les fraudes bancaires et les fausses alertes aériennes dans une offensive unique. Les autorités européennes documentent à la fois une pluralité de menaces et des campagnes liées aux rivalités géopolitiques.

La question politique dépasse donc l’identification d’un auteur derrière chaque incident : à quelles conditions des perturbations dispersées peuvent-elles produire un effet stratégique commun ? L’hypothèse examinée ici est celle d’une convergence des effets sans nécessaire unité de commandement. Elle permet d’étudier la pression exercée sur les sociétés européennes sans transformer une succession d’événements en preuve de coordination.

Une chronologie à dissocier

L’intrusion dans les systèmes du ministère français de l’Intérieur remonte à décembre 2025. L’accès à des messageries avait permis la consultation de fichiers sensibles ; un suspect a été mis en examen ce même mois, sans que cette procédure constitue une déclaration de culpabilité. Cet épisode ne saurait être présenté comme le premier mouvement démontré d’une opération qui se serait ensuite propagée aux équipements frigorifiques.

La séquence du froid est plus resserrée : une première vague frappe principalement la France dans les nuits des 11–13 octobre 2026 ; une seconde touche plusieurs pays européens les 1er et 2 novembre. Les fausses alertes visant l’aviation se multiplient pendant la première semaine de novembre, puis des rédactions sont menacées le 6 novembre.

Le secteur financier obéit encore à d’autres temporalités. Le détournement visant Crédit Mutuel Arkéa est révélé le 4 novembre 2026, tandis que la fraude contre Fideuram, publiée en septembre, remonte à février. La simultanéité de leur visibilité médiatique n’est pas celle de leur exécution.

La géographie des vulnérabilités

La topographie pertinente n’est pas seulement nationale. Elle doit suivre les fonctions touchées — gouverner, alimenter, soigner, payer, circuler, communiquer — et les dépendances techniques qui traversent les frontières. L’ENISA souligne précisément le rôle des fournisseurs, des services partagés et des interdépendances numériques dans l’ampleur des incidents.

 

Les décomptes varient selon la période, le périmètre et le degré de confirmation : certains recensent les installations touchées lors d’une vague, d’autres additionnent les signalements depuis octobre. La carte révèle une exposition continentale, pas une paralysie continentale. En Allemagne, le BSI déclarait le 3 novembre que la sécurité de l’approvisionnement n’était pas menacée malgré les incidents constatés.

La perturbation comme levier politique

Le point commun le plus significatif entre ces affaires n’est pas nécessairement leur origine, c’est leur capacité à atteindre des gestes ordinaires. Faire ses courses, prendre l’avion, recevoir des soins ou effectuer un virement devient le lieu où une faiblesse technique peut produire une expérience immédiate d’insécurité. L’interprétation politique est celle d’un déplacement de la vulnérabilité : des réseaux spécialisés vers les conditions concrètes de la vie quotidienne.

Dans l’aviation, cette asymétrie apparaît clairement. Les procédures imposent de traiter sérieusement une menace susceptible de mettre des passagers en danger, même lorsqu’elle se révèle mensongère. L’analyse qui en découle est qu’un auteur peut provoquer des coûts réels sans disposer d’explosif ni compromettre les systèmes de l’avion : il exploite la prudence indispensable du dispositif de sûreté.

L’effet demeure néanmoins à mesurer. Selon le suivi d’Eurocontrol rapporté par l’Associated Press, 14 vols menacés le 5 novembre représentaient environ 0,05% des quelque 26.300 vols du réseau européen ce jour-là. La tension politique naît précisément de cet écart possible entre une perturbation opérationnelle limitée à l’échelle du réseau et une visibilité publique très forte.

L’OTAN définit les méthodes hybrides comme une combinaison de moyens militaires et non militaires, ouverts et clandestins, destinée notamment à brouiller la frontière entre paix et guerre et à fragiliser les sociétés. Cette notion éclaire une logique de pression ; elle ne dispense pas d’établir les liens entre des actes particuliers. Tout dysfonctionnement n’est pas une opération hybride, et toute opération hybride n’annonce pas une guerre ouverte.

Le froid, un changement d’échelle

Le sabotage frigorifique mérite une attention particulière parce qu’il touche l’informatique opérationnelle : les dispositifs qui pilotent des équipements physiques. Le CERT-FR confirme de nombreuses compromissions de contrôleurs Danfoss, Copeland et Dixell et recommande notamment de supprimer leur exposition directe à Internet. Le problème ne se réduit donc pas au vol de données : une commande numérique peut altérer un processus matériel.

La faiblesse identifiée est largement organisationnelle. Les recommandations officielles portent sur les accès distants, les mots de passe, les mises à jour et les matériels en fin de support. L’enseignement politique est inconfortable : une infrastructure indispensable n’a pas besoin d’être technologiquement exceptionnelle pour devenir une cible sensible ; il suffit que sa protection soit traitée comme un problème secondaire de maintenance.

Il subsiste toutefois une incertitude sur les voies d’entrée réellement utilisées. L’analyse d’Unit 42 du 6 novembre indique que le vecteur initial demeure non confirmé ; elle distingue également les équipements visibles sur Internet de ceux dont la vulnérabilité ou la compromission serait démontrée. Ces distinctions interdisent de transformer un relevé d’exposition en bilan de machines piratées.

L’EFS constitue un cas révélateur, mais pas celui d’une catastrophe sanitaire accomplie. L’établissement précise qu’il n’était pas directement visé : un incident chez un prestataire a affecté des installations de trois sites, sans perte de produits sanguins ni impact sanitaire identifié. Les alarmes et les transferts préventifs ont préservé les stocks. L’enjeu est donc double : réduire les dépendances dangereuses et conserver des dispositifs capables de limiter les conséquences lorsqu’une intrusion réussit.

La finance, plusieurs menaces

L’expression « attaque contre une banque » peut désigner une indisponibilité de site, une fraude, un détournement de fonds ou une compromission de données. Europol documente, par exemple, les attaques de NoName057(16) contre des sites bancaires suédois en 2023–2024, dans une campagne idéologique liée à la guerre contre l’Ukraine. Ce précédent ne doit pas être confondu avec les vols récents.

Chez Arkéa, les informations publiées décrivent un accès par la plateforme d’un prestataire, puis des transactions depuis un compte propre de la banque ; le montant définitif du préjudice restait à établir, et les avoirs des clients n’étaient pas affectés selon l’établissement. Chez Fideuram, l’affaire relève d’une tromperie visant la chaîne de décision, avec messages usurpés et imitation vocale présumée par IA. Les réunir sous une même attribution géopolitique ferait disparaître la différence entre leurs mécanismes.

L’hypothèse de campagnes coordonnées contre le système financier doit rester ouverte lorsqu’elle est étayée. Mais, pour les affaires retenues ici, les éléments publics justifient d’abord une analyse séparée des accès, des bénéficiaires et des flux financiers, plutôt que la proclamation d’une offensive bancaire européenne unifiée.

Russie : le contexte et l’attribution

La confrontation avec Moscou n’est pas un simple arrière-plan rhétorique. En avril 2025, la France a attribué au renseignement militaire russe des attaques utilisant APT28 ; l’ANSSI documente des campagnes d’espionnage contre des entités françaises, européennes et ukrainiennes dans le contexte de la guerre contre l’Ukraine. En juillet 2026, l’Union européenne a sanctionné des acteurs de l’écosystème cyber russe, dont Z-Pentest.

Ce dernier point renforce l’intérêt de la piste russe dans le dossier frigorifique, sans la résoudre. NoName057(16) et Z-Pentest ont revendiqué les attaques, mais Unit 42 considère toujours ces revendications comme non vérifiées ; des réserves sur leur authenticité sont également rapportées par Il Post, notamment auprès de l’agence italienne de cybersécurité. Une implication crédible à examiner n’est pas encore une responsabilité démontrée.

Des observations privées apportent un indice supplémentaire. Lupovis affirme avoir détecté une phase de reconnaissance précédant la vague de novembre et des infrastructures auparavant utilisées par des groupes russes ; l’entreprise reconnaît toutefois que cette proximité ne suffit pas à identifier les opérateurs. Ces éléments rendent l’hypothèse d’une préparation organisée digne d’examen, mais ne démontrent ni l’identité du commanditaire ni un lien avec les fausses alertes aériennes.

Trois niveaux doivent rester distincts : une orientation prorusse, une relation avec les services russes, puis une instruction étatique concernant une opération précise. Les sanctions européennes décrivent un écosystème associant services, entreprises, militants et acteurs criminels, dont les relations ne sont pas toutes identiques. La prudence analytique consiste à ne pas remplacer cette complexité par un schéma unique.

Si une campagne de déstabilisation était confirmée, plusieurs objectifs seraient politiquement plausibles : imposer des coûts aux soutiens de l’Ukraine, exhiber les vulnérabilités européennes ou alimenter une demande intérieure de désengagement. Ce sont des hypothèses de finalité, non des motivations établies pour les incidents récents ; elles doivent être testées par les calendriers, les messages, les cibles et les éléments techniques.

Iran : une menace distincte

La piste iranienne mérite elle aussi un examen sérieux, mais sur ses propres preuves. Le 12 octobre 2026, une déclaration multilatérale a condamné les attaques et activités hybrides imputées à l’Iran et reconnu l’attribution britannique concernant l’incident de RAF Fairford du 27 septembre. Le document mentionne notamment sabotage, cyberattaques et recours à des réseaux clandestins ou à des intermédiaires.

Cette déclaration établit l’existence d’un contentieux sécuritaire concret sur le territoire européen ; elle n’attribue pas à Téhéran les attaques frigorifiques ni les fausses alertes aériennes de novembre. Les enquêtes et évaluations publiques consultées sur ces dernières affaires ne fournissent pas davantage cette démonstration.

La relation aux guerres doit donc être pensée sur deux plans. Les conflits peuvent modifier les motivations et les cibles des acteurs hostiles, sans que chaque événement européen constitue une opération de ces conflits. Une éventuelle coordination russo-iranienne dans cette séquence exigerait des preuves supplémentaires ; ni la proximité diplomatique ni la convergence d’intérêts ne peuvent en tenir lieu.

Des alertes sans auteur identifié

Dans le dossier aérien, les autorités n’avaient publiquement attribué les menaces ni à un groupe ni à un État dans les informations du 6 novembre examinées ici. Reuters ne pouvait pas non plus authentifier l’expéditeur des courriels menaçant les médias ni établir leur origine commune avec toutes les menaces contre les vols. Une signature, un pseudonyme ou un vocabulaire politique ne constituent pas, à eux seuls, une identité vérifiée.

Trois explications restent analytiquement possibles : une campagne dirigée, plusieurs auteurs exploitant une méthode commune ou une opération initiale suivie d’imitations. Leur poids respectif ne peut être fixé avec les seuls documents disponibles. L’incertitude doit rester un objet d’enquête, non devenir la preuve de l’habileté supposée d’un commanditaire invisible.

L’absence de prise de contrôle informatique des avions dans les incidents décrits est également importante : les perturbations proviennent des menaces et des procédures de sûreté qu’elles déclenchent. Parler indistinctement de «cyberattaques aériennes» masquerait cette différence et pourrait amplifier la perception du danger au-delà des faits établis.

 

Pourquoi préparer les populations ?

Les consignes de stockage ne sont pas une preuve indépendante d’attaque imminente. Le gouvernement français présentait déjà en juillet 2024 un kit d’autonomie de 72 heures dans le cadre de la préparation aux catastrophes majeures. Le 3 novembre 2026, la Commission européenne a présenté de nouvelles orientations concernant l’autonomie initiale, l’éducation à la préparation, la communication des risques et l’inclusion des personnes handicapées.

La dimension géopolitique n’est pourtant pas absente. La brochure suédoise inscrit explicitement la préparation dans le cadre des crises et de la guerre, avec un objectif d’au moins une semaine d’autonomie. La Norvège recommande également de pouvoir tenir une semaine malgré une défaillance de l’eau, de l’électricité, d’Internet, des réseaux mobiles ou des paiements.

Il faut donc éviter deux lectures également réductrices : présenter ces campagnes comme une simple routine sans rapport avec l’environnement sécuritaire, ou comme un avertissement codé annonçant une catastrophe précise. Les politiques européennes de préparation couvrent simultanément les tensions géopolitiques, les cyberattaques, les risques climatiques et les crises sanitaires. Leur logique est celle de la préparation à plusieurs risques, pas celle d’une prédiction.

Le black-out ibérique d’avril 2025 illustre cette nécessité de distinguer risque et intention hostile. Le rapport final d’ENTSO-E décrit une combinaison de difficultés de régulation, d’oscillations et de déconnexions de production ; il ne présente pas une cyberattaque comme cause de l’événement. Une grande panne peut donc produire les conséquences redoutées sans relever d’un sabotage.

 

Le nouveau contrat de résilience

L’autonomie domestique de quelques jours peut être interprétée comme la constitution d’une marge de temps collective : les secours interviennent pendant que certains foyers disposent encore de ressources. Cette lecture correspond à la place accordée par les orientations européennes à la préparation de la population et à la continuité de la protection civile. Elle ne signifie pas que la fourniture des services essentiels cesse d’être une responsabilité publique.

L’enjeu politique est celui du partage des charges. Une politique qui repose sur des achats privés, l’espace de stockage et une capacité individuelle d’organisation doit être confrontée aux besoins des personnes dépendantes, handicapées ou isolées. L’attention explicite portée par les orientations européennes à l’inclusion fournit un cadre pour évaluer cette dimension, sans permettre de présumer que tous les obstacles sont déjà traités.

La responsabilité des opérateurs reste tout aussi décisive. Le CERT-FR insiste sur la sécurisation des accès distants et des équipements ; la Commission rappelle les obligations de gestion des risques et de signalement prévues pour les entités concernées par NIS2. Le stockage domestique ne peut pas compenser durablement l’absence de protection d’une infrastructure.

Trois scénarios à éprouver

 

Les scénarios suivants sont des outils d’analyse et non des prévisions probabilisées. Leur intérêt est de préciser les observations qui permettraient de modifier le diagnostic.

 

Au stade public de l’enquête, la coordination d’une partie des attaques frigorifiques est une hypothèse sérieuse ; l’unification de toutes les affaires est une hypothèse beaucoup plus exigeante. Les observations rapportées par Lupovis soutiennent l’examen de la première, tandis que les réserves d’Unit 42 et des autorités maintiennent l’incertitude sur les auteurs. Pour les alertes aériennes, aucun lien étatique n’était publiquement établi dans le bilan du 6 novembre.

L’analyse doit également laisser une place à l’explication non hostile lorsqu’elle est pertinente. Une panne électrique, une défaillance industrielle ou un dysfonctionnement chez un fournisseur ne deviennent pas un sabotage parce qu’ils surviennent dans une période de tensions ; l’enquête sur le black-out ibérique en fournit un exemple concret.

 

Mesurer l’aggravation

Une appréciation sérieuse du danger doit suivre la durée des interruptions, l’étendue des dommages physiques, les conséquences sanitaires, la disponibilité des solutions de secours et la répétition après correction. Ce sont des critères proposés ici pour distinguer la visibilité d’un événement de sa gravité systémique.

Les signaux d’un changement de niveau seraient des interruptions prolongées de plusieurs services essentiels, la défaillance simultanée des systèmes principaux et de secours ou des preuves reliant plusieurs secteurs à une campagne. À l’inverse, les dispositifs qui détectent et contiennent un incident doivent entrer dans le bilan : l’absence de pertes à l’EFS résulte de mesures de protection et d’intervention, non de l’inexistence du risque.

Pour les ménages, la préparation raisonnable se situe dans les recommandations civiles, sans achats massifs : le kit français rassemble eau, nourriture sans cuisson, médicaments, éclairage, radio, documents et argent liquide ; la Norvège propose un horizon d’une semaine. Ces mesures ont une valeur face à plusieurs types de crise et ne valent pas diagnostic sur l’identité d’un adversaire.

 

Informer sans amplifier la peur

La communication publique doit dissocier trois questions : ce qui s’est produit, ce qui en a résulté et à qui l’acte est attribué. Une consigne frigorifique malveillante n’est pas nécessairement une température réellement atteinte ; un aéroport concerné par une menace n’est pas nécessairement paralysé ; une revendication n’est pas une preuve. Cette discipline réduit l’espace laissé aux récits d’omnipotence des auteurs.

Le débat politique ne devrait opposer ni déni et panique ni préparation civile et responsabilité des institutions. La menace hybride est documentée, mais les liens entre incidents restent à établir dossier par dossier ; la résilience se juge à la continuité des fonctions essentielles autant qu’à la capacité d’attribution. Le test stratégique est de savoir si des perturbations, parfois limitées, peuvent modifier durablement les comportements publics et les choix politiques européens.