Le FSB russe accuse Cloudflare et Fastly d’avoir facilité une opération d’espionnage sur les téléphones de hauts fonctionnaires

Il est crucial de noter que le communiqué du FSB n’accuse pas les employés de Cloudflare et Fastly d’avoir écrit le logiciel malveillant ou orchestré directement les piratages. L’agence affirme plutôt que les « capacités techniques » de ces entreprises ont été « utilisées » dans le cadre de cette opération – une formulation suffisamment large pour laisser entendre que leurs réseaux de diffusion de contenu, services de sécurité ou infrastructures de proxy inverse ont joué un rôle dans l’exfiltration des données ou la communication . Pour accompagner cette annonce, le FSB a diffusé une vidéo montrant le bureau de Cloudflare à San Francisco, ceux de Fastly à San Francisco et à Londres, ainsi qu’un bâtiment non identifié à New York, insinuant un lien avec le développement du logiciel espion ou le contrôle opérationnel .

Le FSB n’a pas explicitement nommé les États-Unis, mais a souligné que des ministères britanniques, dont celui de la Défense, étaient clients des services de sécurité réseau de Cloudflare et Fastly . Les médias d’État russes ont néanmoins qualifié ce stratagème comme étant orchestré par les « services de renseignement américains et britanniques » .

Aucune enquête indépendante n’a vérifié la moindre partie de cette affirmation. Ni Cloudflare ni Fastly n’ont commenté publiquement cette allégation spécifique, et le FSB n’a publié aucune preuve médico-légale : ni échantillon du logiciel malveillant, ni journaux de connexion réseau montrant le passage du trafic par les infrastructures accusées, ni détail technique reliant la configuration des serveurs à une opération d’espionnage. Pour rappel, le ministère américain de la Justice a déjà inculpé des officiers du FSB pour avoir dirigé des opérations de piratage criminel, notamment le compromis de millions de comptes Yahoo, soulignant le rôle même du FSB en tant qu’acteur offensif dans le cyberespace. Ses dires, non vérifiés, émanent donc d’un service de renseignement rival actif .

Un schéma récurrent d’accusations contre les infrastructures technologiques

Ce n’est pas la première fois que le FSB accuse des entreprises technologiques occidentales d’être des participantes actives à des opérations de renseignement. En juin 2023, le FSB avait déjà affirmé que la NSA américaine avait exploité une vulnérabilité des iPhone pour compromettre les appareils de milliers de citoyens russes et de diplomates étrangers, déclarant publiquement qu’Apple avait « coopéré » avec la NSA pour ces attaques . Apple avait nié, et aucune preuve médico-légale n’avait été rendue publique. La similitude est frappante : une accusation sans fondement selon laquelle l’infrastructure ou le logiciel d’une grande entreprise technologique occidentale est un instrument direct de l’espionnage d’État, étayée par du matériel vidéo ou photographique, mais sans aucune donnée technique vérifiable.

Du blocage technique aux accusations d’espionnage : la campagne anti-Cloudflare

L’accusation de collusion pour piratage téléphonique survient en plein milieu d’une campagne documentée et menée depuis des années par le gouvernement russe pour brider, bloquer et discréditer Cloudflare.

En octobre 2024, Roskomnadzor — le gendarme fédéral russe des communications — a bloqué des milliers de sites web utilisant le protocole Encrypted Client Hello (ECH) de Cloudflare, une extension TLS qui chiffre la poignée de main initiale et empêche un opérateur réseau de savoir quel site un utilisateur visite . Le régulateur avait alors déclaré que cette technologie « violait » la réglementation russe sur l’inspection du trafic.

Le 20 mars 2025, la campagne a connu une escalade dramatique lorsque Roskomnadzor a temporairement bloqué des plages entières de sous-réseaux de Cloudflare — comprenant plus de 500 000 adresses IP, un expert technique de l’ONG russe de défense des droits numériques Roskomsvoboda estimant qu’environ 1,5 million d’adresses IP étaient concernées à travers plusieurs régions . Ce blocage a provoqué des pannes généralisées des systèmes bancaires en ligne, y compris ceux de la Sberbank et d’Alfa-Bank, de portails gouvernementaux, d’applications de messagerie et de services de jeux vidéo — qui dépendaient tous du réseau de diffusion de contenu (CDN) de Cloudflare . Face aux perturbations, Roskomnadzor a incriminé les « infrastructures de serveurs étrangers » et recommandé aux entreprises russes de migrer vers des hébergeurs nationaux .

L’attaque technique la plus soutenue a débuté le 9 juin 2025, quand les principaux fournisseurs d’accès à internet (FAI) russes — y compris Rostelecom, Megafon, Vimpelcom, MTS et MGTS — ont lancé une campagne nationale de bridage contre tout le trafic passant par Cloudflare . Ce bridage était chirurgical : il permettait aux appareils des utilisateurs de ne télécharger que les 16 premiers kilo-octets (Ko) de n’importe quel élément web avant de couper la connexion . Pour un navigateur moderne, 16 Ko suffisent à peine à afficher un en-tête HTTP et les premières lignes de texte, mais sont bien loin de permettre le chargement d’une page fonctionnelle, d’un script ou d’une feuille de style. Résultat : des millions de sites protégés par Cloudflare ont effectivement disparu pour les utilisateurs en Russie, tout en donnant l’illusion d’être accessibles lors de tests de connectivité superficiels .

Cloudflare a publiquement confirmé le bridage le 26 juin 2025, le qualifiant d’ingérence au niveau de l’État échappant à son contrôle . Les données internes de l’entreprise ont montré que la limite de 16 Ko était imposée par de multiples mécanismes concomitants, dont l’injection de paquets et la limitation de débit, ce qui indique une gestion active plutôt qu’une simple erreur de configuration du réseau . Freedom House et des observateurs indépendants de l’internet ont documenté une chute substantielle du trafic total de Cloudflare depuis la Russie, coïncidant avec l’ajout de Cloudflare par Roskomnadzor à son registre des « organisateurs de la diffusion d’information » . Ce registre est un régime de surveillance qui oblige les entreprises répertoriées à stocker les données des utilisateurs russes sur des serveurs locaux et à fournir les clés de déchiffrement au FSB sur demande. Les entreprises qui ne s’y conforment pas s’exposent à un bridage obligatoire, voire à un blocage pur et simple — exactement ce qui a été observé depuis juin 2025.

Lorsqu’on lit le bridage de juin 2025 en parallèle des blocages de sous-réseaux de mars 2025 et de l’interdiction d’ECH d’octobre 2024, une progression claire se dessine : la Russie a d’abord ciblé un protocole de chiffrement spécifique, puis bloqué des plages réseau entières, et utilise désormais des contrôles techniques pour dégrader indéfiniment l’ensemble du service Cloudflare. L’accusation d’espionnage du FSB du 2 juin 2026 ajoute une couche narrative de collusion criminelle à une campagne de suppression technique déjà pleinement en cours.

La quête plus large d’un internet russe souverain

Les manœuvres contre Cloudflare et Fastly s’inscrivent dans un projet bien plus vaste, mené depuis des années par le Kremlin, visant à placer l’internet russe sous un contrôle domestique total — un cadre politique que le gouvernement appelle « souveraineté numérique ».

Une nouvelle législation oblige les opérateurs télécoms à installer des équipements d’inspection profonde des paquets (DPI) contrôlés par l’État, connus sous le nom de « Moyens techniques de lutte contre les menaces » (TSPU). Ce système donne au FSB la capacité de surveiller, filtrer et brider le trafic au niveau du réseau . Les opérateurs qui ne s’enregistrent pas auprès de Roskomnadzor ou ne se conforment pas aux demandes de données du FSB s’exposent à des amendes et à des restrictions de service.

En septembre 2025, les autorités russes ont introduit un « registre des services socialement significatifs », une liste blanche formelle comprenant initialement 57 sites web pré-approuvés — dont l’agence de presse d’État RIA Novosti, les grandes banques, le portail gouvernemental Gosuslugi, les réseaux sociaux nationaux et certains services de Yandex — qui sont garantis de rester accessibles lors de perturbations du réseau et de tests de coupure d’internet . Tout service hébergé à l’étranger et ne figurant pas sur cette liste peut être coupé à tout moment.

Le gouvernement a également agi avec force contre les communications chiffrées et les outils de contournement. Début 2026, Roskomnadzor avait déjà restreint des centaines d’applications et de protocoles VPN . En août 2025, les appels vocaux et vidéo via Telegram et WhatsApp ont été restreints, et des restrictions directes de Telegram lui-même ont rapidement suivi .

La trajectoire est sans ambiguïté. L’approche russe a évolué, passant de blocages ciblés de sites il y a dix ans, à un filtrage à grande échelle basé sur le DPI, pour arriver à la phase actuelle où des fournisseurs entiers d’infrastructure et de diffusion de contenu occidentaux sont systématiquement dégradés, déconnectés ou font l’objet d’accusations pénales officielles. L’objectif est un espace internet russe où tout le trafic est inspectable par le FSB et où aucune infrastructure étrangère n’a de point d’appui opérationnel .

L’allégation du 2 juin 2026 contre Cloudflare et Fastly est le dernier avatar de ce projet. C’est une accusation d’espionnage sans fondement portée contre les mêmes entreprises dont l’infrastructure est méthodiquement rendue inaccessible par la Russie à ses propres citoyens depuis deux ans.