Turla : le groupe espion russe qui cible les PME françaises

Imaginez qu'un inconnu s'introduise silencieusement dans vos bureaux, lise tous vos dossiers, écoute vos réunions… et reparte sans laisser de trace. C'est exactement ce que fait Turla dans vos systèmes informatiques. Le CERT-FR — l'organisme public français chargé de surveiller les cybermenaces — vient de lancer une alerte officielle : ce groupe de hackers, lié aux services de renseignement russes, mène des attaques ciblées contre des entités françaises. Et contrairement à ce que l'on pourrait croire, les PME ne sont pas épargnées.

Turla, c'est quoi exactement ?

Turla est l'un des groupes de cyberespionnage les plus actifs et les plus sophistiqués au monde. Actif depuis plus de 15 ans, il est associé au FSB, le service de renseignement intérieur russe — l'équivalent de notre DGSI. Son objectif n'est pas de vous voler de l'argent comme le ferait un ransomware classique. Non, Turla cherche à collecter des informations stratégiques : contrats, brevets, données clients, échanges confidentiels, positions commerciales. En clair, tout ce qui peut donner un avantage économique ou géopolitique à la Russie. La Turla cyberattaque France n'est donc pas un phénomène nouveau, mais l'alerte récente du CERT-FR confirme une intensification des opérations sur notre territoire.

Pourquoi votre PME pourrait être une cible

Première réaction classique d'un dirigeant : « Mon entreprise est trop petite pour intéresser des espions russes. » C'est une erreur de raisonnement courante, et dangereuse. Turla ne vise pas toujours la grande entreprise directement. Il préfère souvent passer par ses fournisseurs, sous-traitants ou partenaires — c'est ce qu'on appelle une attaque par la chaîne d'approvisionnement. Si vous travaillez avec une collectivité publique, un grand groupe industriel, dans les secteurs de la défense, de l'énergie, de la santé ou des technologies, vous pouvez être le maillon faible utilisé pour atteindre une cible plus grande. Par ailleurs, l'espionnage informatique entreprise française ne se limite pas aux grands noms du CAC 40 : un savoir-faire local, un portefeuille clients, des données de recherche… tout cela a de la valeur. Et vos défenses sont souvent bien moins solides que celles des grands groupes, ce qui vous rend mécaniquement plus attractif.

Les signes concrets d'une infection à surveiller

Turla est conçu pour être discret. Ses outils d'intrusion peuvent rester actifs pendant des mois sans déclencher la moindre alarme. Mais certains signaux doivent vous alerter. Vos équipes informatiques — internes ou prestataires — doivent surveiller : des connexions inhabituelles vers des serveurs étrangers, notamment en dehors des heures de bureau ; des comptes utilisateurs actifs alors que les salariés concernés ne travaillent pas ; des transferts de fichiers volumineux et inexpliqués ; des courriels de phishing très bien rédigés en français, qui semblent venir d'un partenaire ou d'un organisme officiel (une technique appelée spear phishing, c'est-à-dire un hameçonnage ultra-ciblé) ; des logiciels ou mises à jour installés sans validation de votre équipe IT. La CERT-FR alerte PME sur le fait que Turla utilise souvent des outils légitimes déjà présents sur les machines pour se dissimuler — une technique appelée « living off the land » (vivre sur le terrain), qui complique la détection par les antivirus classiques.

Ce que vous pouvez faire dès maintenant

Pas besoin d'être expert en cybersécurité pour prendre les bonnes décisions. Voici cinq actions concrètes à lancer cette semaine. 1. Briefez votre équipe sur le phishing ciblé : une alerte simple envoyée à vos collaborateurs sur les emails suspects suffit à réduire drastiquement le risque d'intrusion initiale. Turla entre presque toujours par une pièce jointe ou un lien piégé. 2. Vérifiez qui a accès à quoi : demandez à votre prestataire informatique de lister les comptes utilisateurs actifs et de supprimer ceux qui ne sont plus utilisés. Un ancien employé avec un accès ouvert, c'est une porte d'entrée. 3. Activez l'authentification à deux facteurs (2FA) : sur votre messagerie professionnelle et vos outils métiers. Même si un mot de passe est volé, le pirate ne pourra pas se connecter sans le second code. 4. Consultez les alertes du CERT-FR : le site cert.ssi.gouv.fr publie des bulletins gratuits et accessibles. Abonnez-vous aux alertes ou demandez à votre prestataire de le faire pour vous. 5. Faites auditer votre infrastructure : si vous travaillez dans un secteur sensible ou avec des clients stratégiques, un audit de sécurité basique par un prestataire certifié vous donnera une vision claire de vos vulnérabilités. C'est un investissement bien moins coûteux qu'une fuite de données. Face à un groupe comme Turla, la meilleure protection reste la vigilance quotidienne et des mesures d'hygiène informatique simples mais appliquées rigoureusement.