Cyberattaque : pourquoi désigner un coupable est si dur

Fin août 2026, une même semaine a vu Washington et Pékin s’accuser mutuellement de piratage. Deux capitales, deux versions, et pour l’observateur extérieur, aucune preuve consultable. C’est le problème central de l’attribution en cyber — savoir qui se cache derrière une attaque — et il ne concerne pas que les États : toute entreprise qui n’a ni service de renseignement ni porte-parole y est confrontée le jour où ses données circulent.

Passons en revue ce qui a été déclaré. En insistant sur le mot déclaré.

Deux accusations, aucune preuve publique

Le 26 août 2026, le département de la Justice américain a annoncé une opération de saisie de noms de domaine et dénoncé, selon les termes rapportés du ministre de la Justice, des « activités de cyberpiratage indiscriminées parrainées » par la Chine. Washington affirme avoir mis au jour une campagne d’espionnage visant des institutions sensibles. Pékin a répondu, par la voix de son ministère des Affaires étrangères, que les États-Unis sont selon lui « la plus grande puissance de piratage et de surveillance au monde », et accuse à son tour Washington d’opérations contre ses propres infrastructures.

Deux accusations symétriques, et pour l’observateur extérieur, aucune pièce à conviction consultable. Chacune de ces affirmations est une déclaration officielle, pas un fait établi devant un tiers indépendant.

Pourquoi attribuer est techniquement difficile

Une adresse IP n’est pas une identité. Un attaquant sérieux passe par des machines compromises situées dans des pays tiers, réutilise des outils publics pour brouiller sa signature, et laisse parfois de faux indices pointant vers un autre acteur. La communauté technique parle de « false flag », ces marqueurs déposés exprès pour égarer l’analyse.

Résultat : l’attribution repose rarement sur une preuve unique et incontestable. Elle s’appuie sur un faisceau d’indices, un niveau de confiance, et souvent sur des renseignements que l’accusateur ne peut pas divulguer sans révéler ses propres capacités. C’est pourquoi les agences prudentes écrivent « avec un niveau de confiance élevé » plutôt que « c’est untel ». La nuance n’est pas de la langue de bois : elle décrit l’état réel de la connaissance.

Ce que l’IA ajoute à l’incertitude

L’attribution était déjà difficile. L’authentification des fuites l’est devenue autant, et c’est là que l’IA générative pèse.

Fabriquer un faux document convaincant, une fausse capture d’écran, une pièce d’identité crédible ne demande plus de compétences rares. Une fuite peut donc mélanger des données authentiques et anciennes avec du matériel fabriqué, sans que le tri soit évident. Quand une organisation affirme qu’un lot diffusé combine des fichiers réels et des documents forgés, cette version est désormais parfaitement plausible — et c’est justement ce qui rend l’authentification incertaine.

Ajoutez les deepfakes vocaux et vidéo, et l’on obtient un environnement où une preuve visuelle ne prouve plus grand-chose par elle-même. Pour un dirigeant, c’est un renversement : la présence d’un document n’établit pas sa véracité.

Ce qu’une entreprise doit en retenir

Vous ne trancherez pas un conflit entre grandes puissances, et ce n’est pas la question. Mais vous prendrez des décisions à partir d’informations incertaines, et ces affaires offrent des repères utiles.

Ne réagissez pas à un titre. Une accusation, un démenti ou une revendication de fuite sont des actes de communication avant d’être des faits. Ils appellent vérification, pas panique ni relais immédiat.

Si vos données circulent un jour, sachez que la première question ne sera pas « qui » mais « quoi » : quelles données, authentiques ou fabriquées, à quelle date. Un démenti crédible est précis et documenté — il n’explique pas seulement « ce n’est pas nous », mais d’où viennent les fichiers et pourquoi. Préparer cette réponse à froid, avant l’incident, fait partie d’une démarche de sûreté sérieuse. C’est l’objet de l’offre cybersécurité et sûreté de DTJ Training, qui traite la gestion de crise autant que la technique.

L’attribution restera incertaine. La question n’est pas de savoir désigner un coupable à coup sûr, mais de décider correctement sans le connaître.

Sources

• Boursorama et Marine & Océans, « Les États-Unis sont la plus grande puissance de piratage au monde, dit Pékin », 27 août 2026.
• Département de la Justice des États-Unis, annonce du 26 août 2026 (relayée par la presse), accusations visant la Chine.

Les accusations et démentis rapportés ici sont attribués à leurs auteurs et ne sont pas repris à notre compte : à la date de publication, aucun n’a été confirmé de façon indépendante.