Cyber iranien : offensive régionale, répression interne, vraies failles

En juin 2025, alors que les bombes pleuvaient sur l’Iran, une autre bataille se livrait dans les serveurs. En quelques heures, la paie des Gardiens de la révolution s’est figée, les distributeurs de billets se sont éteints et 90 millions de dollars de cryptomonnaies sont partis en fumée. Le cyber iranien, longtemps redouté pour ses offensives, venait de découvrir l’ampleur de ses propres failles. Plongée dans une arme à double tranchant.

Trois fronts, une même doctrine

Le cyber iranien ne se résume pas à la défense des infrastructures. Il sert trois objectifs entrelacés : projeter la puissance régionale, surveiller la population et mener des opérations d’influence. Selon le Middle East Institute, l’originalité de Téhéran ne tient pas à l’invention de nouveaux outils, mais à leur usage simultané et coordonné — influence, répression, renseignement et coercition convergeant en temps réel, sous un pilotage stratégique de l’État¹.

Au cœur du dispositif, les Gardiens de la révolution. L’IRGC entretient l’une des capacités offensives les plus visibles du pays, associée à l’espionnage, aux opérations d’influence et aux actions perturbatrices à motivation politique². Cette centralisation reflète l’emprise des Gardiens sur tout l’appareil sécuritaire, déjà documentée dans notre analyse de leur rôle dans la politique étrangère iranienne. Le cyber est devenu un prolongement naturel de la guerre asymétrique iranienne : peu coûteux, déniable, à fort effet.

Un arsenal de groupes spécialisés

Derrière les sigles se cachent des équipes redoutées. APT35 — alias Charming Kitten ou Mint Sandstorm — mène depuis des années des campagnes d’hameçonnage ciblé contre diplomates, journalistes, chercheurs et milieux politiques². APT42 est particulièrement associé à la surveillance et à l’ingénierie sociale visant dissidents et activistes². À leurs côtés opèrent APT34, APT39, MuddyWater ou encore Cotton Sandstorm, mêlant espionnage et opérations d’influence².

Ces groupes ne dorment pas. De fin 2024 à fin 2025, APT35 a maintenu une campagne d’espionnage continue et techniquement évolutive, déployant notamment BellaCPP, une nouvelle version de son implant établi². La nouveauté de 2025, c’est l’irruption de l’intelligence artificielle : Téhéran déploie désormais des outils d’IA pour produire de la désinformation à destination des publics israélien et occidental, passant du trolling rudimentaire à une véritable « guerre de la perception » soutenue¹. Cette montée en gamme s’accompagne d’un écosystème de groupes « hacktivistes » mobilisables à la demande, dont l’analyse de la cyber-guerre iranienne montre l’imbrication avec l’appareil d’État.

L’épreuve de la guerre l’a confirmé. L’analyse de plus de 250 000 messages Telegram émanant de plus de 178 groupes hacktivistes a révélé une mobilisation éclair pendant le conflit de juin 2025 : reconnaissance, campagnes de déni de service, défigurations de sites et vols de données, coordonnées avec les opérations militaires sur le terrain³. Le cyber iranien n’est donc pas un silo isolé : il fonctionne en symbiose avec la stratégie militaire globale, brouillant la frontière entre acteurs étatiques et supplétifs « volontaires ».

Le choc de la guerre des 12 jours

Puis vint la démonstration inverse. La guerre de juin 2025 a révélé que l’attaquant pouvait devenir cible. Peu après les frappes israéliennes, le groupe Predatory Sparrow — que les analystes estiment lié à Israël — a cyberattaqué la banque Sepah, institution financière centrale des Gardiens, perturbant ses services et revendiquant l’effacement de ses données⁴.

L’effet domino fut spectaculaire. En frappant Sepah, les pirates ont rendu inopérante la paie militaire iranienne, plongé les distributeurs dans le noir et paralysé les services en ligne⁵. Dans la foulée, ils ont pénétré Nobitex, la plateforme dominante par laquelle transitent près de 90 % des transactions crypto du pays, pour en extraire puis détruire environ 90 millions de dollars d’actifs liés aux fonds de l’IRGC⁶. La banque Melli, pourtant non visée directement, n’a pu satisfaire la demande de liquidités ; le rial a chuté de plus de 12 % et les autorités ont suspendu la Bourse de Téhéran⁵. La leçon est rude : l’arme cyber iranienne protège mal son propre camp.

Le cyber comme outil de contrôle interne

Si l’offensive a montré ses limites, la répression numérique, elle, fonctionne à plein. Les outils cyber soutiennent la surveillance, le contrôle de l’information et la perturbation des réseaux d’opposition⁷. Des groupes comme APT34, APT35, APT39 et APT42 traquent les dissidents en ciblant des entités détenant de vastes bases de données : fournisseurs d’accès, systèmes médicaux, transports, télécommunications⁷.

L’arme ultime reste la coupure. En janvier 2026, les autorités ont mis en place un filtrage centralisé au niveau de la passerelle nationale, combinant empoisonnement DNS, listes blanches de protocoles et inspection profonde des paquets pour bloquer les services étrangers et neutraliser les outils de contournement⁸. Résultat : une réduction d’environ 90 % du trafic internet international du pays, sans le déconnecter totalement, officiellement pour « dissuader les cyberattaques israéliennes »⁸. Le prétexte sécuritaire masque mal la fonction réelle : museler la contestation.

Ce verrouillage s’appuie sur un projet de longue haleine : le « réseau national d’information », sorte d’intranet iranien permettant de maintenir les services intérieurs même lorsque l’accès au web mondial est coupé. En période de crise, le pouvoir peut ainsi isoler la population de l’extérieur tout en préservant ses propres outils de surveillance et de propagande. C’est l’aboutissement d’une doctrine où la cybersécurité se confond avec la sécurité du régime : protéger l’État moins des pirates étrangers que de ses propres citoyens connectés.

Une puissance réelle mais surévaluée

Le cyber iranien est un paradoxe. Capable de campagnes d’espionnage soutenues, d’opérations d’influence à l’IA et d’une répression interne implacable, il s’est pourtant révélé incapable de protéger ses propres institutions financières lors du test grandeur réelle de 2025. Cette asymétrie invite à la nuance : Téhéran est un acteur sérieux, mais pas le cybergéant que certains décrivent.

Le signal à surveiller n’est donc pas la prochaine attaque iranienne spectaculaire, mais la capacité du régime à colmater ses failles internes tout en maintenant sa pression sur les dissidents. Tant que l’Iran traitera le cyber comme un outil de survie du régime autant que de projection extérieure, ses adversaires garderont une longueur d’avance là où il est le plus exposé : chez lui. La prochaine guerre numérique se jouera peut-être autant sur ses serveurs que sur ceux de ses ennemis.