Les réseaux de sabotage du GRU russe ciblent des entreprises de défense de l'UE en Allemagne et en Slovaquie

Aucune des deux opérations n'a causé de dégâts matériels importants. C'est précisément pour cette raison que ces affaires comptent.

L'effet immédiat de ces attaques a été limité. Le défi sécuritaire qu'elles révèlent ne l'est pas.

De l'espionnage à la perturbation physique

Les gouvernements européens ont consacré une grande partie de la période qui a suivi l'invasion à grande échelle de l'Ukraine par la Russie au démantèlement de l'infrastructure de renseignement que Moscou avait bâtie via ses missions diplomatiques. Plus de 400 diplomates russes ont été expulsés à travers l'Europe après 2022, selon le briefing.

Le résultat n'a pas été la disparition de l'activité de renseignement russe. Elle a changé la manière dont celle-ci pouvait être menée.

Le réseau actuellement investigué par les autorités allemandes semble reposer sur un modèle plus fragmenté. Plutôt que d'exiger qu'un officier de renseignement russe établisse un contact direct avec un agent en Europe, les enquêteurs estiment que les recrues peuvent être trouvées à distance via des plateformes de messagerie en ligne et des réseaux sociaux.

Les personnes qui accomplissent la partie la plus exposée d'une opération peuvent donc n'avoir qu'une connaissance limitée de l'organisation qui la sous-tend.

Dans l'affaire de Munich, les enquêteurs allemands décrivent les suspects bulgares comme des agents de bas niveau ou « jetables ». Ils auraient été recrutés à distance, payés des sommes relativement modestes et utilisés pour des tâches localisées, sans contact physique direct avec des officiers du GRU.

Cela change l'économie du sabotage.

Une opération de renseignement traditionnelle exige du personnel formé, des communications sécurisées et la protection du réseau d'agents. Un modèle décentralisé peut au contraire répartir le risque sur un grand nombre d'individus. Si un agent est arrêté, l'organisation peut potentiellement le remplacer sans exposer la structure dans son ensemble.

Pour les services de contre-espionnage européens, le problème est donc différent. La personne interceptée portant un engin incendiaire peut être l'élément le plus facile à identifier de l'opération, tandis que la structure de commandement se situe à plusieurs juridictions et couches de communication numérique de distance.

Le champ de bataille atteint la chaîne d'approvisionnement

Le choix des cibles est également significatif.

Helsing développe des drones d'attaque autonomes dotés d'IA, fournis aux forces ukrainiennes. Rohde & Schwarz produit des systèmes de communication militaire et de radar, ainsi que des technologies anti-drones. Skyeton fabrique en Slovaquie des systèmes de reconnaissance à longue portée et des systèmes aériens sans pilote.

Ce ne sont pas des cibles symboliques sans lien avec la guerre. Elles font partie de l'infrastructure industrielle qui soutient la capacité militaire de l'Ukraine.

Cela crée une nouvelle catégorie de vulnérabilité pour l'Europe. La production de défense n'est plus simplement une question d'usines, de contrats d'approvisionnement et de contrôles à l'exportation. La sécurité physique des sites de production, des installations logistiques et des infrastructures associées devient partie intégrante de l'équation de défense au sens large.

Un petit incendie n'a pas besoin de détruire une usine pour imposer un coût. Les mesures de sécurité, les inspections, la surveillance, les assurances et les perturbations peuvent tous devenir plus coûteux lorsque des installations industrielles doivent fonctionner en partant du principe que des services de renseignement étrangers peuvent chercher à les pénétrer ou à les endommager.

L'affaire de l'aéroport de Leipzig/Halle ajoute une autre dimension. Le 5 août, un drone transportant des explosifs a explosé près d'un avion cargo de DHL transportant des cargaisons à destination de l'Ukraine, ou est entré en collision avec lui. Le 1er septembre, le gouvernement allemand a officiellement attribué l'incident à des structures étatiques russes.

Les autorités allemandes évaluent désormais cette affaire aux côtés des opérations de Munich et de Slovaquie, ainsi que des tentatives de sabotage de septembre visant les infrastructures électriques allemandes.

La signification réside dans la convergence des cibles : fabrication de défense, technologie militaire et logistique.

Pourquoi l'Europe centrale importe pour le réseau

Les enquêtes pointent aussi vers une caractéristique géographique de la campagne émergente.

Des sources de sécurité allemandes citées par le Frankfurter Allgemeine Zeitung le 25 septembre estimaient que les opérations de Munich et de Skyeton étaient coordonnées depuis un centre opérationnel commun en Slovaquie. Les enquêteurs allemands soupçonnent que les attaques ont été organisées par une unité spécialisée du GRU.

Le rôle de la Slovaquie dans ces affaires illustre l'une des difficultés centrales de la lutte contre des opérations étrangères décentralisées. Les personnes qui exécutent une attaque, celle qui organise la logistique et le service de renseignement soupçonné de la diriger peuvent tous se trouver dans des pays différents.

L'affaire Skyeton elle-même impliquait un ressortissant letton de 26 ans et un ressortissant ukrainien arrêtés en Slovaquie, tandis qu'un autre suspect letton a été appréhendé à Hambourg en vertu d'un mandat d'arrêt slovaque.

Les suspects de Munich étaient des ressortissants bulgares.

L'enquête de Leipzig, quant à elle, a identifié un opérateur logistique clé comme étant Oleg L., un binational russo-letton. Des médias d'investigation allemands ont rapporté qu'il avait maintenu des communications pendant plusieurs années avec le colonel du GRU Denis Smolyaninov.

Le résultat est un problème de contre-espionnage qui ne s'inscrit pas proprement dans les frontières nationales.

La police peut arrêter la personne physiquement présente sur une cible. Les procureurs doivent ensuite établir la chaîne reliant cet individu à des organisateurs, des intermédiaires et, en fin de compte, à un État étranger. Chaque juridiction supplémentaire ajoute une couche juridique et d'enquête supplémentaire.

Le lien Smolyaninov

Le nom de Denis Smolyaninov donne aux enquêtes une dimension institutionnelle potentiellement importante.

Le colonel du GRU a été sanctionné par l'UE en décembre 2024 pour des activités impliquant des opérations psychologiques, une subversion ciblant l'Ukraine et le recrutement à distance d'agents de sabotage à travers l'Europe. Le même cadre de sanctions de l'UE visait également l'unité 29155 du GRU et des agents associés.

Les affaires actuelles soulèvent donc la question de savoir si l'Europe fait face à la continuation d'une capacité de renseignement établie plutôt qu'à une série d'entreprises criminelles improvisées.

Il existe toutefois une distinction importante. Le modèle opérationnel décrit par les enquêteurs allemands repose largement sur la distance et la dénégation. La personne recrutée pour une tâche particulière n'a pas nécessairement besoin de comprendre le réseau dans son ensemble, tandis que le service de renseignement peut maintenir une séparation avec l'opération physique.

Cela diffère de l'image classique d'un officier de renseignement dirigeant directement un réseau d'agents.

Cela ressemble davantage à de l'externalisation.

L'arrangement crée aussi une ambiguïté qui peut être utile à l'organisateur. La Russie a nié toute implication dans les incidents de sabotage européens, son ministère des Affaires étrangères qualifiant les accusations allemandes de fabriquées et motivées politiquement. L'Allemagne, en revanche, a formellement attribué l'attaque de Leipzig à des structures étatiques russes et enquête sur l'affaire de Munich pour une éventuelle implication étatique.

L'attribution devient donc plus qu'une déclaration politique. C'est le point où un incident criminel devient un acte d'agression parrainé par un État, avec des conséquences pour les sanctions, la diplomatie et la politique de contre-espionnage.

Les entreprises de défense font désormais partie du périmètre de sécurité

Pour les fabricants européens de défense, les implications sont immédiates même lorsque les attaques échouent.

Rohde & Schwarz a déclaré que ses installations de Munich n'avaient subi aucun dommage opérationnel. Helsing a refusé de commenter publiquement en détail. L'installation slovaque de Skyeton a été protégée avant que l'incendie criminel prévu puisse avoir lieu.

Les entreprises occupent néanmoins un environnement de sécurité différent de celui auquel elles faisaient face avant l'expansion de la guerre en Ukraine.

La vulnérabilité ne se limite pas aux grandes usines d'armement. Elle s'étend à tout l'écosystème qui produit, déplace et entretient la technologie militaire.

Cela est particulièrement pertinent pour une industrie européenne de défense déjà sous pression pour accroître sa production et accélérer son soutien à l'Ukraine. Chaque couche supplémentaire de protection physique entre en concurrence, pour les ressources, avec la tâche centrale de production d'équipements.

Le modèle par procuration rend le problème plus difficile car il n'exige pas de capacité militaire sophistiquée au point d'attaque. Un agent recruté localement avec des instructions de base peut potentiellement créer un incident de sécurité dans une installation stratégiquement importante.

Le coût de la défense contre cette éventualité est par conséquent disproportionné par rapport à la simplicité apparente de l'attaque.

Le problème d'attribution de l'Europe

Les arrestations donnent aux services européens quelque chose qu'ils obtiennent rarement du sabotage clandestin : des personnes, des dispositifs, des communications et des preuves transfrontalières qui peuvent potentiellement être reliés entre eux.

Mais les affaires émergentes démontrent aussi pourquoi déjouer une opération et prouver qui l'a ordonnée sont deux tâches différentes.

L'Allemagne a déjà dépassé le stade de l'enquête dans l'affaire de Leipzig, attribuant formellement l'attaque à des structures étatiques russes et réagissant diplomatiquement en expulsant du personnel, en fermant le consulat général de Russie à Bonn et en mettant fin à l'accord régissant le Centre culturel russe à Berlin. Berlin cherche également à élargir les sanctions de l'UE.

L'affaire de Munich reste au stade de l'enquête, les autorités examinant si l'opération par procuration suspectée peut être liée à une structure étatique russe.

Cette distinction importe parce que le modèle décentralisé est conçu pour créer précisément cet écart entre l'acte visible et le commanditaire invisible.

L'Europe a passé quatre ans à renforcer sa capacité à identifier l'activité de renseignement russe après l'expulsion de diplomates. Le nouveau défi est plus difficile : empêcher un système dans lequel l'agent peut être recruté dans un autre pays, la logistique organisée ailleurs, la cible située au plus profond du territoire de l'OTAN et la structure de commandement suspectée séparée de l'attaque par plusieurs couches d'intermédiaires.

Les attaques physiques à Munich et en Slovaquie n'ont pas réussi à perturber la production de défense.