« Les pirates chinois ciblent les infrastructures civiles critiques américaines, se pré-positionnant pour causer un préjudice réel aux citoyens et aux communautés américaines en cas de conflit », déclarait en 2024 le directeur du FBI Christopher Wray à propos du groupe que Microsoft a baptisé Volt Typhoon. Cette phrase résume une bascule stratégique que le vocabulaire habituel de l'espionnage peine à décrire : il ne s'agit plus seulement de voler de l'information, mais de préparer, en amont d'un conflit qui n'a pas encore eu lieu, la capacité de paralyser un pays adverse au moment où cela compterait le plus.
Cette menace évolue aujourd'hui dans un contexte particulier. Alors que la CISA, l'agence fédérale américaine de cybersécurité, avait elle-même reconnu en janvier 2025 n'avoir probablement découvert que la partie émergée de l'iceberg des intrusions chinoises, elle a perdu depuis près d'un tiers de son effectif, et les propositions budgétaires ultérieures prévoient de nouvelles coupes pouvant atteindre plusieurs centaines de millions de dollars et un quart supplémentaire de son personnel. La confrontation entre la Chine et les États-Unis dans le cyberespace ne se joue donc pas seulement dans la sophistication des intrusions, mais aussi dans la trajectoire, actuellement divergente, entre la persistance de l'attaquant et la capacité de la défense à le détecter.
Volt Typhoon ne collecte pas de l'information, il prépare une capacité future
Le groupe Volt Typhoon se distingue par un objectif que les évaluations de la NSA, de la CISA et de l'alliance Five Eyes qualifient, avec un haut degré de confiance, de pré-positionnement délibéré : s'implanter dans les réseaux informatiques qui pilotent des systèmes physiques, distribution d'électricité, traitement de l'eau, transport, non pas pour en extraire des données, mais pour disposer, le moment venu, d'un accès permettant de perturber ces fonctions. Des positions ont notamment été identifiées à Guam, un point de passage logistique essentiel pour toute intervention militaire américaine en cas de crise autour de Taïwan, avec pour objectif explicitement documenté de ralentir une mobilisation américaine.
Cette logique de pré-positionnement, plutôt que de collecte immédiate, transforme la nature même de la dissuasion. Un implant dormant dans un système de distribution électrique n'a aucune valeur tant qu'il n'est pas activé ; sa fonction consiste à exister comme option stratégique silencieuse, capable de transformer les premières heures d'un conflit ouvert sur Taïwan en une confusion logistique et informationnelle pour Washington, avant même qu'un premier coup de feu ne soit tiré. Cette même doctrine de la capacité dormante plutôt que du renseignement immédiat recoupe très précisément celle documentée à propos du groupe russe Sandworm en Espagne : la Chine et la Russie convergent, indépendamment l'une de l'autre, vers une conception du cyberespace comme réserve d'options de sabotage à activer en cas de confrontation ouverte, plutôt que comme simple terrain de collecte.
Salt Typhoon vise l'accès permanent aux communications plutôt que leur destruction
Un second groupe, désigné Salt Typhoon par la société CrowdStrike, poursuit un objectif de nature différente. Actif depuis au moins 2021 contre des opérateurs télécoms, gouvernementaux, militaires et logistiques dans le monde entier, il a compromis des équipements de routage et de commutation chez plusieurs grands fournisseurs américains de télécommunications, avant d'étendre en 2025 et 2026 son emprise à des géants de l'hébergement de données et à des fournisseurs d'accès résidentiel. Plusieurs responsables américains ont qualifié cette intrusion de pénétration la plus sérieuse jamais confirmée des infrastructures américaines par un adversaire étranger depuis au moins la guerre froide.
Contrairement à Volt Typhoon, Salt Typhoon relève d'une logique de collecte classique portée à une échelle inédite : un accès persistant aux équipements réseau permet potentiellement d'intercepter des communications privées bien au-delà de ce qu'une écoute ciblée traditionnelle pourrait atteindre. La coexistence de ces deux campagnes, l'une orientée vers la préparation d'une capacité de perturbation physique, l'autre vers une collecte massive et continue de communications, dessine une répartition des tâches comparable à celle déjà observée dans le renseignement russe entre les opérations de sabotage de l'unité 29155 et le travail de collecte plus classique du SVR : deux logiques distinctes, portées par des acteurs différents, convergent sur les mêmes infrastructures critiques d'un même adversaire.
L'agence censée détecter ces intrusions perd ses moyens au moment le plus critique
La CISA a vu ses effectifs passer d'environ trois mille quatre cents personnes à environ deux mille cinq cents en l'espace d'une année, sous l'effet de départs et de suppressions de postes, tandis que les propositions budgétaires ultérieures prévoient de ramener l'agence à un peu plus de deux mille six cents postes financés, contre près de trois mille sept cents auparavant. La division chargée de coordonner la cybersécurité des infrastructures critiques avec les États fédérés, les collectivités locales, le secteur privé et les partenaires étrangers a été pratiquement supprimée, de même qu'une partie significative du centre chargé d'analyser les risques pesant sur ces mêmes infrastructures.
Le moment choisi pour ces réductions constitue la donnée analytique la plus significative de ce dossier. La valeur d'un implant comme celui de Volt Typhoon dépend directement de sa capacité à rester non détecté sur une longue durée ; c'est précisément la fonction que remplissait la coordination inter-agences et le partage d'expertise que ces coupes budgétaires démantèlent. Un adversaire dont la patience stratégique ne dépend d'aucun cycle budgétaire domestique voit ainsi la durée de vie utile de ses implants prolongée non par un progrès technique de son côté, mais par un affaiblissement organisationnel du côté de la défense, sans qu'aucune erreur de sa part n'ait été nécessaire pour produire ce résultat.
La persistance d'un implant se mesure à la stabilité de qui doit le détecter
Le déséquilibre documenté ici ne porte pas sur la sophistication technique respective des deux camps, mais sur l'asymétrie de patience institutionnelle entre un attaquant dont la stratégie s'inscrit délibérément dans la durée et une administration de défense dont les moyens fluctuent au rythme des priorités budgétaires d'un cycle politique. Un implant pré-positionné n'a besoin d'aucune amélioration pour gagner en valeur stratégique si la capacité adverse à le localiser diminue de son propre fait.
Ce que l'observateur extérieur ne peut pas établir avec certitude reste, comme l'a reconnu la CISA elle-même, l'ampleur réelle de ce qui demeure non détecté au-delà des intrusions déjà rendues publiques. La déclaration selon laquelle les intrusions découvertes ne représentaient que la partie émergée de l'iceberg a été formulée avant les réductions d'effectifs les plus importantes ; elle invite à une prudence redoublée sur l'écart, aujourd'hui probablement plus grand encore, entre ce que les services américains savent de la présence chinoise dans leurs infrastructures critiques et ce qui y subsiste réellement, en particulier à l'approche d'une contingence taïwanaise pour laquelle Volt Typhoon semble s'être explicitement préparé.
Sources documentaires
- CISA — PRC State-Sponsored Actors Compromise and Maintain Persistent Access to U.S. Critical Infrastructure.
- The Record — Any number given of Volt Typhoon victims 'likely an underestimate,' CISA says.
- SecurityWeek — China's Salt Typhoon Hacked Critical Infrastructure Globally for Years.
- Nextgov/FCW — US agencies assessed Chinese telecom hackers likely hit data center and residential internet providers.
- Nextgov/FCW — CISA projected to lose a third of its workforce under Trump's 2026 budget.
- Axios — Trump hobbled top cyber agency just as AI learned to hack.
MSS
Le ministère de la Sécurité d'État, dont le recrutement humain complète l'accès technique obtenu par Volt Typhoon et Salt Typhoon.
Lire l'analyseMinistère de la Sécurité publique
La police chinoise, dont le mandat domestique reste distinct des campagnes cyber orientées vers l'extérieur.
Lire l'analyseDépartement du Front uni
L'influence par les réseaux communautaires, complément non technique des campagnes de pré-positionnement cyber.
Lire l'analyseRenseignement militaire chinois
Le pendant militaire classique du renseignement chinois, dont le rôle dans le pilotage de Volt Typhoon reste partiellement documenté.
Lire l'analyseEspionnage économique chinois
Le vol de propriété intellectuelle, objectif distinct du pré-positionnement de sabotage mené par Volt Typhoon.
Lire l'analyseCluster Chine
Le dossier Chine relie sécurité intérieure, cyberespionnage, Front uni et collecte technologique au service de la puissance d'État.
ComparerCluster États-Unis
Le dossier États-Unis éclaire la communauté du renseignement, ses moyens techniques, ses contrôles et ses rivalités bureaucratiques.
ComparerCluster Russie
Le dossier Russie distingue FSB, SVR, GRU, influence et action clandestine dans la stratégie de puissance de Moscou.
ComparerCluster Iran
Le dossier Iran analyse les services, les Gardiens de la révolution et les réseaux régionaux dans leur environnement politique.
Comparer
Analyste en géopolitique, anthropologie politique et relations internationales.