Depuis fin 2023, une campagne malveillante touche l’espace public numérique francophone et mondial. Surnommée « Matriochka » (c’est-à-dire poupées gigognes) par le collectif « antibot4navalny », la campagne vise avant tout les médias, équipes de fact-checkeurs en tête, dans une logique de diversion.

Le principe : commencer par déverser des contenus de désinformation anti-ukrainienne, qui usurpent généralement l’identité de personnalités nord-américaines ou européennes ou se font passer pour des médias de ces mêmes régions. Ensuite, appeler les médias occidentaux à vérifier la véracité de certaines d’entre elles.

Auprès de l’Agence France-Presse, le mathématicien et directeur de recherche au CNRS David Chavalarias estimait début 2024 qu’il s’agissait d’une « entreprise de diversion » qui occupent les journalistes sur des sujets difficiles à vérifier. Il pouvait aussi s’agir, selon lui, d’une manière d’amplifier la portée de cette désinformation par l’intermédiaire de la diffusion de fact-checks.

Dans un rapport publié ce 10 juin, le service de vigilance et de protection contre les ingérences numériques étrangères de l’État Viginum estime que « l’objectif de cette campagne est probablement de décrédibiliser les médias, personnalités et cellules de fact-checking ciblés tout en promouvant des contenus servant les intérêts russes ».

Elle considère que « les critères d’une ingérence numérique étrangère apparaissent réunis » et alerte sur la probabilité que le mode opératoire de cette campagne évolue « durant les mois à venir pour améliorer la furtivité de ses procédés, piéger un plus grand nombre de cibles, ou atteindre une audience plus large ».

• Selon Jean-Noël Barrot, la France et l’Europe sont « pilonnés par la propagande de la Russie »
• Viginum a repéré 40 % d’ingérences numériques étrangères de plus qu’en 2022

« Seeders » anti-Ukraine et anti-JO

La campagne Matriochka est reconnaissable à son mode opératoire en deux étapes. Les « seeders » publient d’abord de faux contenus – fausses vidéos créées à partir de banques d'images, graffitis, mème, fausses captures d’écran d’extraits d’articles, de publications Instagram ou de vidéos YouTube, etc. – sur une plateforme comme X.

« Les narratifs véhiculés par ces publications ciblent principalement l’Ukraine et sont destinés à décrédibiliser le gouvernement ukrainien et son président, ou encore à critiquer l’arrivée de réfugiés ukrainiens dans les pays occidentaux », indique Viginum, quand ils ne servent pas à « discréditer les gouvernements européens, notamment leur politique de soutien au profit de l’Ukraine », comme ç’a beaucoup été le cas en France.

Viginum relève par ailleurs « de nombreuses manœuvres » à l’encontre de l’organisation des Jeux olympiques et paralympiques 2024. L’identité de médias et d’institution a ainsi été usurpée pour « diffuser l’idée, auprès d’audiences aussi bien françaises qu’internationales, selon laquelle les JOP24 seront un échec ».

L’une de ces publications usurpe ainsi l’identité de la CIA pour affirmer que le risque terroriste est trop grand pour que l’événement se déroule correctement.

La campagne Matriochka a aussi diffusé des vidéos supposément diffusées par le Groupe union défense (GUD), organisation étudiante d’extrême-droite, et visant à décrédibiliser la Banque de France.

« Quoters » probablement humains

Dans les 30 à 45 minutes qui suivent, les « quoters » les reprennent pour interpeller les personnes et entreprises ciblées – une seconde phase qui dure généralement plusieurs heures, « avec un intervalle moyen de 45 secondes entre chaque quote ».

Viginum rapporte l’existence d’au moins 90 campagnes de ce type depuis septembre 2023 et la publication d’un reportage « usurpant l’identité de Fox News » et demandant à différents médias d’en vérifier le contenu. Les suivantes ont permis aux initiateurs de Matriochka de tester et adapter leurs tactiques. Pour Check First et Reset, qui ont, eux aussi, enquêté sur l’entreprise de désinformation et l’ont nommé Overload, les opérations pourraient remonter au moins au mois d’août 2023.

Viginum relèvent diverses erreurs – reprise du texte d’un autre quoter, emploi de tags erronés, erreurs typographiques – « considérées comme peu probables en cas d’automatisation ».

Les comptes sont par ailleurs réutilisés pour diverses campagnes, jouant alternativement le rôle de seeder ou de quoter. Ils sont tous affublés de photos de profils « générées numériquement » et ne présentent aucune biographie, aucune localisation, ni abonné ou abonnement.

L’AFP, France 24 Info ou Intox ou l’EU Disinfo Lab parmi les cibles

À chaque opération, Viginum relève entre 50 et 150 comptes cibles, susceptibles d’appartenir aussi bien à des personnes, comme le patron de l’EU Disinfo Lab Alexandre Alaphilippe, qu’à des entités (l’AFP, la BBC, l’EU Disinfo Lab ou France 24 - Info ou Intox).

En France, BFMTV, Libération, Le Monde, La Montagne, mais aussi la Banque de France, la ville de Paris et la DGSI ont toutes été visées par des usurpations d’identité dans la campagne Matriochka.

Des universités, des fonds d’investissements et diverses entités internationales ou nationales dont des partis politiques ont aussi été visés, bien que de manière moins récurrente. Le réseau Matriochka a beau se concentrer sur des pays du Nord, la campagne a par ailleurs aussi touché des institutions installées dans les Balkans ou le Caucase et sur tous les continents.

Chaînes Telegram russophones

Côté commanditaires, Viginum a pu confirmer « que les contenus publiés sur X sont diffusés en amont par des chaînes Telegram russophones », notamment par trois chaînes aux lignes éditoriales propres, mais dans lesquelles se retrouvent divers « copy pasta ».

L’enquête permet à Viginum de formuler « l’hypothèse que ces contenus ont été élaborés par des tiers afin d’être diffusés de manière coordonnée sur Telegram » – d’autant plus que les administrateurs des chaînes en question pourraient avoir été rémunérés pour la diffusion des publications de désinformation.

Elle repère d’ailleurs que des contenus initialement pensés pour l’audience russe sont récupérés et réemployés, à moindre coût, pour toucher des publics occidentaux.

• Viginum découvre un nouveau réseau de désinformation prorusse, « Portal Kombat »