Il y a un an, le 23 juillet 2025, une revendication publique affirme qu’un téraoctet de données sensibles a été dérobé à Naval Group, acteur stratégique de la construction navale militaire française. Pour appuyer le propos, l’auteur de la revendication diffuse des échantillons, d’abord une dizaine de gigaoctets, puis quelques gigaoctets supplémentaires, affirme détenir des fragments touchant à des systèmes de combat embarqués, et fixe un ultimatum : que l’entreprise le contacte sous 72 heures, faute de quoi tout serait publié. Trois jours plus tard, le 26 juillet, Naval Group répond, et sa réponse est précisément ce qui rend ce cas si instructif : le groupe indique n’avoir détecté aucune intrusion dans ses systèmes d’information, refuse de confirmer la compromission d’informations critiques ou classifiées, et qualifie l’épisode d’attaque réputationnelle, survenue dans un contexte international, commercial et informationnel tendu. Un an après, l’anniversaire de cette séquence fournit le cas d’école le plus net d’une menace que peu de directions ont vraiment intégrée, et que nous voulons décoder ici : l’attaque qui n’a pas besoin d’être vraie pour faire des dégâts, parce que ce n’est pas la donnée qui est l’arme, c’est la revendication. Précision d’usage : ce décodage stratégique, appuyé sur des faits publics et sourcés, ne constitue ni un conseil juridique ni un conseil en sécurité, ne procède à aucune attribution de l’attaque à quiconque, et ne décrit aucun mode opératoire.
L’arme n’est pas la donnée, c’est la revendication
Pour comprendre ce qui s’est joué, il faut renoncer à la question qui vient spontanément à l’esprit, celle du oui ou non : y a-t-il eu vol, oui ou non, un téraoctet a-t-il fuité, oui ou non. Cette question est légitime, mais elle est piégée, car elle place d’emblée la cible dans la position la plus défavorable qui soit : celle où elle doit prouver un négatif. Un attaquant, réel ou supposé, n’a qu’à affirmer et à produire quelques fichiers plausibles ; la cible, elle, devrait démontrer qu’il ne s’est rien passé, ce qui est par nature indémontrable dans l’instant, car on ne prouve pas l’absence d’une chose, on ne peut qu’attester ne pas l’avoir constatée. Cette asymétrie est le cœur du mécanisme. Le chiffre revendiqué, un téraoctet, n’a jamais été vérifié par une autorité indépendante, et Naval Group a précisément refusé d’authentifier la compromission ; mais entre la revendication du 23 juillet et la réponse du 26, il s’est écoulé trois jours pendant lesquels le récit du vol a circulé, été repris, commenté, indexé, sans qu’aucune preuve ne soit établie ni dans un sens ni dans l’autre. Le dégât réputationnel ne se mesure pas à la réalité de l’intrusion, il se mesure à la vitesse et à l’ampleur de la reprise de la revendication. C’est en cela que l’attaque réputationnelle sans intrusion prolonge la mécanique que nous avons décrite ailleurs : dans notre chronologie des 72 heures d’une crise de désinformation, un faux communiqué faisait le dégât en six minutes ; ici, une revendication de piratage fait le sien en trois jours, et selon le même principe, le dommage se produit avant, et indépendamment de, l’établissement de la vérité.
La réponse de Naval Group, lue comme une doctrine
Ce qui distingue ce cas d’une simple rumeur, et ce qui mérite d’être étudié par toute direction, c’est la manière dont l’entreprise a répondu. Trois choix, tenus ensemble, forment une posture. Premier choix : ne pas authentifier le récit de l’attaquant. En déclarant n’avoir détecté aucune intrusion et en refusant de confirmer la nature ou l’ampleur d’une compromission, le groupe s’est gardé de valider par sa propre bouche la version qu’on cherchait à lui faire endosser, car chaque confirmation, même partielle, aurait donné corps à la revendication. Deuxième choix : nommer l’épisode pour ce qu’il est dans son propre cadre, une attaque réputationnelle, et non un simple incident technique. Ce déplacement de vocabulaire n’est pas cosmétique : requalifier une revendication de piratage en tentative de déstabilisation, c’est refuser de rester sur le terrain que l’attaquant a choisi, celui de la fuite de données, pour ramener le débat sur le terrain qui est le sien, celui de la manœuvre et de son intention. Troisième choix : replacer l’épisode dans son contexte, international, commercial et informationnel tendu, sans franchir la ligne de l’accusation nominative. Le groupe n’a désigné personne. Il a décrit un contexte, ce qui est une position tenable, plutôt que d’attribuer, ce qui aurait exigé des preuves qu’une entreprise, seule, n’est pas en mesure d’établir. Cette retenue est une leçon en soi : dans une attaque informationnelle, l’attribution est un champ de bataille, mais c’est celui des autorités compétentes, pas celui de la victime, et confondre les deux expose à se tromper de cible en public.
Pourquoi la base industrielle de défense est une cible narrative idéale
Ce cas n’est pas isolé, et il a laissé une trace institutionnelle qui en dit long sur la nature de la menace. Il a nourri une question écrite déposée à l’Assemblée nationale, portant explicitement sur les attaques informationnelles et réputationnelles visant la base industrielle et technologique de défense française. L’auteur de cette question avançait l’hypothèse d’une opération pilotée par une puissance étrangère ; cette hypothèse est la sienne, formulée dans le cadre du contrôle parlementaire, et nous la rapportons comme telle, sans la reprendre à notre compte, car aucune attribution publique et étayée ne permet de la tenir pour établie. Ce qui est établi, en revanche, c’est le dispositif institutionnel que la réponse ministérielle rappelle : la détection et la caractérisation des ingérences numériques étrangères relèvent d’un service spécialisé de l’État, et la qualification d’une attaque, quand elle a lieu, suit un processus qui associe plusieurs administrations. Autrement dit, l’attribution existe, mais elle est un acte souverain, encadré, lent et rare, à l’opposé de l’affirmation instantanée d’un attaquant. Cette lenteur n’est pas un défaut, c’est le prix de la rigueur ; mais elle crée, entre la revendication et son éventuelle qualification, une fenêtre pendant laquelle le récit vit sa vie. La base industrielle de défense est une cible narrative idéale précisément parce qu’elle cumule les ingrédients d’un bon récit : des secrets réels, une sensibilité stratégique, un public qui présume la vraisemblance d’une attaque, et un contexte de compétition commerciale internationale où semer le doute sur la fiabilité d’un industriel a une valeur en soi. On n’a pas besoin de voler des plans pour nuire à un chantier naval : il suffit de faire croire, assez longtemps, qu’on aurait pu.
Ce que toute entreprise stratégique doit en retenir
La tentation, pour une direction qui n’est pas un industriel de défense, est de ranger ce cas au rayon des affaires régaliennes, exotiques et lointaines. Ce serait une erreur, car le mécanisme est parfaitement transposable, et il gagne du terrain : toute organisation qui détient un capital de réputation, une valorisation sensible à la confiance, ou une position dans une compétition où le doute a une valeur, est exposée à l’attaque réputationnelle sans intrusion. La parade tient en une notion que nous plaçons au centre de notre doctrine, la vulnérabilité narrative : la mesure de la prise qu’offre une organisation à un récit hostile, non pas en fonction de ce qui est vrai chez elle, mais en fonction de ce qu’elle est incapable de démentir par la preuve dans l’instant. Réduire cette vulnérabilité ne se fait pas en crise, cela se prépare à froid, et cela repose sur un actif que nous avons décrit en détail, le capital de preuves : plus une organisation a rendu publics, datés et vérifiables ses faits, ses engagements et ses points sensibles, moins une revendication trouve d’espace pour prospérer, car il existe déjà, en accès libre, de quoi la contredire. Le second réflexe est celui que nous répétons de crise en crise, qualifier avant de réagir : face à une revendication, la première décision n’est pas de démentir, c’est d’établir la nature de ce qui circule, sa vitesse, son vecteur, avant de choisir la réponse. Le troisième est plus subtil, et cet anniversaire l’illustre : une attaque réputationnelle ne meurt jamais tout à fait, elle reste indexée, citable, réactivable, et chaque date anniversaire est une fenêtre où le récit peut ressurgir. Occuper soi-même cette fenêtre, par une parole de preuve, vaut mieux que de la laisser à d’autres. La menace, enfin, se déplace, et il faut l’anticiper : après avoir visé ce que le public croit, les attaques informationnelles commencent à viser ce que les machines exécutent, comme nous l’avons documenté dans notre analyse de la désinformation opératoire. La surface s’agrandit ; les réflexes qui protègent, eux, ne changent pas.
ELMARQ accompagne les directions générales, sûreté et communication dans la préparation à l’attaque réputationnelle, de la mesure de la vulnérabilité narrative à la construction du capital de preuves, en stratégie et en exécution, aux côtés de vos conseils juridiques et de vos équipes de sécurité. Trente minutes de diagnostic suffisent à mesurer la prise qu’offre votre organisation à un récit hostile : elmarq.fr/contact.
Un an après, ce que cet épisode laisse n’est pas une certitude sur ce qui s’est ou ne s’est pas produit dans les serveurs d’un industriel, et ce n’est pas là que se trouve la leçon. Il laisse une démonstration : dans l’espace informationnel d’aujourd’hui, une affirmation peut produire un effet réel sans qu’aucun fait ne soit établi, et cet effet est déjà obtenu quand la vérité commence à peine à être cherchée. Contre cela, il n’existe pas de démenti assez rapide, parce que le démenti court toujours derrière l’affirmation. Il n’existe qu’une préparation : avoir construit, avant l’attaque, un socle de preuves si dense et si public que le récit hostile n’y trouve pas de prise. La confiance ne se répare pas dans l’urgence d’une revendication, elle se capitalise dans le calme des mois qui la précèdent. C’est vrai d’un chantier naval, ce l’est de toute organisation qui a quelque chose à perdre à ce qu’on doute d’elle, c’est-à-dire de presque toutes.
