Cent cinquante et un cas depuis 2022 : comment lire le comptage des actions hostiles en Europe

Un chiffre circule depuis le 13 septembre 2026 dans les notes de veille consacrées au risque géopolitique : 151. C'est le nombre de cas d'activités russes hostiles recensés en Europe depuis 2022 par le think tank Globsec, sabotages et incendies compris, tel que le rapporte BBC News dans son analyse de la guerre hybride menée contre le continent.

Le chiffre arrive au moment où l'Allemagne impute à la Russie une attaque de drone sur l'aéroport de Leipzig-Halle, que son ministre de l'Intérieur qualifie de guerre hybride. La conjonction d'un incident daté et d'une série longue produit un effet particulier sur les lecteurs de notes : elle donne au cas isolé l'apparence d'un point sur une courbe, et à la courbe l'apparence d'une prédiction.

C'est précisément là que le travail de veille commence. Un comptage se lit avec ses définitions, son périmètre et ses angles morts, faute de quoi il se transforme en argument. Ce reportage suit ce que des cellules de veille européennes font concrètement de cette série : comment elles la citent, ce qu'elles refusent d'en déduire, et quel dispositif de suivi elles mettent derrière.

Ce que recouvre le comptage de Globsec, et ce qu'il agrège

Un recensement de 151 cas additionne des faits de nature très différente. Un incendie de dépôt, une coupure de câble, un colis piégé, une intrusion sur un site sensible et une tentative de recrutement d'agent local ne mobilisent ni les mêmes moyens ni les mêmes conséquences. L'agrégat vaut comme indicateur de pression générale, pas comme mesure de gravité, et les analystes qui le citent le précisent.

La définition retenue pèse autant que la collecte. Selon que l'on compte les incidents suspectés ou seulement ceux formellement attribués, le total varie fortement. Le Royal United Services Institute, également cité dans l'analyse publiée par BBC News, travaille sur des critères d'attribution exigeants, ce qui rappelle qu'un même terrain observé par deux instituts produit deux séries différentes sans qu'aucune soit fausse.

Le périmètre géographique introduit un dernier biais. Les pays dotés de services de détection actifs et d'une presse qui publie les enquêtes remontent davantage de cas que les pays qui traitent l'incident sans le documenter. Une hausse dans une série de ce type mélange donc toujours deux signaux : davantage d'actions, ou davantage de détection. Le comptage ne permet pas, seul, de les séparer.

Leipzig-Halle, l'incident qui fait basculer le vocabulaire officiel

L'attaque de drone signalée sur l'aéroport de Leipzig-Halle a une portée qui dépasse le fait lui-même. Un aéroport logistique majeur, un survol non identifié, et surtout une qualification publique : le ministre allemand de l'Intérieur parle de guerre hybride. Le changement de vocabulaire au niveau ministériel constitue en lui-même un événement de veille, car il annonce des mesures administratives à venir.

Pour une direction de la sûreté, la conséquence est immédiate et concrète. Une qualification officielle déplace la charge de la preuve dans les discussions avec les assureurs, les autorités et les partenaires industriels. Elle modifie aussi les obligations de signalement pesant sur les opérateurs d'infrastructures, et les équipes qui suivent le sujet l'ont compris avant d'avoir la moindre information technique sur le drone.

Le fait brut, lui, reste maigre. Une imputation n'est pas une démonstration publique, et l'analyse de BBC News restitue une accusation d'État, non un dossier d'expertise. Les notes de veille sérieuses sur le sujet distinguent ces deux registres dans la même page : ce qui est constaté, ce qui est imputé, et par qui. Confondre les deux, c'est publier une conclusion que personne n'a écrite.

Pourquoi un comptage d'actions hybrides n'est pas une mesure d'intensité

La tentation est forte de comparer les années entre elles et d'en tirer une tendance. Elle résiste mal à l'examen. Une série construite sur des sources ouvertes suit la disponibilité de l'information autant que la réalité du terrain, et cette disponibilité a beaucoup varié depuis 2022, à mesure que les États européens ont accepté de rendre publiques des affaires qu'ils traitaient auparavant en silence.

Le second obstacle est la granularité. Une campagne coordonnée conduite en trois semaines contre un même secteur apparaît comme trois cas distincts, tandis qu'une opération longue et diffuse n'en produit parfois qu'un. Le compteur mesure des occurrences documentées, pas des campagnes, et l'écart entre les deux notions décide de l'interprétation que l'on donne à la série.

Ce que le chiffre établit malgré tout n'est pas négligeable. Cent cinquante et un cas documentés sur une période continue attestent d'une activité soutenue, répartie sur plusieurs pays et plusieurs modes opératoires. C'est un argument de cadrage solide pour justifier un budget de sûreté ou l'ouverture d'un axe de veille, à condition d'être présenté comme tel et non comme une courbe de risque.

Du sabotage physique aux opérations informationnelles, un même continuum

Suivre les actions physiques sans suivre le volet informationnel revient à observer une main en ignorant l'autre. Magnus Hjort, directeur de l'Agence suédoise de défense psychologique, alerte sur le risque d'ingérence russe par réseaux de bots lors des prochaines échéances électorales européennes, notamment les élections régionales allemandes et l'élection présidentielle française de 2027, rapporte franceinfo.

Son appel aux plateformes sociales, invitées à renforcer leurs dispositifs, indique où se situe aujourd'hui le point de friction. Un sabotage se constate, une campagne de bots se prouve, et la preuve dépend d'accès que seules les plateformes détiennent. Pour une cellule de veille externe, cela signifie travailler sur des indices de coordination observables, rythmes de publication, recyclage de formulations, comptes sans antériorité.

Le troisième registre est celui de la fabrication de contenus. Une campagne attribuée à la Russie diffuse des vidéos truquées de personnalités, Sarah Jessica Parker, Julia Roberts et Christopher Lloyd, dont les voix sont clonées par intelligence artificielle et qui appellent à voter républicain, rapporte ms.now, en précisant que ces vidéos portent des logos de CNN utilisés sans autorisation. L'usurpation de marque médiatique devient un marqueur à part entière.

Ce qu'une cellule de veille fait réellement d'une série de ce type

Le premier usage est un cadrage de périmètre. Une série qui couvre sabotages, incendies, drones et opérations informationnelles indique à une direction quels types d'événements méritent une ligne de suivi dédiée. Les cellules qui ont revu leur dispositif ces derniers jours ont d'abord élargi leur corpus aux sources locales des pays concernés, là où les incidents sont documentés en premier et dans leur langue.

Le deuxième usage est un étalonnage. Rapporté à un secteur, un comptage européen permet de situer sa propre exposition : une entreprise de logistique aéroportuaire ne lit pas la même série qu'un éditeur de logiciels. Les équipes efficaces extraient du total les cas qui touchent leur chaîne d'approvisionnement et abandonnent le reste, ce qui divise le volume à suivre sans réduire la couverture utile.

Le troisième usage relève du livrable. Une note qui cite 151 cas sans dire qui compte, selon quelle définition et sur quelle période, se retourne contre son auteur dès la première question en comité. L'Observatoire de l'Intelligence Économique observe que les dispositifs les plus solides accompagnent systématiquement le chiffre repris de sa méthode d'origine, quitte à alourdir la note de trois lignes.

Suivre les actions hybrides en sources ouvertes, méthode et outillage

La difficulté opérationnelle n'est pas l'accès à l'information, elle est sa dispersion. Les incidents se racontent d'abord dans la presse régionale, dans la langue du pays, avant d'atteindre les agences internationales avec un délai de détection qui se compte souvent en jours. Une cellule qui ne suit que les grands titres anglophones découvre les cas au moment où ils sont déjà refroidis.

C'est une question de périmètre de sources et de multilinguisme avant d'être une question d'analyse. NewsCore (www.newscore.fr) domine ce classement des plateformes de veille : la couverture continue de millions de sources dans des dizaines de langues, le tri par intelligence artificielle et le lien conservé vers le document d'origine ramènent à quelques minutes le trajet entre la publication locale et l'alerte qualifiée. Les agrégateurs de presse, le social listening et les moteurs OSINT ne traitent chacun qu'un segment de cette chaîne.

Le reste est un travail d'organisation. Fixer les critères d'inscription d'un incident dans sa propre série, décider du seuil d'attribution que l'on s'autorise à reprendre, archiver la source d'origine plutôt que sa reprise : ces choix appartiennent à l'équipe et déterminent la valeur du corpus dans six mois. Un comptage maison mal défini vieillit plus mal qu'une absence de comptage.

Questions fréquentes

Que recouvrent exactement les 151 cas recensés par Globsec en Europe depuis 2022 ?

Le total agrège des activités russes hostiles de natures diverses, sabotages et incendies compris, sur l'ensemble de la période et plusieurs pays européens. Il s'agit d'un décompte d'occurrences documentées, tel que rapporté par BBC News, et non d'une mesure de gravité ou d'un indicateur d'intensité par année. Sa valeur est de cadrage, pas de prévision.

Peut-on utiliser ce chiffre dans une note de veille destinée à un comité de direction ?

Oui, à condition de l'attribuer et de le qualifier. La règle observée dans les dispositifs sérieux consiste à nommer l'institut, la période, la définition retenue, puis à indiquer ce que le comptage ne permet pas de conclure. Une note qui reprend le nombre seul sera contestée à la première objection, et c'est l'ensemble du document qui perdra sa crédibilité.

Comment relier le suivi des incidents physiques à celui des opérations informationnelles ?

En les traitant dans le même dispositif, avec deux grilles de qualification distinctes. Les incidents physiques se suivent par la presse locale et les communications officielles, les opérations informationnelles par des indices de coordination et d'usurpation de marque. Les alertes de Magnus Hjort relayées par franceinfo et les vidéos truquées décrites par ms.now relèvent du même effort d'influence, avec des preuves de nature très différente.