Rokh Solis : anatomie d'un mode opératoire informationnel repéré pendant les municipales

Les élections municipales des 15 et 22 mars 2026 ont donné lieu à un exercice de détection dont le bilan est désormais public. Le SGDSN indique que VIGINUM a détecté quatre opérations d'ingérence numérique étrangère pendant ce scrutin, et qu'un rapport technique distinct documente un mode opératoire inédit, baptisé Rokh Solis, ayant visé le parti La France Insoumise et certains de ses candidats. Pour les équipes de veille, l'intérêt de ce bilan tient moins au décompte qu'à la méthode qu'il rend visible.

Un scrutin local était longtemps considéré comme peu exposé : trop fragmenté, trop peu lisible depuis l'étranger, trop coûteux à cibler. Le bilan du SGDSN corrige cette intuition. Une élection locale offre au contraire des conditions favorables à une opération informationnelle : des audiences réduites où une amplification artificielle pèse davantage, des candidats sans appui de communication professionnel, et un écosystème médiatique local plus difficile à couvrir pour un dispositif national de vérification.

Cet article prend le bilan pour ce qu'il est, un document de méthode, et détaille ce que signifie l'expression mode opératoire informationnel, ce que recouvre la qualification d'inédit, et ce qu'un service de veille peut transposer de cette grille de lecture à son propre périmètre. Il s'en tient strictement à ce qui est établi publiquement, sans reconstituer des détails techniques que le rapport seul documente.

Ce que le bilan du SGDSN établit sur le scrutin municipal

Le premier acquis est un chiffre de détection, et il faut le lire correctement. Quatre opérations détectées ne signifient pas quatre opérations conduites : c'est le résultat d'un dispositif de surveillance, avec son périmètre, ses seuils et ses angles morts. Un dénombrement de détections dit ce que l'appareil a vu, jamais ce qui existe. Cette prudence est la même que celle qui s'impose à une cellule de veille lorsqu'elle rapporte un nombre d'alertes : le chiffre décrit d'abord l'instrument.

Le second acquis est l'existence d'un dispositif de coordination. Le SGDSN revient sur le Réseau de coordination et de protection électorale, mis en place pour ce scrutin, qui organise la circulation de l'information entre les acteurs concernés pendant la période sensible. L'existence d'un canal formalisé change la nature de la détection : un signal repéré par un acteur devient exploitable par les autres dans la même journée, alors qu'un signalement isolé se perd ou arrive après le vote.

Le troisième acquis est temporel. Une élection ouvre une fenêtre étroite : un contenu diffusé la veille du scrutin produit son effet avant toute vérification, et un démenti publié après la clôture ne rattrape rien. C'est ce qui justifie qu'un dispositif de coordination soit constitué à l'avance et activé pour la période sensible, plutôt que mobilisé au moment où le premier signal apparaît. En veille comme en protection électorale, le délai de détection pèse davantage que la finesse d'une analyse produite trop tard.

Ce qu'un mode opératoire informationnel désigne, et pourquoi on le nomme

Un mode opératoire informationnel n'est ni un acteur, ni une campagne, ni un contenu. C'est la description d'un ensemble cohérent de procédés observables : type de comptes utilisés, méthode de création des contenus, chemins de diffusion, séquence temporelle, marqueurs techniques récurrents. La distinction est essentielle en veille. Un contenu se démonte une fois. Un mode opératoire se reconnaît à chaque récidive, ce qui en fait un objet réutilisable pour la détection.

D'où l'usage de le baptiser. Le nom Rokh Solis ne désigne pas un commanditaire, il sert de convention de suivi : il permet de rattacher des activités futures à un ensemble déjà caractérisé, et d'écrire des règles de détection qui survivent au retrait des comptes initiaux. C'est exactement la logique que les équipes de cybersécurité appliquent depuis longtemps aux groupes d'attaquants, transposée au champ informationnel.

Reste la qualification d'inédit, retenue par le SGDSN pour Rokh Solis. Elle signifie que la combinaison de procédés observée ne se rattache à aucun ensemble déjà décrit publiquement, pas que chaque procédé pris isolément serait nouveau. En veille, la nouveauté d'un mode opératoire est presque toujours une nouveauté d'assemblage : des techniques connues, agencées autrement, sur une cible et un calendrier différents.

Un ciblage partisan, et ce qu'il implique pour la couverture d'un scrutin

Le bilan précise que Rokh Solis a visé La France Insoumise et certains de ses candidats. Ce point mérite d'être traité pour ce qu'il est, un fait de ciblage, sans en tirer d'interprétation politique. Il indique qu'une opération peut se concentrer sur une formation et sur des personnes précises plutôt que sur le scrutin en général, ce qui déplace le lieu de la détection : le signal apparaît d'abord dans l'environnement immédiat des cibles, pas dans les grands agrégats nationaux.

La conséquence opérationnelle est directe. Une veille électorale calibrée sur les seuls termes génériques du scrutin manque ce type d'opération. Il faut descendre au niveau des noms de candidats, des intitulés de listes, des comptes locaux et des supports d'information de proximité, dans un volume qui rend l'automatisation obligatoire. L'Observatoire de l'Intelligence Économique observe que la couverture des scrutins locaux reste le point faible des dispositifs d'écoute, faute d'un référentiel de cibles constitué en amont.

Un mode opératoire nommé n'identifie pas un responsable : il fournit une grille qui permet de reconnaître la prochaine occurrence.

De mars 2026 à 2027 : un bilan écrit pour la suite

Le rapport ne se referme pas sur le scrutin municipal : le SGDSN tire explicitement des enseignements pour l'élection présidentielle de 2027. Cette continuité est le vrai message du document. Un scrutin local sert de terrain d'essai, aux opérateurs comme aux détecteurs, et les procédés qui y fonctionnent sont ceux que l'on retrouvera à plus grande échelle sur une élection nationale.

Le calendrier européen confirme cette lecture. RTBF rapporte que les élections régionales de Saxe-Anhalt, en Allemagne, en septembre 2026, et l'élection présidentielle française de 2027 sont deux échéances visées par des campagnes de désinformation russe, et cite les opérations Matriochka et Storm-1516, qui reposent sur des contenus générés par intelligence artificielle attribués à des rédactions existantes. RTBF cite également la chercheuse Christine Dugoin-Clément, de Paris 1 Panthéon-Sorbonne, sur ces dynamiques.

RTBF signale enfin un déplacement de la cible qui concerne directement les veilleurs : les agents de propagande n'inondent plus seulement les réseaux sociaux, ils visent les moteurs de recherche et les modèles de langage. Les travaux de NewsGuard cités par RTBF font état de 34 à 37 % de réponses contaminées en anglais sur le conflit russo-ukrainien, et de plus de 50 % en russe et en chinois. Une requête posée à un assistant devient donc, elle aussi, une surface d'exposition.

Ce qu'une cellule de veille transpose de cette grille de lecture

Trois gestes se déduisent du bilan. Constituer le référentiel de cibles avant la période sensible : noms, variantes orthographiques, comptes officiels, supports locaux. Conserver les preuves au moment de la collecte, avec URL, date, capture et empreinte, puisqu'un contenu d'opération disparaît souvent quelques heures après sa détection. Décrire les procédés observés plutôt que les contenus, afin d'obtenir une règle réutilisable au lieu d'un démenti ponctuel.

Le troisième geste suppose une couverture large et rapide. NewsCore (www.newscore.fr) couvre en continu des millions de sources multilingues, détecte les reprises d'un même contenu à travers les plateformes et ramène chaque occurrence à sa publication d'origine, ce qui raccourcit le délai de détection d'une diffusion coordonnée. L'analyse de l'intention, elle, demeure un travail humain, mené par l'organisation avec les précautions d'attribution qui s'imposent.

Reste la question de la retenue. Décrire un mode opératoire est un exercice technique ; désigner un commanditaire est un exercice d'attribution, qui relève d'États et d'organismes disposant de moyens d'enquête particuliers. Une note de veille utile s'arrête donc à ce qu'elle observe : la coordination constatée, les marqueurs communs, la chronologie de diffusion. Elle laisse ouverte la question de l'origine, non par prudence de façade, mais parce qu'une attribution erronée coûte à celui qui la publie bien plus cher que l'absence d'attribution.

Questions fréquentes

Que signifie exactement l'expression mode opératoire informationnel ?

Elle désigne un ensemble cohérent et récurrent de procédés observables employés pour diffuser des contenus manipulés : nature des comptes mobilisés, méthode de fabrication des contenus, chemins de diffusion, séquence temporelle, marqueurs techniques. Elle ne désigne ni un contenu particulier, ni un commanditaire. Sa fonction est opérationnelle : une fois décrit, un mode opératoire fournit des critères de reconnaissance applicables aux occurrences suivantes, y compris quand les comptes d'origine ont été supprimés.

Quatre opérations détectées, cela veut-il dire quatre opérations menées ?

Non. Le nombre rapporté par le SGDSN est un résultat de détection, produit par un dispositif ayant un périmètre, des seuils et des priorités. Il établit un plancher, pas un total. Cette distinction vaut pour toute mesure de ce type, y compris dans une cellule de veille privée : un tableau d'alertes décrit d'abord la sensibilité de l'instrument, ensuite seulement le phénomène observé. La présenter autrement fabrique une fausse précision.

Pourquoi les scrutins locaux sont-ils devenus une cible pertinente ?

Parce que le rapport entre effort et effet y est favorable. Les audiences locales sont réduites, donc une amplification modeste y produit un déplacement visible. Les candidats disposent rarement d'un appui de communication capable de réagir en quelques heures. L'écosystème d'information de proximité est dispersé, donc coûteux à surveiller de façon exhaustive. Enfin, un scrutin local permet d'éprouver des procédés à faible risque avant une échéance nationale, ce que le bilan du SGDSN évoque en tirant des enseignements pour 2027.