L’Ecole de Guerre Economique a publié en mars 2018 un rapport qui analysait le mécanisme de l’attaque financière sur le cours de bourse de la société Vinci en novembre 2016. Citons à ce propos un extrait de la préface de ce rapport :
« Le groupe Vinci a été victime au cours des trois dernières années d’au moins deux de ces formes d’attaque. La première remonte à mars 2015. Le groupe Vinci fut subitement sous les feux de l’actualité à propos de sa manière de diriger la main d’œuvre locale postée sur les chantiers liés à l'organisation du Mondial 2022 de football au Qatar. L’association Sherpa porta plainte contre Vinci Construction Grands Projets (VCGP) et sa filiale qatarie QDVC pour travail forcé, réduction en servitude et recel. Le parquet de Nanterre ouvrit à l’époque une enquête préliminaire pour vérifier les allégations de Sherpa. Cette accusation incita Vinci à exercer une pression sur sa filiale qatarie. Cette démarche aboutit à la création de chartes éthiques. Une telle attaque souleva un certain nombre de questions. Y avait-il une force concurrente qui avançait masquée en faisant en sorte que des acteurs de la société civile s’emparent du problème ? La pris en compte de cette hypothèse impliquerait de répondre à d’autres interrogations. Quelle était la nationalité du concurrent qui serait à l’origine de cette crise informationnelle ? Certains indices recueillis par des observateurs extérieurs à Vinci indiquaient qu’il n’était pas aberrant de se demander si l’attaque en question avait un lien avec un concurrent français. La seconde attaque eut lieu un an plus tard. Ell visait notamment à faire chuter le cours de bourse du groupe industriel. Le résultat fut atteint en quelques heures. »
Dix ans plus tard, il nous a semblé utile de revenir sur ce cas pour en tirer un certain nombre d’enseignements dans le domaine de la guerre de l’information.
Rappel des faits
En novembre 2016, le groupe Vinci, symbole du capitalisme d'infrastructure français, subit une frappe aussi rapide qu’efficace : un communiqué de presse intelligemment falsifié, diffusé aux agences financières, déstabilise le cours de l’action. En quelques minutes, la valeur de l'action chute de près de vingt pour cent, effaçant des milliards d'euros de capitalisation. Au regard des enjeux, il est important de tenter de voir qui, ou quoi, peut être à la manœuvre, dans les actions de cette nature.
L’attaque
Mardi 22 novembre 2016. 16h05. Plusieurs rédactions financières reçoivent un courriel émanant d’une adresse terminant par @vinci.group. Ce message, rédigé dans un style irréprochable, contient des renseignements explosifs pour le groupe : des irrégularités comptables de 3,5 milliards d’euros ont été découvertes, les comptes des années 2015 et du premier semestre 2016 doivent faire l’objet de révision, le directeur financier du groupe Vinci est licencié séance tenante. La note renvoie vers un site Internet, reprenant minutieusement la charte graphique du groupe, et indique les coordonnées du « service presse ». Une opération commando informationnelle visant Vinci vient de démarrer.
16 h 06. L'agence Bloomberg, réputée pour la fraîcheur de ses dépêches, publie la nouvelle sans en vérifier l’authenticité. Son effet est immédiat : l’action dévisse et déclenche des programmes de vente automatique. D'autres médias (BFM, ABC Bourse, etc.) relaient l’information dans la foulée, accentuant encore la panique. En huit minutes, l'action perd 18,28 %.16 h 15. Euronext suspend la cotation. 16 h 27. Un second courriel est envoyé, prétendant démentir le premier, envoyé cette fois depuis une adresse liée au domaine @vinci‑group. 17 h 02. Vinci publie un communiqué officiel sur son site, démentant formellement les deux précédents messages. Une demi-heure plus tard, alors que la Bourse a fermé, un troisième message intitulé « Action médiatico‑boursière contre Vinci : revendication » est adressé à quelques journalistes ; il salue la chute boursière comme un sabotage contre la « colonne de béton » et cite la forêt de Notre‑Dame‑des‑Landes, les travailleurs népalais et indiens sur les chantiers au Qatar, ainsi que la corruption présumée autour d’un projet d’autoroute en Russie.
L'Autorité des marchés financiers (AMF), alertée par Vinci, ouvre immédiatement une enquête et maintient la suspension de la cotation. Bloomberg retire ses dépêches et publie un correctif. L'AMF notera que ce média a diffusé une information manifestement improbable sans vérification ; elle lui infligera en 2019 une amende de cinq millions d'euros, ramenée à trois millions en appel.
Modus operandi.
Le groupe Vinci est durement touchée : plusieurs milliards d’euro de valorisation s’évaporent en quelques minutes et sa réputation est entachée. Ses actionnaires, petits porteurs et fonds institutionnels, subissent des pertes immédiates. Vinci doit en outre consacrer des ressources à la gestion de crise et à la sécurisation de ses communications, prenant conscience du risque énorme posé par l’absence de maîtrise de ses noms de domaine connexes.
Les journaux financiers, quant à eux, apparaissent comme les vecteurs involontaires de l'attaque. Bloomberg, en relayant la fausse nouvelle sans vérification, lui donne une visibilité et une crédibilité précieuses. Dans cette attaque dite par réfexion, Bloomberg, trop rapide, joue le rôle de réflecteur principal. Si c’est sur le seul Bloomberg, du fait de son rôle initial et de son influence, que s’abattra la main du juge, tout un secteur informationnel, en reprenant sans restriction la dépêche, alimente sa crédibilité et le phénomène d’emballement. La faille est facilement identifiable : sur un marché financier où la vitesse garantit la rentabilité, les plateformes d’actualité boursière sont un maillon vulnérable permettant d’injecter efficacement de la désinformation.
L’opération est très bien montée et éxecutée. S’il n’est pas possible d’en identifier les auteurs, il est toutefois possible d’en esquisser le portrait, et de définir des scénarios. Revenons d’abord sur les élements techniques.
Les noms de domaine, d’abord. vinci.group a été déposé par un individu se présentant comme Thomas Moulaert, résidant à Roermond, aux Pays‑Bas, de telle sorte qu’il s'agit manifestement d'une identité usurpée. Le second domaine, vinci‑group.com, a été déposé par un homme appelé Matthias Barbier. Il détient de multiples domaines et affirme ne rien savoir de cette affaire. On peut en déduire que les auteurs ont volontairement semé de fausses pistes en utilisant des prêtes-noms, réels ou inventés de toute pièce. Les adresses IP, ensuite. Les deux courriels ont été envoyés via des connexions aux servers d'abonnés Orange, situés dans le Maine‑et‑Loire. La revendication, quant à elle, émane des infrastructures Free, dans le Nord‑Pas‑de‑Calais. Cette découverte suggère soit une équipe géographiquement dispersée en France, soit l'usage de VPN, de relais SMTP ou d'ordinateurs privés compromis par piratage. La pluralité des sources physiques complexifie l'attribution.
Le téléphone du « service presse », enfin. : le numéro indiqué dans le faux communiqué renvoie à une carte SIM indienne prépayée installée à Londres. La mise en scène est soignée : un interlocuteur se fait passer pour le porte‑parole du groupe Vinci, confirme la véracité du communiqué, puis raccroche. Ce procédé est crucial, c’est lui qui donne aux journalistes l'illusion d'un contact réel, tout en protégeant l'anonymat des fraudeurs.
Le troisième message, diffusé après la fermeture du marché, revendique l'attaque au nom d'une cause militante. Le texte célèbre la « dégringolade financière » de Vinci et affirme que « la forêt de Notre‑Dame‑des‑Landes a elle‑même senti le béton reculer ». Il évoque la mort d’ouvriers sur les chantiers au Qatar et la corruption autour d'un projet Vinci en Russie, l’ensemble adoptant la sémantique radicale des luttes anticapitalistes. Il est également fait mention de la ZAD de Notre‑Dame‑des‑Landes, lieu de contestation du projet d'aéroport dont Vinci était concessionnaire.
Plusieurs éléments laissent planer le doute quant à l’origine de cette revendication. Le style est nettement moins soigné que celui des premiers communiqués. La tonalité est clairement militante, et le texte truffé de fautes. On peut y voir une tentative de dissimulation des véritables auteurs, afin de faire croire à une opération politique, en brouillant les pistes autour de la manipulation financière. Il est également possible que des anarchistes se soit saisi de l’affaire, et l’ait revendiquée de manière opportuniste, à peu de frais.
Des spéculateurs avertis peuvent tirer un gain substantiel d'un effondrement suivi d'un rebond. Les analyses d'ABC Bourse et de plusieurs experts estiment que l'opération aurait pu rapporter plusieurs dizaines de millions d'euros à ceux qui auraient vendu à découvert puis racheté au point le plus bas du creux. Néanmoins, l'AMF, après avoir scruté les transactions, n'a pas identifié d'opérations suspectes majeures. Cela ne prouve pas l'inexistence d'un enrichissement : les auteurs ont pu utiliser des produits dérivés ou des comptes anonymes, ou passer par des places de marché étrangères. L’affaire n’a donné lieu à aucune poursuite, après vérification, dans les pays de la zone euro.
Attribution (s?)
La difficulté d'attribution ne doit pas nous empêcher de proposer des hypothèses structurées, en tenant compte de la vraisemblance et des indices disponibles.
Première hypothèse : l'opération est orchestrée par un groupe de spéculateurs aguerris. Les éléments qui renforcent cette hypothèse sont :
La qualité rédactionnelle et la précision du premier communiqué, qui supposent une maîtrise des codes financiers et juridiques.
L'envoi synchronisé aux grandes agences, l'usage de sites miroir et de numéros prépayés, qui révèlent des moyens et une planification.
Le fait que la revendication militante semble artificielle et interposée.
Dans ce cadre, les auteurs auraient vendu des actions Vinci ou acheté des options de vente juste avant l'envoi du communiqué, puis racheté après la chute pour empocher la différence. Les gains potentiels sont d'autant plus élevés qu'ils ont agi sur d'autres valeurs corrélées. Ils auraient ensuite diffusé la revendication militante pour brouiller les pistes. L'utilisation de fausses identités et de lignes téléphoniques jetables s'explique par la volonté de masquer leurs traces.
Seconde hypothèse : on peut raisonnablement imaginer que des militants de la mouvance zadiste, de collectifs écologistes ou d'organisations anarchistes soient à la manœuvre. L'objectif serait symbolique : fragiliser Vinci en punissant son implication dans des projets contestés (aéroport de Notre‑Dame‑des‑Landes, chantiers à l'étranger). Les éléments qui plaident en ce sens sont :
La revendication explicite au nom de la forêt et des luttes sociales.
L'existence de précédents où des militants ont diffusé de faux communiqués pour dénoncer des entreprises (cf. les actions de The Yes Men contre Dow Chemical ou Total).
La plausibilité de ce scénario se heurte en revanche à plusieurs obstacles. D’abord, la sophistication technique de l'opération excède les capacités habituelles de collectifs militants, et les plus-values boursières potentielles sont incompatibles avec la démarche purement idéologique de groupes anarchisants. De plus, l'AMF ne relève aucune revendication crédible de la part de ces groupes, à l’exception du communiqué douteux. Cette hypothèse reste crédible car elle peut être l'œuvre de militants disposant de compétences informatiques et financières, ou s’inscrivant dans des actions hybrides cherchant à la fois nuire à Vinci, et financer la lutte.
Troisième hypothèse : on ne peut exclure qu'il s'agisse d'un test effectué par un acteur étatique ou paraétatique pour mesurer la résilience des marchés face à la désinformation, ou d'une diversion visant à détourner l'attention d'une autre opération. Cette hypothèse repose sur des spéculations liées aux éléments techniques : la présence exclusive des IP françaises et la revendication incohérente peut être un leurre destiné à mobiliser en vain les autorités de marché de la France. La valeur de Vinci, en tant que composante du CAC 40 et contractant de marchés publics, pourrait être un terrain d’essai de manœuvres de déstabilisation.
Cependant, la non‑détection d'actes parallèles rend cette hypothèse moins probable. Si un service de renseignement avait voulu tester la sécurité informationnelle, il aurait sans doute choisi une cible moins emblématique afin de ne pas attirer l’attention, ou cherché à tester plus avant la capacité de gestion de crise de l’AMF. Nous classons donc cette piste comme marginale.
RETEX
L'affaire du faux communiqué de Vinci constitue une opération d’attaque informationnelle exemplaire. Elle cristallise les défaillances, et le brio, de l’ensemble des acteurs impliqués ; l’information y est utilisée brièvement, en séquence, de manière brutale, et produit des effets décisifs. Du point de vue stratégique, cette affaire révèle la vulnérabilité des marchés financiers aux fausses nouvelles diffusées via des canaux réputés. L'exemple de Bloomberg montre que la recherche de l'exclusivité l'emporte parfois sur le professionnalisme dont devrai faire preuve un organe médiatique. Cette affaire met une nouvelle fois en avant l’importance extrême de la protection de la réputation numérique, les noms de domaine connexes ouverts étant une faille béante et impardonnable. Enfin, la nécessité d'anticiper des scénarios hybrides, où la frontière entre militantisme politique et manipulation financière est plus que tenue, est évidence tactique, et surtout financière.
Leçons à tirer de ce cas d’école
Le groupe Vinci a immédiatement déposé une plainte contre X, ouvrant une enquête judiciaire pour traquer les auteurs (évoquant des hacktivistes ou des opérateurs cherchant à manipuler le marché à court terme).
Cet événement est devenu un cas d'école en intelligence économique sur la prophétie auto-réalisatrice et la vitesse à laquelle les algorithmes financiers, les médias en continu et l'effet de mimétisme amplifient une fake news avant même qu'un contrôle de vérification (fact-checking) ne puisse être opéré.
L'attaque a montré que la cybersécurité ne se limite plus seulement au vol de données ou au ransomware, mais englobe désormais la manipulation directe de l'opinion et des cours de bourse par la démocratisation des outils de désinformation (storytelling et usurpation d'identité institutionnelle).
Le mystère des auteurs reste entier sur l’origine de l’attaque. Du moins officiellement. Bien que Vinci ait immédiatement saisi le Parquet national financier (PNF) et déposé plainte contre X, ni la justice française, ni l'Autorité des marchés financiers (AMF) n'ont réussi à identifier formellement les hackers ou les spéculateurs derrière le site miroir et les e-mails.
L'épilogue judiciaire a eu lieu en 2024 lorsque la Cour de cassation a définitivement condamné l'agence de presse Bloomberg à une amende de 3 millions d'euros. L'AMF a jugé que le média avait diffusé ces informations d'une extrême gravité sans vérification préalable élémentaire, manquant à ses obligations professionnelles.
Xavier Ruiz (MSIE50 de l’Ecole de Guerre Economique)