Cartographier et perturber les réseaux d'influence modernes

Lorsque j'ai découvert le renseignement issu des médias sociaux (SOCMINT), je me suis naturellement tourné vers les techniques d'analyse de comptes individuels, de désanonymisation et de mise au jour de contenus historiques liés à une identité donnée. C'est d'ailleurs toujours l'un des domaines les plus passionnants du renseignement d'origine sources ouvertes (OSINT), tant le répertoire de techniques inédites permettant de cartographier une identité est inépuisable.

Si l'analyse ciblée me tient particulièrement à cœur et reste d'une importance capitale, je veux aujourd'hui parler d'un autre type de SOCMINT : l'analyse à l'échelle de réseaux entiers, portant sur un nombre massif de comptes souvent hébergés sur des plateformes totalement différentes.

Comprendre la dynamique des réseaux d'influence

Ces enquêtes visent le plus souvent à comprendre des réseaux de désinformation étrangers, le « spamouflage » chinois ciblant les élections occidentales, des réseaux d'influence liés à l'Iran, ou d'immenses fermes de bots au service d'escroqueries aux cryptomonnaies. Loin de l'image du détective scrutant un tableau d'indices pour élucider un homicide ou une fraude, les attaques informationnelles en ligne représentent désormais l'une des surfaces d'attaque les plus activement exploitées au monde, si ce n'est la première.

Au cours de l'année passée à construire Intrace, j'ai eu l'occasion d'étudier ces réseaux sous tous les angles. Naturellement, il est logique de commencer par les acteurs de la menace. Quelles sont leurs motivations et leurs incitations ? Qu'ont-ils à y gagner ? Quel est le profil de ceux qui exploitent habituellement les réseaux sociaux pour diffuser un message ?

Quand j'analyse les acteurs derrière ces campagnes, un schéma revient sans cesse : ils sont rarement mus par la seule idéologie, quand ils le sont. Certes, il existe des communautés militantes de base qui se comportent comme des réseaux d'influence par une sorte d'effet naturel, mais elles agissent généralement avec moins d'intentionnalité. La plupart sont plutôt animés par un mélange d'incitations financières, de directives politiques et d'opportunisme. Certains sont inoffensifs, comme des prestataires de réseaux sociaux cherchant à atteindre des quotas d'engagement, tandis que d'autres sont des équipes liées à des États chargées d'orienter des récits précis — et beaucoup se situent quelque part entre les deux.

Créer la campagne de désinformation parfaite tient peut-être moins à la fabrication d'un mensonge parfait qu'au façonnage de l'environnement autour du mensonge, de sorte que personne ne songe à le remettre en question. Ce sont le volume, la persistance et le tempo qui exploitent une faille fondamentale de la pensée humaine : nous avons tendance à voir des motifs partout. Une fois que l'on comprend comment ces systèmes fonctionnent à grande échelle, les comptes individuels ressemblent moins à des personnages d'une histoire qu'à des pièces interchangeables d'une machine conçue pour inonder les utilisateurs.

Perturber les réseaux d'influence est difficile

Le fait que les comptes soient largement interchangeables pose de toute évidence un problème majeur. Les meilleurs analystes du monde peuvent cartographier un réseau de comptes qui pousse une arnaque aux cryptomonnaies auprès de personnes âgées. Ils peuvent même parfois obtenir la fermeture de ces comptes lorsque ceux-ci se livrent à des activités explicitement criminelles. La vérité brutale, c'est que cela ne change souvent rien : les abonnés ne coûtent presque rien, et si une escroquerie offre un bon retour sur investissement, elle sera de nouveau opérationnelle dès le lendemain matin, sinon dans l'heure.

D'où la question : pourquoi un analyste devrait-il se donner la peine de cartographier ces réseaux numériques ? La réponse est la suivante : même si l'on ne peut pas arrêter ce renouvellement permanent, comprendre la structure du système donne une chance de voir comment l'opération respire réellement, où elle est fragile, et où une intervention bien placée peut gripper tout le moteur suffisamment longtemps pour que cela compte.

Perturber les réseaux via les comptes-sources

Un exemple concret : lorsqu'un réseau dépend de quelques « comptes-sources » centraux qui alimentent en contenu des centaines de comptes bots en aval. Si ces comptes-sources sont identifiés et supprimés, le bavardage en aval s'effondre pendant un temps, car les bots n'ont plus rien de frais à relayer.

Cela ne compte vraiment que dans les moments brefs ou sous haute pression où le tempo est décisif : élections, scandales viraux, batailles politiques soudaines. Les cycles d'actualité s'accélèrent chaque année à mesure que l'attention se fragmente ; si un réseau manque sa fenêtre, il perd sa chance de devenir viral et de façonner l'opinion. Cela compte beaucoup moins dans les campagnes au long cours, où les acteurs disposent de nombreuses solutions de repli et peuvent se reconstruire rapidement. Là, vous épuiserez vos ressources plus vite que l'adversaire.

Perturber les réseaux dépendants de cycles d'amplification

Un autre exemple concerne les cycles d'amplification coordonnés. Certains réseaux misent sur un minutage serré pour faire monter une publication en tendance avant que les plateformes ne puissent réagir. Si vous comprenez ce rythme, perturber la première vague peut tuer toute la campagne avant qu'elle ne prenne. Sans accès administrateur pour modérer les plateformes, les options pour perturber une opération de ce type sont plus restreintes, mais cela reste possible.

L'injection de bruit fonctionne bien, car elle encombre la surface algorithmique que les acteurs tentent de piloter. Si vous parvenez à insérer suffisamment tôt des publications sans rapport, des commentaires ou du contre-contenu dans le même hashtag ou le même sujet, leur première vague ne peut pas décoller. Précision importante : il est essentiel d'aborder ce genre d'opérations de manière éthique.

Le meilleur cas d'usage est celui où l'opération repose lourdement sur la portée plutôt que sur le fond, ce qui vaut pour la majorité des opérations d'influence, du détournement de tendances aux tempêtes d'indignation fabriquées. Briser la première vague suffit souvent à faire échouer tout le plan ; en revanche, cela importe moins lorsque les acteurs se moquent des sujets tendance et cherchent à infiltrer une niche sur la durée.

Perturber les réseaux multiplateformes

Un troisième cas concerne les passerelles entre plateformes, qui représentent un défi majeur pour les analystes lorsqu'ils tentent de cartographier l'activité d'une plateforme à l'autre. Beaucoup de ces opérations s'appuient toutefois sur un forum, un groupe ou un canal de discussion unique servant de base arrière. Priver ce hub de visibilité oblige les acteurs à reconstruire leur chaîne de travail et ralentit la propagation. Je ne détaillerai pas ici toutes les méthodes possibles pour perturber un canal de ce type, cela mérite un billet à part entière ; notons simplement qu'une stratégie basique d'encombrement et de dilution y fait des merveilles.

L'impact est démultiplié lorsque la passerelle constitue un goulot d'étranglement, par exemple quand une petite équipe d'administrateurs coordonne un grand nombre d'amplificateurs peu qualifiés. Si le goulot cède, tout le système perd sa coordination. Cela compte moins dans les écosystèmes décentralisés où la planification se répartit entre de nombreux groupes parallèles. Les LLM et l'intelligence artificielle posent ici aussi un nouveau défi, car des publications artificielles permettent de contourner ces goulots d'étranglement.

Perturber les réseaux à figures de proue

Il existe aussi des réseaux fondés sur la réputation, où une poignée de comptes jouent le rôle de garants pour donner à tout le reste une apparence de crédibilité. C'est le seul cas où la bataille porte moins sur l'attention pure que sur la perception : exposer publiquement ces garants peut briser l'illusion et rendre le reste du réseau moins convaincant.

Cela compte lorsque l'audience s'appuie sur une figure de proue pour accorder sa confiance au message, comme dans les communautés politiques marginales, les cercles financiers de niche ou les sphères complotistes. Une fois les garants discrédités, le reste du réseau redevient du bruit. Cela compte moins lorsque la campagne opère déjà dans des environnements chaotiques ou anonymes où personne n'attend de crédibilité, et où des figures de remplacement comblent souvent le vide rapidement.

Perturber les grands réseaux d'influence

Quel que soit le type d'attaque, une faiblesse extrêmement répandue est la paresse opérationnelle. Les acteurs réutilisent images, formulations et infrastructures d'une campagne à l'autre. Même lorsque la formulation n'est pas identique, l'apprentissage automatique moderne sait détecter les similitudes, et mettre en évidence ces empreintes peut aider les plateformes à détecter et supprimer des lots entiers au lieu de retirer les publications une à une.

Cette approche est généralement la plus efficace lorsque les acteurs s'appuient sur l'échelle pour perpétuer des activités illégales : spam de masse, vagues d'escroqueries ou opérations d'influence politique étrangère. Plus ils recyclent leur propre matériel, plus il est facile d'éradiquer de larges grappes. Elle compte bien moins lorsque l'opération est dotée de moyens importants et fait tourner ses actifs assez vite pour qu'aucun motif ne persiste suffisamment longtemps pour être exploité. Cela force les acteurs de la menace à troquer l'échelle contre la fiabilité — et l'échelle est généralement le facteur numéro un qui fait le succès ou l'échec d'une campagne informationnelle.

Astuce de pro : si vous n'avez pas d'accès direct à la modération de la plateforme concernée, vous pouvez mettre en place une infrastructure de signalement automatique des comptes (attention, cela peut contrevenir aux conditions d'utilisation) ou mener une campagne de contextualisation.

Perturber les chambres d'écho

À propos de contextualisation : lorsque l'acteur de la menace n'a commis aucun crime mais pousse un récit, cette approche est souvent la meilleure option. Signaler et recadrer les publications peut en émousser l'impact sans les supprimer purement et simplement. Les Community Notes de X.com en sont un bon exemple, s'appuyant sur des corrections et clarifications participatives pour démocratiser la vérification des faits. C'est prometteur, mais non sans compromis, puisque tout système ouvert peut devenir une surface d'attaque. La méthode de YouTube, qui ajoute des liens vers Wikipédia, est une autre déclinaison de cette idée, quoiqu'elle repose sur une modération plus lourde côté Wikipédia et que, plutôt que de laisser les utilisateurs ajouter directement du contexte, ce soit l'algorithme de YouTube qui détecte lorsqu'un contenu pourrait être sensible.

Dans nos premières recherches, l'approche de X semble mieux fonctionner. Elle est plus communautaire et adaptée à chaque publication, avec des notes qui correspondent au contenu réel. La méthode de YouTube suscite plus souvent des inquiétudes de censure ou de partialité, soit parce qu'elle est moins communautaire, soit parce que le contexte est générique et ne varie pas d'une publication à l'autre. Il n'en reste pas moins qu'ajouter du contexte, dénoncer une activité suspecte ou accoler des éléments de fond à des affirmations répétées peut modifier la manière dont le contenu est reçu.

Ces interventions plus douces fonctionnent le mieux contre les campagnes à faible effort, où les acteurs comptent sur des utilisateurs qui prennent tout pour argent comptant ; elles peuvent s'avérer moins efficaces si le sujet est très clivant ou déjà largement connu.

La contextualisation ne nécessite pas de contrôler la plateforme et, au bout du compte, la meilleure façon de façonner le récit est d'obtenir plus d'engagement que vos adversaires ; aussi, une action comme rediriger les vrais contributeurs vers une chambre d'écho peut être la plus efficace lorsque c'est possible.

Chez Intrace, nous construisons des systèmes de renseignement transdomaines, de la cartographie d'influence à l'analyse de réseaux au sens large sur le web ouvert. Si vous rencontrez des difficultés où que ce soit dans ce paysage, ou si vous avez besoin d'une visibilité plus fine sur le fonctionnement de ces opérations, contactez-nous : nous serions ravis d'y regarder ensemble.