La nouvelle menace hybride en Europe : quand le renseignement russe se tourne vers les réseaux criminels

Les enquêteurs examinent si l'attaque a été commanditée par le renseignement russe et exécutée par des intermédiaires liés à l'organisation criminelle turque connue sous le nom des Daltons. Les allégations restent à l'état d'enquête, et la cour régionale supérieure de Stuttgart doit statuer sur l'extradition des deux hommes vers la Pologne.

L'affaire soulève une question difficile pour les gouvernements européens. Si des services de renseignement étrangers peuvent recruter des organisations criminelles pour attaquer des infrastructures stratégiques, la frontière entre contre-espionnage et lutte contre la criminalité de droit commun devient de plus en plus difficile à maintenir.

Des recrues jetables aux intermédiaires professionnels

Depuis plusieurs années, les autorités européennes alertent sur des opérations de sabotage impliquant des agents de bas niveau recrutés en ligne pour accomplir des tâches relativement simples, notamment des incendies criminels et des dégradations. De tels dispositifs offrent à un service de renseignement un moyen bon marché et niable de provoquer des perturbations. Les recrues peuvent n'avoir qu'une compréhension limitée de l'opération d'ensemble, tandis que ceux qui les dirigent restent éloignés de l'acte matériel.

L'implication présumée des Daltons représenterait une approche plus sophistiquée.

Le réseau criminel turc opère en Turquie, en Allemagne et dans d'autres pays européens. Il a été associé à des extorsions, au trafic de drogue, au trafic d'armes et à des assassinats commandités. Si ses membres ont été impliqués dans l'attaque en Pologne, ils apporteraient à une opération potentiellement soutenue par un État une infrastructure criminelle déjà existante : des contacts à travers plusieurs juridictions, une expérience des activités clandestines et une capacité d'intimidation qui pourrait manquer à un groupe improvisé de recrues en ligne.

Cette distinction compte. Une personne recrutée pour un seul incendie criminel peut être remplacée relativement facilement, mais une organisation criminelle offre des relations et des capacités opérationnelles qui existent déjà. Elle peut être en mesure d'identifier du personnel, d'organiser des déplacements et de maintenir le secret sans construire un nouveau réseau pour chaque mission.

L'avantage stratégique pour un État commanditaire est la dénégation plausible. Les enquêteurs confrontés à un intermédiaire criminel doivent établir non seulement qui a perpétré une attaque, mais aussi si l'opération a été commanditée, facilitée ou dirigée par un service de renseignement étranger. Plus les couches entre le commanditaire et les auteurs sont nombreuses, plus cette chaîne de responsabilité peut être difficile à prouver.

Pourtant, le même dispositif crée des dépendances. Les groupes criminels ont leurs propres intérêts commerciaux, rivalités et structures de pouvoir internes. Leur participation n'établit pas, en soi, qu'un gouvernement étranger les contrôle. Le défi central de l'enquête est de distinguer une véritable relation de renseignement d'une activité criminelle qui sert incidemment les intérêts d'un État.

À Wola Krobowska, cette distinction est au cœur de l'affaire.

Le lien russe reste le maillon critique

Le coordinateur des services spéciaux polonais, Tomasz Semoniak, a déclaré que Varsovie ne doutait pas que le renseignement russe ait orchestré le sabotage. Une enquête du Der Spiegel, s'appuyant sur des reportages multinationaux et des sources de sécurité indépendantes, a relié les suspects turcs aux Daltons et évoqué la possibilité que le groupe ait reçu un contrat du renseignement russe.

Un élément attire l'attention des agences de sécurité : le traitement rapporté du chef présumé du syndicat, Beratcan Gökdemir.

Gökdemir a été arrêté en Russie en 2024. Selon les allégations exposées dans l'enquête, Moscou ne l'a pas extradé vers la Turquie malgré la demande d'Ankara, le protégeant et l'abritant dans des circonstances qui ont soulevé des questions sur une possible coopération avec le renseignement russe.

L'épisode, si la relation alléguée peut être étayée, offre une explication possible de la manière dont un État pourrait cultiver des intermédiaires criminels sans les intégrer formellement à son appareil de renseignement. La protection contre les poursuites ou l'extradition pourrait fournir un levier sur un réseau dont les membres opèrent autrement en dehors des structures étatiques conventionnelles.

Mais la distinction entre faisceau d'indices et preuve est essentielle. La protection alléguée par Moscou d'un chef criminel n'établit pas que les Daltons aient reçu l'ordre d'attaquer l'installation polonaise. Pas plus qu'un lien suspecté entre les hommes arrêtés et le groupe ne prouve à lui seul une direction russe.

Les enquêteurs doivent établir la chaîne opérationnelle : qui a commandité l'attaque, qui en a organisé l'exécution, quelles instructions ont été transmises aux auteurs, et quels éléments relient ces décisions à un service de renseignement étatique.

Ce processus sera probablement plus compliqué que d'identifier les personnes qui ont matériellement mis le feu. Cela explique aussi pourquoi l'affaire compte au-delà du sort de trois suspects. L'enquête pourrait aider à déterminer si la criminalité organisée devient un instrument plus systématique de l'activité d'États étrangers en Europe.

Pourquoi une station terrestre satellite compte

La cible n'était pas une installation de télécommunications ordinaire.

Le site de Wola Krobowska, exploité par l'entreprise publique polonaise Exatel, abrite des équipements de distribution électrique et un générateur desservant une station terrestre du réseau satellite Starlink. Il sert de hub régional de routage de données soutenant la connectivité en Europe centrale et orientale, y compris des services civils et la coordination militaire en Ukraine.

L'incendie du 23 septembre a endommagé les équipements de distribution électrique et le générateur. Il n'a pas provoqué de coupures d'internet généralisées, limitant son impact visible immédiat.

Cette relative absence de perturbation ne doit pas masquer l'importance stratégique de la cible. L'armée ukrainienne dépend fortement des terminaux Starlink pour ses communications tactiques et la coordination de sa défense. Les infrastructures terrestres situées hors du territoire ukrainien font partie de l'environnement de communications plus large dont dépend cette connectivité.

Une installation n'a pas besoin d'être entièrement détruite pour devenir une cible utile. Des dommages aux systèmes de soutien peuvent créer des vulnérabilités opérationnelles, nécessiter des réparations et contraindre les opérateurs à s'interroger sur la fiabilité avec laquelle des services essentiels peuvent être maintenus lors d'une crise plus large. La question de savoir si l'attaque de Wola Krobowska visait un effet militaire particulier reste du ressort des enquêteurs, mais le choix de l'infrastructure suscite des inquiétudes qui dépassent la Pologne.

L'installation illustre aussi la difficulté de protéger des réseaux qui traversent les frontières nationales. Une installation physique sur le territoire polonais peut soutenir des communications ayant des conséquences pour la défense d'un autre pays. Sa protection n'est donc pas simplement une question de sécuriser un site utilitaire national ; elle fait partie de la résilience d'un réseau d'infrastructures régional.

Une installation terrestre Starlink similaire près de Kaunas, en Lituanie, achemine également des données vitales à travers l'Europe de l'Est. L'existence de plusieurs sites stratégiquement pertinents élargit le problème de sécurité au-delà de la protection d'une seule installation.

Pour les opérateurs, le défi est de prendre en compte des menaces qui peuvent commencer par de la surveillance, se poursuivre par un sabotage physique et exploiter des faiblesses dans les équipements ou la sécurité des sites. Pour les gouvernements, il s'agit de déterminer quand une attaque contre des infrastructures civiles devient une question de défense régionale.

L'étape négligée avant l'incendie

L'arrestation du troisième suspect pourrait s'avérer importante car elle indique une possible phase préparatoire.

L'ABW polonaise a annoncé le 16 octobre avoir détenu une personne que les médias polonais ont identifiée comme un citoyen ukrainien. Le suspect aurait mené une reconnaissance et filmé les systèmes de sécurité de l'installation avant l'incendie criminel.

Les informations disponibles n'établissent pas précisément ce qui a été filmé, comment le matériel a été utilisé ni s'il a été transmis aux deux suspects turcs ou à un autre intermédiaire. Ces détails ne doivent pas être présumés.

Néanmoins, l'allégation soulève une question opérationnelle centrale : l'attaque a-t-elle impliqué une division du travail entre les personnes chargées de recueillir des informations et celles chargées de l'exécuter ? Si elle est confirmée, cette organisation suggérerait une opération plus structurée qu'un acte de vandalisme isolé.

La reconnaissance peut aider à identifier les points d'accès, les dispositifs de sécurité et les obstacles potentiels. La séparer de l'attaque physique peut aussi réduire la quantité d'informations que chaque participant possède sur l'opération d'ensemble. Une telle compartimentation est familière dans les activités clandestines, même si sa présence dans cette affaire reste à établir en détail.

L'enquête doit désormais déterminer si la surveillance alléguée faisait partie d'un plan coordonné et si les participants avaient des liens au-delà de leurs rôles immédiats.

Pour les services de sécurité européens, c'est ici que la frontière entre enquêtes sur la criminalité organisée et contre-espionnage devient particulièrement poreuse. Une personne filmant des équipements de sécurité peut, isolément, ne pas révéler si un site est évalué à des fins criminelles, de collecte de renseignements ou de sabotage. Le contexte émerge de relations, de communications, de déplacements et d'arrangements financiers qui peuvent traverser plusieurs pays.

Un problème européen appelant une réponse différente

L'affaire met aussi à l'épreuve la valeur pratique de la coopération judiciaire européenne. Les deux ressortissants turcs ont été détenus en Allemagne après que des procureurs polonais ont déposé des accusations et demandé assistance via les mécanismes juridiques européens. Leur extradition reste soumise à une décision judiciaire à Stuttgart.

La nationalité des suspects, le lieu de leur détention et la cible alléguée en Pologne illustrent la nature multinationale de l'enquête. Les preuves devront peut-être établir une chaîne d'activités s'étendant sur plusieurs juridictions, tandis que les autorités doivent distinguer les actes criminels qu'elles peuvent prouver des relations de renseignement qu'elles soupçonnent.

Pour les agences de sécurité, les implications institutionnelles sont substantielles. Les enquêtes traditionnelles de contre-espionnage cherchent à identifier des officiers de renseignement étrangers, des réseaux clandestins et des liens avec des institutions étatiques. Les enquêtes sur la criminalité organisée, elles, se concentrent sur les hiérarchies criminelles, les marchés illicites et les relations qui les soutiennent. Une opération mandatée présumée exige que les deux perspectives soient appliquées au même réseau.

Les gouvernements européens ont déjà alerté sur un schéma plus large d'activités hybrides russes présumées impliquant des infrastructures de transport, des hubs logistiques et la fabrication de défense. Des rapports sur la manipulation de signaux ferroviaires en Tchéquie et des tentatives d'incendie criminel contre des installations liées à la défense européenne s'inscrivent dans le contexte de sécurité plus large dans lequel les responsables polonais ont situé l'attaque de Wola Krobowska.

La difficulté est qu'un groupe criminel peut être visible par la police pendant des années sans que ses activités semblent avoir une dimension géopolitique. Inversement, une opération de renseignement présumée peut ressembler à une infraction pénale ordinaire jusqu'à ce que les enquêteurs la relient à une chaîne d'activités plus large. Ni l'application conventionnelle de la loi ni le contre-espionnage ne peuvent résoudre de manière fiable chaque affaire de ce type isolément.

La convergence potentielle de ces capacités rend le partage d'informations, les enquêtes coordonnées et la protection des infrastructures critiques de plus en plus interdépendants. Elle soulève aussi une question de proportionnalité : les autorités doivent renforcer leur capacité à détecter les intermédiaires criminels soutenus par un État sans traiter chaque gang transnational ou acte suspect comme la preuve d'une implication du renseignement étranger.

Pour la Russie, le modèle allégué offrirait un moyen d'imposer des coûts aux États européens tout en rendant difficile l'établissement d'un lien direct avec le Kremlin. Pour les réseaux criminels, une relation avec un État commanditaire pourrait offrir une protection ou des contrats lucratifs, même si elle pourrait aussi les exposer à un niveau d'examen international qu'ils éviteraient autrement.

Pour l'Europe, l'évolution la plus lourde de conséquences serait l'érosion de la frontière entre criminalité interne et menaces de sécurité extérieures. Si des réseaux criminels professionnels peuvent être recrutés pour cibler des infrastructures soutenant l'Ukraine, le prochain défi ne se limitera pas à identifier les auteurs après une attaque.