Turla cible des entités françaises : 10 leçons de cybersécurité pour les PME

L’essentiel à retenir

Le Centre de Coordination des Crises Cyber, ou C4, a observé le ciblage et la compromission d’entités françaises par le mode opératoire Turla.

Le rapport distingue deux catégories de victimes :

• les victimes finales, compromises à des fins d’espionnage ;
• les victimes intermédiaires, compromises de manière opportuniste pour servir de relais dans l’infrastructure d’attaque ou faciliter de futures opérations.

Parmi les victimes françaises intermédiaires identifiées figurent notamment :

• des associations ;
• des particuliers ;
• des entreprises de secteurs variés.

Cette distinction est importante pour une PME. Une organisation peut être compromise non pas parce que ses propres données représentent l’objectif final, mais parce que :

• son serveur est utile comme relais ;
• sa relation avec un partenaire inspire confiance ;
• son accès distant permet d’atteindre un autre réseau ;
• son site web peut héberger une charge malveillante ;
• sa messagerie peut servir à envoyer des messages crédibles ;
• son infrastructure est moins surveillée que celle de la cible finale.

Qu’est-ce que Turla ?

Turla est le nom utilisé pour désigner un mode opératoire d’attaque actif depuis au moins 2004.

Le C4 l’associe au 16e Centre du service fédéral de sécurité de la Fédération de Russie, le FSB.

Ses opérations sont principalement conduites à des fins de collecte de renseignement contre :

• des organismes gouvernementaux ;
• des entités diplomatiques ;
• la défense ;
• la recherche ;
• les technologies ;
• l’éducation ;
• les médias ;
• l’énergie ;
• certaines personnes physiques.

Le rapport publié en juillet 2026 décrit des activités visant la France et d’autres pays européens dans un contexte d’espionnage stratégique.

Qui compose le C4 ?

Le Centre de Coordination des Crises Cyber rassemble plusieurs services français :

• l’ANSSI ;
• le Commandement de la cyberdéfense ;
• la Direction générale de l’armement ;
• la Direction générale de la sécurité extérieure ;
• la Direction générale de la sécurité intérieure.

Le document publié est classé TLP:CLEAR, ce qui permet sa diffusion publique.

Victime finale et victime intermédiaire : quelle différence ?

Une victime finale

La victime finale représente l’objectif recherché par l’attaquant.

Le but peut être de collecter :

• des courriels ;
• des documents ;
• des informations stratégiques ;
• des données techniques ;
• des échanges diplomatiques ;
• des identifiants ;
• des informations sur des partenaires.

Une victime intermédiaire

La victime intermédiaire est utilisée pour faciliter une autre attaque.

Son infrastructure peut servir à :

• relayer des communications ;
• héberger des fichiers ;
• administrer des machines compromises ;
• masquer l’origine du trafic ;
• envoyer des messages crédibles ;
• atteindre un partenaire ;
• exploiter une relation de confiance.

Quelles techniques sont décrites dans le rapport ?

Hameçonnage ciblé

L’attaquant prépare un message adapté à la victime :

• sujet professionnel crédible ;
• expéditeur connu ou imité ;
• pièce jointe ;
• lien ;
• document lié à l’activité de la cible.

Attaque par point d’eau

Un site légitime fréquenté par les cibles est compromis.

Le visiteur pense consulter une ressource habituelle, mais le site peut servir à :

• identifier les visiteurs ;
• les rediriger ;
• proposer un faux téléchargement ;
• exploiter une vulnérabilité ;
• déposer une charge malveillante.

Exploitation de vulnérabilités

Le rapport mentionne l’exploitation de vulnérabilités dans :

• des équipements réseau ;
• des applications métiers ;
• des systèmes exposés ;
• des serveurs web ;
• des solutions de messagerie.

Certaines campagnes ont combiné plusieurs vulnérabilités dans une même chaîne de compromission.

Outils légitimes ou disponibles publiquement

Le rapport cite également l’usage d’outils disponibles publiquement, notamment :

• Mimikatz ;
• Metasploit.

Cette utilisation complique parfois l’analyse : un outil légitime d’administration ou de test peut aussi être détourné.

Codes malveillants spécialisés

Turla est associé à de nombreuses familles de codes malveillants ayant ciblé :

• Windows ;
• Outlook ;
• Microsoft Exchange ;
• Linux ;
• macOS ;
• des navigateurs ;
• des applications métiers ;
• des serveurs web.

Infrastructures louées ou compromises

Pour masquer ses opérations, le mode opératoire a utilisé :

• des serveurs loués ;
• des sites web compromis ;
• des systèmes de gestion de contenu comme WordPress ;
• des machines compromises servant de relais ;
• des moyens de communication pair-à-pair ;
• historiquement, des communications utilisant des moyens satellitaires.

Pourquoi ce rapport concerne aussi les PME

Une grande administration dispose généralement :

• d’équipes dédiées ;
• d’outils de surveillance ;
• de procédures d’incident ;
• d’une segmentation plus poussée ;
• de moyens d’investigation.

Une petite structure possède souvent :

• un seul compte administrateur ;
• un VPN accessible depuis Internet ;
• un site WordPress ;
• une messagerie cloud ;
• des sauvegardes connectées ;
• un prestataire avec un outil de télémaintenance ;
• peu de centralisation des journaux.

Cette différence ne signifie pas qu’une PME est systématiquement plus facile à compromettre. Elle signifie que quelques mesures simples peuvent avoir un effet très important.

Leçon 1 : connaître ses actifs exposés

On ne peut pas protéger correctement ce que l’on ne connaît pas.

Créez un inventaire contenant au minimum :

• les noms de domaine ;
• les sites web ;
• les adresses IP publiques ;
• les VPN ;
• les pare-feu ;
• les NAS accessibles à distance ;
• les outils de télémaintenance ;
• les comptes administrateurs ;
• les applications cloud ;
• les serveurs de messagerie ;
• les accès des prestataires.

Pour chaque élément, indiquez :

• le responsable ;
• la version ;
• la date de la dernière mise à jour ;
• l’exposition à Internet ;
• le mode d’authentification ;
• la présence ou non du MFA ;
• la méthode de sauvegarde ;
• la source des journaux.

Leçon 2 : corriger les équipements exposés en priorité

Les équipements exposés à Internet méritent une attention particulière :

• passerelles VPN ;
• pare-feu ;
• serveurs web ;
• messagerie ;
• accès à distance ;
• hyperviseurs ;
• outils d’administration ;
• NAS ;
• applications publiées.

Organisez une veille sur :

• les bulletins éditeurs ;
• le CERT-FR ;
• les alertes de votre prestataire ;
• les avis de vos fournisseurs.

Définissez une procédure :

1. identifier les produits concernés ;
2. confirmer les versions ;
3. vérifier l’exploitation active ;
4. sauvegarder la configuration ;
5. tester le correctif ;
6. appliquer la mise à jour ;
7. contrôler les journaux ;
8. documenter l’intervention.

Leçon 3 : renforcer la messagerie

La messagerie reste une voie d’entrée privilégiée pour de nombreux attaquants.

Activer l’authentification multifacteur

Le MFA doit être prioritaire pour :

• les administrateurs ;
• les dirigeants ;
• les comptes de messagerie ;
• les accès distants ;
• les prestataires ;
• les outils de sauvegarde ;
• les applications sensibles.

Le MFA ne rend pas un compte invulnérable, mais il réduit fortement les conséquences d’un mot de passe volé.

Surveiller les règles de transfert

Après la compromission d’une boîte mail, un attaquant peut créer une règle pour :

• transférer les messages ;
• masquer certains courriels ;
• déplacer les alertes ;
• surveiller une conversation ;
• préparer une fraude au virement.

Contrôlez régulièrement :

• les règles de boîte ;
• les transferts externes ;
• les applications autorisées ;
• les méthodes MFA ;
• les connexions inhabituelles ;
• les délégations.

Désactiver les accès inutiles

Supprimez :

• les protocoles anciens ;
• les comptes inactifs ;
• les boîtes jamais utilisées ;
• les applications OAuth inconnues ;
• les mots de passe d’application inutiles.

Leçon 4 : séparer les comptes d’administration

Un administrateur ne devrait pas utiliser son compte privilégié pour :

• lire ses courriels ;
• naviguer sur Internet ;
• ouvrir des pièces jointes ;
• travailler quotidiennement ;
• se connecter à des services non administratifs.

Prévoyez :

• un compte nominatif standard ;
• un compte d’administration séparé ;
• le MFA ;
• une authentification renforcée ;
• des droits limités au besoin réel ;
• une journalisation des actions.

Évitez les comptes génériques comme :

admin
informatique
support
prestataire

Un compte nominatif permet de savoir qui a réalisé une action.

Leçon 5 : segmenter le réseau

Un réseau plat permet à un attaquant de se déplacer plus facilement.

Séparez au minimum :

• les postes utilisateurs ;
• les serveurs ;
• les sauvegardes ;
• le Wi-Fi invité ;
• les équipements connectés ;
• l’administration ;
• la téléphonie ;
• les machines industrielles ou métiers.

La segmentation doit être accompagnée de règles de filtrage.

Exemples :

• un poste utilisateur ne doit pas administrer le pare-feu ;
• le Wi-Fi invité ne doit pas atteindre le NAS ;
• les sauvegardes ne doivent pas être accessibles avec les mêmes identifiants que le domaine ;
• une imprimante ne doit pas initier des connexions vers tous les serveurs ;
• l’outil de télémaintenance ne doit pas donner automatiquement accès à tout le réseau.

Leçon 6 : conserver les journaux utiles

Sans journaux, il est difficile de savoir :

• quand l’attaque a commencé ;
• quel compte a été utilisé ;
• quelles machines ont été contactées ;
• quelles données ont été consultées ;
• si l’attaquant est encore présent.

Les sources utiles peuvent inclure :

• Microsoft 365 ou Google Workspace ;
• Active Directory ou Entra ID ;
• pare-feu ;
• VPN ;
• serveurs ;
• antivirus ou EDR ;
• outils de télémaintenance ;
• sauvegardes ;
• applications métiers ;
• site web.

Une journalisation efficace doit répondre à quatre questions :

1. les horloges sont-elles synchronisées ?
2. les journaux sont-ils conservés assez longtemps ?
3. un attaquant peut-il les supprimer facilement ?
4. quelqu’un reçoit-il réellement les alertes ?

Collecter des gigaoctets d’événements que personne ne consulte ne suffit pas.

Leçon 7 : surveiller les accès distants et les prestataires

Un accès de prestataire peut devenir une porte d’entrée s’il est :

• partagé ;
• permanent ;
• sans MFA ;
• peu surveillé ;
• conservé après la fin du contrat ;
• installé sur toutes les machines sans restriction.

Bonnes pratiques :

• utiliser un compte nominatif ;
• imposer le MFA ;
• limiter les horaires lorsque cela est pertinent ;
• limiter les machines accessibles ;
• journaliser les sessions ;
• retirer l’accès lorsqu’il n’est plus nécessaire ;
• prévoir une procédure d’urgence ;
• vérifier les outils installés.

Demandez à votre prestataire :

• comment ses comptes sont protégés ;
• qui peut accéder à votre infrastructure ;
• comment une session est tracée ;
• comment un compte est révoqué ;
• comment il vous informe d’un incident.

Leçon 8 : isoler et tester les sauvegardes

Une sauvegarde accessible depuis un compte compromis peut être supprimée ou chiffrée.

Prévoyez :

• un compte de sauvegarde dédié ;
• une copie hors site ;
• une copie hors ligne ou immuable ;
• des droits limités ;
• des alertes d’échec ;
• une rétention adaptée ;
• des tests de restauration.

Testez plusieurs niveaux :

• un fichier ;
• un dossier ;
• une boîte mail ;
• une machine virtuelle ;
• une restauration complète dans un environnement isolé.

Leçon 9 : détecter les comportements inhabituels

Une PME ne dispose pas toujours d’un centre opérationnel de sécurité.

Elle peut néanmoins surveiller quelques événements à forte valeur :

• connexion administrateur depuis un pays inhabituel ;
• création d’un nouveau compte privilégié ;
• ajout d’une méthode MFA ;
• règle de transfert de messagerie ;
• désactivation de l’antivirus ;
• installation d’un outil de contrôle à distance ;
• export massif de fichiers ;
• connexion VPN en dehors des habitudes ;
• modification du pare-feu ;
• suppression de sauvegardes ;
• arrêt de la journalisation.

Définissez qui reçoit chaque alerte et ce qui doit être fait.

Une alerte sans responsable ni procédure finit souvent par être ignorée.

Leçon 10 : préparer la réponse à incident

Les premières heures d’un incident sont souvent désorganisées.

Préparez une fiche simple indiquant :

• qui décide de couper un accès ;
• qui contacte le prestataire ;
• où sont stockées les sauvegardes ;
• comment révoquer les sessions ;
• comment réinitialiser les comptes ;
• comment conserver les journaux ;
• qui informe les salariés ;
• qui contacte l’assureur ;
• qui évalue les obligations de notification ;
• comment travailler en mode dégradé.

Ne conservez pas l’unique copie de cette procédure sur le serveur susceptible d’être indisponible.

Que faire en cas de suspicion de compromission ?

Les signes possibles comprennent :

• connexions inconnues ;
• comptes ajoutés ;
• règles de messagerie inhabituelles ;
• antivirus désactivé ;
• outils distants inconnus ;
• trafic sortant anormal ;
• journaux supprimés ;
• fichiers préparés dans des archives ;
• alertes ignorées ou désactivées.

Premières actions prudentes :

1. noter l’heure et les symptômes ;
2. prévenir le responsable désigné ;
3. isoler les systèmes concernés lorsque cela est possible sans détruire les preuves ;
4. conserver les journaux ;
5. éviter les nettoyages improvisés ;
6. révoquer les accès compromis depuis un équipement sain ;
7. contacter un spécialiste de la réponse à incident ;
8. vérifier les obligations juridiques et contractuelles.

Un plan réaliste sur 30 jours

Semaine 1 : comptes et inventaire

• lister les services exposés ;
• recenser les comptes administrateurs ;
• activer le MFA ;
• supprimer les comptes obsolètes ;
• vérifier les accès des prestataires ;
• identifier les sauvegardes.

Semaine 2 : mises à jour et exposition

• mettre à jour les VPN et pare-feu ;
• corriger les serveurs exposés ;
• vérifier le site web et ses extensions ;
• mettre à jour les outils de télémaintenance ;
• limiter les interfaces d’administration ;
• fermer les ports inutiles.

Semaine 3 : segmentation et journaux

• séparer le Wi-Fi invité ;
• isoler les sauvegardes ;
• limiter l’accès aux interfaces d’administration ;
• centraliser les journaux les plus importants ;
• configurer quelques alertes prioritaires ;
• vérifier la synchronisation de l’heure.

Semaine 4 : restauration et exercice

• restaurer un fichier ;
• restaurer une boîte mail ;
• simuler un compte compromis ;
• tester la révocation des sessions ;
• vérifier les contacts d’urgence ;
• documenter les décisions ;
• définir les prochaines améliorations.

Niveau de maturité minimal pour une TPE

Ce que le rapport Turla ne permet pas d’affirmer

Le rapport public ne doit pas être utilisé pour affirmer que :

• votre entreprise est ciblée par Turla ;
• une connexion inhabituelle est forcément liée à Turla ;
• tout usage de Mimikatz ou Metasploit provient de ce groupe ;
• une attaque contre un site WordPress est liée à un acteur étatique ;
• une PME sans activité stratégique ne court aucun risque.

L’attribution d’une attaque demande une analyse approfondie.

Pour une entreprise, le premier objectif reste généralement :

• arrêter l’incident ;
• préserver les preuves ;
• protéger les données ;
• restaurer l’activité ;
• comprendre la cause ;
• empêcher une nouvelle compromission.

Checklist de protection

• ☐ Les services exposés sont inventoriés.
• ☐ Les versions des VPN et pare-feu sont suivies.
• ☐ Le MFA est actif sur la messagerie.
• ☐ Le MFA est actif pour les administrateurs.
• ☐ Les comptes administrateurs sont séparés.
• ☐ Les comptes obsolètes sont supprimés.
• ☐ Les accès des prestataires sont nominatifs.
• ☐ Les outils de télémaintenance sont inventoriés.
• ☐ Le Wi-Fi invité est isolé.
• ☐ Les sauvegardes sont séparées du réseau courant.
• ☐ Une restauration a été testée.
• ☐ Les journaux VPN et cloud sont conservés.
• ☐ Les alertes importantes ont un responsable.
• ☐ Une procédure d’incident existe.
• ☐ Les coordonnées d’urgence sont disponibles hors ligne.

Conclusion

Le rapport consacré à Turla décrit un mode opératoire sophistiqué, actif depuis de nombreuses années et principalement orienté vers l’espionnage stratégique.

Son enseignement le plus utile pour une PME tient dans la notion de victime intermédiaire.

Une petite organisation peut être intéressante pour un attaquant parce qu’elle possède :

• une relation de confiance ;
• un accès distant ;
• un domaine crédible ;
• un serveur exposé ;
• un site web ;
• une infrastructure moins surveillée ;
• des accès vers une autre entité.

La réponse n’est pas de chercher à reproduire les moyens d’une agence nationale.

Elle consiste à appliquer avec régularité quelques principes :

• connaître son infrastructure ;
• corriger les systèmes exposés ;
• protéger les comptes ;
• séparer les privilèges ;
• segmenter le réseau ;
• conserver les journaux ;
• contrôler les prestataires ;
• isoler les sauvegardes ;
• détecter les événements inhabituels ;
• savoir réagir.

Ces mesures protègent contre des opérations sophistiquées, mais aussi contre les menaces beaucoup plus fréquentes : hameçonnage, fraude, rançongiciel, vol de compte et compromission opportuniste.

Besoin d’évaluer la sécurité de votre entreprise ?

AGE-Info accompagne les TPE et PME dans la protection de leur système d’information.

Nous pouvons notamment :

• inventorier les actifs exposés ;
• vérifier les accès administrateurs ;
• sécuriser Microsoft 365 ;
• contrôler les accès distants ;
• segmenter le réseau ;
• vérifier les sauvegardes ;
• mettre en place une journalisation adaptée ;
• préparer une procédure de réponse à incident.