Storm-1516#
En bref#
Storm-1516 est un mode opératoire informationnel russe : une chaîne industrielle de fabrication et de diffusion de fausses informations, active depuis août 2023. VIGINUM, le service de l'État français chargé de détecter les ingérences numériques étrangères, en a publié l'analyse technique le 5 mai 2025, après avoir documenté 77 opérations. Le rapport public du 11 juin 2026 en porte le compte à 205 opérations depuis août 2023 — soit plus du double en quinze mois. Le dispositif a visé Emmanuel Macron en février 2026, le candidat à la mairie de Paris Pierre-Yves Bournazel en mars 2026, puis, depuis fin juillet 2026, trois candidats à la présidentielle : Gabriel Attal, Édouard Philippe et Raphaël Glucksmann.
C'est le seul acteur du cercle 3.3 dont l'influence sur cette élection soit établie par une source officielle française, et non alléguée.
Identité#
| Nature | Mode opératoire informationnel (MOI), et non organisation constituée |
| Actif depuis | août 2023 |
| Attribution | Fédération de Russie. Chaîne détaillée ci-dessous |
| Documenté par | VIGINUM (SGDSN), rapport technique du 5 mai 2025 |
| Opérations documentées | 77 au 5 mars 2025 ; 205 depuis août 2023 selon le rapport du 11 juin 2026 |
| Objectif déclaré par VIGINUM | Décrédibiliser des personnalités et organisations européennes et nord-américaines, « notamment en amont de grands événements et de processus électoraux » |
Ce qu'est un « mode opératoire informationnel ». Le terme, employé par VIGINUM, désigne une manière de faire partagée par un réseau d'acteurs, pas une entité juridique. C'est une distinction importante : on ne peut pas « fermer » Storm-1516 comme on fermerait une société. On peut seulement en reconnaître la signature.
La chaîne d'attribution#
| Maillon | Rôle | Établi par |
|---|---|---|
| Unité 29155 du GRU | Renseignement militaire russe | Attribution formelle par l'Allemagne, décembre 2025, avec convocation de l'ambassadeur russe |
| Centre d'expertise géopolitique | Think tank moscovite | Même paquet d'attribution allemand ; sanctions du Trésor américain |
| Mouvement de l'Aigle bicéphale | Structure financée par l'oligarque Konstantin Malofeev | Même paquet d'attribution allemand |
| Iouri Khorochenki | Officier de l'unité 29155 du GRU, aurait financé et coordonné Storm-1516 depuis l'origine | Documents d'un service de renseignement européen, obtenus par le Washington Post — allégation de presse étayée, non confirmée officiellement |
| John Mark Dougan | Ancien policier américain exilé en Russie depuis 2016. Enregistre et maintient une partie des infrastructures numériques, via le MOI CopyCop | VIGINUM, attribution publique |
| Écosystèmes Prigojine et Douguine | Personnes et organisations proches du pouvoir russe, impliquées | VIGINUM |
Objectif stratégique final, selon VIGINUM : polariser le débat démocratique, saper la confiance dans les médias et les institutions européennes, et mettre fin à l'aide occidentale à l'Ukraine.
Le mode opératoire, étape par étape#
La fiche technique VIGINUM du 6 février 2026 documente une opération complète, minute par minute. Elle sert de modèle de référence — c'est la même mécanique qui est réemployée contre les candidats de 2027.
| Étape | Ce qui se passe | Exemple daté du 4 février 2026 |
|---|---|---|
| 1. Fabrication | Un faux témoignage est attribué à une personne décédée ou injoignable — donc incapable de démentir | Jean-Luc Brunel, mort en 2022, aurait écrit à Jeffrey Epstein en 2017 |
| 2. Hébergement | Un faux site est créé, usurpant l'identité d'un vrai média et d'un vrai journaliste | france-soir.net, nom de domaine enregistré le 1ᵉʳ février 2026, usurpant france-soir.fr et l'identité du journaliste du Parisien Victor Cousin |
| 3. Primo-diffusion | L'article est publié à heure fixe et repris par un compte relais historique | 15 h 52 le mercredi 4 février 2026, relayé par le compte @LoetitiaH |
| 4. Amplification payée | Un groupe de comptes, « très probablement rémunérés » selon VIGINUM, relaie en vague | À partir de 17 h 48 le même jour, par sept comptes identifiés |
| 5. Reprise involontaire | Des personnalités et responsables politiques de premier plan reprennent le narratif, « de manière inconsciente ou opportuniste » | — |
L'étape 5 est la clé du dispositif. Storm-1516 ne cherche pas à convaincre directement : il cherche à ce que d'autres relaient. La cible n'est pas le lecteur du faux site, c'est le commentateur, l'élu ou le journaliste qui reprendra l'histoire sans en vérifier l'origine.
L'ampleur réelle#
C'est le point le plus contre-intuitif, et le plus important.
| Opération | Audience mesurée |
|---|---|
| Opération du 4 février 2026 visant Emmanuel Macron | environ 1,1 million de vues sur X — « une audience en-deçà des précédentes opérations » (VIGINUM) |
| Opérations d'août 2026 visant les candidats | « quelques centaines de vues organiques par vidéo », malgré une amplification par achat de vues (collectif Antibot4Navalny) |
| Appréciation générale | « niveaux de visibilité relativement faibles » sur les réseaux sociaux, selon des sources de sécurité françaises |
VIGINUM regrette publiquement la couverture médiatique de ces opérations, estimant qu'elle « donne plus de visibilité à des contenus qui ne sont que très peu vus par les citoyens ».
C'est un paradoxe que ce wiki assume : documenter ces opérations, c'est prendre le risque de les amplifier. La réponse retenue est de décrire le mécanisme sans reproduire les contenus — on explique comment le piège est construit, sans en rejouer l'appât. Voir la méthode.
Le rapport technique du 5 mai 2025, enfin lu#
Ce wiki déclarait depuis l'origine ne pas l'avoir lu. Il l'a été le 26 août 2026 — 41 pages, téléchargées directement depuis le site du SGDSN. Il porte sur les 77 premières opérations, entre l'apparition supposée du mode opératoire et le 5 mars 2025.
La victimologie, chiffrée#
| Cible | Opérations |
|---|---|
| Total analysé | 77 |
| L'Ukraine, ses dirigeants ou leur entourage | 35 |
| Des processus électoraux — européennes de juin 2024, législatives françaises de juillet 2024, présidentielle américaine, fédérales allemandes | au moins 20 |
| dont la présidentielle américaine seule | au moins 12 |
L'objectif principal n'est donc pas la France : c'est de « décrédibiliser le gouvernement ukrainien, probablement dans l'espoir d'entraîner la suspension de l'aide occidentale ». Le ciblage des dirigeants européens vient en parallèle, et se concentre sur les périodes électorales.
Le narratif le plus récurrent — quatorze opérations — accuse le président ukrainien et ses proches de détourner l'aide occidentale pour acquérir des biens de luxe à l'étranger : yachts, casino, hôtel, villas. Ce wiki ne reproduit pas la liste : elle est l'appât, et la citer intégralement serait la rejouer.
Une technique mérite d'être connue, celle du narratif à rebondissements. En août 2023, la première opération imputée au mode opératoire fait parler un faux journaliste. En décembre, une seconde opération met en scène le prétendu frère de ce faux journaliste, accusant les services ukrainiens de l'avoir assassiné pour ses révélations. Le mensonge se donne une suite, et la suite valide le mensonge initial.
Ce qui s'est passé en France en 2024, et qui doit être lu comme un précédent#
Onze jours après l'annonce de la dissolution de l'Assemblée nationale, le 19 juin
2024, les opérateurs enregistrent le nom de domaine ensemble-24.fr — un
typosquat du site officiel de la coalition, ensemble-2024.fr, dont il usurpe
l'identité graphique.
Ce que le faux site annonçait : une « prime Macron » de 100 euros versée aux électeurs en échange de leur voix. Ce qu'il demandait : d'envoyer son numéro de sécurité sociale.
Et voici le détail qui rend l'opération remarquable : l'adresse de destination était
contact@parti-renaissance.fr — une adresse officielle du parti. Le dispositif
n'usurpait pas la boîte de réception : il dirigeait des données personnelles réelles vers
le vrai parti, qui n'avait rien demandé.
VIGINUM impute cet enregistrement au réseau CopyCop avec un niveau de confiance élevé, et l'imputation est corroborée par Microsoft et Recorded Future.
Le précédent allemand, et pourquoi il concerne 2027#
C'est le signal d'alerte le plus concret du rapport.
Dès la chute de la coalition allemande, mi-novembre 2024 — donc avant même l'annonce officielle d'élections —, les opérateurs se réorientent. Entre le 19 novembre 2024 et le 5 janvier 2025, le réseau CopyCop enregistre plus d'une centaine de noms de domaine, exploités dès le 6 décembre dans des opérations imputées à Storm-1516. Le scrutin avait lieu le 23 février 2025.
Autrement dit : l'infrastructure a été montée en six semaines, environ trois mois avant le vote, et déclenchée sitôt prête. Pour une élection française fixée au 18 avril 2027, la fenêtre équivalente est l'hiver 2026-2027.
Comment un contenu entre dans le débat : les trois portes d'entrée#
Le rapport distingue trois tactiques de primo-diffusion, et donne leur poids relatif :
| Tactique | Fréquence |
|---|---|
| Comptes jetables — anonymes, créés pour l'opération, sur au moins six plateformes : YouTube, Instagram, X, Facebook, TikTok, Rumble | 45 des 77 opérations — la plus ancienne et la plus répandue |
| Compte d'un tiers, « très probablement contre rémunération » | — |
| Mise en ligne directe sur des sites du réseau CopyCop | — |
Et un constat qui déplace la responsabilité : malgré l'exposition publique de dizaines de faux comptes par des enquêtes journalistiques, « peu d'entre eux ont été suspendus par les plateformes ». Le rapport en cite deux, toujours accessibles à la date de sa publication.
Le faux lanceur d'alerte, et son vieillissement#
C'est le motif narratif central, et il est reproductible : un compte anonyme met en scène un témoin qui « décide de tout raconter ». Le contenu est ensuite blanchi puis amplifié par le reste du dispositif.
Deux techniques de crédibilisation sont documentées, et elles sont vérifiables par un lecteur attentif :
- Les comptes sont achetés en lot. Trois comptes YouTube employés pour trois opérations distinctes, les 17, 23 et 27 septembre 2023, ont tous été créés le 30 septembre 2022 — à la même date, un an plus tôt. Un fournisseur unique, un stock constitué d'avance.
- Les faux témoins sont vieillis. L'opération accusant le président ukrainien de projets d'enfouissement de déchets toxiques s'appuyait sur un prétendu « journaliste pigiste » francophone spécialisé en écologie, dont le compte X, ouvert en septembre 2018, avait été alimenté en contenus écologiques à partir du 15 novembre 2023 — « dans un français parfois approximatif ». La vidéo est publiée le 27 novembre. Le compte est abandonné début décembre.
Douze jours d'existence crédible pour une identité de six ans. C'est exactement la signature n° 7 du guide d'autodéfense — un compte politique sans passé politique — et elle est ici documentée sur un dossier russe, quand elle l'était sur un dossier non russe. Deux opérations sans rapport, la même technique.
Dernière précaution des opérateurs : la redondance. Le même contenu est publié simultanément sur deux plateformes — TikTok et YouTube, ou Rumble et YouTube — pour survivre à un blocage, et pour donner l'impression que plusieurs sources indépendantes rapportent la même chose.
Ce que le rapport dit des commanditaires#
Il confirme et précise la chaîne que ce wiki portait déjà, sans la modifier :
- implication avérée d'un ancien policier américain exilé en Russie, via le réseau CopyCop ;
- proximité avec la galaxie Prigojine — dont le projet Lakhta — et avec l'écosystème Douguine, à travers un centre d'expertise géopolitique ;
- et un mode opératoire « potentiellement coordonné par un service de renseignement russe », VIGINUM disposant d'informations sur un potentiel officier de l'unité 29155 du GRU publiquement accusé d'avoir financé et coordonné le dispositif.
Le conditionnel est celui de VIGINUM, et ce wiki le conserve.
Un détail de nomenclature, utile pour suivre les sources étrangères : Microsoft désigne ce même mode opératoire sous le nom de Neva Flood depuis mars 2025.
Les opérations visant l'élection de 2027#
| Date | Cible | Récit | Canal |
|---|---|---|---|
| 4 février 2026 | Emmanuel Macron | Faux échange avec Jeffrey Epstein, attribué à un homme décédé | Faux site france-soir.net + vidéo sur X |
| Début août 2026 | Raphaël Glucksmann | Accusations fabriquées visant son entourage | Faux site imitant le média Blast |
| Août 2026 | Édouard Philippe | Vidéos générées par IA le présentant de manière trompeuse, notamment sur son état de santé | Vidéos truquées ; enquête ouverte |
| 12 août 2026 | Gabriel Attal | Vidéo montrant une caricature projetée sur un mur du Panthéon | X |
| 19 août 2026 | Gabriel Attal | Au moins cinq faux reportages et cinq fausses unes de médias français et européens, dont un faux de l'AFP | X |
| Depuis fin juillet 2026 | Attal, Philippe, Glucksmann | Prétendue maladie de Parkinson d'Attal ; implication de proches dans les cyberattaques visant l'administration fiscale | Réseau de faux sites et comptes |
Un second mode opératoire, Matriochka, actif depuis septembre 2023, amplifie ces contenus au moyen de comptes coordonnés et cible directement les médias et les vérificateurs. Il fait l'objet d'une fiche distincte.
Ce que la sélection des cibles indique — et n'indique pas#
Les trois candidats visés en 2026 sont tous pro-européens et favorables au soutien à l'Ukraine. C'est cohérent avec l'objectif stratégique déclaré par VIGINUM.
Cela ne signifie pas que les candidats non visés seraient complices, ni qu'ils bénéficieraient de ces opérations d'une manière qu'ils auraient sollicitée. Aucune source ne l'établit, et le suggérer reviendrait à produire exactement le type d'inférence non fondée que ce wiki combat.
L'opération contre Pierre-Yves Bournazel, mars 2026#
C'est la dernière opération documentée avant la présidentielle, et elle illustre le couplage entre les deux modes opératoires.
| Étape | Fait établi par VIGINUM |
|---|---|
| Prépositionnement | Dès février 2025, le MOI CopyCop enregistre plus d'une centaine de noms de domaine en « .fr » imitant des sites de presse locaux, alimentés par des articles reformulés par IA générative |
| Fabrication | Un narratif affirme que le candidat à la mairie de Paris Pierre-Yves Bournazel proposerait de transformer le Centre Pompidou en lieu d'accueil pour « tous les migrants sans domicile fixe » en 2030, avec le soutien de plusieurs personnalités dont le président de la République |
| Primo-diffusion | 2 mars 2026, sur macronavecbournazel.fr, site usurpant la charte graphique du site officiel du candidat, imputé à CopyCop |
| Amplification | À partir du 4 mars 2026 sur X, par une vidéo relayée par un groupe de comptes « très probablement rémunérés », dont une partie déjà identifiée comme relais habituels du MOI |
| Dénonciation | Bulletin n° 6 du Réseau de coordination et de protection des élections, 6 mars 2026 |
L'opération a échoué. VIGINUM relève une audience limitée, « bien en-deçà du niveau de visibilité d'autres opérations du MOI ayant précédemment ciblé la France ». Le prépositionnement de CopyCop a lui aussi été neutralisé : la plupart des noms de domaine ont été suspendus par l'Afnic à l'issue d'une procédure de vérification d'identité des titulaires.
C'est un fait à retenir pour 2027 : un registre de noms de domaine appliquant ses propres règles d'identification a désarmé une infrastructure d'ingérence plus efficacement qu'aucune dénonciation publique.
Où ces opérations entreront dans un document officiel#
Un mécanisme existe, et il est neuf. Le modèle de compte de campagne pour la présidentielle de 2027, publié par la CNCCFP, comporte une annexe E consacrée à l'organisation de la campagne en ligne. Parmi ce que chaque candidat devra y déclarer :
« le cas échéant les actions numériques effectuées sans son accord et les dispositions prises pour les faire cesser ».
Les opérations décrites dans cette fiche relèvent exactement de cette rubrique. C'est, à la connaissance de ce wiki, le seul dispositif public français par lequel une ingérence subie entrera dans un document officiel signé par le candidat lui-même — voir le financement de la campagne.
Trois réserves, et elles comptent :
- Un candidat ne peut déclarer que ce qu'il sait. Une opération non détectée ne sera pas déclarée, et VIGINUM constate que ces dispositifs visent précisément à ne pas être attribués.
- La déclaration porte sur ce qui a été fait « sans son accord » — elle ne dit donc rien des opérations conduites avec l'accord d'un candidat, qui relèveraient d'autres postes.
- Le calendrier est postérieur au scrutin : dépôt le 2 juillet 2027, publication des comptes au Journal officiel le 2 août, décisions jusqu'en février 2028. Et rien n'établit que les annexes seront publiées avec les comptes.
Pour creuser#
- Matriochka — le dispositif d'amplification associé
- Les plateformes numériques — le terrain sur lequel ces opérations se déploient
- Les réfutations — les affirmations issues de ce dispositif, examinées une par une
- VIGINUM — analyse du mode opératoire Storm-1516 (rapport du 5 mai 2025)
- VIGINUM — fiche technique du 6 février 2026 (PDF)
- Wikipédia — Storm-1516 (en anglais)
- EDMO — Storm-1516, the pro-Russian disinformation operation
Sources#
- VIGINUM (SGDSN), fiche technique du 6 février 2026, TLP:CLEAR, « Storm-1516 : ingérence numérique étrangère ciblant Emmanuel Macron » (A) — https://www.sgdsn.gouv.fr/files/files/Publications/20260206_NP_TLP-CLEAR_SGDSN_VIGINUM_Fiche-Technique-Storm-1516_0.pdf — document consulté intégralement
- VIGINUM (SGDSN), rapport technique du 5 mai 2025 sur le mode opératoire Storm-1516, 41 pages, TLP:CLEAR (A) — ✅ LU le 26 août 2026, téléchargé directement : victimologie des 77 premières opérations, typosquat de juin 2024 en France, précédent allemand, tactiques de primo-diffusion et chaîne d'attribution — https://www.sgdsn.gouv.fr/publications/analyse-du-mode-operatoire-informationnel-russe-storm-1516
- Décret n° 2021-922 du 13 juillet 2021 portant création de VIGINUM (A) — https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000043788361
- Touteleurope.eu, « Présidentielle 2027 : ce que l'on sait des réseaux de désinformation qui visent plusieurs candidats » (C) — https://www.touteleurope.eu/vie-politique-des-etats-membres/presidentielle-2027-ce-que-l-on-sait-des-reseaux-de-desinformation-qui-visent-plusieurs-candidats/
- LCP — Assemblée nationale, « Présidentielle 2027 et ingérences russes : Gabriel Attal de nouveau ciblé » (C) — https://lcp.fr/actualites/presidentielle-2027-et-ingerences-russes-gabriel-attal-de-nouveau-cible-par-des
- EDMO, « Storm-1516, the pro-Russian disinformation operation threatening the public debate » (B) — https://edmo.eu/publications/storm-1516-the-pro-russian-disinformation-operation-threatening-the-public-debate/
- Wikipédia (en), « Storm-1516 » (B), pour l'attribution allemande de décembre 2025 et la chaîne GRU 29155 / Centre d'expertise géopolitique / Aigle bicéphale
- Washington Post, enquête sur John Mark Dougan (C) — https://www.washingtonpost.com/world/2024/10/23/dougan-russian-disinformation-harris/ — citée par VIGINUM, non consultée directement
Limites#
- Le rapport VIGINUM du 5 mai 2025 a été lu le 26 août 2026. Deux réserves subsistent. Ses six annexes — dont la liste des 77 opérations et celle des noms de domaine liés à CopyCop — n'ont été parcourues qu'en survol. Et il s'arrête au 5 mars 2025 : entre cette date et les opérations d'août 2026 visant les candidats, plus d'un an n'est couvert que par la fiche technique de février 2026 et par la presse.
- La chaîne d'attribution repose sur trois niveaux de solidité différents, et ils ne doivent pas être confondus : VIGINUM (cote A) pour Dougan et CopyCop ; l'attribution formelle allemande de décembre 2025 (cote B ici, faute d'avoir consulté le communiqué allemand original) pour le GRU 29155 ; une enquête de presse citant des documents de renseignement (cote C) pour Iouri Khorochenki.
- Le communiqué du Trésor américain cité par VIGINUM comme source d'attribution publique n'a pas pu être consulté — délai d'attente dépassé.
- Le rattachement du faux site imitant Blast d'août 2026 relève du répertoire de Matriochka plutôt que de Storm-1516 ; les deux dispositifs sont employés conjointement, et la frontière n'est pas établie par les sources.
- Les chiffres d'audience proviennent, pour août 2026, du collectif Antibot4Navalny, dont la méthodologie n'a pas été examinée. Ceux de février 2026 viennent de VIGINUM (cote A).
- Les identifiants de comptes relais figurant dans la fiche VIGINUM ne sont pas reproduits ici au-delà du primo-diffuseur, volontairement : les lister sans les vérifier reviendrait à désigner des comptes qui peuvent avoir changé de main.
- Prochaine piste : lire le rapport VIGINUM du 5 mai 2025 dans son intégralité, et récupérer le communiqué d'attribution allemand de décembre 2025 pour faire passer la chaîne GRU en cote A.