Rokh Solis#

En bref#

Rokh Solis est un mode opératoire informationnel détecté et caractérisé par VIGINUM en mars 2026, qui a dénigré La France insoumise et trois de ses candidats aux élections municipales, au moyen de sites web et de comptes fabriqués.

C'est la première ingérence numérique étrangère documentée en France dont les marqueurs techniques renvoient à un acteur localisé en Israël — et non à la Russie. Cette fiche existe pour cette raison : ce wiki documentait deux modes opératoires russes et aucun autre. Ne pas écrire celle-ci aurait été une omission orientée.

Cette fiche reposait sur les deux publications de VIGINUM — le rapport public du 11 juin 2026 et le rapport technique dédié de 41 pages, dépouillé le 26 août 2026. Elle repose désormais aussi sur les trois articles de presse que VIGINUM invoque lui-même : Reuters du 13 mai 2026, Libération du 14 et Haaretz du 18, déclarés inaccessibles le 26 août et obtenus le 27 par l'utilisateur de ce wiki.

Ils corrigent cette fiche sur un point majeur : des procédures françaises existent. Sébastien Delogu a déposé une plainte en diffamation en mars 2026 ; François Piquemal a saisi la police et demandé l'annulation du scrutin de Toulouse pour ingérence étrangère — recours sur lequel le tribunal administratif n'avait pas statué au 13 mai ; et les services de renseignement enquêtent sur les commanditaires. Ce wiki écrivait qu'aucune procédure n'était établie : c'était exact au vu de ses sources, ce ne l'est plus.

Ils ajoutent aussi ce que les plateformes ont trouvé seules — Meta a retiré un réseau pour « comportement inauthentique coordonné », déclare que l'activité « provenait d'Israël » et « visait principalement la France », et relie explicitement cette campagne à une opération menée pour un gouvernement africain. Google et TikTok ont identifié des éléments de leur côté.

Et une enquête conjointe Libération–Haaretz remonte une chaîne technique jusqu'à deux sociétés israéliennes nommées — qui nient toute connaissance de BlackCore. Cette partie est traitée sous la règle du § 4 bis, avec les dénégations reproduites au même niveau que les constats, et Haaretz écrit lui-même qu'« aucune connexion directe n'a été trouvée ».

Trois précautions doivent être posées d'emblée, et elles sont de VIGINUM, pas de ce wiki :

L'acteur est décrit comme « non étatique », localisé en Israël. VIGINUM n'attribue pas cette opération à l'État israélien. La confusion entre les deux serait une faute.
Les commanditaires sont inconnus. VIGINUM écrit : « aucun élément ne permet toutefois à VIGINUM d'établir l'identité et l'origine des commanditaires ayant pu recourir aux services de cette société ». Le prestataire présumé n'est pas le donneur d'ordre.
Les accusations portées contre les trois candidats sont des fabrications. Elles sont rapportées ici comme contenu d'une opération de manipulation caractérisée par un service de l'État, jamais comme des faits. Aucune ne fait l'objet d'une procédure contre les candidats — les procédures existantes sont engagées par eux, contre les contenus.
Les sociétés et les personnes nommées par la presse ne sont mises en cause par aucune autorité. Elles apparaissent au bout d'une chaîne technique reconstituée par deux rédactions. Une contiguïté d'infrastructure n'est pas un lien de responsabilité, et toutes celles qui ont répondu nient tout lien.

Identité#


Nature	Mode opératoire informationnel (MOI), non organisation constituée
Nommé par	VIGINUM — « Rokh Solis » est le nom donné par le service
Détecté	Mars 2026, pendant la campagne des municipales
Cibles	La France insoumise et trois de ses candidats
Opérations caractérisées	Quatre, réunissant les critères d'une ingérence numérique étrangère
Marqueurs d'extranéité	Caractères hébreux dans les métadonnées ; comptes déclarant une localisation en Israël
Attribution	Acteur non étatique localisé en Israël. Le rapport technique retient une entreprise d'influence israélienne, Blackcore, comme probablement à l'origine des campagnes — périmètre exact de son action non déterminé, et commanditaires non établis
Documenté par	VIGINUM (SGDSN) — rapport public du 11 juin 2026 (31 p.) et rapport technique dédié (41 p.), les deux lus
Cercle	3.3 — indirect

Les quatre opérations#

Trois opérations de dénigrement de candidats#

Candidat visé	Ville	Actifs numériques déployés	Narratif fabriqué
Sébastien Delogu	Marseille	`blogdesophie.com`, comptes X et Facebook « Le Blog de Sophie »	Accusation de viol
Sébastien Delogu	Marseille	`delogupourpalestine.com`	Une lettre faussement attribuée au candidat, proposant la vente d'un calendrier avec des photos de lui, dont certaines dénudées, au profit de la population de Gaza
François Piquemal	Toulouse	`piquemalzero.com`, deux pages Facebook, usurpation de l'identité d'une association de protection de l'enfance	Accusation de pédophilie, de violence et de soutien aux actes terroristes du Hamas
David Guiraud	Roubaix	Deux pages Facebook	Dénonciation de ses prises de position propalestiniennes

Ces narratifs sont des fabrications caractérisées par un service de l'État. La page Facebook @EnfanceetPartageorg, qui portait les accusations contre François Piquemal, usurpait l'identité d'une association de protection de l'enfance et a été créée pour cet usage.

Aucune procédure judiciaire ne vise aucun des trois candidats à raison de ces allégations, et ce wiki n'en a trouvé aucune trace. Conformément à la règle sur les personnes, une accusation sans enquête, sans mise en examen et sans jugement n'est rien — et celle-ci est de surcroît documentée comme fabriquée.

Une quatrième opération : polariser par deux camps fabriqués#

C'est la partie la plus révélatrice du dispositif, et elle mérite d'être comprise.

Le MOI a construit deux écosystèmes numériques opposés, qui se répondent :

Écosystème	Site	Rôle joué
« L'Alternative 2026 »	`lalternative2026.com`	Promeut une démarche politique communautariste en faveur de la population musulmane, en citant une liste de candidats LFI présentés comme alignés sur ce programme
Relais de soutien	`forsane-alizza.eu`	Emprunte le nom d'un groupe islamiste radical dissous en 2012, véhicule des narratifs d'inspiration salafiste et salue l'initiative précédente
Camp adverse	`rcn-france.org` — prétendue « Renaissance catholique Nationale »	S'inscrit dans une doctrine souverainiste, identitaire, catholique et conservatrice, et dénonce l'existence de `lalternative2026.com`

Le même opérateur tenait donc les deux bouts de la controverse : il fabriquait un épouvantail communautariste, puis fabriquait l'indignation qui le dénonçait. C'est la définition opérationnelle de la polarisation artificielle.

Le compte TikTok @renaissancecatholiquefr, qui incarne le troisième site, avait auparavant promu, entre septembre 2024 et août 2025, le mot-dièse pro-israélien #TheWestIsNext et des narratifs islamophobes en anglais, avant d'être renommé en août 2025 et réorienté vers un public francophone souverainiste.

Comment le dispositif était fabriqué#

Les éléments techniques, tous établis par VIGINUM, sont donnés parce qu'ils sont ce qui distingue une opération caractérisée d'une simple hypothèse.

Élément	Détail
Concentration des enregistrements	`blogdesophie.com` et `lalternative2026.com` déposés le 9 février 2026 sur la même adresse IP ; `piquemalzero.com` le 11 février sur la même ; `delogupourpalestine.com` le 19 février sur une IP voisine
Pages Facebook	Créées entre le 9 et le 19 février 2026 ; compte X `@LeBlogdeSophie0` créé le 18 février 2026
Avatars générés par IA	Profils aux noms francophones très répandus — Lea Leclerc, Julie Simon, Elise Martin, Claire Martin, Etienne Martin, Sophie Dupoint, Luc Dupont — aux fils de publications identiques, prépositionnés dans une dizaine de groupes Facebook
Faux commentateurs	Entre le 19 et le 28 février 2026, 138 comptes uniques ont publié 338 commentaires sous les pages du dispositif
Amplificateurs annexes	Des groupes de comptes a priori vietnamiens relayant des éléments techniques du MOI

Deux détails montrent que l'opération a partiellement atteint des cibles réelles : le nom de domaine piquemalzero.com a été relayé dans une publication du compte Facebook officiel de François Piquemal le 6 mars 2026, et le mot-dièse #forsannealizza a été propagé dans les commentaires d'une publication de Julien Odoul le 13 octobre 2025.

L'attribution, et où elle s'arrête#

C'est le point où la rigueur compte le plus, et où ce wiki se tient strictement au texte de VIGINUM.

Ce que VIGINUM établit :

des caractères hébreux dans les métadonnées de lalternative2026.com et dans le nom d'utilisateur Canva du site forsane-alizza.eu, ce dernier indiquant une localisation en Israël ;
plusieurs comptes amplificateurs déclarant une localisation en Israël, dont deux avatars Facebook renommés en cours d'opération ;
le partage de publications associées à l'organisation pro-israélienne ELNET par des groupes de comptes inauthentiques.

Ce que VIGINUM avance avec prudence : le MOI « pourrait présenter des caractéristiques communes » avec l'activité d'une entreprise d'influence israélienne nommée Blackcore, qui n'est a priori pas inscrite au registre des entreprises israéliennes mais dispose d'un nom de domaine et d'un compte LinkedIn. L'un de ses sous-domaines détaille une formation en communication numérique dispensée au gouvernement angolais.

Des liens techniques rattachent cette infrastructure à des sociétés israéliennes — Galacticos LTD, domiciliée à Tel-Aviv, et Iron Mind — et à des personnes que le rapport nomme. Ce wiki ne reprend pas ces noms, parce que le rapport lui-même n'établit à leur encontre aucune participation à l'opération française : il décrit une infrastructure, pas une décision.

Ce que VIGINUM ne peut pas établir, et qu'il écrit noir sur blanc :

« À ce stade des analyses, aucun élément ne permet toutefois à VIGINUM d'établir l'identité et l'origine des commanditaires ayant pu recourir aux services de cette société. »

Autrement dit : on sait par qui l'opération a pu être exécutée, on ignore qui l'a commandée. C'est une différence décisive, et toute lecture qui la gomme trahit le document.

Un indice de la nature commerciale du dispositif : les mêmes groupes de comptes inauthentiques ont servi à amplifier des contenus gouvernementaux angolais et à promouvoir le parti présidentiel de João Lourenço. Un prestataire, plusieurs clients.

Ce que le rapport technique ajoute#

Cette fiche a d'abord été écrite à partir du rapport public du 11 juin 2026, qui consacre une section à Rokh Solis. VIGINUM a publié le même jour un rapport technique dédié de 41 pages, dépouillé le 26 août 2026. Il ne contredit rien de ce qui précède, mais il déplace un curseur et en ferme un autre.

L'attribution : de « pourrait » à « probablement »#

Le rapport public écrivait que le mode opératoire « pourrait présenter des caractéristiques communes » avec Blackcore. Le rapport technique intitule sa section : « Une entreprise israélienne probablement à l'origine des campagnes ». Il précise aussi que cette orientation n'est pas seulement la sienne :

« Cette conclusion a été confirmée par les publications des médias Reuters, Libération et Haaretz. »

Et le curseur s'arrête là, explicitement :

« cette entité semble s'insérer dans un écosystème composé de nombreuses entreprises israéliennes du secteur cyber, ce qui empêche à ce stade de déterminer avec un niveau de confiance suffisant l'identité et le périmètre précis de l'action de l'entreprise privée à l'origine du MOI Rokh Solis. Aucun élément ne permet par ailleurs à VIGINUM d'établir l'identité et l'origine des commanditaires ayant pu recourir aux services de cette société. »

Le prestataire présumé se resserre ; le donneur d'ordre reste inconnu. La distinction posée en tête de fiche tient intégralement.

Ce que Blackcore vend, dans ses propres mots#

Blackcore n'est a priori pas inscrite au registre des entreprises israéliennes. Elle existe par un nom de domaine, blackcore.online, déposé le 22 août 2025 — la date à laquelle les comptes amplificateurs inauthentiques ont changé de nom d'utilisateur. Sur son site, elle se présente comme fournissant des « solutions d'influence, de sécurité et de technologies au service de gouvernements ».

Un sous-domaine de démonstration détaille l'offre :

Ce que Blackcore revendique	Détail
Un parc d'avatars	1 600 comptes inauthentiques cumulés sur Facebook, Instagram et TikTok
Une stratégie d'infiltration	envoi massif de messages privés et intégration de communautés, notamment des groupes Facebook
Une référence client	un sous-domaine consacré à une formation dispensée au gouvernement angolais en février 2026

Le mode opératoire annoncé est exactement celui observé en France — VIGINUM avait documenté, dans les opérations contre les trois candidats, des avatars prépositionnés dans une dizaine de groupes Facebook.

L'infrastructure technique associée héberge des interfaces d'amplification artificielle : un outil qui, à partir d'une requête, fait produire par un modèle de langage les mots-clés pertinents puis retrouve automatiquement les principaux groupes Facebook correspondants ; et des générateurs de données d'avatars, rattachés à deux sociétés que le rapport nomme, Galacticos AI et Iron Mind.

Les sites de cet ensemble ont été supprimés après la parution des articles de presse de mai 2026 — le compte LinkedIn de Blackcore aussi. C'est, en soi, un fait observable.

Le fait le plus important : le même opérateur servait les deux bords#

C'est l'élément qui interdit de lire cette opération comme une opération d'opinion.

VIGINUM constate que le serveur de messagerie de l'un des domaines de l'infrastructure hébergeait aussi sadaqahpalestine.com, site d'une pseudo-organisation caritative en faveur de la population palestinienne, dont les publications étaient amplifiées par des comptes au comportement identique à ceux qui commentaient les pages visant Sébastien Delogu, François Piquemal et David Guiraud.

La même infrastructure fabriquait donc, d'un côté, des attaques contre des élus propalestiniens et, de l'autre, une fausse cause propalestinienne. À quoi s'ajoute l'amplification, par les mêmes réseaux, de contenus du gouvernement angolais.

Un prestataire, plusieurs clients, des causes opposées. C'est la définition d'un service commercial, et cela déplace la question : la bonne interrogation n'est pas « qui pense cela ? » mais « qui a payé ? » — et c'est précisément ce que le dossier ne dit pas.

Un dispositif rodé ailleurs avant la France#

Le compte TikTok qui incarnait la fausse « Renaissance catholique nationale » — 112 500 abonnés, 430 000 mentions « j'aime » — s'appelait auparavant « Ireland Real News ». Entre novembre 2024 et juin 2025, il a diffusé des dizaines de vidéos anglophones aux narratifs anti-musulmans, sous les mots-dièses #TheWestIsNext et #TheWestIsNow, avant d'être renommé le 3 août 2025 et réorienté vers un public francophone. D'autres comptes de la même campagne visaient l'Irlande et l'Angleterre, et deux comptes du dispositif français sont localisés au Royaume-Uni.

La campagne française n'était pas un coup d'essai : c'est un outil réaffecté.

Ce que valent les chiffres d'audience de ce genre d'opération#

Un exemple, daté, vaut mieux qu'un commentaire. Le compte X « Le Blog de Sophie » :

Date	Constat
4 mars 2026	403 de ses 416 abonnés sont créés le même jour ; 401 n'ont eux-mêmes aucun abonné
5 mars 2026	première analyse de VIGINUM : 416 abonnés
8 mars 2026	après une vague de suspensions, 13 abonnés

Quatre cent seize abonnés, dont treize survivent à un ménage de plateforme. Le rapport conclut que, malgré la variété des actifs et les tentatives répétées d'amplification, les opérations n'ont bénéficié que d'une faible visibilité avant le scrutin.

La proximité avec l'appareil cyber israélien, décrite et non qualifiée#

Le rapport situe cet écosystème dans un environnement d'entreprises cyber israéliennes dont la figure centrale est un ancien directeur général de l'agence nationale de cybersécurité israélienne, passé par l'unité 8200 du renseignement militaire et par le Shin Bet, aujourd'hui à la tête d'un incubateur qui soutient l'une des sociétés impliquées dans l'infrastructure technique.

Ce wiki rapporte la fonction et ne reprend pas le nom — pas plus que ceux des deux particuliers que le rapport identifie par des métadonnées de domaine et des registres de sociétés. La raison est la même pour les trois : VIGINUM ne leur impute aucune participation à l'opération française. Il décrit un environnement, pas une décision.

Et cela ne fait pas de Rokh Solis une opération d'État. VIGINUM ne l'écrit nulle part, et l'ensemble du dossier — le catalogue commercial, le client angolais, la fausse association propalestinienne — pointe dans l'autre sens. La proximité de personnel n'est pas une chaîne de commandement. Elle est rapportée ici parce que la taire reviendrait à choisir, et que ce wiki ne choisit pas à la place du lecteur.

L'analyse actif par actif : comment on fabrique de la crédibilité, et comment on rate#

Les parties 2.1 et 2.2 du rapport technique — une quinzaine de pages — ont été dépouillées le 26 août 2026. Elles décrivent chaque site, chaque page, chaque compte. Trois choses en ressortent que le reste du dossier ne donne pas.

L'opérateur n'invente jamais un nom : il en emprunte un#

C'est le procédé constant, et il joue sur tous les bords à la fois.

Ce qui est emprunté	À qui	Comment
« Enfance et Partage »	Association française de protection de l'enfance, créée en 1977	La fausse page recopie à l'identique les publications de la vraie du 15 au 22 février 2026, et renvoie au vrai site, aux vrais comptes et au vrai numéro de téléphone — avant de basculer, le 22 février, vers des contenus originaux
« Renaissance Catholique Nationale »	« Renaissance Catholique », mouvement catholique conservateur authentique fondé en 1988	Un mouvement « ne possédant aucune existence préalable », dont le nom est calqué
« Forsane Alizza »	Groupe islamiste dissous en 2012	Une page Facebook créée le 22 décembre 2022, « probablement rachetée », renommée le 2 mars 2026

Une association de protection de l'enfance, un mouvement catholique, un groupe islamiste dissous. Le point commun n'est pas idéologique : c'est que les trois noms étaient déjà crédibles, chacun auprès d'un public différent.

Le rachat de pages anciennes suit la même logique. Une des deux pages visant David Guiraud existait depuis 2022 et a été renommée après coup ; le compte X « Le Blog de Sophie » avait été créé le 6 mars 2025 et n'a changé de nom d'utilisateur que le 18 février 2026. On n'achète pas une audience, on achète une ancienneté.

Ils ont payé pour se faire citer par Associated Press#

C'est le détail le plus instructif du rapport pour qui veut comprendre comment un faux site se rend présentable.

En février 2026, les opérateurs ont acheté un service de placement de contenus en ligne, ABNewswire.com, pour faire publier un article vantant lalternative2026.com sur des sites légitimes — dont celui de l'agence Associated Press et un site de relations publiques.

Ce wiki a vérifié le résultat, le 26 août 2026, sur l'archive que VIGINUM indique :


Titre publié	« New Website Aims to Help Muslim Voters Navigate France's 2026 Local Elections »
Domaine	`apnews.com` — celui d'Associated Press
Chemin exact	`/press-release/getnews/…` — la section des communiqués, pas la rédaction
Archivé le	4 mars 2026
Aujourd'hui	l'adresse ne répond plus : 404 au 26 août 2026

Les deux moitiés comptent. Le contenu était bien hébergé sur le domaine d'Associated Press — de quoi impressionner un lecteur pressé et nourrir un moteur de recherche. Mais il l'était dans un fil de communiqués payants, dont le chemin le dit ; aucune rédaction n'est intervenue, et l'agence ne l'a ni écrit ni validé.

C'est le blanchiment de crédibilité le moins cher qui existe, et il ne relève d'aucune manipulation technique : il s'achète. Savoir lire une adresse suffit à le déjouer.

Ce que le site prétendait faire#

lalternative2026.com se présentait comme une « initiative citoyenne » destinée à « aider les citoyens musulmans à identifier, dans chaque ville, le candidat qui représentera le mieux ses intérêts ». Il cartographiait 108 candidats de gauche — principalement LFI ou soutenus par le parti — présentés comme susceptibles de faciliter l'intégration de la « vie musulmane » s'ils étaient élus.

Ni le site ni la liste n'émanaient de qui que ce soit. Les illustrations et le logo ont été générés par l'IA Gemini, ce que révèle le nom des fichiers.

Le dispositif est sorti du numérique — et c'est ce qui compte le plus#

Trois actions physiques sont documentées, toutes assorties d'un code QR :

Marseille — neuf photographies de tracts collés, dont VIGINUM a localisé cinq emplacements, du Cours Julien au tunnel sous le boulevard Charles-Livon ; le code QR renvoyait à blogdesophie.com ;
Paris — une vidéo du 9 février 2026 montrant un individu brandissant un drapeau devant la Sorbonne, place du Panthéon, et un autre un tract, localisé rue de Javel ;
et la même charte graphique entre les tracts marseillais et le tract parisien, ce qui relie les deux volets du dispositif.

C'est exactement le seuil que le Réseau de coordination et de protection des élections retient pour décider d'agir : le risque qu'une opération « sorte des communautés de réseaux sociaux pour gagner la vie réelle ». Voir le guide d'autodéfense.

Et pourtant, presque personne n'a rien vu#

C'est le contrepoint, et il est mesuré :

Actif	Audience réelle
`lalternative2026.com`	cinq partages observés sur l'ensemble des réseaux sociaux
Les accusations contre François Piquemal portées par la fausse association	aucune réaction, et aucun relais observé — « ni sur Facebook, ni sur d'autres plateformes »
La fausse page « Enfance et Partage »	1 900 abonnés inauthentiques, contre plus de 10 000 abonnés réels pour la vraie

Un dispositif de six sites, de dizaines de pages et de centaines de comptes, préparé pendant dix-huit mois, a produit cinq partages et zéro réaction sur son accusation la plus grave. Cela ne le rend pas anodin — mais toute lecture qui en ferait un facteur du scrutin serait démentie par le rapport lui-même.

Les erreurs de l'opérateur, qui valent leçon de vérification#

Elles sont toutes repérables sans outil :

la page « Qui est Sébastien Delogu ? » écrit « Delgou » dans son adresse Facebook, son courriel et ses comptes affiliés — l'opérateur ne sait pas orthographier le nom du candidat qu'il attaque ;
une capture d'écran du bureau de l'administrateur du site a été téléversée par erreur, laissant voir ses outils et un format de date qui ne s'emploie pas en France (2026/2/12) ;
la première publication de la page « Le Blog de Sophie » a été aimée, le jour même de sa création, par 500 pages Facebook — dont beaucoup sans aucun abonné et se présentant comme des pages de beauté ;
les quatre sites partagent le même gabarit WordPress, à la version près.

Ce que les annexes montrent, et que le corps du rapport ne dit pas#

Les six annexes du rapport technique ont été dépouillées le 26 août 2026. Elles ne contiennent aucun raisonnement : ce sont des listes. Leur intérêt est là — elles permettent de compter, et ce qu'on y compte contredit l'image d'une opération montée pour la France.

Le stock d'avatars existait avant la campagne, et servait ailleurs#

L'annexe 5.3 liste 39 comptes Facebook ayant diffusé les contenus visant les candidats LFI — chiffre que le corps du rapport confirme (« a minima 39 comptes ») — dont 21 encore actifs au moment des investigations et 18 supprimés ou suspendus. Elle liste surtout les 32 groupes Facebook que ces comptes avaient intégrés, avec la date de chaque intégration.

C'est cette seconde liste qui est révélatrice : à peine la moitié de ces groupes a un rapport avec la France. Les autres :

Groupe intégré	Intégré le
Desi in Chicago, Illinois — diaspora indienne aux États-Unis	30 septembre 2024
For rent in Hopkinsville/Christian county, KY — petites annonces de location	3 janvier 2025
Cars For Sale Kentucky — vente de voitures	3 janvier 2025
Morris Park In The Bronx, Ozone Park Residents Association, This is Woodhaven, NYC — associations de quartier new-yorkaises	8 et 12 octobre 2025
Mastrick, Sheddocksley & Summerhill Community Council — conseil de quartier d'Aberdeen, Écosse	8 octobre 2025
Bunge La Nyangores — groupe kényan	8 octobre 2025
Grow As A Keyboardist — apprentissage du clavier	1ᵉʳ janvier 2026
CHRETIENS DES ASSEMBLEES DE DIEU DU BURKINA FASO, Gwoup priyè pou Kris (créole haïtien), World Evangelism Missions, JEUNESSE EN MISSION	octobre 2025 – janvier 2026
Canadian Politics on Facebook, #WalkAway Campaign, Brockton Political Central	oct. 2025 – janv. 2026

Le plus ancien de ces rattachements date du 30 septembre 2024 — dix-huit mois avant le scrutin français, et il concerne un groupe de la diaspora indienne à Chicago.

C'est la signature du vieillissement d'avatars. On ne crée pas un faux compte le jour où l'on en a besoin : on le fabrique longtemps à l'avance, on lui fait rejoindre des groupes quelconques pour qu'il accumule une histoire, puis on l'affecte à une campagne. Les comptes qui ont attaqué trois candidats LFI en février 2026 étaient en préparation depuis au moins un an et demi, sans rapport avec la France.

Les groupes français visés couvrent tout l'échiquier#

Les rattachements aux groupes français se concentrent sur septembre 2025 — six mois avant le scrutin — puis sur février 2026, en pleine campagne. Et ils ne visent pas un camp :

Septembre 2025 — le pré-positionnement	Février 2026 — la campagne
Militants de Droite · Combat Républicain 2027 · Le Canard Enchaîné Libre · Info citoyenne pour demain · GAUCHE NON POUTINISTE NON PRO HAMAS · Libres débats entre militants ouvriers · Participation Citoyenne d'une commune de la Sarthe	GILET JAUNE (Officiel) · Nous ne voulons + de la France en AFRIQUE · Arabes à Toulouse DZ · Les Musulmans de Marseille

Droite militante, gauche ouvrière, gilets jaunes, groupes de la communauté musulmane, et jusqu'à un groupe de participation citoyenne d'une commune rurale : le semis est indifférent au contenu. Ce qui compte, pour l'opérateur, n'est pas de convaincre un camp — c'est de disposer de portes d'entrée partout.

L'opération angolaise est plus grande que l'opération française#

L'annexe 5.3 comporte une seconde série de listes, pour une opération informationnelle en Angola : 48 comptes Facebook et Instagram, soit plus que pour la France, et une vingtaine de groupes intégrés à partir de mai 2025.

Ces groupes sont majoritairement ceux du parti au pouvoir, le MPLA — dont l'un s'intitule « MPLA RUMA A 2027 E A VITORIA E CERTA », « le MPLA vers 2027 et la victoire est certaine ». Un autre est un groupe de soutien à un opposant, Abel Chivukuvuku, déclaré pour la présidentielle angolaise de 2027.

Le même prestataire présumé travaillait donc simultanément sur deux élections de 2027, l'une française, l'autre angolaise — et, en Angola, des deux côtés. VIGINUM formule ce lien comme une hypothèse : il constate des relais inauthentiques communs, et sait par ailleurs que Blackcore revendique une formation dispensée au gouvernement angolais en février 2026.

Trente comptes LinkedIn pour trente-deux réactions#

Le corps du rapport note que l'unique publication LinkedIn de Blackcore, en octobre 2025, avait recueilli 32 réactions. L'annexe 5.6 les décompose : une trentaine de comptes, répartis sur vingt et une localisations différentes — Singapour, Cebu, Madrid, New York, Buenos Aires, Padoue, Milan, Utrecht, Amsterdam, Rotterdam, Lisbonne, Porto, la Lituanie, l'Écosse, et deux en France. Certains affichent 10 000, 12 000, jusqu'à 27 000 abonnés. La quasi-totalité a également réagi à la publication d'une autre entité.

Une entreprise qui vend de l'amplification artificielle s'était donc amplifiée elle-même, avec son propre produit.

Les trois schémas, lus à l'image#

Trois des six annexes ne sont pas des listes mais des schémas — donc des images, illisibles par extraction. Elles ont été converties et lues visuellement le 26 août 2026.

La chronologie (annexe 5.1) : dix-huit mois de préparation, onze jours d'exécution#

Période	Ce qui se met en place
Septembre 2024	Les premiers comptes TikTok, anglophones et tournés vers l'Irlande
Mars 2025	`rcn-france.com`, puis redirection vers `rcn-france.org` le 25 mars
Février – août 2025	Les comptes amplificateurs, plus anciens, changent tous de nom d'utilisateur
Août 2025	Renommage des comptes TikTok vers leurs identités françaises
14 septembre 2025	`forsane-alizza.eu`
Octobre 2025	Les pages et comptes « Forsane Alizza ». Le rapport situe ici le relais du mot-dièse `#forsanealizza` sur la page de Julien Odoul, et une diffusion auprès de députés RN et Ensemble ! par WhatsApp
9 – 19 février 2026	Neuf actifs numériques en onze jours : `lalternative2026.com`, `blogdesophie.com` et la page « Je suis François Piquemal et je ne suis rien. » le 9 ; `piquemalzero.com` le 11 ; « Guiraud Est Zéro » le 13 ; `@LeBlogdeSophie0` le 18 ; `delogupourpalestine.com` et « Le Blog de Sophie » le 19
Février 2026	Diffusion de publications faisant la promotion d'actions dans la sphère physique — tractage à Paris et à Marseille
Semaine du 10 mars 2026	« Suppression de la plupart des comptes, pages et sites du MOI »

Le rapport de forces est là. Dix-huit mois de préparation, une bascule opérationnelle de onze jours, et une extinction en une semaine — celle qui suit l'article du Monde du 9 mars, et qui précède le premier tour du 15.

L'infrastructure web (annexe 5.2) : des outils grand public, et de l'IA générative#

Le schéma montre un dispositif monté avec des services ordinaires : hébergement chez un registrar néerlandais et un hébergeur suédois, DNS délégués à Cloudflare, adresses de contact sur Proton Mail, visuels produits sur Canva — dont un compte dont la langue d'interface est l'hébreu d'Israël, et un autre dont le nom porte des caractères hébreux.

Un détail mérite d'être relevé : le schéma annote l'une des images du dispositif « Gemini AI generated img ». Les visuels des sites étaient produits par IA générative, comme l'étaient déjà les photos de profil des avatars.

L'infrastructure de Blackcore (annexe 5.5) : les trois opérations sur un seul schéma#

C'est le document le plus parlant du rapport. Il fait tenir sur une page ce que le texte énonce par morceaux :

une adresse IP unique, chez un hébergeur britannique, porte blackcore.online (déposé le 22 août 2025), electric-marinade.com et omrisystems.com ;
ces domaines déploient des dizaines de sous-domaines qui sont autant d'interfaces d'outillage — générateurs d'avatars, moteurs de recherche de groupes Facebook, serveur de messagerie, page de démonstration, et un sous-domaine consacré au plan Angola ;
une même adresse à Tel-Aviv réunit plusieurs des sociétés citées, dont l'incubateur déjà mentionné ;
et surtout, les trois opérations figurent sur le même schéma, reliées : les pages Facebook visant Delogu, Piquemal et Guiraud ; la fausse organisation caritative propalestinienne, dont le domaine est déposé le 12 juillet 2025 ; et les comptes angolais, y compris un compte TikTok tourné vers l'Afrique dont la localisation est israélienne.

Ce que le texte présentait comme trois constats séparés, le schéma le donne comme un seul ensemble. C'est la meilleure illustration du résultat central de ce dossier : un prestataire, un outillage, et des clients dont les causes n'ont rien à voir entre elles.

Ce que la presse a fait à l'opération#

Un fait, daté, que le rapport livre en passant et qui vaut plus qu'un commentaire : la publication d'un article du Monde le 9 mars 2026, six jours avant le premier tour, « a provoqué la suppression rapide de la plupart des avatars au centre de ce MOI ».

Ici, la publicité n'a pas servi l'opération : elle l'a tuée. À rapprocher du constat inverse, également de VIGINUM, selon lequel certains opérateurs cherchent à être repérés — voir la protection du scrutin. Les deux sont vrais, et le guide d'autodéfense doit porter les deux.

Les trois articles que VIGINUM invoque ont été lus — et ils changent le statut du dossier#

Obtenus le 27 août 2026 par l'utilisateur de ce wiki, après trois échecs d'accès automatisé documentés plus bas. Ce sont les trois publications que VIGINUM cite lui-même en écrivant que sa conclusion sur Blackcore « a été confirmée » par elles :

	Média	Date	Signatures
1	Reuters — « EXCLUSIVE: France probes whether Israeli firm BlackCore interfered in local elections, sources say »	13 mai 2026, mis à jour le 14	Gabriel Stargardter (Paris) et Raphael Satter (Washington), avec Steven Scheer (Jérusalem)
2	*Libération* — « De Marseille à Tel-Aviv, sur la piste de la campagne de désinformation contre LFI aux municipales »	14 mai 2026	Amaelle Guiton
3	*Haaretz* — « Revealed: An Anti-left Influence Op in France Leads to Tel Aviv »	18 mai 2026	Omer Benjakob

Les deux derniers sont une enquête conjointe Libération–Haaretz, menée indépendamment de Reuters et publiée après elle.

Cotation. Trois titres, trois pays, deux enquêtes indépendantes l'une de l'autre. La règle de ce wiki pour la cote C exige deux titres indépendants ; elle est ici largement satisfaite. Les faits qui suivent sont donc rapportés comme des faits de presse recoupés, et non comme des faits établis par une autorité — la distinction est maintenue partout où elle compte.

Le fait qui corrige cette fiche : des procédures françaises existent#

Ce wiki écrivait qu'aucune procédure n'était établie. C'était exact au vu de ses sources ; ce ne l'est plus.

Procédure	Ce que Reuters établit
Sébastien Delogu (Marseille)	a déposé une plainte en diffamation en mars 2026, visant le blog « Sophie » et les QR codes apposés dans Marseille. Son avocat, Yones Taguelmint, a refusé de communiquer la plainte mais en a confirmé l'objet. Le parquet de Marseille n'a pas répondu
François Piquemal (Toulouse)	a saisi la police après avoir été visé par des comptes anonymes, des sites et des publicités dénigrantes dans La Dépêche du Midi. Le procureur de Toulouse, David Charmatz, a déclaré que ses plaintes étaient « trop récentes pour avoir produit des pistes »
Le contentieux électoral	Piquemal, battu de peu au second tour, a demandé l'annulation du scrutin pour ingérence étrangère. Le tribunal administratif de Toulouse n'avait pas rendu sa décision au 13 mai 2026
L'enquête administrative	« les services de renseignement français enquêtent désormais sur qui a pu commanditer » la campagne, selon deux sources de Reuters
*La Dépêche du Midi*	a annoncé, dans un éditorial du 21 mars 2026, qu'elle engagerait des poursuites contre les auteurs des publicités

Ce que cela change, et ce que cela ne change pas. Le wiki peut désormais écrire que des plaintes ont été déposées et qu'une enquête est en cours. Il ne peut toujours pas écrire qu'une responsabilité est établie : aucune mise en examen n'est rapportée, le parquet de Toulouse dit n'avoir aucune piste, celui de Marseille ne répond pas, et VIGINUM comme Reuters déclarent ignorer qui a commandité l'opération.

Un point de procédure mérite d'être isolé pour 2027 : un candidat battu a demandé l'annulation d'une élection pour ingérence étrangère. C'est, à la connaissance de ce wiki, le premier recours de ce type dans un scrutin français, et son issue — inconnue ici — dirait ce qu'un juge administratif fait d'une ingérence à « visibilité limitée ». Voir la protection du scrutin.

Le recours toulousain, instruit — et un écart qu'il faut relever#

Complété le 27 août 2026, à partir de trois sources de presse régionale et nationale distinctes de Reuters. Le recours mérite sa propre section parce qu'il est le seul endroit où une ingérence numérique étrangère rencontre un juge français.

Le scrutin, chiffré — et le mot « serré » ne convient pas#

Toulouse, second tour du 22 mars 2026	Voix	%
Jean-Luc Moudenc (DVD, sortant)	92 152	53,87 %
François Piquemal (LFI)	78 925	46,13 %
Écart	13 227 voix	7,74 points

Au premier tour : Moudenc 37,23 %, Piquemal 27,56 %, François Briançon (PS) 24,99 %, Julien Leonardelli (RN) 5,38 %. Le conseil municipal se répartit en 53 sièges contre 16.

Reuters décrit un candidat « battu de peu » (« lost in a narrow run-off vote »). Ce wiki ne reprend pas cette qualification. Un écart de 13 227 voix et 7,74 points n'est pas un écart serré, et la différence n'est pas cosmétique : elle porte sur le cœur même du raisonnement d'un juge électoral, qui apprécie si une irrégularité a pu modifier le résultat. Plus l'écart est grand, plus la barre est haute.

C'est une correction apportée à une source de cote C par une donnée publique. Elle n'entame pas la crédibilité de l'article de Reuters sur le reste, et elle rappelle qu'une qualification — « serré », « massif », « limité » — n'est pas un fait, même sous une signature sérieuse.

Ce que le recours invoque#

Selon Mediacités (30 mars 2026), l'annonce du recours date du 28 mars et il demande l'annulation du scrutin des 15 et 22 mars 2026. Les faits invoqués par les avocats, tels que rapportés :

Fait invoqué	Moment
Campagne de dénigrement par faux sites et faux comptes	avant le premier tour
Ces mêmes comptes ont relayé des messages d'Elnet	début d'année
Données personnelles du candidat rendues publiques — son adresse postale, selon ses propres déclarations	avant le premier tour
Menace de mort reçue	avant le premier tour
Menaces verbales lors d'une cérémonie commémorative	19 mars 2026
Publicités illégales sur *La Dépêche du Midi, Vinted* et Candy Crush, évoquant de « prétendus liens entre LFI et la mouvance islamiste »	21 mars, veille du second tour, après la fin légale de la campagne

Le dernier point est le plus fort juridiquement, et il ne dépend pas de l'attribution. Des publicités électorales diffusées après la clôture de la campagne posent une question de droit électoral indépendante de savoir qui les a payées. Ce wiki n'a pas vérifié la qualification « illégales », qui est celle des requérants.

Le support est également remarquable : Vinted et Candy Crush ne sont pas des espaces d'information politique. Une campagne qui achète de l'espace publicitaire dans un jeu mobile touche une audience qui n'a rien demandé — c'est un mode de diffusion que ce wiki n'avait documenté nulle part, et il est à porter au guide d'autodéfense.

Ce que le requérant affirme, et ce que l'État établit — l'écart doit être écrit#

C'est le point le plus délicat de cette fiche, et il concerne une victime de l'opération. Ce wiki l'écrit quand même, parce que sa règle ne dépend pas de qui parle.

	Formulation
François Piquemal, 20 mai 2026	« L'extrême droite israélienne a volé l'élection à Toulouse » ; il met en cause des « entités d'extrême droite israélienne proches de Netanyahou »
VIGINUM	un « acteur non étatique » localisé en Israël ; « aucun élément ne permet à VIGINUM d'établir l'identité et l'origine des commanditaires »
Le comité opérationnel de lutte contre les manipulations de l'information, cité par Libération	« toutes les pistes sont ouvertes, domestiques ou extérieures »
Reuters	n'a pu établir ni qui est derrière BlackCore, ni où elle est basée

Trois observations, et aucune n'est un reproche.

L'affirmation du candidat va au-delà de ce que l'État établit, sur deux points distincts : elle attribue une orientation politique à des commanditaires que personne n'a identifiés, et elle affirme un effet — « a volé l'élection » — que le service qui a caractérisé l'opération décrit comme d'une visibilité limitée.
C'est la parole d'une personne visée par une campagne de fabrication d'accusations criminelles, et ce wiki ne lui demande pas la retenue d'un rapport administratif. Il note simplement que les deux énoncés ne se recouvrent pas, et que citer le second ne valide pas le premier.
Son propre avocat pose la limite, et c'est l'élément le plus honnête du dossier : mesurer l'effet de l'ingérence sur les comportements de vote reste « très difficile ». Cette phrase et le rapport de VIGINUM disent la même chose.

Ce wiki applique ici la règle qu'il s'impose ailleurs : rapporter la mise en cause avec sa source et sa date, rapporter ce que l'autorité établit, et ne pas combler l'écart. La règle vaut pour le § 4 bis quand elle protège un mis en cause ; elle vaut identiquement quand elle oblige à nuancer un plaignant.

Une déclaration ministérielle, et une publication annoncée#

Le ministre de l'Intérieur, Laurent Nuñez, a fait état de procédures judiciaires au titre de l'ingérence étrangère alléguée et annoncé la publication d'un rapport public sur les ingérences confirmées pendant les municipales.

Ce rapport a été publié le 11 juin 2026 et il est lu par ce wiki — c'est la source principale de la protection du scrutin. La promesse a donc été tenue, et ce wiki le note parce qu'il documente ailleurs des annonces qui ne l'ont pas été.

Ce que ce wiki ne sait toujours pas#

L'issue du recours. Aucune décision du tribunal administratif de Toulouse n'a été trouvée au 27 août 2026, ni dans la presse, ni par recherche directe. Cinq mois après le dépôt, ce wiki ignore si le juge a statué.

C'est la donnée manquante la plus utile de tout le dossier, et pour une raison précise : le juge devra articuler deux constats qui vont en sens contraire — une ingérence caractérisée par un service de l'État, et un écart de 13 227 voix que cette ingérence, d'une visibilité que le même service qualifie de limitée, devrait avoir comblé. La réponse, quelle qu'elle soit, sera le premier précédent français sur ce point, et elle vaudra pour 2027.

Ce que les plateformes ont établi de leur côté#

C'est l'apport le plus solide de l'article de Reuters, parce qu'il ne repose pas sur des sources anonymes mais sur des déclarations d'entreprises citées nommément.

Meta a retiré un réseau de comptes et de pages pour violation de ses règles sur le « comportement inauthentique coordonné ». Elle déclare que l'activité « provenait d'Israël » et « visait principalement la France ».
Meta établit le lien entre les deux opérations : interrogée par Reuters sur une opération menée pour le compte d'un gouvernement africain, elle a répondu que le « réseau » qui la portait était lié à la campagne de désinformation lancée avant les municipales françaises. Elle s'est arrêtée avant d'identifier un responsable.
Google et TikTok ont identifié indépendamment des éléments de l'opération dans le cadre de leur police interne, selon deux autres sources. TikTok a supprimé un compte signalé par Reuters, pour infraction à ses règles sur les comportements trompeurs. Google n'a pas répondu.

Pourquoi c'est important. Ce wiki disposait d'une attribution par un service de l'État français. Il dispose maintenant, en outre, de trois plateformes qui ont détecté la même chose de leur côté, dont une qui relie explicitement les deux campagnes — ce que VIGINUM présentait comme une hypothèse fondée sur une infrastructure commune.

Le catalogue de BlackCore, en détail — et il est chiffré#

VIGINUM décrivait une plaquette commerciale. Les trois articles en donnent le contenu.

Le modèle de « campagne politique », sur un site en anglais et en hébreu aujourd'hui hors ligne :

Élément	Ce que la plaquette annonce
Durée	une stratégie sur huit mois
Moyens	1 600 avatars déployés sur les réseaux sociaux
Facebook	« infiltration de groupes »
TikTok	« manipulation de tendances »
Instagram	« manipulation de sondages »
Volume	jusqu'à un million de publications par mois en fin de campagne
Contenus	du « récit positif » pour soutenir un candidat, des « contre-narratifs » contre ses opposants
Compléments	partenariats avec des influenceurs locaux, contenu placé dans des médias d'actualité ou de loisirs

Et le volet angolais, hébergé sur un sous-domaine dédié — angola-plan.blackcore.online —, page en portugais intitulée « Campanha do Governo de Angola — Programa de Formação — Fevereiro 2026 » : un cours de quatre semaines, avec campagne Meta Ads active, campagne TikTok active et calendrier éditorial sur trois mois. Reuters a par ailleurs consulté des documents BlackCore revendiquant une opération pour un gouvernement africain, commencée en janvier 2026 et étalée sur quatorze semaines.

Ce que ce wiki en fait. C'est un catalogue commercial, pas un compte rendu d'exécution. Rien n'établit que les 1 600 avatars ou le million de publications aient été déployés en France — et le rapport de VIGINUM, lui, mesure une visibilité très faible. Décrire ce qui est vendu n'est pas décrire ce qui a été fait, et l'écart entre les deux est, dans ce dossier, le fait principal.

Ce que l'enquête Libération–Haaretz ajoute, et que VIGINUM n'avait pas#

Les deux journaux sont partis de l'infrastructure numérique de BlackCore et ont remonté une chaîne technique que le rapport public ne contient pas.

Étape 1 — le serveur de Londres. Parmi huit sous-domaines rattachés à blackcore.online, l'un pointait vers un serveur situé à Londres, chez l'hébergeur finlandais UpCloud. De mars 2025 à mai 2026, ce serveur n'a hébergé que quatre domaines : proposals.blackcore.online, un proposals.balckcore.com avec la faute de frappe, et deux autres — omrisystems.com et electric-marinade.com.

Étape 2 — la boîte à outils. Les sous-domaines de ces deux derniers portent des noms explicites : avatar-data-generator, agentforge, fb-search, socialtrigger. Derrière, des pages de connexion vers un VPN, un outil de recherche de groupes Facebook, un créateur d'agents IA, une application de gestion d'agents IA sur les réseaux sociaux, un outil de « construction » automatisée de communautés, et un « générateur de données d'avatars ». Libération les décrit comme « très manifestement des versions en cours de développement ».

Étape 3 — le code source. La page avatar-data-generator.omrisystems.com est intitulée, dans son code, « Avatar Data Generator by Galacticos AI », logo compris.

Étape 4 — les registres. galacticos.ai correspond à Galacticos Ltd, société immatriculée au registre israélien, domiciliée rue HaHashmonaim à Tel-Aviv. Haaretz précise son historique : constituée en avril 2022 sous le nom Pagecorn Ltd, devenue Mycelium Intelligence Networks, puis Galacticos en 2024. À la même adresse est enregistrée SNI — Strategic Network Intelligence Ltd.

Étape 5 — et c'est le fait le plus troublant. « Moins de deux heures après nos prises de contact, les sites web que nous avons découverts et qui nous ont menés de BlackCore à Galacticos s'étaient volatilisés. » Le site de BlackCore lui-même a disparu entre le 12 et le 13 mai, alors que les deux enquêtes approchaient de la publication.

Les personnes et les sociétés nommées — et leurs réponses, en entier#

Cette section applique le § 4 bis. Des personnes privées et des sociétés privées sont nommées par la presse. Aucune n'est mise en cause par une autorité, aucune ne fait l'objet d'une procédure connue de ce wiki, et toutes celles qui ont répondu nient tout lien. Leurs réponses sont reproduites au même niveau que les constats.

Nommé	Ce que la presse établit	Ce que l'intéressé répond
Galacticos Ltd (Tel-Aviv)	son nom et son logo figurent dans le code source d'une page hébergée sur le serveur qui portait aussi un sous-domaine BlackCore	« Galacticos n'a aucune affiliation, aucun partenariat ni aucune connaissance d'une entité nommée "BlackCore" » ; produit « en cours de développement », « pas encore actif » ; n'a « jamais possédé, exploité ni utilisé » de domaine `electric-marinade` ; aucun lien avec La France insoumise, aucun travail avec une entité française
SNI (Strategic Network Intelligence Ltd)	même adresse, mêmes actionnaires principaux ; un système verrouillé du serveur londonien portait le nom SNI	(pas de réponse distincte rapportée)
Doron Afik, avocat d'affaires, directeur de Galacticos, 51 % des parts	dirige aussi une société enregistrée sous le nom SNI Digital ; son cabinet Afik & Co est domicilié à la même adresse	réponse « catégorique » : aucun lien avec les sujets évoqués ; dit avoir découvert le nom BlackCore par la sollicitation des journalistes
Guy Geyor, entrepreneur, ex-candidat de téléréalité, 28 % des parts	a enregistré le domaine `galacticos.ai` en avril 2024, en y renseignant SNI ; se présente comme cofondateur de « SNI Cyber »	« Moi et l'entreprise ne savons pas qui est BlackCore, et nous n'avons jamais eu de connexion avec eux. Nous n'avons aucune activité en France, et certainement pas d'activité politique. » Il confirme le lien avec Omri Systems, qu'il présente comme un système interne, inutilisable, jamais vendu ni exploité, dont le nom rend hommage à Omri Michaeli, officier tué le 7 octobre 2023 à Kfar Aza
Yigal Unna, ancien directeur général de l'agence nationale de cybersécurité israélienne (2018-2022)	apparaît sur le site d'Afik & Co, légendé « M. Yigal Unna de Galacticos.AI », lors d'un « événement diplomatique » de septembre 2025	dit n'avoir « jamais eu un quelconque rôle, officiel ou non officiel » dans Galacticos ; sollicité deux ans plus tôt pour conseiller une startup d'OSINT et de protection de marques ; a « pris ses distances » devant une « forme d'improvisation » — « pas de PDG ni de directeur marketing à plein temps », « je n'ai jamais rencontré d'employés » ; n'a jamais reçu « le moindre centime » ; plus aucun lien depuis fin 2025
Nir Benita, cofondateur revendiqué de SNI, actionnaire minoritaire	son profil LinkedIn mentionne dix ans à l'unité 8200 de l'armée israélienne	n'a répondu ni à Libération ni à Haaretz
Daniel David Levy, directeur technique de Galacticos	figure comme contact de l'enregistrement du domaine	n'a pas répondu

Et une déclaration d'État : le ministère israélien des Affaires étrangères a dit à Reuters ne pas avoir connaissance de BlackCore, sans indiquer si le gouvernement français l'avait saisi. Le ministère français des Affaires étrangères n'a pas répondu.

Ce que ce wiki n'établit pas, et qu'il faut lire avant tout le reste#

Aucun lien n'est établi entre BlackCore et Galacticos ou SNI. Haaretz l'écrit explicitement : « aucune connexion directe n'a été trouvée entre Galacticos et l'opération sur laquelle enquêtent les Français ». Ce qui est établi est une contiguïté technique — un serveur partagé, un nom dans un code source — et une contiguïté n'est pas un lien de responsabilité.
Aucune des personnes nommées ne fait l'objet d'une procédure connue de ce wiki. Les plaintes déposées visent des contenus — diffamation, publicités —, pas des personnes identifiées.
Le ou les commanditaires restent inconnus, et les trois sources le disent : VIGINUM écrit ne pouvoir établir « l'identité et l'origine des commanditaires » ; Libération cite un interlocuteur du comité opérationnel de lutte contre les manipulations de l'information selon lequel « toutes les pistes sont ouvertes, domestiques ou extérieures » ; Reuters n'a pu établir ni qui est derrière BlackCore, ni où elle est basée.
La disparition simultanée des sites est un fait, pas une preuve. Elle est constatée par deux rédactions et elle est troublante ; elle admet plusieurs explications, et ce wiki n'en retient aucune.
Ce wiki ne dispose d'aucune version des faits émanant de BlackCore. L'entité n'a jamais répondu à personne, et son site comme son compte LinkedIn ont été mis hors ligne. C'est une asymétrie réelle du dossier : on ne peut pas entendre celui à qui tout est imputé.

Le détail de l'opération, tel que la presse le documente#

Ces éléments ne figurent pas dans le rapport public de VIGINUM et sont versés parce qu'ils sont vérifiables dans leur principe.

Fait	Source
Quatre sites : le blog « Sophie » (accusations de viol et de violences contre Delogu) ; un site vendant un faux calendrier de photos dénudées de Delogu générées par IA, présenté comme au bénéfice de la population de Gaza ; une page dénigrant le bilan municipal de Piquemal ; « L'Alternative 2026 », sous-titré « pour une France plus musulmane », listant exclusivement des têtes de liste insoumises comme représentant les « intérêts » des « citoyens musulmans », dont « l'extension de la prière » et « l'application de la charia »	Libération
Les quatre noms de domaine ont été enregistrés entre le 9 et le 19 février 2026 auprès d'un même bureau aux Bahamas ; du 9 au 16 mars, trois pointaient vers une même adresse IP chez un hébergeur américain, le quatrième vers une autre IP du même hébergeur	Libération
Des images ont été produites avec Gemini, l'IA générative de Google	Libération
La page visant Piquemal se termine par une phrase qui trahit l'emploi de ChatGPT : « Si tu veux, je peux aussi te faire une version encore plus courte, une version punch pour réseaux sociaux, ou une version éditoriale plus institutionnelle. »	Libération
Elle a été relayée par des profils Facebook localisés au Vietnam et/ou renseignés en langue thaïe	Libération
« L'Alternative 2026 » a été promue par un « contenu sponsorisé » acheté sur le site de l'agence Associated Press ; un chroniqueur de Sud Radio s'y est laissé prendre	Libération
Les faux comptes gravitant autour de « Sophie » ont, en début d'année, relayé des messages de la branche française d'Elnet, organisation qui promeut les liens entre Israël et les pays européens	Libération
`blackcore.online` a été acheté en août 2025 auprès d'un bureau d'enregistrement islandais permettant l'anonymat ; le site a d'abord pointé vers les serveurs de Wix (Tel-Aviv) avant de passer chez Cloudflare	Libération
BlackCore revendiquait quinze ans d'expérience et un taux de succès de « 100 % » — sans existence légale dans aucun registre national	Reuters, Libération, Haaretz

Sur la mention d'Elnet, une précaution explicite. Libération constate que des faux comptes ont relayé des messages de cette organisation. Cela n'établit rien sur elle : relayer les publications d'un tiers est le comportement le plus banal d'un compte inauthentique cherchant à se doter d'une apparence cohérente, et le rapport de VIGINUM décrit précisément ce mécanisme d'emprunt. Ce wiki reproduit le constat et refuse d'en tirer une imputation.

Ce qui concerne directement 2027#

Trois éléments sortent du cadre municipal.

La France insoumise a fait une déclaration prospective. Le parti indique avoir été alerté par VIGINUM et coopérer avec les enquêteurs, et ajoute : « Nous nous attendons à ce que la prochaine élection présidentielle soit le théâtre d'attaques de ce type. Les évolutions technologiques multiplieront probablement ce risque considérablement. »
Jean-Luc Mélenchon a formulé une demande législative après la publication de l'article de Reuters : il appelle le gouvernement à adopter une législation plus dure contre l'ingérence étrangère, en ajoutant — et la formule mérite d'être citée exactement — « Nous avons besoin d'être protégés, et si nous le sommes, tous les autres [partis] le seront aussi. » Voir Jean-Luc Mélenchon.
Reuters situe l'enjeu, et cette lecture est celle de l'agence, pas de ce wiki : LFI conserverait « une base solide de 10 à 15 % » qui pourrait suffire à atteindre le second tour, alors que les sondages donnent le Rassemblement national « presque certain » d'y figurer — d'où la crainte, chez des centristes, d'un second tour opposant l'extrême droite à la gauche radicale. Ce wiki rapporte cette analyse comme une analyse de presse et renvoie, pour les chiffres, à la matrice.

Comment ces documents ont été obtenus, et pourquoi c'est noté#

Les trois articles avaient été déclarés inaccessibles le 26 août 2026 : les captures archive.today citées par VIGINUM renvoyaient une limitation de débit (429) sur quatre miroirs, et les captures Reuters une erreur 401. La limite a été déclarée dans cette fiche plutôt que contournée ou passée sous silence.

Elle a été levée le 27 août par l'utilisateur de ce wiki, depuis un navigateur ordinaire. Les trois documents sont dans le dossier materiel/.

C'est le troisième mode d'obtention documenté par ce wiki, après la lecture directe et le cache local : le recours humain. Il figure ici parce que la traçabilité d'une source inclut la manière dont on y a accédé — et parce qu'une limite déclarée « inaccessible à un outil automatisé » ne veut pas dire « inaccessible ».

Ce que cette fiche corrige dans ce wiki#

Avant	Après
Deux fiches d'ingérence, toutes deux russes	Trois, dont une non russe
Aucune ingérence documentée visant un parti de gauche	Une, visant nommément La France insoumise
L'ingérence présentée implicitement comme un phénomène étatique	Une ingérence à sous-traitance commerciale, dont le donneur d'ordre est inconnu

Ce déséquilibre n'était pas volontaire : il reflétait l'ordre dans lequel les sources ont été lues. Il est signalé ici parce que la règle de symétrie de ce wiki impose de le dire plutôt que de le corriger en silence.

Pour creuser#

Storm-1516 et Matriochka — les deux modes opératoires russes documentés dans le même rapport
La France insoumise — le parti visé
Les États-Unis · La Chine — les autres États du cercle 3.3
Les plateformes numériques — le terrain de l'opération
VIGINUM — bilan des ingérences ayant ciblé les municipales de mars 2026

Sources#

VIGINUM (SGDSN), Protection du débat public contre les ingérences numériques étrangères durant les élections municipales des 15 et 22 mars 2026, rapport public du 11 juin 2026, 31 pages (A — service de l'État) — LU INTÉGRALEMENT le 25 août 2026, section 2.2.3 — https://www.sgdsn.gouv.fr/files/files/viginum/Publications/20260611_SGDSN_VIGINUM_Rapport-public_Elections-municipales.pdf 1 bis. VIGINUM (SGDSN), rapport technique dédié au mode opératoire Rokh Solis, 41 pages (A — service de l'État) — ✅ DÉPOUILLÉ le 26 août 2026 : attribution « probablement » à Blackcore, catalogue commercial de l'entreprise, infrastructure d'amplification, campagnes antérieures en Irlande et au Royaume-Uni, et le site propalestinien fabriqué sur la même infrastructure. En cache : .publication/cache/viginum-rokh-solis.pdf 1 ter. Reuters, « EXCLUSIVE: France probes whether Israeli firm BlackCore interfered in local elections, sources say », 13 mai 2026 (mis à jour le 14), par Gabriel Stargardter et Raphael Satter, avec Steven Scheer (C — agence de presse internationale) — ✅ LU INTÉGRALEMENT le 27 août 2026 : existence des procédures françaises, déclarations de Meta, TikTok et du ministère israélien des Affaires étrangères, documents BlackCore consultés par l'agence, et déclarations de LFI et de Jean-Luc Mélenchon — https://www.reuters.com/business/media-telecom/france-probes-whether-israeli-firm-blackcore-interfered-local-elections-sources-2026-05-13/

1 sexies. Mediacités, « À Toulouse, François Piquemal conteste l'élection sur fond de soupçons d'ingérences étrangères », 30 mars 2026 (modifié le 2 avril) (C — presse d'enquête locale) — ✅ LU le 27 août 2026 par extraction automatique, non intégralement : contenu du recours, faits invoqués, et la date des publicités du 21 mars

1 septies. ICI (France Bleu / France 3), « Ingérence numérique étrangère : "L'extrême droite israélienne a volé l'élection à Toulouse", dénonce François Piquemal », 20 mai 2026 (C — audiovisuel public) — ✅ LU le 27 août 2026 par extraction automatique, non intégralement : citations du candidat, aveu de son avocat sur la difficulté de mesurer l'effet, et déclaration de Laurent Nuñez

1 octies. Wikipédia, « 2026 Toulouse municipal election » (B — via ses propres sources) — ✅ CONSULTÉE le 27 août 2026 : résultats chiffrés des deux tours, qui corrigent la qualification « narrow » employée par Reuters

1 ter bis. Libération, « De Marseille à Tel-Aviv, sur la piste de la campagne de désinformation contre LFI aux municipales », 14 mai 2026, par Amaelle Guiton (C) — ✅ LU INTÉGRALEMENT le 27 août 2026 : enquête conjointe avec Haaretz, chaîne technique du serveur londonien jusqu'à Galacticos et SNI, catalogue commercial détaillé, et dénégations intégrales des personnes sollicitées — capture archive.ph/vZ3wc, en materiel/

1 ter ter. Haaretz, « Revealed: An Anti-left Influence Op in France Leads to Tel Aviv », 18 mai 2026, par Omer Benjakob (C) — ✅ LU INTÉGRALEMENT le 27 août 2026 : volet israélien de la même enquête, historique au registre des sociétés de Galacticos Ltd (Pagecorn → Mycelium Intelligence Networks → Galacticos), répartition du capital, et la phrase décisive — « aucune connexion directe n'a été trouvée entre Galacticos et l'opération sur laquelle enquêtent les Français » — capture archive.ph/fK5Cr, en materiel/

Note sur ces trois sources. Elles sont de cote C, ce qui exige deux titres indépendants : la règle est satisfaite deux fois plutôt qu'une, puisqu'il s'agit de trois titres, trois pays et deux enquêtes indépendantes l'une de l'autre. Elles restent néanmoins de la presse : les faits qu'elles rapportent ne deviennent pas des faits établis par une autorité, et la fiche maintient la distinction partout où elle compte. 1 quater. Le Monde, « Sébastien Delogu, François Piquemal et LFI ciblés par une campagne de désinformation en pleine campagne des municipales », 9 mars 2026 (C) — NON LU. Cité parce que VIGINUM lui attribue un effet daté : sa parution « a provoqué la suppression rapide de la plupart des avatars au centre de ce MOI », six jours avant le premier tour — https://www.lemonde.fr/politique/article/2026/03/09/sebastien-delogu-francois-piquemal-et-lfi-cibles-par-une-campagne-de-desinformation-en-pleine-campagne-des-municipales_6670119_823448.html 1 quinquies. Ghostarchive, capture du 4 mars 2026 de la page apnews.com/press-release/getnews/new-website-aims-to-help-muslim-voters-navigate-frances-2026-local-elections-… (A — archive d'une page telle que publiée) — ✅ CONSULTÉE le 26 août 2026 : établit que le contenu payé a bien été publié sur le domaine d'Associated Press, dans la section des communiqués. L'adresse d'origine renvoie désormais une erreur 404 — https://ghostarchive.org/archive/MVSwF 2. VIGINUM (SGDSN), page de présentation du rapport (A) — https://www.sgdsn.gouv.fr/viginum/actualites/bilan-des-ingerences-numeriques-etrangeres-ayant-cible-les-elections-municipales 3. Décret n° 2021-922 du 13 juillet 2021 créant VIGINUM, révisé par le décret n° 2026-70 du 11 février 2026 (A) — définition des quatre critères d'une ingérence numérique étrangère 4. Blast, « Ingérence étrangère : comment Elnet a tenté d'étouffer des candidats LFI pendant les municipales » (C — média d'opinion assumé, arbitrage n° 2) — NON LU, cité pour son existence et parce qu'il va au-delà de ce que VIGINUM établit — https://www.blast-info.fr/articles/2026/ingerence-etrangere-comment-elnet-a-tente-detouffer-des-candidats-lfi-pendant-les-municipales-WAI65Ah1T769M4jl732QAw

Note de cotation. L'intégralité des faits de cette fiche est de cote A : elle provient d'un rapport public d'un service de l'État, lu directement. La source 4 est signalée sans être utilisée : elle met en cause nommément une organisation, ce que le rapport de VIGINUM ne fait pas — il constate seulement l'existence d'un groupe de comptes inauthentiques relayant des publications associées à ELNET. Ce wiki s'en tient aux documents officiels.

Limites#

Les commanditaires sont inconnus, et ce n'est pas une lacune de ce wiki mais du dossier lui-même. Tant qu'ils le restent, on ne peut rien conclure sur les intentions politiques de cette opération.
Le lien avec Blackcore s'est renforcé, sans devenir une certitude. Le rapport public écrivait « pourrait présenter des caractéristiques communes » ; le rapport technique titre « probablement à l'origine des campagnes ». VIGINUM continue pourtant d'écrire qu'il ne peut « déterminer avec un niveau de confiance suffisant l'identité et le périmètre précis de l'action de l'entreprise privée à l'origine » du dispositif. Ce wiki n'en fait pas davantage.
Le statut juridique même de Blackcore n'est pas établi. VIGINUM la décrit comme une « pseudo-société », a priori non inscrite au registre des entreprises israéliennes, qui n'existe en source ouverte que par un nom de domaine et un compte LinkedIn — tous deux supprimés après les articles de presse de mai 2026. On ne sait donc pas ce qu'est l'entité désignée, ni si le nom recouvre une société, une marque ou un simple site.
~~Les trois articles de presse que VIGINUM invoque n'ont pas pu être lus.~~ Obtenus et lus intégralement le 27 août 2026 — trois échecs d'accès automatisé le 26, levés le lendemain par l'utilisateur de ce wiki depuis un navigateur ordinaire. Ce qui reste ouvert après leur lecture :
- L'issue des procédures est inconnue. Ce wiki sait que des plaintes ont été déposées en mars 2026 et qu'un recours en annulation a été formé à Toulouse. Il ne sait pas où ils en sont, et les trois articles datent de mai. Prochaine piste, et c'est la plus utile du dossier : l'état de ces procédures, en particulier la décision du tribunal administratif de Toulouse sur l'annulation du scrutin pour ingérence étrangère.
- Aucune version de BlackCore n'existe. L'entité n'a répondu à aucune des trois rédactions, et ses supports ont été mis hors ligne. Le dossier est intégralement à charge, faute de contradicteur, et ce wiki le signale plutôt que de le laisser passer.
- Le lien entre BlackCore et les sociétés nommées n'est pas établi, Haaretz l'écrit lui-même. Ce wiki n'a pas consulté le registre israélien des sociétés, ni les données d'enregistrement de domaines, ni le code source des pages : il rapporte le travail de deux rédactions sans l'avoir refait.
- Nir Benita et Daniel David Levy n'ont pas répondu aux journalistes. L'absence de réponse n'est pas un aveu, et rien ne leur est imputé ici.
- Le contenu exact des documents BlackCore consultés par Reuters n'est pas connu : l'agence indique en avoir retenu certains éléments à la demande de sa source.
Trois sources de presse sur le recours toulousain ont été lues par extraction automatique, non intégralement — Mediacités, ICI, et la page Wikipédia des résultats. Le texte du recours lui-même n'a pas été lu, ni aucune pièce de procédure. La qualification « publicités illégales » est celle des requérants, non vérifiée ici.
Deux dates de dépôt du recours circulent dans les sources consultées. Ce wiki retient l'annonce du 28 mars 2026, cohérente avec la tenue du second tour le 22 ; il écarte une date antérieure au scrutin, matériellement impossible, et signale l'incertitude plutôt que de la masquer.
Aucune décision du tribunal administratif de Toulouse n'a été trouvée, cinq mois après le dépôt. Ce wiki ne sait pas si le juge a statué, ni dans quel sens.
L'effet réel de l'opération n'est pas mesuré. VIGINUM consacre une section entière à « la difficulté d'évaluer les effets d'une ingérence numérique étrangère » et conclut à une visibilité limitée des opérations détectées. Documenter une opération n'est pas établir qu'elle a pesé. Un effet est en revanche daté et attribué : la parution d'un article du Monde le 9 mars 2026 « a provoqué la suppression rapide de la plupart des avatars ». L'opération a donc été interrompue par la presse, six jours avant le premier tour — ce qui rend d'autant plus incertaine toute mesure de ce qu'elle aurait produit. Ce que le rapport mesure, en revanche, va dans un seul sens : cinq partages pour le site central, aucune réaction et aucun relais pour l'accusation la plus grave. Le wiki documente ici une opération élaborée qui a échoué, et il doit le dire aussi clairement qu'il en décrit les moyens.
Les trois candidats visés n'ont pas été contactés, et leur réaction n'est pas documentée ici. VIGINUM indique que le dispositif prévoyait d'informer directement les partis ciblés ; ce wiki ignore ce qui a suivi.
Le rôle éventuel d'ELNET n'est pas établi. Le rapport technique est plus précis que le rapport public sans être plus accusatoire : parmi les abonnés survivants du compte « Le Blog de Sophie », neuf appartiennent à un réseau de comptes inauthentiques dont l'activité est exclusivement orientée vers le relais de publications en français d'ELNET et du compte « Agir Ensemble », lancé par cette organisation après le 7 octobre 2023 ; dix-sept comptes composent ce groupe. Le rapport ajoute que deux des avatars Facebook ont republié des vidéos de la page « ELNET France » datant de décembre 2025 — aux côtés de publications d'un conseil d'églises évangéliques et d'une église apostolique. Relayer n'est ni participer, ni savoir, ni commander — et rien n'indique que l'organisation ait eu connaissance de ces comptes. Un média y consacre une enquête que ce wiki n'a pas lue et dont il ne reprend pas les conclusions.
Aucune suite judiciaire n'est établie. La seule trace est celle décrite ci-dessus, et elle ne vaut pas fait. VIGINUM, lui, indique que « le Service poursuivra ses investigations afin de caractériser encore davantage la nature des opérateurs ».
Le rapport technique est dépouillé. Les six annexes l'ont été le 26 août 2026 ; les parties 2.1 et 2.2 — l'analyse actif par actif, sur une quinzaine de pages — l'ont été à leur tour le 26 août 2026. Le rapport technique est intégralement dépouillé, à l'exception de ce que les schémas comportent de trop fin pour être déchiffré à l'image.
Les décomptes tirés des annexes sont des dénombrements de ce wiki, pas des chiffres publiés par VIGINUM — sauf les 39 comptes, que le corps du rapport confirme. Les 32 groupes français, les 48 comptes angolais et la trentaine de comptes LinkedIn ont été comptés ligne à ligne dans les tableaux.
Les schémas ont été lus à l'image, donc à l'œil, et ce qui en est rapporté ici est ce que ce wiki y a déchiffré — sur des figures denses, en petits caractères. Les dates et les enchaînements ont été recoupés avec le texte partout où c'était possible ; ce qui ne l'était pas est présenté comme une lecture, non comme une citation.
Le placement payant a été vérifié, mais son texte n'a pas été lu. L'archive consultée donne le titre, le domaine, le chemin et la date ; son contenu est rejoué par un dispositif qui exige un navigateur, et ce wiki n'a pas lu le corps de l'article. Ce qui est établi est donc le placement, non ce qu'il disait.
Prochaine piste : l'article du Monde du 9 mars 2026 et les trois articles de mai 2026, qui demandent un recours humain. Puis, pour la fiche voisine, examiner si d'autres opérations documentées par VIGINUM ont recouru au même fil de communiqués payants : ce serait un marqueur transposable.