Comment les hackeurs d'élite de l'armée russe ont piraté un moulin français en pensant attaquer un barrage ? Découvrez l'incroyable histoire de Sandworm !

Entre le barrage hydroélectrique de Courlon-sur-Yonne et le petit moulin à eau de Courlandon, dans la Marne, il y a environ 180 kilomètres, une syllabe de différence et un rapport de puissance de l'ordre de mille pour un. En avril 2024, un groupe de pirates lié au renseignement militaire russe s'est trompé de cible, a filmé sa victoire et l'a diffusée sur Telegram. C'est cette erreur de géographie, plus que l'attaque elle-même, qui mérite d'être racontée : elle dit assez précisément à quoi sert ce genre d'opération.

Une revendication qui ne colle pas aux images

La revendication parlait d'un barrage. Les vidéos, elles, montraient un bief, une vanne et un bâtiment de pierre. Des chercheurs en cybersécurité ont retrouvé le lieu en quelques heures, à partir du décor visible sur les captures d'écran. Courlandon compte moins de 200 habitants, et son moulin ne produit pas de courant : il régule un cours d'eau.

La confusion de noms n'est pas anodine. Elle indique que le groupe a cherché une cible dans une base d'équipements industriels exposés sur internet, a trouvé un automate accessible, puis a écrit sa revendication en fonction de ce qu'il espérait avoir touché. Personne n'a vérifié avant de publier.

Sandworm, et ce qu'on met derrière le nom

Sandworm est le nom donné par les chercheurs à une unité du GRU, le renseignement militaire russe, à qui l'on attribue les coupures de courant en Ukraine en 2015 et 2016 puis le rançongiciel NotPetya en 2017. Ces opérations-là étaient d'un tout autre niveau. Les chaînes Telegram qui se réclament de la mouvance mélangent de vraies intrusions et beaucoup de mise en scène.

Sur ce point, le calcul est assez transparent : une vanne de moulin manipulée pendant vingt minutes ne vaut rien militairement, mais une vidéo intitulée « barrage français » vaut quelque chose sur un fil suivi par des dizaines de milliers de personnes. Le rendement de l'opération se mesure en partages, pas en mégawatts perdus.

Ce que ça change pour une collectivité

Une commune de la Côte d'Amour n'a pas de barrage, mais elle a des automates : postes de relevage, éclairage public télégéré, chaufferie d'un groupe scolaire, arrosage d'un terrain de sport. Le réflexe utile tient en trois questions à poser au prestataire : cet équipement a-t-il besoin d'être joignable depuis l'extérieur, avec quel mot de passe, et depuis quand son firmware n'a pas bougé.

Le moulin de Courlandon a repris son rythme. Reste une commune de la Marne devenue, quelques jours d'avril 2024, la preuve involontaire qu'on peut faire beaucoup de bruit avec très peu.