: Enquête franceinfo Derrière les tags d'étoiles de David à Paris, un vaste réseau de désinformation russe

Tout commence dans la nuit du 26 au 27 octobre 2023 dans le 10e arrondissement de Paris, au croisement des rues de Belzunce et de Rocroy. Il est un peu plus de 2 heures du matin. Les trottoirs sont déserts. Un riverain sort prendre l’air pour fumer une cigarette. Au pied de son immeuble, il demande du feu à un passant : "Il m’a répondu en français qu’il n’en avait pas, alors j’ai dû revenir chercher mon briquet." Depuis sa fenêtre, il observe alors un étrange manège : "Je vois une femme et un homme habillé en noir, capuche sur la tête, positionné en retrait, comme s’il faisait le guet. J’aperçois un pochoir avec une étoile de David. Quand j’ai vu que la femme avait tagué plusieurs étoiles, j’ai appelé la police." Une fois les deux individus appréhendés, le voisin observe une autre scène : "Une troisième personne a pris des photos des tags tout en restant aux aguets. J’ai compris qu’elle était de mèche avec le couple et j’ai tout de suite reconnu l’homme à qui j’avais demandé du feu." Ce dernier s’enfuira sans être inquiété.

Placé en garde à vue, le couple s’avère être de nationalité moldave. Il était arrivé peu avant à l’aéroport de Beauvais, en provenance de Chisinau, la capitale de Moldavie. Constatant qu’ils sont en situation irrégulière, la préfecture les place en centre de rétention et ordonne leur expulsion. La dizaine d’étoiles qu’ils ont taguées sont très vite effacées. L’opération passe alors inaperçue.

Mais trois nuits plus tard, une seconde équipe peint les mêmes étoiles de David, cette fois sans être inquiétée. Environ 250 tags seront retrouvés dans trois arrondissements de Paris (14, 15 et 18e) et dans plusieurs villes de banlieue (Saint-Ouen et Saint-Denis en Seine-Saint-Denis ; Issy-les-Moulineaux, Fontenay-aux-Roses et Vanves dans les Hauts-de-Seine). L’émotion, là, est immense. Les réseaux sociaux, comme les médias, s’en emparent. La plupart des commentaires assimilent ces dessins à la flambée des actes antisémites, recensés en France et dans le monde. L’offensive terrestre d’Israël à Gaza vient de commencer, moins d’un mois après les attentats du Hamas.

Plusieurs éléments, pourtant, ne collent pas. "C’est une opération atypique par rapport aux autres actes antisémites", confie quelques jours plus tard le préfet de police de Paris, Laurent Nuñez, sur BFMTV. L’opération semble effectivement trop bien organisée. Et le parquet de Paris va découvrir qu’il existe des liens étroits entre la première et la deuxième équipe de taggeurs. Sur les vidéos de caméras de surveillance enregistrées lors de la seconde nuit, apparaissent un homme et une femme accompagnés d’une troisième personne. "Nous pensons que cette troisième personne était la même que celle qui avait accompagné le premier couple", explique la porte-parole du parquet. Autrement dit : le photographe. Selon une source proche du dossier, confirmant les informations de Libération, la deuxième équipe a réussi à fuir en prenant un Flixbus vers Bruxelles. Elle aussi était arrivée en France à l’aéroport de Beauvais en provenance de Moldavie. Et tout comme la première équipe, elle avait séjourné dans un hôtel du 9e arrondissement de Paris.

Un commanditaire pro-russe

L’enquête progresse très vite grâce au témoignage du couple incarcéré. Il désigne un commanditaire : Anatoli Prizenko, un Moldave russophone de 50 ans, marié et père de famille, qui vit près de Chisinau, la capitale moldave. Contacté par la cellule investigation de Radio France via ses réseaux sociaux, l’homme reconnaît avoir ordonné l’opération, mais nous donne une justification surprenante. "C’était un acte de soutien envers les Juifs, car les étoiles étaient bleues, comme les couleurs du drapeau national d’Israël, nous écrit-il. Le bruit provoqué dans la presse a été suscité par les déclarations de vos maires, du Premier ministre et du procureur. C’est leur interprétation erronée qui a créé autant d’indignation."

Étonnamment, Anatoli Prizenko va jusqu’à s’attribuer la paternité de la marche contre l’antisémitisme qui a réuni des milliers de personnes dans les rues de Paris le 12 novembre. "Grâce à cette opération, la société française a pu dialoguer", soutient-il, affirmant qu’il aurait agi à la demande d’une organisation, "Boucliers de David", qu’il présente comme un groupe de Juifs anonymes d’Europe. Nous n’avons cependant trouvé aucune trace de son existence, et personne n’a pu confirmer ses propos.

L’analyse des réseaux sociaux d’Anatoli Prizenko nous a cependant orienté vers une autre hypothèse. L’homme, qui se présente comme un entrepreneur vantant les mérites d’une marque de produits cosmétiques (Oriflame, une entreprise suisso-suédoise), affiche des opinions très marquées en faveur de la Russie. Un positionnement confirmé par le journaliste moldave Victor Moșneag, du journal Ziarul de Gardă : "Nous avons découvert qu’il avait mené campagne en faveur du rattachement de la Moldavie à l’union douanière avec la Russie et le Belarus", précise-t-il. Victor Moșneag évoque aussi une facette plus sulfureuse du personnage. Anatoli Prizenko a fait de la prison. Il était soupçonné d’être le représentant en Moldavie d’une société russe (MMM Global) ayant escroqué des milliers d’épargnants en ayant recours à une pyramide de Ponzi. Finalement libéré, il n’a pas été condamné.

La piste russe est également confortée par le profil de l’homme de la première équipe qui a été arrêté à Paris. Il s’appelle Alexandre Cocii. Lui aussi est un Moldave russophone. Aliona Ciurca, journaliste à Radio Europa Liberă (média membre de Radio Free Europe, financé par le Congrès des États-Unis) a pu lui parler : "Il a confirmé être allé à Paris et a reconnu qu’il connaissait Anatoli Prizenko, nous dit-elle. Nous avons par ailleurs retrouvé sur internet des photos de lui prises lors des manifestations pro-russes organisées à Chisinau en octobre 2022."

Des faux comptes pro-russes

En France aussi, la piste russe est aujourd'hui privilégiée, mais pour d’autres raisons. Le 9 novembre dernier, le quai d’Orsay dénonce une ingérence numérique russe en s’appuyant sur l’expertise technique de Viginum, l’agence chargée de surveiller les ingérences étrangères sur internet. Elle a en effet identifié 1 095 faux comptes sur la plateforme X (anciennement Twitter), qui ont partagé 2 589 publications liées aux étoiles de David taguées à Paris, ainsi que les deux photos prises lors de la première opération, dans la nuit du 26 au 27 octobre, à un moment où elles n’avaient été vues nulle part ailleurs. Tout indique donc que les animateurs de ces faux comptes étaient informés, voire complices de l’opération de taguage.

Mais Viginum considère que cette action s’inscrit dans le cadre d’une campagne numérique de manipulation de l’information bien plus vaste, qu'elle nomme RRN. Les trois lettres sont choisies en référence à RRN.world [Viginum recommande d’adopter toutes les précautions d’usage en cas d’accès à cette adresse]. Largement promue par les faux comptes qui ont publié les étoiles de David, ce site se présente comme un média dont les contenus, selon Marc-Antoine Brillant, le directeur de Viginum, sont clairement orientés. "Ils critiquent le soutien occidental à l’Ukraine, explique-t-il. Ils accusent l’Ukraine de crimes de guerre, ou mettent en avant les buts de guerre poursuivis par la Russie en accusant le régime ukrainien d’être néo-nazi." Ce site a d’abord été enregistré en Russie en mars 2022 sous le nom Reliable Russian News ("Actualités russes fiables"), avant d’en changer l'été suivant pour devenir Reliable Recent News ("Actualités récentes et fiables"). Il publie dans de nombreuses langues et dispose de ses propres comptes Facebook, X ou Telegram.

L’agence a établi un lien entre RRN et une autre page web appelée War on Fakes ("guerre aux fausses informations"). Celle-ci se présente comme un média de vérification de l’information, mais elle aussi fait surtout la promotion de la Russie et se montre hostile à l’Ukraine et à l’occident. War on Fakes a été enregistrée le 1er mars 2022 par Timofey Vasiliev, un citoyen russe qui a travaillé pour la société ANO Dialog, une entreprise accusée de mener des opérations de propagande en ligne pour le compte du pouvoir russe, selon une enquête de Meduza, un média russophone basé en Lettonie.

Une propagande anti-française

Mais ce n’est pas tout. Dans son rapport publié en juin 2023, Viginum identifie 353 sites affiliés à RRN, dont les adresses ont été promues par ces mêmes faux comptes sur les réseaux sociaux. Parmi eux, on trouve des sites qui se présentent comme des sources fiables d’information : "True maps" qui recense les enfants tués dans le Donbass, et "Tribunal Ukraine" qui dénonce les crimes qui auraient été commis par l’armée ukrainienne. D’autres sites ont des noms à consonance française. C’est le cas de "La France indépendante", "La Virgule", "Allons-y" ou "Notre Pays". Tous sont sur la même ligne pro-russe et anti-ukrainienne. Et en cherchant qui se cachait derrière eux, Viginum a identifié une entreprise russe, IP Team, dont le nom était déjà apparu dans une enquête de Marianne parue en juin 2022. Des youtubeurs français avaient alors été approchés pour relayer la propagande russe.

Selon Viginum, ces sites auraient recours à des logiciels de traduction automatique, mais ils disposent aussi de véritables rédacteurs francophones, dont certains travaillent au cœur même de l’Union européenne. Confirmant une information du Monde, l’eurodéputé Rassemblement national Thierry Mariani nous a ainsi raconté comment il avait répondu à une interview publiée sur RRN en mai 2023. "C’était à la sortie d’une réunion au Parlement européen", se souvient l’ancien ministre qui ne cache pas sa proximité avec la Russie. "Celui qui posait les questions avait une trentaine d’années et parlait bien le français. Il présentait son média comme un média russe", précise Thierry Mariani.

RRN a aussi interviewé l’ex-"gilet jaune" Thierry-Paul Valette en décembre dernier. La vidéo a été repérée par un collectif anonyme de volontaires, Antibot4Navalny, qui traque les opérations d'influence russe sur Twitter. Thierry-Paul Valette raconte avoir été contacté par un certain Alexandre via un numéro russe. L’homme lui écrit : "Vous êtes un homme politique d’influence avec un point de vue personnel et intéressant sur la politique française." L’interview s'inscrit dans la ligne éditoriale de RRN, toujours très critique à l’égard d’Emmanuel Macron et de la France. Le conseiller régional d’Auvergne-Rhône-Alpes de Reconquête, Stéphane Blanchon, a lui aussi accordé une interview à RRN très récemment.

Le journaliste qui avait contacté Thierry-Paul Valette n’a pas souhaité nous répondre, mais l’analyse de ses réseaux sociaux nous apprend qu’il a 31 ans, qu’il est marié et père de famille. Il indique avoir fait une partie de ses études en France mais il vit aujourd’hui à Moscou où son employeur serait REN TV, une chaîne de télévision russe.

Des noms de médias et d’institutions usurpés

L’activité du "dispositif RRN" ne se résume cependant pas à ces sites. Les faux comptes de ce réseau ont aussi publié des liens renvoyant vers d’autres sites qui usurpaient eux l’identité de grands médias ou d’institutions publiques. En France, de très nombreux titres en ont été victimes : Le Parisien, Le Point, Le Figaro, Le Monde, La Croix, 20 Minutes ou encore Libération. On a vu par exemple un faux article de Libération consacré aux punaises de lit publié en octobre 2023, à un moment où la France connaissait une vive polémique sur le sujet. Il accusait les réfugiés ukrainiens d’être responsables de la prolifération de ces insectes. Et des exemples de ce type, il en existe des centaines. Pour tromper le lecteur, les faussaires utilisent une technique appelée "typosquatting". Elle consiste à imiter l’adresse des sites copiés, en changeant quelques détails, "comme un tiret ajouté, deux lettres inversées ou un nom de domaine différent : .com, .ltd, .foo ou .online à la place de .fr par exemple", explique Nicolas Pawlak, expert en sécurité informatique, qui fait une veille de ces sites contrefaits sur son propre site. Cette pratique a valu à ce réseau d’être baptisé d’un autre nom : Doppelganger, qu’on peut traduire par "jumeau" ou "sosie" en allemand.

Le ministère de l’Intérieur allemand et le ministère français des Affaires étrangères en ont aussi été les victimes. Le faux site a publié un faux communiqué annonçant la création d’une taxe en France pour financer l’aide à l’Ukraine. Le quai d’Orsay a obtenu la suppression de cette page en déposant un recours auprès de l’Organisation mondiale de la propriété intellectuelle (OMPI) (lien vers un document PDF). La procédure a alors permis de découvrir que les commanditaires avaient prévu de copier les sites des principaux ministères français. Leurs adresses avaient été enregistrées mais elles n’ont pas pu être activées à temps.

Le Kremlin en arrière-plan

Qui se cache derrière ce réseau tentaculaire ? Une première réponse est venue de Meta. En décembre 2022, le groupe américain (propriétaire de Facebook, Instagram et WhatsApp) désigne deux entreprises russes : Struktura et ASP (Social Design Agency en anglais). Il révèle qu’elles ont dépensé 105 000 dollars en achat de publicité ciblée pour pousser leurs contenus. Struktura a été créée en 2009 officiellement pour vendre des outils informatiques. Elle compte plus de 500 "experts et spécialistes" dans cinq villes russes, dont Moscou et Saint-Pétersbourg. D’après l’analyse de son site internet, aujourd’hui supprimé, elle comptait parmi ses clients le ministère de l’Intérieur russe, le gouvernement de Moscou ou encore la Douma fédérale (l’équivalent de l’Assemblée nationale).

De son côté, ASP a été créée en 2017 à Moscou. C’est une entreprise spécialisée dans le montage de vidéos, la traduction ou la création de sites internet. Sur sa page web, toujours en ligne, on retrouve une grande partie des clients de Struktura, dont des institutions gouvernementales russes. Ces deux entreprises ont été ajoutées à la liste des entités sanctionnées par l’Union européenne en juillet 2023, tout comme leur dirigeant, un certain Ilya Gambachidze, ex-conseiller du vice-président de la Douma.

Il est aussi apparu qu’une partie des contenus produits par le réseau RRN ont été promus par le réseau diplomatique russe à l’étranger, y compris par l’ambassade de Russie en France. Elle a partagé un lien vers le site "War On Fakes" le 6 mars 2022, au tout début de l’invasion de l’Ukraine. "Cette opération continue à fonctionner et à produire tous les jours de la désinformation, constate Alexandre Alaphilippe, directeur de Disinfo.eu, une association qui lutte contre la manipulation de l’information depuis Bruxelles. Elle est persistante et résiliente." Une opération dont on peine encore à mesurer la véritable ampleur. En décembre 2023, un réseau de faux comptes a aussi été démantelé par TikTok. Or, des milliers de ces profils étaient encore une fois originaires de Russie. D’après la BBC et le think tank Atlantic Council's Digital Forensic Research Lab (DFRLab) qui ont révélé l’affaire, les vidéos qu’ils mettaient en avant auraient été vues par des dizaines de millions de personnes.

Alerter la cellule investigation de Radio France. Pour transmettre une information à la cellule investigation de Radio France de manière anonyme et sécurisée, vous pouvez désormais cliquer sur alerter.radiofrance.fr