Cyberpuissance indienne : l'épreuve d'Operation Sindoor

Le 7 mai 2025, l’Inde lance Operation Sindoor en représailles à l’attentat de Pahalgam. Mais la riposte ne se joue pas seulement à coups de missiles : en quelques heures, le cyberespace indien devient un champ de bataille. Plus de 1,5 million de cyberattaques s’abattent sur le pays, dont quelque 200 000 visent le seul réseau électrique national.¹ Pour New Delhi, c’est l’épreuve de vérité d’une cyberpuissance patiemment bâtie depuis une décennie.

Une architecture longtemps éclatée, désormais coordonnée

Pendant des années, la cyberdéfense indienne a souffert d’un défaut structurel : la dispersion. Plusieurs agences se partageaient des compétences mal délimitées, sans pilotage unifié. Le tableau s’est clarifié. Selon une cartographie de la Fondation Carnegie, l’édifice repose aujourd’hui sur quatre piliers : le Secrétariat du Conseil de sécurité nationale, rattaché au cabinet du Premier ministre ; le Centre indien de coordination de la cybercriminalité (I4C) au ministère de l’Intérieur ; la Defence Cyber Agency au ministère de la Défense ; et le CERT-In au ministère de l’Électronique et des Technologies de l’information.²

La pièce maîtresse militaire est la Defence Cyber Agency (DCyA). Créée en 2019 et opérationnelle depuis 2021, cette structure interarmées protège les infrastructures de défense, coordonne les opérations cyber des trois armées et applique la doctrine interarmées des opérations dans le cyberespace, publiée en 2024.² L’Inde a ainsi franchi un cap doctrinal : le cyber n’est plus un appendice technique, mais un domaine de manœuvre à part entière, au même titre que la terre, la mer ou l’air.

Le CERT-In, sentinelle du quotidien numérique

Si la DCyA tient le front militaire, le CERT-In garde le front civil. L’ampleur de sa tâche donne le vertige : en 2025, l’équipe nationale de réponse aux urgences informatiques a traité près de 2,94 millions d’incidents, émis 1 530 alertes, 390 notes de vulnérabilité et 65 avis de sécurité.³ Surtout, elle a conduit 122 exercices de cybersécurité associant quelque 1 570 organisations publiques et privées — un effort de montée en compétence à l’échelle de la nation.³

Son rôle dépasse les frontières. En février 2025, le CERT-In a cosigné, avec l’agence française de cybersécurité, un rapport conjoint de haut niveau sur l’analyse des risques liés à l’intelligence artificielle, intitulé « Construire la confiance dans l’IA par une approche fondée sur les cyber-risques ».² Cette coopération illustre l’insertion de l’Inde dans les réseaux internationaux de référence, dans le prolongement de l’alliance stratégique entre l’Inde et la France.

Cet ancrage international n’est pas neutre. Pour New Delhi, la cybersécurité est aussi un terrain diplomatique : participer aux discussions multilatérales sur les normes du cyberespace, partager le renseignement sur les menaces avec ses partenaires, peser sur les règles qui encadreront demain les conflits numériques. L’Inde y voit un prolongement naturel de son ambition de puissance responsable, capable de défendre ses intérêts tout en contribuant à un ordre numérique fondé sur des règles. La signature aux côtés de Paris, mais aussi les échanges techniques avec Washington, Tokyo ou Canberra, dessinent une diplomatie cyber qui complète l’arsenal défensif.

Operation Sindoor, le baptême du feu

Le printemps 2025 a mis ces capacités à l’épreuve grandeur nature. Après l’attentat du 22 avril à Pahalgam et le déclenchement d’Operation Sindoor, le cyberespace indien a été pris pour cible par de multiples acteurs liés au Pakistan, doublés d’une vague de propagande coordonnée.⁴ Les attaques par déni de service distribué ont frappé des organisations majeures : administration fiscale, Hindustan Aeronautics, chemins de fer indiens, opérateur télécoms public.⁴

Le bilan, dressé par les autorités de l’État du Maharashtra dans un rapport baptisé « Road of Sindoor », recense plus de 1,5 million de cyberattaques sur la période, dont 150 ont effectivement percé les défenses indiennes.¹ La menace la plus sérieuse n’était toutefois pas le déni de service, spectaculaire mais superficiel, mais l’espionnage ciblé : le groupe APT36 a déployé le maliciel Crimson RAT contre les réseaux de défense.⁵ Des analystes du RUSI britannique soulignent que cette confrontation marque une escalade durable de la rivalité indo-pakistanaise dans le cyberespace.⁶ L’enjeu rejoint directement l’approche de l’Inde en matière de souveraineté des données.

L’épisode a aussi confirmé que la guerre de l’information accompagne désormais la guerre informatique. En parallèle des intrusions, des acteurs basés au Pakistan ont mené d’intenses campagnes de désinformation coordonnées, cherchant à présenter l’attentat de Pahalgam comme une opération sous fausse bannière et à dépeindre Operation Sindoor comme visant des civils.⁴ Pour les défenseurs indiens, le défi est double : protéger les systèmes et contrer les récits. Cette imbrication du technique et du narratif est l’une des grandes leçons stratégiques de 2025, et place la résilience cognitive au même rang que la résilience des réseaux.

Le tournant de l’intelligence artificielle

La leçon de 2025 a accéléré une mutation déjà engagée. La stratégie indienne bascule vers une défense proactive et pilotée par le renseignement, où l’intelligence artificielle joue un rôle central. L’exercice national de cybersécurité 2025 a précisément servi de plateforme de montée en puissance, en simulant des scénarios d’attaques fondées sur l’IA et des procédures de réponse aux incidents elles-mêmes dopées à l’IA.⁷

Ce virage technologique s’appuie sur des atouts structurels : une population jeune et connectée, un vivier d’ingénieurs et un écosystème de start-up dynamique. Il dépend aussi de la capacité du pays à sécuriser sa base matérielle, ce qui renvoie aux enjeux du développement de l’industrie des semi-conducteurs en Inde et du développement de l’intelligence artificielle en Inde. Sans souveraineté sur les puces et les modèles, aucune cyberpuissance n’est pleinement autonome.

Une puissance encore en construction

Operation Sindoor a livré un verdict nuancé. L’Inde a tenu : la grande majorité des assauts ont été repoussés, et les coupures réelles sont restées limitées et brèves. Mais l’épisode a aussi exposé des fragilités — manque de sensibilisation dans le tissu économique, surface d’attaque immense d’un pays en pleine numérisation, sophistication croissante des adversaires étatiques.

Le signal à surveiller est désormais l’institutionnalisation. L’Inde dispose des structures, de la doctrine et des talents ; reste à les souder en une chaîne de commandement fluide et à généraliser une culture du risque au-delà des cercles techniques. La prochaine crise dira si la cyberpuissance indienne est arrivée à maturité, ou si elle demeure un chantier permanent dans un cyberespace régional de plus en plus militarisé.