En juillet 2025, la commission de la sécurité intérieure de la Chambre des représentants américaine a tenu une audition intitulée « Pleinement opérationnel : Stuxnet quinze ans après et l'évolution des cybermenaces contre les infrastructures critiques ». Le choix même de ce titre, quinze ans après la découverte du ver informatique qui avait discrètement saboté les centrifuges d'enrichissement d'uranium iraniennes de Natanz, reconnaissait implicitement que la leçon censée avoir été retenue depuis 2010, la vulnérabilité structurelle des systèmes de contrôle industriel face à un acteur étatique suffisamment déterminé, restait d'actualité au point de justifier une nouvelle audition parlementaire.
Le même mois, une frappe aérienne israélienne visant les infrastructures nucléaires et balistiques iraniennes a touché le complexe d'enrichissement de Natanz. Selon Rafael Grossi, directeur de l'Agence internationale de l'énergie atomique, les centrifuges du site ont été « sévèrement endommagées, si ce n'est totalement détruites ». Le hasard du calendrier a ainsi voulu que la commémoration du sabotage le plus sophistiqué et le plus discret de l'histoire du cyberespionnage coïncide avec l'accomplissement, par des moyens radicalement différents, du même objectif stratégique sur la même cible.
Le calcul du déni a changé plus que la technologie elle-même
Stuxnet, développé sur plusieurs années et conçu pour rester indétectable, visait un objectif de sabotage graduel : en faisant varier subtilement la vitesse de rotation des centrifuges tout en présentant aux opérateurs des relevés de fonctionnement normaux, il a retardé le programme nucléaire iranien d'environ deux années selon les estimations disponibles, sans qu'aucun État n'en revendique jamais officiellement la responsabilité. Cette architecture de déni total répondait à une contrainte stratégique précise en 2007-2010 : une action militaire ouverte contre des installations nucléaires iraniennes comportait alors un risque d'escalade jugé prohibitif.
La frappe de juin 2025 a atteint un résultat comparable, voire supérieur en termes de destruction physique, en l'espace de quelques heures et sous revendication ouverte. Ce contraste ne signale pas nécessairement une obsolescence du sabotage numérique comme instrument stratégique, mais plutôt une évolution du calcul politique entourant la nécessité du déni : à mesure que le coût politique d'une action militaire ouverte contre l'Iran a diminué, dans le contexte plus large de l'affaiblissement de la posture dissuasive iranienne documenté ailleurs dans ce dossier, le recours à une méthode plus rapide et publiquement assumée est devenu praticable là où il aurait été impensable au moment de la conception de Stuxnet.
Une arme conçue pour une cible unique est devenue un modèle reproductible
Stuxnet exploitait une absence d'authentification dans les versions plus anciennes du protocole industriel Siemens S7, en piratant les postes d'ingénierie utilisés pour programmer les automates. Quinze ans plus tard, si les modèles S7-1200 et S7-1500 plus récents prennent en charge des protocoles chiffrés, un grand nombre d'unités S7-300 et S7-400, dépourvues de cette protection, restent en service actif dans des installations industrielles à travers le monde. Cette persistance illustre combien la leçon technique de Stuxnet, pourtant démontrée publiquement depuis une décennie et demie, peine à se traduire en renouvellement effectif du parc industriel déployé.
Le concept que Stuxnet avait démontré, la possibilité de cibler spécifiquement des systèmes de contrôle industriel plutôt que des systèmes informatiques classiques, a par ailleurs été généralisé bien au-delà de sa conception initiale à cible unique. Le cheval de Troie Havex, d'abord dirigé contre l'aérospatiale et la défense avant de se réorienter vers le secteur énergétique en exploitant d'anciens protocoles pour cartographier les actifs industriels, et Industroyer2 en 2022, capable d'identifier les équipements connectés et d'envoyer des commandes de mise hors service, montrent que le modèle opérationnel pionnier de Stuxnet est devenu un répertoire de techniques disponible pour un éventail d'acteurs bien plus large que les deux gouvernements initialement capables, en 2010, de produire une arme d'une telle sophistication.
L'objectif initial est atteint, la vulnérabilité qu'il a révélée demeure
Le quinzième anniversaire de Stuxnet dresse ainsi un bilan à double face : l'objectif stratégique initial du sabotage, retarder puis finalement endommager durablement le programme d'enrichissement iranien, a été atteint par des moyens plus rapides et plus visibles que ceux que ses concepteurs avaient jugés nécessaires en leur temps, tandis que la vulnérabilité technique qu'il avait mise au jour pour la première fois reste, quinze ans et plusieurs attaques héritières documentées plus tard, suffisamment répandue dans le parc industriel mondial pour justifier une nouvelle audition parlementaire américaine.
Ce que l'observateur extérieur ne peut établir avec certitude reste l'ampleur d'une éventuelle capacité de sabotage numérique que les services de renseignement concernés continuent de maintenir en réserve, en parallèle de la volonté désormais ouvertement démontrée de recourir à la force conventionnelle pour atteindre les mêmes objectifs stratégiques, une combinaison de moyens dont la répartition exacte échappe, par construction, à toute évaluation indépendante depuis l'extérieur.
Sources documentaires
Edward Snowden
Une autre affaire où l'ampleur d'une capacité technique n'a été révélée que longtemps après sa mise en œuvre.
Lire l'analysePegasus
Une arme numérique commerciale dont la diffusion, contrairement à Stuxnet, n'est jamais restée limitée à un seul opérateur étatique.
Lire l'analyseAldrich Ames
Une compromission humaine classique, à l'opposé de la sophistication technique déployée dans le cas de Stuxnet.
Lire l'analyseCluster Chine
Le dossier Chine relie sécurité intérieure, cyberespionnage, Front uni et collecte technologique au service de la puissance d'État.
ComparerCluster États-Unis
Le dossier États-Unis éclaire la communauté du renseignement, ses moyens techniques, ses contrôles et ses rivalités bureaucratiques.
ComparerCluster Russie
Le dossier Russie distingue FSB, SVR, GRU, influence et action clandestine dans la stratégie de puissance de Moscou.
ComparerCluster Iran
Le dossier Iran analyse les services, les Gardiens de la révolution et les réseaux régionaux dans leur environnement politique.
Comparer
Analyste en géopolitique, anthropologie politique et relations internationales.