Désinformation et cybersécurité cognitive : enseigner les opérations d'influence numérique
La désinformation entre dans le cursus cyber
Pendant longtemps, la désinformation a semblé appartenir aux sciences politiques, à la sociologie des médias ou à la communication. Pour beaucoup de responsables pédagogiques en cybersécurité, ce n'était pas leur domaine.
Ce cloisonnement est désormais intenable. Les opérations d'influence numériques — qu'il s'agisse de campagnes d'État, de groupes cybercriminels ou d'acteurs hacktivistes — combinent de façon systématique des intrusions techniques et une manipulation de l'information. Le groupe APT28 (Fancy Bear), documenté par plusieurs organismes gouvernementaux européens, illustre cette convergence : exfiltration de données suivie de leur publication stratégique avec un narratif orienté.
Pour les enseignants en cybersécurité, intégrer un module sur les opérations d'influence répond à une demande croissante des employeurs dans les domaines de la threat intelligence, de la réponse à incident et de la protection des infrastructures critiques. Ce n'est pas un module de culture générale : c'est une compétence opérationnelle.
Définitions : clarifier le vocabulaire pour la salle
Avant de construire le module, il faut établir un lexique partagé avec les étudiants. Les termes sont souvent confondus dans les médias et dans les débats publics.
Les quatre niveaux de l'information fausse
Mésinformation — information fausse partagée sans intention de nuire. L'émetteur est trompé et propage l'erreur de bonne foi.
Désinformation — information fausse diffusée délibérément dans le but de tromper, de manipuler ou de nuire. L'intention est centrale dans la définition.
Malinformation — information vraie utilisée dans une intention malveillante (divulgation d'une donnée personnelle pour nuire, par exemple).
Opération d'influence — campagne coordonnée combinant plusieurs de ces vecteurs avec un objectif stratégique défini (déstabilisation d'une élection, sabotage d'une réputation institutionnelle, couverture d'une intrusion).
Les objets techniques associés
Le deepfake — contenu audiovisuel synthétique généré par IA — est la manifestation la plus visible. Mais les opérations d'influence mobilisent aussi les botnets de comptes (amplification artificielle), les sites d'imitation (look-alike domains exploitant le DNS), les faux profils experts et la manipulation des métadonnées de documents ou d'images.
Ces objets techniques relèvent directement de la cybersécurité : ils nécessitent des compétences de détection, d'investigation et de remédiation que les enseignants en sécurité sont en bonne position pour transmettre.
Comment les cyberattaquants utilisent la désinformation
Comprendre les usages opérationnels de la désinformation ancre le module dans la réalité professionnelle des étudiants.
Spear-phishing contextuel
Le spear-phishing de haute valeur s'appuie sur du contexte crédible. Un acteur malveillant qui a accès à une base de données d'informations personnelles peut construire un message exploitant un événement d'actualité fabriqué pour sa cible. La victime ne vérifie pas une information qu'elle vient de lire dans plusieurs sources (artificiellement amplifiées) deux jours avant. L'ingénierie sociale et la désinformation se renforcent mutuellement.
Manipulation des indicateurs de compromission
Les groupes APT sophistiqués ont recours à des techniques de faux flag : ils plantent des artefacts techniques (outils, métadonnées, TTPs) qui miment les signatures d'un autre groupe pour brouiller l'attribution. C'est une forme de désinformation technique dans l'espace des IOC. L'analyste threat intelligence qui ne connaît pas ce mécanisme peut attribuer une intrusion au mauvais acteur.
Opérations de couverture
Lors d'une intrusion de grande ampleur, il n'est pas rare qu'une opération de désinformation soit déclenchée simultanément pour concentrer l'attention des défenseurs sur un incident secondaire, ou pour créer un récit alternatif qui empêche l'attribution publique.
Ces mécanismes, documentés dans les rapports publics d'organismes comme l'ENISA ou les CERT nationaux, permettent de construire des scénarios pédagogiques réalistes sans inventer de faits.
Les mécanismes de propagation : comprendre sans simplifier
La propagation de la désinformation s'appuie sur des mécanismes à la fois techniques et comportementaux. Il est important d'enseigner les deux dimensions, tout en évitant les simplifications caricaturales.
Les vecteurs techniques
L'amplification artificielle repose sur des réseaux de comptes automatisés (bots) ou semi-automatisés (cyborgs) qui donnent une fausse impression de consensus. La détection de ces réseaux fait appel à des techniques d'OSINT : analyse des métadonnées de comptes, détection de comportements synchronisés, analyse temporelle des publications.
Les look-alike domains imitent des sources d'information légitimes avec des variations minimes dans l'orthographe du nom de domaine. Un étudiant formé à l'analyse DNS et WHOIS peut détecter ces usurpations.
La manipulation des images et vidéos comprend la réutilisation d'images hors contexte, le recadrage sémantique et les deepfakes. Des outils comme InVID/WeVerify permettent de vérifier l'origine et le contexte de publication d'un contenu visuel.
Les mécanismes cognitifs
La désinformation exploite des biais cognitifs documentés : le biais de confirmation, la résistance à la correction, et l'effet de simple exposition. Ces mécanismes ne sont pas des défauts individuels — ils sont structurels et universels. Les enseigner donne aux étudiants les clés pour comprendre pourquoi les campagnes de désinformation fonctionnent, sans pour autant les charger de jugements sur les victimes.
Un module de 6 heures : plan séance par séance
Ce module peut être intégré dans un cours de threat intelligence, de sensibilisation ou d'OSINT. Il est conçu pour des étudiants de M1 ou de formations professionnelles.
| Séance | Durée | Thème | Activité principale | Objectif |
|---|---|---|---|---|
| 1 | 2 h | Définitions et taxonomie | Exercice de classification : distinguer mésinformation, désinformation, malinformation sur 10 exemples réels (anonymisés et documentés) | Maîtriser le vocabulaire, comprendre les distinctions opérationnelles |
| 2 | 2 h | Détection technique | TP : analyse d'une image (InVID), vérification d'un domaine (WHOIS, MXToolbox), recherche de contexte (OSINT basique) | Utiliser les outils de vérification en autonomie |
| 3 | 2 h | Opérations d'influence et cybersécurité | Étude de cas : décortiquer une opération d'influence documentée (ex. campagne de faux comptes signalée par un CERT européen) | Relier les mécanismes à la pratique professionnelle, identifier les IoC non-techniques |
Conseil d'animation : Évitez d'utiliser des exemples d'actualité politique nationale en cours — le débat peut rapidement dériver. Privilégiez des cas documentés par des institutions neutres (Rapporteur spécial ONU, ENISA, EU DisinfoLab) et des opérations révélées plusieurs années avant la séance.
Outils pédagogiques recommandés
InVID / WeVerify (weverify.eu) — plugin navigateur qui permet de vérifier l'origine d'une image ou vidéo, de détecter des manipulations visuelles et de rechercher des publications antérieures. Gratuit, disponible pour Chrome et Firefox.
EU DisinfoLab (disinfo.eu) — ONG européenne qui publie des enquêtes sur les opérations d'influence. Ses rapports sont librement accessibles et constituent une base de cas pédagogiques fiables.
WHOIS et MXToolbox — outils d'investigation DNS accessibles en ligne sans authentification. Permettent d'analyser rapidement l'infrastructure derrière un domaine suspect.
Google Reverse Image Search / TinEye — vérification basique de la réutilisation d'images hors contexte.
Techniques OSINT de vérification — le cours OSINT est un prérequis naturel pour approfondir ces techniques. Les étudiants formés à l'OSINT transfert facilement leurs compétences vers la vérification de l'information.
Ces outils peuvent être utilisés directement dans un navigateur sans installation ni licence. Ils sont adaptés à un TP en salle informatique standard.
Approfondir avec l'OSINT de vérification
Les techniques d'investigation en sources ouvertes constituent le socle de la vérification des opérations d'influence. Voici un enchaînement de vérification que les étudiants peuvent pratiquer sur des cas documentés.
Vérifier l'authenticité d'un site web ou d'un domaine
Un domaine look-alike (ex. bbc-news.info à la place de bbc.com) peut être détecté en quelques minutes :
- WHOIS : date de création récente, registrar inconnu, données de contact masquées ou génériques — autant de signaux à faible valeur seule mais révélateurs en combinaison.
- Historique DNS (SecurityTrails, Passive DNS) : un domaine récemment redirigé vers une infrastructure suspecte ou ayant servi plusieurs domaines est un indicateur fort.
- Analyse du certificat TLS : un certificat auto-signé ou émis par une AC peu connue pour un site se présentant comme un grand média est incohérent.
Vérifier l'origine d'une image
La recherche d'image inversée (Google Images, TinEye, Yandex) permet de retrouver les publications antérieures d'une image et d'identifier si elle a été publiée dans un contexte différent. L'outil InVID/WeVerify va plus loin : il fragmente une vidéo en images-clés et lance la recherche inversée sur chaque frame, ce qui permet de détecter des vidéos recontextualisées.
Analyser la propagation d'un contenu
En observant les métadonnées temporelles et les comptes qui amplifient un contenu — nombre de followers, date de création du compte, rythme de publication — les étudiants peuvent distinguer une diffusion organique d'une amplification coordonnée artificielle. Cette analyse OSINT est directement transférable au travail de l'analyste en threat intelligence qui suit les campagnes d'acteurs malveillants.
Ces compétences de vérification rejoignent les techniques de phishing analysis : dans les deux cas, l'étudiant doit décortiquer une tentative de manipulation, identifier les éléments fabriqués et reconstituer l'infrastructure derrière l'attaque.
Cadre légal et éthique : ce que l'enseignant doit savoir
Le Digital Services Act (DSA)
Le règlement européen sur les services numériques, entré en application progressive depuis 2024, impose aux très grandes plateformes des obligations de transparence sur leurs systèmes de recommandation et leurs mécanismes de modération. Cela a des implications pédagogiques : les étudiants peuvent accéder à des rapports de transparence que les plateformes sont tenues de publier.
L'AI Act européen
Le règlement européen sur l'IA, adopté en 2024, inclut des obligations de marquage pour les contenus synthétiques (deepfakes et autres contenus générés par IA). L'article 50 impose à terme que les systèmes d'IA générant des contenus audio et vidéo les marquent comme tels de façon détectable. C'est un point de repère utile pour le module : la réglementation évolue, et les étudiants doivent savoir où la trouver.
Règle d'or pour les simulations pédagogiques
Ne jamais créer ni diffuser de vraie désinformation à des fins pédagogiques. Il est tentant de « tester » les étudiants en leur envoyant un faux email ou en publiant une fake news sur un compte fictif pour observer leur réaction. C'est une pratique risquée (responsabilité civile, perte de confiance, risque de propagation non maîtrisée) et il existe de meilleures approches : utiliser des cas documentés, travailler sur des archives, créer des simulations clairement étiquetées « exercice ».
Ne pas confondre critique de l'information et scepticisme généralisé
Un piège pédagogique courant : les étudiants formés à la détection de désinformation développent parfois un scepticisme excessif, refusant de faire confiance à toute source institutionnelle. L'objectif du module est d'enseigner la vérification méthodique, pas la méfiance systématique. C'est une nuance importante à transmettre explicitement.
Liens avec les autres domaines de la cybersécurité
Le module sur la désinformation s'articule naturellement avec plusieurs disciplines :
- Threat intelligence : comprendre les opérations d'influence aide à contextualiser les rapports d'attribution et à évaluer la fiabilité des IOC.
- Sécurité de l'IA : deepfakes, génération de phishing par LLM, manipulation de systèmes de modération automatique.
- Sensibilisation : former des non-techniciens à reconnaître la désinformation est un module de sensibilisation à fort impact.
- Profil analyste threat intelligence : c'est le métier le plus directement concerné par ces compétences dans le monde professionnel.
L'APT comme concept pédagogique est particulièrement utile : les groupes APT documentés qui ont utilisé des opérations d'influence permettent d'ancrer le module dans des faits vérifiables et des TTPs précises.
Ce qu'il faut retenir
La désinformation n'est plus un sujet annexe dans un cursus de cybersécurité. C'est une composante opérationnelle des attaques avancées, un enjeu de détection pour les équipes SOC et threat intelligence, et une compétence de résilience pour les futurs professionnels.
Les points clés :
- Ancrez le module sur les mécanismes techniques (DNS, OSINT, deepfakes) pour rester dans votre périmètre de compétence et éviter les glissements vers le débat politique.
- Utilisez des cas documentés issus d'organismes reconnus (ENISA, EU DisinfoLab, CERT nationaux) — jamais des exemples d'actualité nationale non documentés.
- Outillez les étudiants : InVID/WeVerify, WHOIS, OSINT de vérification sont accessibles gratuitement et s'apprennent en 2 heures.
- Cadrez le DSA et l'AI Act comme repères réglementaires, sans entrer dans les détails juridiques qui relèvent des juristes.
- Prévenez le scepticisme excessif : l'objectif est la vérification méthodique, pas la méfiance systématique.
Un module de 6 heures bien construit permet aux étudiants de comprendre les opérations d'influence et d'acquérir des réflexes de vérification qu'ils pourront appliquer dans leur vie professionnelle dès le premier jour.
Vous cherchez un intervenant capable d'animer un module de threat intelligence ou de cybersécurité cognitive dans votre établissement ? Trouvez les profils disponibles sur Cyber Teachers et connectez vos étudiants avec des praticiens actifs.