Cyberguerre: de la mort de l’ayatollah Khamenei au blocage du détroit d’Ormuz, la guerre entre les États-Unis, Israël et l’Iran se joue aussi dans le numérique

L’opération “Epic Fury” n’a pas commencé par des frappes aériennes, mais dans l’ombre du cyberespace. Avant même les bombardements du 28 février, les États-Unis avaient déjà lancé des opérations numériques via le Cyber Command et le Space Command, visant à perturber, désorganiser et "aveugler" les capacités de communication et de réaction de l’Iran, selon le chef d’état-major interarmées américain, le général Dan Caine.

Cette stratégie s’inscrit dans une doctrine désormais assumée à Washington, où le cyber devient une phase préparatoire essentielle des opérations militaires. Déjà sous la présidence de Donald Trump, des cyberopérations offensives avaient été évoquées, notamment pour provoquer des coupures d’électricité au Venezuela avant une intervention visant le régime de Nicolás Maduro.

Du côté israélien, la dimension numérique n’a pas non plus été négligée. Les services de renseignement auraient ainsi exploité pendant des années des données issues de caméras de surveillance piratées ainsi que des réseaux sociaux pour suivre des cibles clés et affiner leurs analyses. A plus grande échelle, les deux pays s’appuient sur des outils capables de traiter des volumes massifs de données afin d’identifier des centres de décision ou des individus stratégiques, parfois invisibles pour le renseignement "traditionnel".

Mais dans la confusion des premiers jours du conflit, la riposte iranienne ne s’est pas fait attendre: aux frappes aériennes, missiles et drones s’est aussi ajoutée une offensive dans le cyberespace. Téhéran s’y prépare de longue date et n’a jamais négligé cet aspect, développant depuis plusieurs années de véritables capacités numériques. Aujourd’hui, plusieurs groupes gravitent autour du pouvoir et des Gardiens de la révolution, constituant un bras cyberactif du régime.

Une riposte iranienne optimisée

Parmi les plus connus figurent MuddyWater, APT35, APT42 et CyberAv3ngers, généralement considérés comme liés au ministère du Renseignement iranien ou aux Gardiens de la révolution, et utilisés comme des outils de projection de puissance et de collecte de renseignements au service de la République islamique. Des groupes habitués à occuper le cyberespace.

MuddyWater mène des campagnes d’espionnage à grande échelle, reposant sur le phishing et des outils d’accès à distance pour infiltrer des organisations et voler données sensibles et identifiants. APT35, également appelé Charming Kitten, privilégie l’ingénierie sociale, avec de faux profils et des attaques ciblant diplomates, chercheurs ou journalistes dans des opérations à long terme.

Quant à APT42, se concentre sur la surveillance de cibles stratégiques, combinant phishing ultra-ciblé et logiciels espions, notamment sur mobile, pour suivre et extraire des informations personnelles. Enfin, CyberAv3ngers se démarque par une approche plus offensive, visant directement des infrastructures critiques (eau, énergie ou systèmes industriels) via le piratage d’équipements.

Comme le souligne Alexis Rapin, analyste en renseignement stratégique sur les menaces cyber et chercheur associé à la Chaire Raoul-Dandurand en études stratégiques et diplomatiques de l’Université du Québec à Montréal, ces groupes "ont redoublé d’efforts depuis le 7 octobre 2023, avec un gros recours aux proxys, qui agissent par procuration pour eux”. Au lendemain du 7 Octobre 2023, “on a vu surgir un ensemble d’acteurs, mais les liens ne sont pas très clairs: est-ce que l’Iran forme des hackers alliés au Hamas ou au Hezbollah? Il y a des signaux de coopération, mais établir leur profil exact est assez difficile”, explique l’analyste.

De son côté, Mathieu Tartare, chercheur en logiciels malveillants chez ESET, l’un des principaux acteurs mondiaux de la cybersécurité, détaille cet ensemble: “c’est un écosystème assez particulier, lié au Moyen-Orient en général, avec un focus contre Israël. Les Iraniens utilisent des outils d’accès à distance comme TeamViewer, afin de déployer un accès persistant à une machine via un outil qui semble légitime”, une méthode qui est également utilisée par la Chine.

D’après un rapport détaillé d’une grande entreprise de cybersécurité portant sur les premiers jours du conflit, que BFM Tech a pu consulter, l’ensemble des acteurs cyber ont quasiment commencé à opérer dès le déclenchement des hostilités. Mais loin des images de piratages spectaculaires, les premières actions sont restées discrètes: opérations d’espionnage, travail de sape, cyberactivisme. Si l’Iran dispose de capacités reconnues dans le cyberespace, l’ampleur des frappes israélo-américaines, combinée à la puissance de leurs offensives numériques, a d’abord provoqué une forme de confusion du côté iranien.

Le cyber, une partie intégrante de la stratégie iranienne

Cette désorganisation initiale s’explique aussi par la violence des frappes ciblées, qui ont notamment éliminé plusieurs figures clés du pouvoir et de l’appareil sécuritaire iranien. Dans ce contexte, comme souvent lorsqu’une structure militaire est touchée en profondeur, les réseaux apparaissent fragilisés, avec une chaîne de commandement partiellement désorganisée et des capacités de coordination affaiblies à court terme.

Mais cette fragmentation a un revers: en l'absence de commandement centralisé, certaines cellules gagnent en autonomie. Fidèle à sa doctrine militaire, l'Iran s'appuie sur une structure souple et résiliente aux chaînes de commandement redondantes. Cette structure décentralisée permet aux groupes de se réorganiser plus rapidement et de maintenir leur capacité d'action de manière plus autonome, imprévisible et diffuse, même sous forte pression.

“Le cyber fait aujourd’hui partie intégrante de leur stratégie”, nous explique un ancien cadre de la cyberdéfense. “On peut désormais faire des choses importantes dans le cyberespace sans trop de moyens. Comme pour sa stratégie balistique, moins chère que de développer une véritable aviation de chasse ou une marine digne de ce nom, l’Iran cherche le ‘rapport qualité-prix’. S’attaquer au cyber, viser des entreprises étrangères, géolocaliser des cibles… c’est éminemment moins coûteux que d’entrer dans une logique de guerre traditionnelle contre les États-Unis, qui restent la première puissance militaire au monde.”

Dans ce contexte, plusieurs opérations ont cherché à suivre les déplacements du personnel militaire américain et de ses contractuels dans la région, notamment par l’intermédiaire de techniques de géolocalisation. Ces tentatives de suivi malveillant ont été observées dans les semaines précédant l’offensive américano-israélienne, puis au début du conflit, lorsque Téhéran a riposté par des frappes de missiles et de drones. L’objectif présumé était clair: localiser les soldats déployés dans le Golfe pour identifier leurs positions et, potentiellement, ajuster les frappes.

"L’Iran possède indéniablement les capacités d’obtenir des informations de géolocalisation en temps réel, immédiates et continues”, souligne au New York Times Gary Miller, chercheur au sein de Citizen Lab. “Je serais très surpris si l’Iran n’utilisait pas le protocole SS7, ou l’accès aux réseaux mobiles de la région, pour suivre les utilisateurs américains."

L'exploitation de ces failles réseau s'inscrit dans des méthodes d'espionnage rodées, traduisant selon la chercheuse Nikita Shah "une montée en puissance" et une "grande créativité" iranienne. Ces pratiques inquiètent jusqu’au sommet de l’État américain. En mai, plusieurs élus ont alerté le département de la Défense sur la protection jugée insuffisante du personnel militaire face à ces menaces, pointant notamment les risques liés à l’exploitation des données mobiles. "Pendant des années, j’ai mis en garde les administrations démocrates et républicaines contre la menace que représentent les adversaires étrangers qui surveillent les téléphones du personnel américain”, a déclaré le sénateur Ron Wyden.

Une histoire ancienne

Avant même le déclenchement des affrontements ouverts, plusieurs signaux annonçaient une montée en puissance de cette “cyberguerre” au Moyen-Orient, s'inscrivant dans une stratégie clandestine de long terme.

Dès le milieu des années 2000, les États-Unis et Israël utilisaient déjà le cyber pour contenir le programme nucléaire iranien. Des malwares de sabotage comme “Fast16” auraient ainsi été déployés dès 2005 pour perturber discrètement les recherches iraniennes, avant que Stuxnet, conçu à la fin de la décennie et révélé en 2010, ne franchisse un cap en détruisant physiquement des centrifugeuses.

En 2012, la riposte iranienne marque à son tour un tournant : l'attaque contre Saudi Aramco via le malware Shamoon détruit les données de près de 35.000 ordinateurs du géant pétrolier saoudien. Un épisode qui révèle la vulnérabilité des infrastructures énergétiques du Golfe et la capacité croissante de Téhéran à mener des offensives destructrices.

Côté américain et israélien, la stratégie repose sur l’infiltration longue durée. Bien avant les frappes, des accès prolongés auraient été maintenus dans les réseaux iraniens: caméras de surveillance, infrastructures télécoms ou systèmes étatiques. Ces capacités permettent, au moment critique, de désorganiser les communications et d'appuyer des opérations ciblées majeures, comme l'élimination d'Ali Khamenei avancée par certaines sources.

En parallèle, des intrusions dans certains réseaux des Gardiens de la révolution (CGRI) offrent une connaissance fine du terrain numérique iranien. Cette phase invisible est essentielle: la guerre ne commence désormais plus avec les frappes, mais bien avant, par une cartographie et une pénétration progressive des systèmes adverses. Er d’un côté comme de l’autre, un dénominateur commun demeure: lorsqu’on frappe dans le cyberespace, on préfère ne pas le crier sur tous les toits.