NoName057(16) transforme les attaques DDoS en jeu de propagande rémunéré

L’université Aalto présente NoName057(16) comme bien davantage qu’un collectif hacktiviste classique. Ce groupe prorusse combine des attaques par déni de service distribué (DDoS) menées par une communauté de volontaires, de la propagande, du recrutement idéologique et des incitations financières. L’étude situe ainsi son modèle à la frontière entre hacktivisme, activité cybernétique géopolitique et cybercriminalité. 12

La leçon centrale est simple : une panne de site qui ne dure que quelques heures peut poursuivre un objectif politique beaucoup plus long. Elle peut donner l’impression qu’une institution est vulnérable, amplifier l’inquiétude et pousser le public à douter des organisations chargées de services essentiels.

Un objectif qui dépasse largement la perturbation technique

NoName057(16) a lancé des milliers d’attaques DDoS contre des organisations publiques et privées, principalement dans des pays membres de l’OTAN et d’autres États européens, dont la Finlande. 2 Une attaque DDoS consiste à submerger un service de requêtes ou de trafic afin d’empêcher les utilisateurs légitimes d’y accéder. La conséquence immédiate peut être une indisponibilité temporaire. Mais selon l’analyse d’Aalto, cette perturbation sert aussi de support à une propagande destinée à délégitimer les adversaires du groupe. 2

La campagne relève donc d’une menace hybride. L’opération technique crée un incident visible ; les messages qui l’accompagnent le transforment en récit politique. L’objectif n’est pas forcément de détruire durablement les systèmes, mais de susciter l’anxiété, d’abîmer la réputation des cibles et d’éroder la confiance dans les gouvernements, les institutions et les services critiques. 12

DDoSia : recruter et coordonner sans être un expert

Le fonctionnement du groupe repose sur une répartition d’une grande partie du travail entre des volontaires. Les participants sont recrutés via Telegram et reçoivent un accès à DDoSia, l’outil utilisé pour coordonner les attaques contre des cibles choisies ou mises en avant par le réseau. 23443

Ce dispositif abaisse fortement la barrière technique. Il n’est pas nécessaire de développer une vulnérabilité sophistiquée pour participer : il suffit de mettre des ressources informatiques à disposition au moyen d’un outil et de suivre la structure de campagne définie par le groupe. Le modèle est participatif, mais reste orienté de manière centralisée par le choix des cibles, les communications et les mécanismes de récompense. 234

Le résultat est une communauté qui peut être mobilisée autour d’événements politiques et d’un soutien supposé à la Russie, tout en présentant certains traits de la cybercriminalité « à la demande ». Pour Aalto, ce mélange brouille les frontières entre hacktivisme idéologique, guerre cybernétique géopolitique et cybercriminalité motivée par l’argent. 23

Pourquoi parler de « jeu en ligne patriotique »

DDoSia n’est pas présenté comme un simple logiciel d’attaque. Le projet décrit la participation comme un « jeu en ligne patriotique », invitant ses contributeurs à considérer une activité perturbatrice comme un acte nationaliste ou civique plutôt que comme un comportement criminel. 338

Cette mécanique ludique peut faciliter le recrutement et fidéliser les participants en leur donnant une identité commune, des objectifs visibles et une dimension compétitive. Des enquêtes ont également fait état de classements ou de récompenses liées aux performances, même si les modalités exactes et les arrangements financiers ont varié selon les sources et au fil du temps. 3944

L’association est particulièrement efficace : l’idéologie fournit la motivation, le format du jeu rend la participation accessible et sociale, tandis que les récompenses financières donnent une raison supplémentaire de continuer.

Les cryptomonnaies ajoutent une motivation commerciale

Le projet a proposé des récompenses en cryptomonnaies aux participants contribuant à des attaques réussies. Des articles antérieurs évoquaient des paiements pouvant atteindre 80 000 roubles russes, soit environ 1 200 dollars à l’époque, pour une activité DDoS considérée comme réussie. 46

Ce système complique la distinction habituelle entre le volontaire politiquement engagé et le cybercriminel rémunéré. Certains participants peuvent être attirés par les messages prorusses, d’autres par l’expérience collective, la compétition ou la perspective d’un paiement. Les conclusions d’Aalto indiquent que ces motivations peuvent se cumuler plutôt que s’exclure. 2

Les éléments disponibles ne permettent pas d’affirmer que tous les participants sont payés ou que toutes les attaques sont motivées par l’argent. La conclusion la plus solide est que la cryptomonnaie fournit au groupe un levier supplémentaire pour recruter et encourager des contributeurs, en complément de son discours idéologique.

La Finlande donne une idée de l’ampleur du phénomène

Selon l’université Aalto, NoName057(16) a lancé 23 vagues d’attaques contre des cibles finlandaises depuis le 7 janvier 2025, touchant 129 organisations publiques et privées. Parmi les cibles figuraient le Parlement et d’autres institutions gouvernementales, des municipalités, des banques et établissements financiers, ainsi que des fournisseurs de services liés aux infrastructures critiques. Aalto a également signalé une hausse des attaques après l’adhésion de la Finlande à l’OTAN en 2023. 1

Dans toute l’Europe, l’effet immédiat peut se limiter à une perte temporaire d’accès à des services en ligne. L’effet stratégique recherché est plus large : faire croire que les administrations, les organismes financiers ou les fournisseurs de services essentiels ne savent pas protéger leurs « portes d’entrée » numériques. Pour un attaquant, cette perception peut avoir de la valeur même lorsque les systèmes sont rétablis rapidement.

Ce que l’opération Eastwood a changé — et ce qu’elle n’a pas démontré

Du 14 au 17 juillet 2025, Europol et Eurojust ont coordonné l’opération Eastwood, une action internationale visant les membres et l’infrastructure de NoName057(16). Les autorités de la Tchéquie, de la France, de la Finlande, de l’Allemagne, de l’Italie, de la Lituanie, de la Pologne, de l’Espagne, de la Suède, de la Suisse, des Pays-Bas et des États-Unis ont agi simultanément. 17

L’opération a perturbé une infrastructure d’attaque comprenant plus de 100 systèmes informatiques dans le monde et mis hors ligne une grande partie de l’infrastructure centrale de serveurs du groupe. 17 D’autres informations ont fait état d’arrestations, de perquisitions et de mandats d’arrêt dans le cadre de cette action. 1723

Il s’agit d’un revers opérationnel important, mais « perturber » ne signifie pas « éliminer définitivement ». Les éléments disponibles ne montrent pas que le recrutement, les messages politiques ou les effets de propagande du groupe ont cessé. Une structure reposant sur une multitude de participants peut potentiellement se réorganiser après le retrait de certains serveurs ou administrateurs.

Pour les organisations, la réponse doit dépasser la disponibilité des sites

L’analyse d’Aalto appelle une réponse plus large que la seule atténuation des attaques DDoS. Les organisations devraient intégrer les objectifs politiques, le mode opératoire et les motivations de l’attaquant dans leurs modèles de menace, leurs évaluations des risques et leur gestion des incidents, au lieu de considérer chaque attaque comme un simple problème de disponibilité. 2

Cela suppose d’associer préparation technique et stratégie de communication :

• Préparer le récit autant que la continuité de service. Identifier les services, les institutions et les publics susceptibles d’être touchés, puis prévoir une explication précise de l’incident.
• Faire travailler ensemble sécurité et communication. Les équipes techniques peuvent établir ce qui s’est passé et ce qui reste accessible ; les équipes de communication peuvent répondre aux rumeurs, à l’intimidation et aux affirmations trompeuses.
• Communiquer de manière transparente et crédible. Minimiser ou dissimuler une attaque risque de laisser le champ libre à la propagande hostile. Des informations claires peuvent empêcher qu’une perturbation temporaire soit présentée comme l’effondrement d’une institution. 2
• Mesurer la reprise au-delà du retour en ligne. Rétablir un site est nécessaire, mais il faut aussi évaluer la confiance du public, l’atteinte à la réputation et la diffusion éventuelle de fausses informations sur l’incident.

L’implication la plus importante de l’étude est donc stratégique. DDoSia transforme des internautes ordinaires en participants à une opération d’influence coordonnée, tout en donnant à la perturbation informatique l’apparence d’un jeu. Pour s’en défendre, il faut à la fois des infrastructures résilientes et la capacité de répondre au récit construit autour de l’attaque.