Géopolitique et cybersécurité : la nouvelle menace des entreprises

Ingérence, vol de données, dépendances technologiques, attaques par supply chain : le risque géopolitique s’impose désormais comme une menace cyber à part entière. Lors d’une table ronde organisée par Riskintel Media, Baptiste Robert, CEO de Predicta Lab, Nowmay Opalinski, analyste chez Cassini, Marjorie Bordes, CISO chez Capgemini, et Luis Delabarre, expert Threat Intelligence chez Recorded Future ont décrypté la manière dont les tensions internationales se prolongent dans le cyberespace et redessinent les enjeux de résilience des entreprises. 

Il fut un temps où le risque géopolitique semblait appartenir à une autre catégorie. Il concernait les États, les diplomates, les militaires, les grands groupes présents sur plusieurs continents. Pour une PME implantée sur un seul territoire, une crise à l’autre bout du monde pouvait encore sembler lointaine. Cette séparation tient de moins en moins. Une guerre, une élection, une tension diplomatique ou une rivalité entre puissances peut désormais se prolonger dans le cyberespace et atteindre des organisations qui ne sont pas directement engagées dans le conflit. Intrusion informatique, vol de données, attaque contre un fournisseur ou opération d’influence : les formes sont multiples, et leurs effets peuvent dépasser largement le système informatique initialement visé. 
‍

Pour Baptiste Robert, CEO chez Predicta Lab, cette réalité doit toutefois être replacée dans celle, beaucoup plus terre à terre, de la cybersécurité des entreprises. “Le niveau de cyber est globalement catastrophique pour tout le monde”, estime-t-il. Le constat est particulièrement sévère pour les TPE et PME, où “les basiques n’y sont pas”. Cette faiblesse constitue justement l’un des obstacles à la prise en compte du risque géopolitique. Une entreprise qui peine déjà à assurer ses fondamentaux de cybersécurité dispose rarement des moyens nécessaires pour surveiller les évolutions d’un paysage international où les menaces peuvent changer rapidement. 

À lire aussi : Cybersécurité : l'IA agentique impose une course contre la montre

Le sujet est aussi une question d’échelle. Baptiste Robert estime que, pour les entreprises de moins de 100 000 salariés, le risque géopolitique reste généralement faible. À l’inverse, les très grandes organisations, présentes dans de nombreux pays, sont davantage exposées aux tensions et aux dépendances internationales. “Quand on est une entreprise de plus de 100 000 salariés, on est globalement un peu partout dans le monde. Et donc c’est justifié de se dire : “je suis dépendant des risques géopolitiques”, explique-t-il. Mais cette différence d’exposition ne signifie pas que les petites structures soient à l’écart du phénomène. Leur vulnérabilité peut au contraire les rendre dépendantes d’acteurs, de fournisseurs ou de chaînes qu’elles contrôlent peu. Et surtout, le déclencheur d’une attaque peut être extérieur à leur activité. 
‍

Mais cette lecture ne doit pas conduire à considérer le risque comme réservé aux multinationales car ce qui change aujourd’hui, c’est précisément la manière dont une crise internationale peut se propager jusqu’à des organisations qui n’y sont pas directement mêlées. “En fonction des conflits, en fonction des événements dans le monde, il y a effectivement des groupes qui se réveillent et qui vont essayer de revendiquer quelque chose, qui vont essayer de profiter du moment”, poursuit Baptiste Robert. Le cyber devient ainsi un moyen de prolonger les tensions géopolitiques par d’autres moyens. 
‍

Quand l’attaque cyber devient une opération d’influence 
‍

Cette dimension apparaît particulièrement nettement lorsque le vol de données ne constitue pas une finalité en soi. Une information récupérée par une intrusion peut ensuite être utilisée dans une opération plus large, destinée à influencer, déstabiliser ou orienter la perception d’un événement. Nowmay Opalinski, analyste chez Cassini, décrit ce type de combinaison dans le cas russe.  “C’est assez probable qu’il y ait des manœuvres qui soient menées. Des manœuvres qui peuvent être cyber mais aussi plutôt liées à ce qu’on va appeler la lutte informatique d’influence”, analyse-t-il.  

Selon son analyse, certaines opérations peuvent être préparées en amont d’élections dans différents pays européens et associer plusieurs modes d’action. “Ces opérations elles mêlent aussi bien des actions physiques de déstabilisation. Mais aussi parfois elles peuvent s’appuyer sur des acteurs qui viennent du monde criminel notamment du monde cybercriminel”, poursuit-il. Cette articulation est importante pour comprendre comment le risque géopolitique se matérialise. Une opération ne se limite pas nécessairement à une intrusion informatique : les acteurs et les techniques peuvent se combiner, avec des actions physiques, cyber et informationnelles au sein d’un même dispositif. 
‍

La donnée devient alors une pièce stratégique. “On a pu récupérer des modes opératoires où l’extraction de certaines informations et données peuvent être ensuite utilisées dans le cadre de l’opération informationnelle”, explique Nowmay Opalinski. 

À lire aussi : PME, ETI, collectivités : pourquoi les hackers les préfèrent

Autrement dit, le cyber peut fournir la matière première d’une opération d’influence. La compromission d’un système permet d’obtenir des informations, celles-ci peuvent ensuite être exploitées dans un autre registre. C’est cette continuité entre attaque informatique et action informationnelle qui rend le risque géopolitique particulièrement difficile à isoler. La France est directement concernée par cette dynamique. Nowmay Opalinski indique que, selon le Service européen pour l’action extérieure, la France figure, après l’Ukraine, parmi les pays européens les plus ciblés par les opérations de manipulation et d’ingérence informationnelles. 
‍

“L’état de la menace en provenance de la Chine est pléthorique et elle est de plus en plus sophistiquée”, estime Nowmay Opalinski. Il décrit un écosystème dans lequel interviennent les forces armées, les services de renseignement, notamment le ministère de la Sécurité de l’État et le ministère de la Sécurité publique, ainsi que des entreprises participant à cet environnement cyber offensif. Selon lui, cette évolution se traduit notamment par des opérations visant des infrastructures critiques et des opérateurs de télécommunications. Il insiste également sur la collecte massive de métadonnées. 
‍

Ce type d’activité est moins spectaculaire qu’une attaque destinée à mettre un réseau hors service. Elle peut pourtant produire un avantage stratégique considérable. Accumuler de l’information, identifier des infrastructures, comprendre les réseaux et leurs utilisateurs : autant de capacités susceptibles d’être exploitées ultérieurement. 
‍

Un paysage qui ne se limite plus aux grandes puissances 
‍

Si quatre États (la Chine, la Corée du Nord, l’Iran et la Russie) restent identifiés par Nowmay Opalinski comme les principaux acteurs étatiques associés au soutien de groupes cybercriminels, il insiste surtout sur l’apparition de nouvelles capacités. “Il y a quand même quatre grands acteurs, sponsors de cybercriminels. Chine, Corée du Nord, Iran et Russie, c’est les acteurs classiques”, rappelle Nowmay Opalinski. Avant d’ajouter : “maintenant on a des nouveaux acteurs qui sont en train d’émerger”.

Cette évolution élargit la carte du risque. Des pays moins présents dans les analyses traditionnelles développent à leur tour des capacités cyber, parfois dans un contexte de confrontation avec des puissances déjà établies. Nowmay Opalinski cite notamment le Vietnam. Il évoque également l’Inde, dont il affirme que certaines opérations ont récemment ciblé des institutions européennes. L’intérêt de ces exemples montre surtout que la capacité à mener des opérations cyber se diffuse et que les organisations ne peuvent plus construire leur analyse de risque uniquement autour de quelques adversaires traditionnels. 
‍

Le mouvement ne concerne d’ailleurs pas uniquement les États. Des groupes activistes peuvent eux aussi se mobiliser autour d'enjeux politiques. Certains disposent de compétences techniques importantes, acquises notamment dans des communautés de cybersécurité ou lors de compétitions CTF. Ils peuvent agir pour des raisons idéologiques, mais aussi rechercher un intérêt financier. “Même si l’État n’a pas les moyens d’organiser des capacités cyber offensives, on a des jeunes donc des démographies assez jeunes qui peuvent se former et qui vont se mobiliser surtout pour des questions politiques mais qui peuvent aussi se mobiliser pour des questions lucratives”, analyse Nowmay Opalinski. Cette diversification des acteurs rend l’attribution et l’anticipation plus complexes. Une menace peut venir d’un État, d’un groupe criminel, d’un collectif activiste ou d’acteurs dont les intérêts se recoupent ponctuellement. Le cyberespace devient ainsi un espace où se rencontrent plusieurs formes de conflictualité. 

À lire aussi : IA agentique : un risque sécuritaire majeur pour les entreprises ?

Nowmay Opalinski cite ainsi l’Azerbaïdjan, dont il souligne les opérations informationnelles visant notamment certains territoires français d’outre-mer, comme la Nouvelle-Calédonie et Mayotte. 
‍

Le cas nord-coréen illustre une autre forme de spécialisation et de coopération indirecte entre écosystèmes criminels. “On a vu récemment dans des rapports sud-coréens que les Nord-coréens sont en train de se spécialiser dans la compromission et dans des méthodes qui sont un peu plus sophistiquées, notamment sur l'ingénierie sociale, mais par contre, ils vont sous-traiter aux groupes criminels russophones la partie rançongicielle. Donc ils vont générer des revenus”, explique-t-il. 
‍

La frontière entre cybercrime et enjeux étatiques devient alors particulièrement poreuse. Un acteur peut développer une capacité technique, un autre prendre en charge une partie de l’exploitation criminelle, tandis que l’opération s’inscrit dans un environnement géopolitique plus large.
‍

Pour les entreprises, cette évolution complique encore davantage la lecture du risque. Il faut aussi comprendre les écosystèmes qui gravitent autour d’eux et les dépendances qui peuvent permettre à une attaque de se propager. 
‍

La souveraineté comme question de résilience 
‍

Cette propagation peut justement passer par un autre vecteur : la dépendance technologique. Le risque géopolitique ne consiste pas seulement à être attaqué. Il peut aussi résider dans la possibilité de perdre l’accès à une technologie ou à un service à la suite d’une décision prise par un État ou un fournisseur étranger. Pendant longtemps, la continuité d’activité a surtout été pensée autour de scénarios relativement classiques : panne informatique, accident, interruption de service, attaque. L’objectif était de pouvoir redémarrer.
‍

Le cas de Mythos, évoqué par Marjorie Bordes, CISO chez Capgemini, pose la question de l'accès à une technologie dont la disponibilité peut dépendre de décisions prises hors de l'organisation. En juin 2026, les autorités américaines ont imposé à Anthropic de suspendre l'accès à ses modèles Mythos 5 et Fable 5 dans le cadre de restrictions à l'export du Department of Commerce, avant que ces restrictions ne soient levées fin juin et l'accès rétabli début juillet. Si l'épisode a été rapidement résolu, il a valeur d'illustration : il fait de l'accès à une technologie avancée un enjeu de sécurité et de souveraineté, potentiellement soumis à des décisions prises hors du contrôle de l'organisation qui en dépend.

Marjorie Bordes observe cette évolution dans les organisations. “Jusqu’à présent, on était quand même très axé business continuity, donc sur la continuité de nos opérations parce qu’on avait une panne, une interruption, un accident, peu importe”, explique-t-elle. La différence est majeure, une panne peut être réparée mais une décision politique ou juridique prise dans un autre pays échappe, elle, au périmètre traditionnel de la gestion de crise. “Là, avec mythos, on se retrouve dans une situation où finalement on peut ne plus avoir accès ou ne pas avoir accès à certaines technologies sur des décisions qui sont prises et je pense que ça c’est un peu la surprise pour tout le monde”, poursuit-elle.
 

C’est précisément ce déplacement qui fait entrer la souveraineté dans le champ de la cybersécurité. Une entreprise peut être techniquement protégée et rester pourtant dépendante d’une technologie, d’un fournisseur ou d’un cadre juridique qu’elle ne maîtrise pas.
‍

La souveraineté numérique apparaît alors comme un sujet qui dépasse largement celui des infrastructures. Elle touche aux données, au droit, aux compétences et aux personnes. “Pour engager la souveraineté, ce n’est plus seulement un sujet d’infrastructure mais c’est aussi un sujet data, un sujet légal, un sujet de people”, résume-t-elle. Mais vouloir réduire les dépendances ne signifie pas nécessairement chercher l’autonomie absolue.
‍

Luis Delabarre, expert Threat Intelligence chez Recorded Future, met justement en garde contre cette tentation. “Se détacher des États-Unis, je ne pense pas qu’on puisse tant qu’on considère la souveraineté comme un objectif, on est dans l’erreur. Pour moi, la souveraineté c’est un moyen d’obtenir ou d’atteindre une certaine résilience.”, estime-t-il.

À lire aussi : Cybersécurité : pourquoi l’identité devient la cible n°1 avec l’IA

L’enjeu, selon lui, n’est donc pas de supprimer toute dépendance, mais d’éviter qu’une dépendance critique puisse empêcher une organisation de continuer à fonctionner. “Il ne faut surtout pas dépendre de quelqu’un ou de quelque chose pour pouvoir en effet continuer à délivrer ce qu’on est censé délivrer, qu’on soit un service public ou une entreprise”, explique-t-il. 
‍

Cette distinction évite aussi un faux débat entre souveraineté et ouverture technologique. Luis Delabarre le souligne lui-même : ériger la souveraineté en objectif absolu pourrait conduire à se priver de technologies importantes. La question devient donc celle du niveau de dépendance acceptable et des solutions de repli disponibles. 
‍

Dans certains secteurs particulièrement sensibles, cette réflexion conduit déjà à modifier les pratiques. Luis Delabarre raconte ainsi que, pour certains déplacements en Chine, des collaborateurs ne partaient pas avec leur ordinateur ou leur téléphone habituels. Des équipements neufs pouvaient être utilisés lorsqu’un ordinateur était nécessaire, afin de limiter les risques d’ingérence ou de compromission. Cette prudence illustre la manière dont un contexte géopolitique peut modifier des pratiques de cybersécurité très quotidiennes. Mais le même raisonnement existe à une autre échelle : celle des chaînes d’approvisionnement. “Tout le monde est concerné par la géopolitique parce que nous avons tous des attaques par supply chain”, rappelle Marjorie Bordes. 

La supply chain devient ainsi l’un des points de contact les plus directs entre géopolitique et cybersécurité. Une organisation peut ne pas être la cible d’une opération et être malgré tout atteinte parce qu’un fournisseur, un logiciel ou un prestataire situé dans sa chaîne de dépendance a été compromis. La différence entre une grande entreprise et une petite structure se joue alors moins sur l’existence du risque que sur la capacité à l’absorber. “L’énorme différence en revanche qui va y avoir entre un grand groupe et des petites entreprises, ça va être sur notre capacité à le détecter, à y répondre et puis du coup notre résilience derrière”, analyse Marjorie Bordes. 
‍

Le risque géopolitique n’arrive pas nécessairement dans l’entreprise sous la forme d’un événement spectaculaire. Il peut passer par une donnée volée, un fournisseur compromis, une campagne d’influence, une dépendance technologique ou une décision prise à plusieurs milliers de kilomètres.
‍

Pour les entreprises, le changement consiste donc moins à ajouter “la géopolitique” à une liste déjà longue de risques qu’à comprendre que leur exposition cyber est désormais indissociable de leur environnement international. Une attaque informatique peut avoir une motivation criminelle, politique ou stratégique. Ce qui se joue dans les rapports de force entre États peut désormais finir dans les systèmes d’information d’organisations qui, quelques années encore, ne se seraient jamais considérées comme concernées.