# WĂNGZHÀNQÍ: de quelle manière la Chine gagne-t-elle en puissance dans le cyberespace ?

Lorena Michoud

<figure><img src="image_1.png" /></figure>

## To cite this version:

Lorena Michoud. WĂNGZHÀNQÍ: de quelle manière la Chine gagne-t-elle en puissance dans le cyberespace?. Droit. 2024. dumas-04941204

HAL Id: dumas-04941204

https://dumas.ccsd.cnrs.fr/dumas-04941204v1

Submitted on 11 Feb 2025

HAL is a multi-disciplinary open access
archive for the deposit and dissemination of sci-
entific research documents, whether they are pub-
lished or not. The documents may come from
teaching and research institutions in France or
abroad, or from public or private research centers.

L'archive ouverte pluridisciplinaire HAL, est
destinée au dépôt et à la diffusion de documents
scientifiques de niveau recherche, publiés ou non,
émanant des établissements d'enseignement et de
recherche français ou étrangers, des laboratoires
publics ou privés.

<figure><img src="image_2.png" /></figure>

Distributed under a Creative Commons Attribution 4.0 International License
# 网战棋 WĂNGZHÀNQÍ

## De quelle manière la Chine gagne-t-elle en puissance dans le cyberespace ?

### Lorena MICHOUD

Sous la direction de M. Christian DAVIOT

*Master II – Sécurité internationale, cybersécurité et défense*

Année universitaire 2023-2024
Le lùzhànqí (陆战棋, littéralement : « jeu d'échecs de la guerre terrestre »)
est un jeu de stratégie pour enfants chinois dont le but est de capturer le drapeau
de l'adversaire en pénétrant ses défenses, tout en essayant de l'empêcher
de capturer son propre drapeau. Le titre du présent mémoire remplace le
premier caractère, Lù, la terre, par Wǎng (网), le réseau et, par extension, la cyber.
Il peut dès lors s'interpréter comme « jeu d'échecs de la cyberguerre ».
ATTESTATION
SUR L'HONNEUR DE
NON-PLAGIAT

Je soussignée Lorena MICHOUD,

Autrice du mémoire sur la quête de puissance chinoise dans le cyberespace,

Déclare sur l'honneur que ce mémoire est le fruit d'un travail personnel, que je n'ai ni contrefait, ni falsifié, ni copié tout ou partie de l'œuvre d'autrui afin de la faire passer pour mienne. Toutes les sources d'information utilisées et les citations d'auteur ont été mentionnées conformément aux usages en vigueur.

Je suis consciente que le fait de ne pas citer une source ou de ne pas la citer clairement et complètement est constitutif de plagiat, que le plagiat est considéré comme une faute grave au sein de l'Université, pouvant être sévèrement sanctionnée par la loi.

Fait à Paris,

Le 25 août 2024.
SIGLES ET ABREVIATIONS

<table><tr><td>AALCO</td><td>Asian-African Legal Consultative Organization</td></tr><tr><td>APT</td><td>Advanced Persistent Threat</td></tr><tr><td>BRI</td><td>Belt and Road Initiative (Nouvelles Routes de la Soie)</td></tr><tr><td>CAC</td><td>Cyberspace Administration of China (Administration chinoise du Cyberespace)</td></tr><tr><td>CCAC</td><td>Office of the Central Cyberspace Affairs Commission (Bureau de la Commission centrale des Affaires du Cyberespace)</td></tr><tr><td>CEL</td><td>Counter-Espionage Law</td></tr><tr><td>CIA</td><td>Central Intelligence Agency</td></tr><tr><td>CMC</td><td>Central Military Commission</td></tr><tr><td>CNCERT/CC</td><td>National Computer Network Emergency Response Technical Team/Coordination Center of China</td></tr><tr><td>CNNIC</td><td>China Internet Network Information Center (Centre d'information du réseau Internet chinois)</td></tr><tr><td>CSL</td><td>Cybersecurity Law</td></tr><tr><td>Cyber LSG</td><td>Bureau général du nouveau groupe restreint de direction centrale du PCC pour la cybersécurité et l'informatisation</td></tr><tr><td>DDoS</td><td>Distributed Denial of Service (cyberattaque par déni de service distribué)</td></tr><tr><td>DSL</td><td>Data Security Law</td></tr><tr><td>GGE</td><td>Group of Governmental Experts (Groupe d'Experts Gouvernementaux de l'ONU)</td></tr><tr><td>ITU</td><td>International Telecommunication Union (Union internationale des télécommunications)</td></tr><tr><td>MIIT</td><td>Ministry of Industry and Information Technology (ministère de l'Industrie et de la Technologie de l'Information)</td></tr><tr><td>MSS</td><td>Ministry of State Security (ministère de la Sécurité d'Etat)</td></tr></table>
<table><tr><td>NSA</td><td>National Security Agency</td></tr><tr><td>NSD</td><td>Network System Department</td></tr><tr><td>OCS</td><td>Organisation de Coopération de Shanghai</td></tr><tr><td>ONU</td><td>Organisation des Nations-Unies</td></tr><tr><td>OTAN</td><td>Organisation du Traité de l'Atlantique Nord</td></tr><tr><td>PCC</td><td>Parti Communiste Chinois</td></tr><tr><td>PEACE</td><td>Pakistan East Africa Connecting Europe</td></tr><tr><td>PIPL</td><td>Personal Information Protection Law (Loi sur la Protection des Informations Personnelles)</td></tr><tr><td>PLA</td><td>People Liberation Army (Armée Populaire de Libération)</td></tr><tr><td>RGPD</td><td>Règlement européen sur la protection des données</td></tr><tr><td>RMSV</td><td>Regulations on the Management of network product Security Vulnerabilities</td></tr><tr><td>SIIO</td><td>State Internet Information Office (Bureau national d'information sur l'Internet)</td></tr><tr><td>SSF</td><td>Strategic Support Force</td></tr><tr><td>TIC</td><td>Technologies de l'Information et de la Communication</td></tr><tr><td>UNODA</td><td>United Nations Office for Disarmament Affairs (Bureau des affaires de désarmement)</td></tr><tr><td>VTC</td><td>Voitures de transport avec chauffeur</td></tr></table>
# SOMMAIRE

<table><tr><td>REMERCIEMENTS</td><td>6</td></tr><tr><td>INTRODUCTION</td><td>8</td></tr><tr><td>PARTIE I / L'INSTITUTIONNALISATION DU CYBERESPACE COMME DOMAINE POLITIQUE À PART ENTIÈRE</td><td>13</td></tr><tr><td>CHAPITRE I / L'ÉRECTION D'INSTITUTIONS INTERNES DE CONTRÔLE DU CYBERESPACE CONCURRENTES</td><td>13</td></tr><tr><td>CHAPITRE II / LE DÉVELOPPEMENT DE STRATÉGIES D'INFLUENCE ET DE SÉCURITÉ AU SEIN DU CYBERESPACE</td><td>19</td></tr><tr><td>PARTIE II / L'INTENSIFICATION DES ACTIVITÉS CHINOISES DANS LE CYBERESPACE</td><td>25</td></tr><tr><td>CHAPITRE I / LA PRODUCTION EXPONENTIELLE DE RÉGLEMENTATIONS SUR LE CYBERESPACE</td><td>25</td></tr><tr><td>CHAPITRE II / L'EXPLOITATION CONSTANTE D'UN ÉCOSYSTÈME CYBER-OFFENSIF PERFORMANT</td><td>33</td></tr><tr><td>CONCLUSION</td><td>42</td></tr><tr><td>ANNEXES</td><td>44</td></tr><tr><td>BIBLIOGRAPHIE</td><td>47</td></tr><tr><td>Articles</td><td>47</td></tr><tr><td>Documents officiels</td><td>48</td></tr><tr><td>Ouvrages</td><td>49</td></tr><tr><td>Ressources en ligne</td><td>50</td></tr><tr><td>TABLE DES MATIÈRES</td><td>56</td></tr></table>
# REMERCIEMENTS

Ce travail est, au-delà de l'aboutissement de deux années de master, le point final de cinq années passées sur les bancs de la faculté de droit de Grenoble. Il associe mes trois domaines de prédilection : le droit international, la géopolitique chinoise et la cybersécurité. Avoir axé un tel sujet sur la Chine relève donc d'un pur intérêt personnel pour l'Empire du Milieu, sa culture, son histoire, sa politique tout comme sa langue.

J'ai eu la chance de pouvoir commencer à apprendre le chinois mandarin au lycée et j'ai le plaisir d'être capable de le parler suffisamment bien aujourd'hui pour m'être permise de ponctuer le processus d'écriture du présent mémoire d'un voyage en Chine. J'ai en effet pu officier en tant qu'accompagnatrice du voyage scolaire des LV2 chinois de mon ancien établissement, le Collège de la Salle à l'Aigle de Grenoble, au mois d'avril 2024, ce qui s'est révélé particulièrement enrichissant, tant à un niveau personnel que linguistique et culturel.

Pour cette merveilleuse opportunité, je tiens tout d'abord à remercier Mme Liliane Jiang, professeure de chinois au collège, pour sa confiance et sa générosité.

Je tiens à remercier mon directeur de mémoire, M. Christian Daviot, pour son intérêt sur le sujet de mon travail, ses apports grandement utiles grâce à sa connaissance pointue du milieu chinois et sa disponibilité.

Je rends hommage à mes parents, mon frère jumeau et mes grands-parents pour leur indéfectible soutien envers tout ce que j'entreprends et leurs constants encouragements. Réussir en licence puis en master de droit et rédiger ce mémoire, à côté de toutes les autres activités dans lesquelles je m'investis, n'aurait jamais été possible sans eux. Pour cela, je leur dédie cet ouvrage.

Je tiens à remercier mes camarades de promotion Margaux Fraycenon, Christophe Le Fustec et Jade Couquet pour leur soutien durant mes années de master et lors de la rédaction de ce mémoire. Leurs perspectives innovantes et leurs avis constructifs m'auront permis d'améliorer continuellement ma plume et mes positions sur le sujet. Je remercie également Clément Bellon, Damien Diemer-Humbrecht et Léo Rivier pour leur sollicitude.

Dans le même temps, je présente mes remerciements sincères à mes collègues stagiaires au sein de la société Advens, premier pure-player français de la cybersécurité : Théo Lim (Conseil) et Emma Bonnem (Architecture & Intégration). Leurs connaissances
techniques de la cybersécurité et leurs opinions sans cesse pertinentes tant sur le fond que sur la forme de ce travail m'ont été d'une grande aide. Je remercie également Bernard Lê (Blue Team), pour sa vigilance accrue autour des deadlines pendant le processus de rédaction, ainsi que M. Thomas Vanpeene, responsable de la Blue Team, pour son intérêt pour mon sujet et un échange qui m'a permis de prendre plus de hauteur sur celui-ci.

Je remercie tout particulièrement M. Nicolas Caproni, responsable de l'équipe de Threat Detection & Response dédiée à la production de Cyber Threat Intelligence au sein de la société Sekoia, leader européen des solutions de détection et de réponse étendues (XDR). Son soutien depuis maintenant deux ans dans mon parcours professionnel et mon projet de mémoire est grandement apprécié et ne sera jamais oublié.

Mes remerciements vont par ailleurs à M. Alexandre Dieulangard, responsable de l'équipe de Cyber Threat Intelligence et cofondateur de la société Citalid, qui propose un logiciel de quantification et contextualisation du risque cyber. Son intérêt pour le sujet de mon mémoire et sa transmission d'informations récoltées par son équipe sur les cybermenaces chinoises auront participé à l'achèvement de mon travail.

Enfin, je remercie chaleureusement mes proches pour leur intérêt pour mon projet (malgré, pour la plupart, une absence totale de connaissances sur le sujet) et leur soutien inconditionnel : Emilie Jouvray, Nell Pietri, Paul Moussier, Alex Desmules, Lisa Greiler-Tapponnier, Alexandre Truc-Vallet, Antoine Mihelj, Antoine Boyer, Alex Muscara, Titouan Laurain, André Mantaropoulos, Claudia Mistrulli, Lise Torossian, Antoine Fixot, Athénaïs Leduc, Aurélien Magliano, Yannis Lazrak. Mes remerciements vont également à Paul Anthouard et Hugo Trolong pour leur soutien tant en master I qu'en master II.
# INTRODUCTION

> « J'appelle puissance sur la scène internationale la capacité d'une unité politique d'imposer sa volonté aux autres unités »

> ARON (R.), *Paix et guerre entre les Nations*, 1962.

Si la scène internationale a traditionnellement englobé la terre, la mer, l'air et l'espace, un cinquième domaine émerge : le cyberespace. Dépourvu de définition universelle, le cyberespace est défini en France par l'Agence Nationale de Sécurité des Systèmes d'Informations (ANSSI) comme un « espace constitué par les infrastructures interconnectées relevant des technologies de l'information, notamment l'Internet », tout en précisant que, « perçu comme un nouveau territoire, le cyberespace est un espace difficile à définir car il repose sur un ancrage à la fois physique et informationnel »<fnref n="1" />. Ainsi explicité, le cyberespace dispose d'une couche matérielle (ordinateurs, téléphones portables, serveurs, logiciels, etc.) et d'une couche immatérielle (le web, le Cloud, etc.).

Ce terrain virtuel est de plus en plus l'objet de préoccupations internationales. En effet, l'immense majorité des infrastructures du monde civil et militaire sont aujourd'hui construites sur un système d'informations, leur offrant une interface cyber essentielle mais fragile. Cette réalité est doublée de deux phénomènes : l'environnement cyber est en constante expansion mais il est miné par des vulnérabilités inévitables qui ne cessent, par conséquent, de se multiplier. Ces failles informatiques sont une mine d'or pour les attaquants, car elles leur permettent de se glisser dans les systèmes informatiques de toute infrastructure pour en exploiter les données sensibles afin d'en tirer profit (gain financier, espionnage ou déstabilisation, destruction, sidération politique).

Depuis la cyberattaque par déni de service distribué (DDoS) attribuée à la Russie contre l'Estonie en 2007, saturant par de fausses requêtes les serveurs estoniens au point de les rendre indisponibles et de paralyser les institutions nationales pendant plusieurs jours, la communauté internationale n'a eu de cesse de développer un cadre juridique à ce « cinquième domaine de la guerre »<fnref n="2" />. Bien que l'OTAN, consultée par la suite par l'Estonie, a estimé qu'il

<footnote n="1">¹ ANSSI, *Glossaire*, https://cyber.gouv.fr/</footnote>

<footnote n="2">² SEEBECK (L.), « Why the fifth domain is different », Australian Strategic Policy Institute, 5 septembre 2019, https://www.aspistrategist.org.au/</footnote>
n'y avait pas lieu de déclencher l'article 5 du *Traité de l'Atlantique Nord* car elle n'a pu considérer l'attaque comme une agression armée au sens du droit international, l'opération a incité l'élaboration de règles en la matière.

La seule régulation internationale liée au cyber existant à l'époque concernait uniquement la cybercriminalité : la Convention de Budapest, en vigueur depuis 2001. Adoptée par le Conseil de l'Europe, elle traite « l'ensemble des infractions pénales spécifiques liées aux technologies de l'information et de la communication, ainsi que celles dont la commission est facilitée ou liée à l'utilisation de ces technologies »<fnref n="3" />. Cet encadrement pionnier a, par ailleurs, ouvert la voie à l'achèvement d'une Convention des Nations-Unies sur la cybercriminalité en août 2024⁴.

Un travail de réflexion supplémentaire sur la réglementation des cyberattaques dirigées contre des Etats émerge en 2009. L'Accord de coopération visant à assurer la sécurité internationale de l'information des Etats membres de l'Organisation de coopération de Shanghai (OCS), impulsé par la Chine et la Russie, statue sur la régulation nécessaire de « l'espace d'information » (cyberspace) et sur le développement primordial de la « sécurité internationale de l'information » (cybersécurité). Il évoque déjà la « guerre de l'information » (cyberguerre) et la définit comme toute confrontation entre deux ou plusieurs Etats dans l'espace d'information afin de porter atteinte aux systèmes, processus et ressources d'information d'importance critique et aux autres structures ; compromettre les systèmes politique, économique et social ; manipuler psychologiquement les masses populaires pour déstabiliser la société et l'Etat ; et forcer l'Etat à prendre des décisions dans l'intérêt de la partie adverse. Sur ce sujet éminemment d'actualité, c'est donc l'Asie, ou plus précisément l'Eurasie, qui a été précurseur il y a 15 ans.

Ce traité a instigué d'autres recherches internationales, avec des publications sur le même sujet quelques années plus tard en 2013. Le rapport du Groupe d'Experts Gouvernementaux (GGE) des Nations-Unies sur la question prévoit que le droit international s'applique dans l'espace numérique<fnref n="5" />. Ce travail est entériné la même année dans la résolution 68/243 de l'Assemblée générale, qui dispose notamment que la souveraineté étatique s'applique dans le numérique et que les Etats doivent respecter leurs obligations

<footnote n="3">³ CHILSTEIN (D.), « Législation sur la cybercriminalité en France », *Revue internationale de droit comparé*, n°62, 2010, p. 553.</footnote>

<footnote n="4">⁴ Le Monde, AFP, « L'ONU approuve son premier traité contre la cybercriminalité », *Le Monde*, 9 août 2024, https://www.lemonde.fr/</footnote>

<footnote n="5">⁵ NEGER (G.), « Cyberdéfense et droit international : qui veut la paix... prépare la guerre hybride », *Village de la Justice*, 26 janvier 2024, https://www.village-justice.com/articles/</footnote>
internationales en ce qui concerne les actes internationalement illicites dans le cyberespace
qui leur sont imputables. Quant à l'OTAN, elle adopte le Manuel de Tallinn énonçant qu'une
cyberopération constitue un emploi de la force lorsque son niveau et ses effets sont
comparables à une opération traditionnelle qui aurait atteint le niveau de l'emploi de la force<fnref n="6" />.
Ces deux textes sont mis à jour en 2015 pour le rapport du GGE et en 2017 pour le Manuel de
Tallinn.

En réponse à la position de l'Occident et au sein du Bureau des affaires de
désarmement (UNODA) des Nations-Unies, la Chine s'est exprimée en 2021 sur la régulation
du cyberespace : elle reconnaît l'application du principe de souveraineté au cyberespace et
dégage des droits (indépendance, égalité, juridiction, défense), des obligations (non-atteinte à
la souveraineté des Etats, non-ingérence étrangère dans les affaires intérieures de l'Etat, due
diligence, protection) et des principes (égalité, équité, coopération, paix, Etat de droit) dans le
domaine<fnref n="7" />. La Chine dénonce également la militarisation du cyberespace<fnref n="8" />, soutient un espace
numérique au service de la paix, de la sécurité, de l'ouverture, de la coopération et de l'ordre,
et condamne l'utilisation des technologies de l'information et de la communication (TIC)
pour mener des activités incompatibles avec les objectifs de maintien de la paix et de la
sécurité internationales.

En conséquence, la souveraineté dans le cyberespace et la régulation de ses
utilisations belliqueuses comptent parmi les enjeux les plus cruciaux pour la communauté
internationale à l'heure actuelle, notamment à mesure que la guerre gagne en technicité avec
l'utilisation de matériel informatique jusqu'alors absent du champ de bataille. Ses membres
evoluent dans un système westphalien fondé sur l'affrontement d'Etats souverains et égaux
en droit, maintenant la scène internationale dans un certain *statu quo* qui limite profondément
l'expression de la puissance par la force armée et des litiges par les conflits armés. Pour
autant, dans la défense de leurs intérêts, les Etats demeurent mus par une logique de
compétition et d'affirmation de leur puissance comme garante de leur souveraineté,
c'est-à-dire de leur indépendance sur la scène internationale (Cour permanente d'arbitrage,
Île de Palmas, Pays-Bas c. Etats-Unis, 1928). Dans ce cadre, un Etat puissant est une unité

<footnote n="6">⁶ DELERUE (F.), *Analyse du Manuel de Tallinn 2.0 sur le droit international applicable aux cyber opérations*, rapport pour la Direction générale des relations internationales et de la stratégie, 2017, p. 34.</footnote>

<footnote n="7">⁷ UNODA, *China's Positions on International Rules-making in Cyberspace*, 2021.</footnote>

<footnote n="8">⁸ LI (Z.), « *A Chinese perspective on cyberwar* », *International Review of the Red Cross*, n°886, 2012, p. 803.</footnote>
politique capable d'imposer sa volonté aux autres unités<fnref n="9" /> et c'est précisément ce que la Chine entend devenir dans le cyberespace.

La Chine est un État millénaire construit sur plus de vingt dynasties et deux républiques, qui étale ses fondements sur près de 3300 ans d'Histoire – c'est 1600 ans de plus que les Etats-Unis, seul Etat du monde à être aujourd'hui considéré comme une superpuissance. La nation chinoise est profondément marquée par les idées du philosophe Confucius (551 à 479 av. J.-C.), regroupées dans un courant de pensée nommé confucianisme. Cette doctrine sociale et politique, développée pendant la Période des Printemps et des Automnes et jusqu'à la Période des Royaumes Combattants par ses disciples (conjointement, de 771 à 221 av. J.-C.)<fnref n="10" />, est établie comme doctrine d'Etat en 136 av. J.-C. sous la dynastie des Han (de 206 av. J.-C. à 220) jusqu'à l'érection de la République de Chine (1911-1949).

Malgré sa disparition officielle de la politique chinoise depuis soixante-dix ans, le confucianisme demeure particulièrement prégnant dans la pensée des citoyens sous la République Populaire de Chine contemporaine et, notamment, le concept du *Tiānxià* (天下: littéralement « sous le ciel »)<fnref n="11" />. Ce terme, qui évoque *a priori* le monde terrestre – tout ce qui est sous le ciel – est à interpréter du point de vue chinois. En effet, la Chine est autoproclamée dans son nom local « Empire du Milieu » (中国, Zhōngguó: littéralement « pays au milieu »), c'est-à-dire que, comme la plupart des entités politiques au cours de l'Histoire, elle constitue selon elle le centre du monde. Ainsi, selon le *Tiānxià*, tout ce qui se trouve sous le ciel a vocation à former un bloc uni soumis au *Tiānzǐ* (天子 : « fils du ciel »), à savoir un *Wáng* (王 : « roi ») : un souverain. Il s'agit là de développer un « pouvoir idéal, global et éternel » dont « seule une autorité politique qui suit la voie du ciel sera reconnue comme légitime et digne de gouverner les affaires du monde »<fnref n="12" />.

L'objectif politique chinois est ainsi de proposer un nouvel ordre mondial fondé sur sa philosophie confucéenne, en opposition aux nationalismes des autres pays générant des frontières et des divisions, ce qui est contraire au paradigme *Tiānxià*. Toutefois, pour atteindre cet idéal, la Chine entend conserver son propre nationalisme comme outil d'accomplissement du *Tiānxià*, car elle se considère comme le seul Etat respectant les lois traditionnelles héritées

<footnote n="9">⁹ DUROSELLE (J.B.), « Paix et guerre entre les nations : la théorie des relations internationales selon Raymond Aron », *Revue française de sciences politiques*, n°12, 1962, p. 964.</footnote>

<footnote n="10">¹⁰ KAMENAROVIC (I.P.), *La Chine classique*, Les Belles Lettres, Paris, 1999, p. 48.</footnote>

<footnote n="11">¹¹ OWNBY (D.), « Le nouveau Tianxia : reconstruire l'ordre interne et externe de la Chine », *Le Grand Continent*, 27 août 2022, https://legrandcontinent.eu/fr/</footnote>

<footnote n="12">¹² JI (Z.), « Tianxia, retour en force d'un concept oublié », *La vie des idées*, 3 décembre 2008, https://laviedesidees.fr/</footnote>
du Ciel<fnref n="13" /> et vise à réunir tous les autres pays sous un ensemble universel guidé par le confucianisme aux principes d'humanité, de pacifisme et de soumission à l'autorité.

Cette vision du monde, en antinomie marquée à ce que produit l'Occident, est fondamentale dans le développement de la puissance chinoise à l'international et notamment dans le cyberespace. La Chine voit le cyberespace comme un terrain d'influence crucial pour promouvoir ses aspirations confucéennes et aspire à créer, à terme, une structure dans laquelle elle joue un rôle central en unifiant les divers acteurs du cyberespace sous sa propre gouvernance. Cette quête d'hégémonie dans le domaine numérique reflète la volonté chinoise de concurrencer l'Occident et plus particulièrement les Etats-Unis – la superpuissance traditionnelle – ainsi que l'Union européenne – la cheffe de file de l'encadrement juridique de la protection des données personnelles. Il est dès lors pertinent d'étudier par quels moyens la Chine développe sa puissance dans le cyberespace.

Il convient d'aborder cette question en deux temps en s'intéressant d'abord à l'institutionnalisation du cyberespace afin de saisir la nature des enjeux politiques chinois dans le domaine, que ce soit par l'érection d'institutions internes ou le développement de stratégies d'influence (I). Dans une seconde partie, il s'agira de se pencher sur l'intensification des activités chinoises dans le cyberespace, d'une part par une production croissante de réglementations en la matière et, d'autre part, par l'exploitation constante d'un écosystème cyber-offensif performant (II).

<footnote n="13">¹³ A noter que cette philosophie se rapproche du concept occidental de droit naturel.</footnote>
# PARTIE I / L'INSTITUTIONNALISATION DU CYBERESPACE COMME DOMAINE POLITIQUE À PART ENTIÈRE

Il s'agira de saisir la nature des enjeux politiques chinois dans le domaine, que ce soit par l'érection d'institutions internes (I) ou le développement de stratégies d'influence (II).

## CHAPITRE I / L'ÉRECTION D'INSTITUTIONS INTERNES DE CONTRÔLE DU CYBERESPACE CONCURRENTES

Il s'agira de mettre en exergue la montée en puissance exponentielle de l'Administration chinoise du Cyberespace (1) malgré le maintien des prérogatives importantes du ministère de l'Industrie et des Technologies de l'Information (2).

### Section 1. La montée en puissance rapide de l'Administration chinoise du cyberespace (CAC)

#### §1. Un organe nouveau aux racines anciennes

L'Administration chinoise du cyberespace tient ses origines du Bureau national d'information sur l'Internet (State Internet Information Office – SIIO), créé en 2011. Il s'agissait d'une sous-entité interne du Bureau d'information du Conseil d'Etat<fnref n="14" />, façade du Bureau de propagande externe du Comité central du Parti communiste chinois (PCC). Si son rôle à la base était de gérer le contenu publié sur Internet ou la propagande du gouvernement en ligne, le SIIO fusionne en 2014¹⁵ avec le Bureau général du nouveau groupe restreint de direction centrale du PCC pour la cybersécurité et l'informatisation (Cyber LSG), composé de plusieurs agences, dont le président n'était autre que Xi Jinping.

<footnote n="14">14 A noter ici que le Conseil d'Etat n'est en aucun cas l'homologue chinois du Conseil d'Etat français ; il s'agit plus d'un Conseil des affaires de l'Etat que d'une juridiction administrative suprême.</footnote>

<footnote n="15">15 HORSLEY (J.P.), « Behind the Facade of China's Cyber Super-Regulator », DigiChina, 8 août 2022, https://digichina.stanford.edu/</footnote>
Cette fusion a amorcé une réforme du nom anglais du SIIO et de ses missions : le Bureau conserve son nom en chinois (国家互联网信息办公室, littéralement : « Bureau national de l'Internet et de l'information ») mais modifie sa version anglaise pour devenir la Cyber Administration of China (CAC), qui comprend le Bureau du Groupe directeur central pour les Affaires du Cyberspace (Office of the Central Leading Group for Cyberspace Affairs)<fnref n="16" />, puis à partir de 2018 le Bureau de la Commission centrale des Affaires du Cyberspace (Office of the Central Cyberspace Affairs Commission – CCAC)<fnref n="17" />. Sous cette nouvelle bannière, qui fait d'elle une institution directement soumise au Comité central du PCC, les tâches les plus importantes de la CAC sont désormais : l'étude et la rédaction de plans stratégiques sur la cybersécurité et l'économie digitale, en supervisant l'implémentation de la cybersécurité dans les zones politiques, économiques, culturelles et sociales majeures ; la promotion de la légifération et de la création de standards en termes de cybersécurité, notamment en pénalisant les actes et les sites web illégaux ; la coordination du développement d'un système national de cybersécurité et de la politique et des positions chinoises sur la gouvernance globale d'Internet ; l'organisation d'activités de coopération internationales sur la cybersécurité (World Internet Conference, China-ASEAN Cyberspace Forum, China-US Internet Industry Forum, etc.).

Depuis 2014, la CAC a également autorité sur le Centre d'information du réseau Internet chinois (China Internet Network Information Center – CNNIC), responsable des noms de domaines chinois et, depuis 2018, sur le CNCERT/CC, l'organisation chargée de la coordination la réponse aux urgences cyber et la gestion des incidents de cybersécurité en Chine<fnref n="18" />.

## §2. Un pouvoir de réglementation du cyberspace conséquent

A l'aune de ces nouvelles responsabilités, la CAC joue un rôle d'importance croissante dans la régulation du cyberspace en Chine. En effet, trois lois successives ont accordé des prérogatives crucales à l'Administration.

Dans un premier temps, la Loi sur la Cybersécurité (CSL) de 2017 lui permet de coordonner notamment les certifications des réseaux critiques (article 23) et les examens de sécurité (article 35), y compris pour les flux sortants de données personnelles et importantes

<footnote n="16">¹⁶ Ibid.</footnote>

<footnote n="17">¹⁷ Ibid.</footnote>

<footnote n="18">¹⁸ CREEMERS (R.), « China's Cyber Governance Institutions », Leiden Asia Centre, Université de Leiden, 2021, p. 7.</footnote>
(article 37)<fnref n="19" />. Par la suite, la Loi sur la Sécurité des Données (DSL) adoptée en 2021 lui confère la tâche d'assurer la coordination générale de la sécurité des données en ligne et des questions réglementaires pertinentes (article 5, article 6§4)<fnref n="20" />, en l'autorisant de nouveau à réglementer le transfert de données importantes en collaboration avec les services compétents du Conseil d'Etat. Enfin, la même année, la CAC se voit offrir des compétences étendues en matière de planification, de coordination et de supervision de la protection des informations personnelles grâce à la Loi sur la Protection des Informations Personnelles (articles 60 à 62)<fnref n="21" />, qui réaffirme son autorité sur les informations personnelles sortantes du pays.

La CAC s'érige ainsi en pilier fondamental de la politique chinoise dans le cyberespace. Le fait que l'Administration soit à la fois un organe du gouvernement exécutif chinois et du PCC, et toujours présidée par Xi Jinping, contribue à cette montée en puissance. En outre, il est intéressant de noter que, conformément au rôle premier de la CAC quand elle s'appelait encore SIIO (propagande en ligne et activités de censure), tous ses directeurs ont simultanément été vice-directeurs du Département central de la propagande du PCC<fnref n="22" />, soulignant l'importance du travail idéologique qui sous-tend le projet de gouvernance chinoise du cyberespace.

Selon Qiúshì (求是, littéralement : « rechercher la vérité »), le journal bimensuel du PCC, la Chine reconnaît que « Le cyberespace est devenu le foyer spirituel commun de centaines de millions de personnes » (网络空间成为亿万民众共同的精神家园) mais que « Diverses forces rivalisent pour s'exprimer en ligne, [...] une grande quantité d'informations vulgaires, de fausses informations, de rumeurs sociales, se développent à un rythme accéléré » (各种力量在网上竞相发声 [...] 虚假信息、社会谣言等也夹杂其中、扩散蔓延)<fnref n="23" />. C'est pourquoi « Comment utiliser les caractéristiques et les avantages d'Internet pour diffuser les valeurs socialistes fondamentales [...] et créer un cyberespace clair est devenu une tâche majeure et urgente pour [le PCC] » (如何发挥网络特色、网络优势传播社会主义核心价值

<footnote n="19">¹⁹ CREEMERS (R.), WEBSTER (G.) et. al., « Translation: Cybersecurity Law of the People's Republic of China (Effective June 1, 2017) », DigiChina, 29 juin 2018, https://digichina.stanford.edu/</footnote>

<footnote n="20">²⁰ RAFAELOF (S.), CREEMERS (R.) et. al., « Translation: Data Security Law of the People's Republic of China (Effective Sept. 1, 2021) », DigiChina, 19 juin 2021, https://digichina.stanford.edu/</footnote>

<footnote n="21">²¹ CREEMERS (R.), WEBSTER (G.), « Translation: Personal Information Protection Law of the People's Republic of China – Effective Nov. 1, 2021 », DigiChina, 20 août 2021, https://digichina.stanford.edu/</footnote>

<footnote n="22">²² LEE (J.), « Cyberspace Governance in China. Evolution, Features and Future Trends », Center for Asian Studies, IFRI, 2022.</footnote>

<footnote n="23">²³ ZHUANG (R.), « Compréhension scientifique des lois de la communication sur Internet et efforts pour améliorer l'utilisation et le niveau de gouvernance d'Internet » (科学认识网络传播规律努力提高用网治网水平), Qiúshì, 16 septembre 2018, http://www.qstheory.cn/</footnote>
观 [...] 营造清朗网络空间,成为摆在我们面前重大而紧迫的任务)<fnref n="24" />, tâche dont est
principalement chargée la CAC.

Malgré cette prise de pouvoir de la CAC et la presque constante évolution de ses
prérogatives, une administration plus ancienne conserve un rôle important à jouer dans la
gouvernance chinoise du cyberespace.

## Section 2. Le maintien des prérogatives importantes du ministère de l'Industrie et des Technologies de l'Information (MIIT)

### §1. Des prérogatives concurrentes à celle de la CAC

Le ministère de l'Industrie et des Technologies de l'Information (MIIT), créé en 2008 lors de la première session du 11ème Congrès national du Peuple chinois, est né de la fusion de plusieurs organismes existants, comme le ministère de l'Industrie, la Commission des sciences, des technologies et de l'industrie pour la défense nationale et le Bureau de l'informatisation du Conseil d'Etat. Il a indéniablement perdu en influence depuis l'émergence de la CAC, à qui il a cédé plusieurs de ses départements lors de la réorganisation institutionnelle de 2014 – ceux chargés de la coordination de la cybersécurité et de la promotion de l'informatisation<fnref n="25" /> notamment.

Malgré cela, le MIIT conserve un rôle important dans la gouvernance chinoise du cyberespace : celui de « travailler sur la construction d'une grande cyberpuissance » (工业和信息化部负责网络强国建设相关工作)<fnref n="26" />. Il demeure notamment chargé de la construction et de la gestion des infrastructures réseau, notamment en termes de déploiement de la 5G, mais perpétue une rivalité importante avec la CAC sur de nombreux points qui ne facilite pas la compréhension des législations en vigueur, que ce soit du point de vue étranger ou pour les Chinois eux-mêmes<fnref n="27" />.

<footnote n="24">24 LEE (J.), « Cyberspace Governance in China. Evolution, Features and Future Trends », op. cit.</footnote>

<footnote n="25">25 ZHANG (M.), « Adaptation de la fonction institutionnelle du ministère de l'industrie et des technologies de l'information : création d'un bureau de gestion de la sécurité des réseaux » (工信部机构职能调整:设网络安全管理局), 21st Century Business Herald, 10 juillet 2015, https://m.21jingji.com/</footnote>

<footnote n="26">26 CREEMERS (R.), « Notice Concerning Adjustment of the Ministry of Industry and Information Technology's Relevant Duties and Bodies », DigiChina, 20 avril 2015, https://digichina.stanford.edu/</footnote>

<footnote n="27">27 CAUGHEY (A.), LU (S.), « How the CAC became Chinese tech's biggest nightmare », Protocol, 11 mars 2022, https://www.protocol.com/</footnote>
D'un point de vue sémantique, le Bureau du MIIT sur la Protection des télécommunications (Telecommunications Protection Bureau) s'est vu renommer Bureau de la gestion de la cybersécurité (Cybersecurity Management Bureau)<fnref n="28" /> en 2015. Quant à l'aspect réglementaire, ses prérogatives et celles de la CAC se chevauchent, par exemple sur la « construction d'un système de standardisation de la sécurité des données en ligne » (网络数据安全标准体系建设)<fnref n="29" />. En outre, et malgré le fait que la CAC ait obtenu autorité sur le CNNIC en 2014, les « principales responsabilités » (主要职责)<fnref n="30" /> du ministère résident toujours dans la « formulation de règlements et de politiques pour l'administration des noms de domaine Internet » (制定互联网域名管理规章及政策)<fnref n="31" />.

## §2. Une influence conservée en termes de cybersécurité et d'Internet

Toutefois, le MIIT demeure une administration de grande importance dans l'institutionnalisation du cyberespace par la Chine. En effet, grâce à son Académie des technologies de l'information et de la communication (China Academy for Information and Communication Technologies) faisant partie des principales organisations techniques certifiées, le ministère peut mener des procédures d'examen de la cybersécurité des services et produits de réseau<fnref n="32" /> conformément à la Loi sur la Cybersécurité (2017). L'Académie participe également à la supervision des principales alliances industrielles chinoises, dont l'Alliance industrielle pour l'Internet, et dispose d'un Centre de recherche sur le droit de l'Internet (Internet Law Research Center)<fnref n="33" /> lui permettant d'être à la pointe de toute nouveauté en termes de droit du numérique et du cyberespace à l'international.

Par ailleurs, le MIIT a autorité sur la Société de l'Internet des objets (Internet Society of Things). Ce groupe, fondé en 2001, comprend des dirigeants du numérique chinois et des instituts de recherche, et joue un rôle réglementaire notable : guides de bonne conduite soumis au « patriotisme » et à la volonté de « sauvegarde de l'intérêt national et de l'intérêt général de l'ensemble du secteur » (搜索引擎服务商应当遵循爱国、从维护国家利益和全

<footnote n="28">²⁸ Ibid.</footnote>

<footnote n="29">²⁹ CREEMERS (R.), « Guidelines for the Construction of the Online Data Security Standards System », DigiChina, 10 avril 2020, https://digichina.stanford.edu/</footnote>

<footnote n="30">³⁰ CREEMERS (R.), « Internet Domain Name Management Rules », DigiChina, 24 août 2017, https://digichina.stanford.edu/</footnote>

<footnote n="31">³¹ Ibid.</footnote>

<footnote n="32">³² TRIOLO (P.), WEBSTER (G.), « Profile: China Academy for Information and Communications Technology (CAICT) », New America, 16 octobre 2018, https://www.newamerica.org/</footnote>

<footnote n="33">³³ Ibid.</footnote>
行业整体利益出发)<fnref n="34" />；documents prévoyant la mobilisation de l'industrie en soutien à la politique numérique (支持中国互联网发展基金会、中国互联网协会等各方力量积极开展网络公益活动)<fnref n="35" />；documents de soutien au Comité central du PCC, du Conseil d'Etat et du MIIT (近年来, 各单位认真贯彻落实党中央、国务院决策部署及工业和信息化部的工作要求)<fnref n="36" />。La Société de l'Internet des objets a, en plus de sa participation active à l'Internet Governance Forum (IGF), créé le China IGF en 2020³⁷, et est accréditée par l'Union Internationale des Télécommunications (ITU)<fnref n="38" />。

Le MIIT a donc un rôle prépondérant dans le développement de l'industrie digitale chinoise et de l'enrichissement du cyberespace.

<footnote n="34">³⁴ CREEMERS (R.), « Self-Discipline Norms for Internet Search Engine Service Companies on Resisting Obscenity, Sex, and Other Such Unlawful and Harmful Information », DigiChina, 22 décembre 2004, https://digichina.stanford.edu/</footnote>

<footnote n="35">³⁵ CREEMERS (R.), « Opinions Concerning Stimulating the Healthy and Orderly Development of the Mobile Internet », DigiChina, 15 janvier 2017, https://digichina.stanford.edu/</footnote>

<footnote n="36">³⁶ CREEMERS (R.), « Guiding Opinions Concerning Strengthening Cybersecurity Work in the Telecommunications and Internet Sectors », DigiChina, 28 août 2014, https://digichina.stanford.edu/</footnote>

<footnote n="37">³⁷ Internet Society of China, « China IGF established in Beijing », 10 juillet 2020, https://www.isc.org.cn/</footnote>

<footnote n="38">³⁸ ITU, « ITU's top contributors: China », 22 août 2022, https://www.itu.int/</footnote>
# CHAPITRE II / LE DÉVELOPPEMENT DE STRATÉGIES D'INFLUENCE ET DE SÉCURITÉ AU SEIN DU CYBERESPACE

Il s'agira d'expliciter la position de la Chine à l'international, notamment sur la question du cyberespace, *via* son attachement à la sécurité idéologique (1). Il sera alors pertinent de présenter une illustration éclatante de ce fil conducteur : les Nouvelles Routes de la Soie (2).

## Section 1. Une sécurité nationale et internationale dans le cyberespace fondée sur la sécurité idéologique

### §1. L'introduction du concept de sécurité nationale globale

Le comportement de la Chine dans le cyberespace est essentiellement dicté par un impératif prégnant de sécurité de l'intérêt national, lui-même fondé sur la sécurité idéologique du PCC. En effet, il est admis depuis la création de la Commission de Sécurité nationale du PCC en 2013 que « Intérêts du Parti et intérêts nationaux ne semblent pas contradictoires, mais complémentaires »<fnref n="39" />. C'est cette institution qui a notamment mis en avant l'Overall National Security Outlook (总体国家安全, littéralement : « sécurité nationale globale »), concept proposé par Xi Jinping – une politique dont le but est de protéger les domaines jugés essentiels au développement de la Chine et à la survie de l'État-parti en maintenant la stabilité intérieure de la Chine et sa prospérité internationale<fnref n="40" /> [Annexe 1].

Pour autant, l'Overall National Security Outlook ne se limite pas qu'aux enjeux domestiques. Cette politique est en effet basée sur cinq éléments (五大要素, littéralement : « cinq grands facteurs essentiels »), parmi lesquels la sécurité internationale joue un rôle de soutien<fnref n="41" /> ; et cinq relations (五对关系, littéralement : « cinq justes relations »), qui impliquent notamment de renforcer les liens entre la sécurité étatique chinoise et la sécurité globale. Dans le journal *Socialism Studies*, patronné par le PCC, un professeur agrégé de

<footnote n="39">³⁹ BONDAZ (A.), « La définition de l'intérêt national en Chine : une réalité mouvante », *Revue internationale et stratégique*, IRIS Editions, 2017/1, n°105, p. 148.</footnote>

<footnote n="40">⁴⁰ DRINHAUSEN (K.), LEGARDA (H.), « "Comprehensive National Security" Unleashed: How Xi's approach shapes China's policies at home and abroad », *Mercator Institute for China Studies*, 15 septembre 2022, https://merics.org/en</footnote>

<footnote n="41">⁴¹ TANG (A.), « Ideological Security in the Framework of the Overall National Security Outlook », *Interpret: China, Center for Strategic and International Studies*, 2019, p. 2.</footnote>
l'Ecole du Marxisme de l'Ecole centrale du Parti confie en 2019 que le « domaine de la menace » (威胁场域, littéralement « aire délimitée de la menace ») se concentre essentiellement sur les « menaces externes », qui peuvent survenir « en-dehors de l'Etat » et inclut notamment des zones de sécurité nouvelles, comme la cybersécurité<fnref n="42" />.

Ce paradigme s'inscrit plus clairement dans une démarche de type Tiānxià à la lecture d'un autre document plus récent encore (2024), dans lequel le ministre de la Sécurité nationale exprime que l'Overall National Security Outlook a pour objectif de promouvoir une « sécurité internationale globale » et de construire une « communauté de destin commun dotée d'une sécurité universelle » par l'établissement d'un « concept de sécurité commun, compréhensif, coopératif et durable »<fnref n="43" />. En effet, la Chine a un cap clair depuis 2012 : la « Grande renaissance de l'ethnie chinoise » (中华民族伟大复兴), c'est-à-dire (re)devenir une puissance mondiale d'ici 2049⁴⁴.

Cet objectif irrigue dès lors toute politique chinoise. Partant, la quête d'influence chinoise se développe aussi à l'international, pour rallier les Etats à la vision chinoise du cyberespace.

## §2. Le développement de l'influence internationale par le biais de l'Organisation de Coopération de Shanghai (OCS)

Dans sa Stratégie internationale pour la Coopération dans le Cyberespace de 2017, il peut sembler paradoxal de voir la Chine soutenir le principe de souveraineté de tout Etat dans le cyberespace et l'interdiction d'ingérence étrangère dans ce domaine, alors qu'elle prône une sécurité chinoise transcendant les frontières. Il s'agit avant tout pour elle de se protéger d'abord de toute intervention externe dans sa politique du cyberespace : « As violations of sovereignty can cover a spectrum of activity, including in the context of specific rules on the use of force and non-intervention that derive from the principle of sovereignty, the extent to which China or other states consider activity below the non-intervention threshold to be a violation of sovereignty is unclear »<fnref n="45" />. En maintenant la carte de l'ambiguïté, la Chine essaie

<footnote n="42">⁴² Ibid., pp. 2-3.</footnote>

<footnote n="43">⁴³ CHEN (Y.), « Fully Implement the Overall National Security Outlook », Interpret: China, Center for Strategic and International Studies, 2024, pp. 3-6.</footnote>

<footnote n="44">⁴⁴ LEGARDA (H.), « China's new international paradigm: security first », Mercator Institute for China Studies, 15 juin 2021, https://merics.org/en</footnote>

<footnote n="45">⁴⁵ MOYNIHAN (H.), « The Application of International Law to State Cyberattacks », Chatham House, 2 décembre 2019, https://www.chathamhouse.org/</footnote>
dans un premier temps de s'imposer dans sa région face à ses concurrents en Asie du Sud-Est (l'Inde, par exemple), notamment au sein de l'OCS.

En effet, la Chine et son partenaire russe utilisent dûment l'OCS pour forger une vision alternative de la gouvernance du cyberespace, en se servant de l'Organisation pour atteindre un consensus régional sur certains concepts, comme ceux de « souveraineté cyber » ou « souveraineté de l'Internet »<fnref n="46" />. Ce travail discret n'est pas récent et un *Plan d'action de l'OCS pour assurer la sécurité internationale de l'information* a émergé dès 2007⁴⁷, jetant les bases de l'Accord de coopération visant à assurer la sécurité internationale de l'information de 2009. Subséquemment, et depuis maintenant plus de dix ans, la Chine propose avec ses alliés russes, tadjikes et ouzbèques un *Code international de Conduite sur la Sécurité de l'Information* aux Nations-Unies<fnref n="48" />. Ce projet a été révisé en 2015, suite aux révélations d'Edward Snowden. Il est intéressant de constater que cette révision n'implémente pas plus de sécurisation des données personnelles (*privacy*) face au scandale généré par le lanceur d'alerte américain, mais s'inscrit plutôt en réaction à ce que la Chine considère de la part des Etats-Unis et des Five Eyes<fnref n="49" /> une « position dominante dans l'espace d'information »<fnref n="50" />. S'il était nécessaire de le rappeler, il est maintenant clair que l'Empire du Milieu aligne ses pièces sur le plateau d'échecs plus pour protéger sa puissance que sa *privacy*.

Cette démarche se retrouve au-delà de la région environnant la Chine et tend à se développer également en Europe et en Afrique, avec l'avènement d'un nouveau projet chinois : les Nouvelles Routes de la Soie.

## Section 2. L'élaboration d'un réseau de communications tentaculaire comme facteur d'influence : les Nouvelles Routes de la Soie

### §1. De la construction d'infrastructures à une Route de la Soie numérique

Les Nouvelles Routes de la Soie constituent l'un des projets géopolitiques les plus ambitieux de la Chine ces dernières années. Présenté en 2013 d'abord sous le nom de « Une

<footnote n="46">⁴⁶ JINDAL (D.), « Shifting Cyber Agenda in Shanghai Cooperation Organisation », Modern Diplomacy, 29 août 2022, https://moderndiplomacy.eu/</footnote>

<footnote n="47">⁴⁷ MCKUNE (S.), « An Analysis of the International Code of Conduct for Information Security », The Citizen Lab, 28 septembre 2015, https://citizenlab.ca/</footnote>

<footnote n="48">⁴⁸ KIZEKOVA (A.), « The Shanghai cooperation organisation: challenges in cyberspace », RSIS Commentaries, 22 février 2012, http://www.rsis.edu.sg/</footnote>

<footnote n="49">⁴⁹ Alliance des services de renseignement de l'Australie, du Canada, des États-Unis, de la Nouvelle-Zélande et du Royaume-Uni.</footnote>

<footnote n="50">⁵⁰ MCKUNE (S.), « An Analysis of the International Code of Conduct for Information Security », op. cit.</footnote>
Ceinture et une Route » (一带一路; One Belt, One Road) puis sous le nom « Initiative Ceinture et Route » (Belt and Road Initiative – BRI) par Xi Jinping durant ses visites au Kazakhstan et en Indonésie, il s'agit d'un projet de construction d'infrastructures portuaires, ferroviaires et terrestres entre la Chine, l'Europe et l'Afrique [Annexe 2]. Mais au fur et à mesure de son développement, l'initiative a évolué, notamment sous l'impulsion de la CAC.

Les premiers catalyseurs de ce glissement furent en premier lieu la Commission nationale du Développement et des Réformes, le ministère des Affaires étrangères et le ministère du Commerce, qui annoncèrent en 2015 leur volonté de faire avancer la construction de câbles optiques transfrontaliers et autres réseaux de lignes de transport de communications, améliorer la connectivité des communications internationales et créer une « Route de la Soie de l'Information » (*Information Silk Road*)<fnref n="51" />. Ce nouveau pan de la BRI est pris très au sérieux par la CAC qui s'efforce dès lors de relier l'Initiative à ses compétences, c'est-à-dire la gestion du cyberespace, en exprimant son souhait de « construire ensemble une Route de la Soie cyber et numérique » (共同打造数字丝绸之路)<fnref n="52" />. Concomitamment, Xi Jinping révèle lors de la Conférence mondiale de l'Internet de 2015 la volonté chinoise de construire une « destinée commune dans le cyberespace » (网络空间命运共同体)<fnref n="53" /> rappelant le concept de « destin commun de l'Humanité » (人类命运共同体)<fnref n="54" />, qui promeut la coopération sécuritaire sous l'égide de la Chine.

L'introduction de cette notion n'est pas anodine. Si elle s'aligne sur l'Overall National Security Outlook, elle dénote aussi une nouvelle mouvance au sein de la BRI : la promotion d'une gouvernance cyber globale non plus par le droit, mais par le territoire. Cela sera appuyé par Xi Jinping en 2017 et en 2018, lorsqu'il utilise officiellement le concept de « Route de la Soie numérique » (数字丝绸之路) lors du premier Forum de la BRI (Belt and Road Forum for International Cooperation)<fnref n="55" /> et lors de la Conférence nationale sur la cybersécurité et l'informatisation de la CAC<fnref n="56" />, pour prôner la connectivité virtuelle de la Chine au reste du monde.

<footnote n="51">51 CHENG (J.), ZENG (J.), « 'Digital Silk Road' as a Slogan Instead of a Grand Strategy », Journal of Contemporary China, 2023, p. 7.</footnote>

<footnote n="52">52 FU (J.), LIU (J.), HAO (S.), « Lu Wei invite la Chine et l'Europe à renforcer leur coopération pour créer une Route de la Soie numérique » (鲁炜促中欧深化合作造数字丝绸之路), Guāncházhè, 6 juillet 2015, https://www.guancha.cn/</footnote>

<footnote n="53">53 CAC, « Construire une communauté de destin dans le cyberespace pour procurer un meilleur bien-être aux peuples de chaque pays du monde » (构建网络空间命运共同体更好造福世界各国人民), 8 décembre 2023, https://www.cac.gov.cn/</footnote>

<footnote n="54">54 CHEN (S.), « Community of Common Destiny for Mankind », The China Media Project, 25 août 2021, https://chinamediaproject.org/</footnote>

<footnote n="55">55 Full text of President Xi's speech at opening of Belt and Road forum, Xinhua, 14 mai 2017, https://english.news.cn/</footnote>

<footnote n="56">56 CHENG (J.), ZENG (J.), « 'Digital Silk Road' as a Slogan Instead of a Grand Strategy », op. cit.</footnote>
La prise de position de la CAC et le glissement du physique au virtuel dans l'Initiative encourage l'écosystème politique chinois à soutenir son marché intérieur, notamment de la tech. En 2019, le Conseil d'Etat soulignera en effet le « rôle irremplaçable des entreprises privées dans la promotion de l'innovation, l'augmentation de l'emploi, l'amélioration du bien-être du peuple et l'ouverture au monde » (民营企业在推动发展、促进创新、增加就业、改善民生和扩大开放等方面发挥了不可替代的作用)<fnref n="57" />.

## §2. La politique des câbles sous-marins et ses conséquences

Les champions technologiques chinois sont dès lors mis en valeur et impliqués dans le développement de Nouvelles Routes de la Soie : Huawei, ZTE, China Telecom, China Unicom et China Mobile obtiennent notamment des contrats pour bâtir des câbles sous-marins en Birmanie, au Bangladesh, au Cambodge, au Kirghizistan, au Népal, en Ouganda, en Equateur et au Pakistan<fnref n="58" />. Le projet le plus important du volet numérique de la BRI tient par ailleurs à relier la Chine à l'Europe en passant par le Moyen-Orient et l'Afrique (tout en évitant l'Inde voisine et concurrente) : le Pakistan East Africa Connecting Europe (PEACE). La construction de ce câble sous-marin permet à la Chine, en plus de développer sa connectivité avec le reste du monde et de protéger ses flux de données grâce à un réseau entièrement sous son contrôle, d'exercer son influence dans le domaine numérique auprès d'Etats émergents. Le Zimbabwe par exemple, idéalement situé sur les Nouvelles Routes de la Soie, bénéficie d'exportations de technologies de reconnaissance faciale (intelligence artificielle) de la part de la Chine et confie les données de ses citoyens à l'entreprise chinoise CloudWalk Technology<fnref n="59" />. Dans un contexte de fort sentiment anti-européen sur le continent africain, cette coopération avec la Chine qui ne subit pas de réputation colonialiste ou néocolonialiste est la bienvenue, et en plein essor.

L'investissement dans les domaines stratégiques de l'intelligence artificielle, d'informatique quantique, de la 5G ou encore d'Internet des objets s'en trouve encouragé. Il est à mettre en relation avec la politique d'intégration (ou de fusion) civilo-militaire chinoise dont l'objectif est de « combiner les bases industrielles et technologiques de défense et civile

<footnote n="57">⁵⁷ Ministère du Commerce de la République Populaire de Chine, *Avis du Conseil d'Etat du Parti communiste chinois sur la création d'un meilleur environnement de développement pour soutenir la réforme et le développement du secteur privé* (中共中央国务院关于营造更好发展环境支持民营企业改革发展的意见), 2019, https://www.mofcom.gov.cn/</footnote>

<footnote n="58">⁵⁸ SALAH (R.), « Route de la soie numérique – Géostratégie des câbles sous-marins », *Observatoire Français des Nouvelles Routes de la Soie*, 6 octobre 2021, https://observatoirenrs.com/</footnote>

<footnote n="59">⁵⁹ SHAN (J.), « China exports facial ID technology to Zimbabwe », *Global Times*, 12 avril 2018, https://www.globaltimes.cn/</footnote>
afin que les technologies, les procédés de fabrication et les équipements, le personnel et les installations puissent être utilisés en commun »<fnref n="60" />. Le développement de telles technologies vise ainsi tant à accroître l'influence de la Chine à l'étranger que son propre arsenal. En effet, pour les sénateurs français, « il s'agit pour [la Chine] non pas de s'en prendre à notre modèle, comme le fait la Russie, mais de promouvoir le sien »<fnref n="61" />. Ainsi, les Nouvelles Routes de la Soie doivent être entendues comme relevant d'une « stratégie duale » dans la continuité de l'Overall National Security Outlook : être un outil de la politique étrangère de Pékin tout en renforçant le pouvoir du PCC en interne<fnref n="62" />.

De telles stratégies politiques permettent ainsi à la Chine de produire une activité soutenue dans le cyberespace.

<footnote n="60">⁶⁰ BITZINGER (R.), « Civil-military integration and Chinese military modernization », China Brief, n°23, 2004.</footnote>

<footnote n="61">⁶¹ Sénat, Rapport fait au nom de la commission d'enquête sur les politiques publiques face aux opérations d'influences étrangères visant notre vie démocratique, notre économie et les intérêts de la France sur le territoire national et à l'étranger afin de doter notre législation et nos pratiques de moyens d'entraves efficients pour contrecarrer les actions hostiles à notre souveraineté, 2024, p. 56.</footnote>

<footnote n="62">⁶² ROBIN (W. J.), « La Belt and Road Initiative et les Routes de la Soie Numériques : contexte et origines », Portail de l'Intelligence Economique, 11 octobre 2022, https://www.portail-je.fr/</footnote>
# PARTIE II / L'INTENSIFICATION DES ACTIVITÉS CHINOISES DANS LE CYBERESPACE

Il s'agira de souligner l'intensification des activités chinoises dans le cyberespace, par la production exponentielle de réglementations sur le cyberespace (I) et l'exploitation constante d'un écosystème cyber-offensif performant (II).

## CHAPITRE I / LA PRODUCTION EXPONENTIELLE DE RÉGLEMENTATIONS SUR LE CYBERESPACE

Il s'agira de démontrer l'instrumentalisation particulière du droit par la Chine (1), qui s'illustre notamment dans l'érection d'un cadre légal de plus en plus strict autour du cyberespace (2).

### *Section 1. L'utilisation croissante du droit comme instrument de conquête du cyberespace à part entière*

#### §1. Le Lawfare et la stratégie des Trois Guerres

L'institutionnalisation du cyberespace par la Chine, le transformant en un terrain politique à part entière avec ses institutions et ses stratégies, s'accompagne d'un mouvement de fond d'instrumentalisation du droit national et international à des fins de lawfare. Si ce terme, qui évoque la guerre par le droit (law et warfare), jouit communément d'une connotation péjorative – étant utilisé par les démocraties occidentales dominantes pour critiquer leurs concurrents ou ennemis, et par ces concurrents et ennemis pour les contester – il s'entend dans le présent mémoire sans jugement de valeur. En effet, « L'attitude des Etats vis-à-vis du droit international a toujours consisté à le traiter non comme une fin en soi, mais comme un moyen en vue d'une certaine fin. [...] Dès lors que le droit international est considéré comme un moyen et non comme une fin, on comprend bien que dénoncer son
instrumentalisation par les Etats ne peut pas avoir plus de sens que de déplorer l'instrumentalisation du poumon par l'appareil respiratoire, de la scie à métaux par l'ouvrier ou du pinceau par le peintre »<fnref n="63" />. Et c'est dans un « contexte intermédiaire entre la guerre et la paix qui domine les relations stratégiques contemporaines »<fnref n="64" /> que voit le jour en 2003 un nouveau paradigme : la stratégie des Trois Guerres.

Cette politique s'articule autour de trois éléments : la guerre de l'opinion publique (舆论战), la guerre psychologique (心理战) et la guerre du droit (法律战)<fnref n="65" />. Ensemble, ils formeraient le coeur de la guerre politique (政治战) chinoise contemporaine, dont l'objectif est de « gagner sans combattre » (不战而胜, littéralement : « ne pas combattre mais vaincre »)<fnref n="66" /> ou, à défaut, s'assurer une « grande victoire au prix d'une petite guerre » (小战大胜, littéralement : « petite guerre, grande victoire »)<fnref n="67" />. Plus prosaïquement, l'un des buts des Trois Guerres est de rivaliser avec les concurrents sur le terrain du droit et de ses conséquences géopolitiques. Elle tend à « limiter la liberté d'action de l'autre et accroître la sienne, car elle offre à la Chine une base pour affirmer la légitimité de ses revendications »<fnref n="68" />. Pour ce faire, il est primordial que la Chine ait l'initiative *a contrario* de se laisser soumettre au droit d'autrui. Xi Jinping l'a exprimé lui-même en décembre 2021, à l'occasion d'une réunion du Politburo<fnref n="69" /> : « Nous devons utiliser le droit pour mener la lutte internationale »<fnref n="70" />. Un commentaire publié anonymement sur le site du journal *Qiúshì* poursuit : « L'utilisation de l'état de droit pour mener la lutte internationale a vigoureusement sauvegardé les intérêts de l'Etat et du peuple »<fnref n="71" />.

## §2. L'exploitation du lawfare dans le cyberespace

Ce qu'il faut comprendre avant tout, c'est que selon la tradition confucéenne, la Chine a toujours considéré le droit comme étant un instrument de gouvernance et non comme une contrainte pesant sur l'Etat (rule by law, en opposition à rule of law ; l'état de droit

<footnote n="63">⁶³ DETRY (C.E.), « ThucyBlog n° 199 – Le lawfare nous apprend-il quelque chose sur le droit international ? (¾) », *Centre Thucydide*, 10 mars 2022, https://www.afri-ct.org/</footnote>

<footnote n="64">⁶⁴ FERNANDEZ (J.), *Relations internationales*, Dalloz, Paris, 2021, pp. 296-298.</footnote>

<footnote n="65">⁶⁵ Comité central du PCC, *Avis du Comité central du Parti communiste chinois concernant la promulgation du règlement sur le travail politique de l'Armée populaire de libération du peuple chinois* (中共中央关于颁布《中国人民解放军政治工作条例》的通知), 2003, p. 2. Il est intéressant de noter que ce document n'a jamais été traduit en vingt ans.</footnote>

<footnote n="66">⁶⁶ SUN (Z.), *L'art de la guerre de Sūn Zī* (孙子兵法), 600 av. J.C. ; « celui qui vainc sans combattre est habile » (不战而, 善之善者).</footnote>

<footnote n="67">⁶⁷ *Ibid*.</footnote>

<footnote n="68">⁶⁸ CHARON (P.), JEANGÈNE VILMER (J.B.), *Les Opérations d'influence chinoises. Un moment machiavélien*, rapport de l'Institut de recherche stratégique de l'École militaire (IRSEM), Paris, 2021, p. 31.</footnote>

<footnote n="69">⁶⁹ Bureau politique du PCC, dont les membres dirigent le Parti et dont le Secrétaire général est Xi Jinping.</footnote>

<footnote n="70">⁷⁰ JUN (M.), « Xi Jinping urges China to arm itself with stronger laws and better lawyers for 'international struggle' », *South China Morning Post*, 16 février 2022, https://www.scmp.com/</footnote>

<footnote n="71">⁷¹ « Commentateur web de Qiúshì : mieux recourir au droit en tant qu'arme pour préserver la raison d'Etat » (求是网评论员 : 更好运用法律武器维护国家利益), Qiúshì, 21 février 2022, http://www.qstheory.cn/</footnote>
occidental)<fnref n="72" />. Ce paradigme s'est renforcé avec l'arrivée du communisme en Chine, qui envisage le droit comme servant d'instrument idéologique de la politique<fnref n="73" />. En bref, le droit est un outil du pouvoir politique et discursif chinois, donc de sa capacité à imposer sa vision du monde aux autres. Il est dès lors pertinent pour la Chine d'
user de ce lawfare dans le cyberespace.

En 2012, la Chine et son allié russe ont obtenu le soutien des membres de l'ITU quant à la révision du *Règlement des télécommunications internationales* afin d'écarter le contrôle américain d'Internet en soumettant l'ICANN à l'ITU<fnref n="74" />. On a également vu plus tôt que la Chine propose avec ses alliés russes, tadjikes et ouzbèques un *Code international de Conduite sur la Sécurité de l'Information aux Nations-Unies* dans le cadre de son influence via la BRI<fnref n="75" />, mais aussi une *Global Initiative on Data Security* (2020) à l'Assemblée Générale des Nations-Unies<fnref n="76" />. En outre, elle s'oppose à la mention directe de l'applicabilité du droit international humanitaire dans les travaux du GGE sur les développements dans le domaine de l'information et des télécommunications dans le contexte de la sécurité internationale, ce dernier se résolvant à mentionner l'applicabilité des « principes de droit international, dont le principe de distinction » dans le cyberespace<fnref n="77" />. En effet, la Chine estime fermement que « la légalité de la cyberguerre ne doit être reconnue en aucune circonstance »<fnref n="78" /> car elle estime ici que tout encadrement du cyberespace sous l'égide de l'ONU (et notamment des Etats-Unis) serait injuste : « Given the “digital gap” between developing and the developed countries, developing countries in general will be in a disadvantaged position in the discussion and development of such rules »<fnref n="79" />.

Si cette attitude *a priori* pacifique rappelle les enseignements de Confucius, elle doit aussi être comprise comme bloquant irrémédiablement tout encadrement du cyberespace qui aurait trop de prises sur un cyberespace chinois que l'Empire du Milieu protège depuis longtemps. Le lawfare se lit donc, également, dans le droit national.

<footnote n="72">⁷² PERKINS (D.), « Law, Family Ties, and the East Asian Way of Business », in HARRISON (L.), HUNTINGTON (S.), eds., *Culture Matters*, Basic Books, New York, 2000, p. 233.</footnote>

<footnote n="73">⁷³ ORTS (E.), « The Rule of Law in China », *Vanderbilt Journal of Transnational Law*, n°34.1, 2001, p. 57.</footnote>

<footnote n="74">⁷⁴ IASIELLO (E.), « La stratégie des “Trois guerres” de la Chine ou comment atténuer les retombées du cyberespionnage », *ASPJ Afrique et Francophonie*, 2017, p. 65.</footnote>

<footnote n="75">⁷⁵ Voir Partie I, Chapitre II, Section 1., §5, p. 20.</footnote>

<footnote n="76">⁷⁶ UNODA, *China's Positions on International Rules-making in Cyberspace*, op. cit.</footnote>

<footnote n="77">⁷⁷ HUANG (Z.), YING (Y.), « The application of the principle of distinction in the cyber context: A Chinese perspective », *International Review of the Red Cross*, n°913, 2021, p. 339.</footnote>

<footnote n="78">⁷⁸ UNODA, *China's Submissions to the Open-ended Working Group on Developments in the Field of Information and Telecommunications in the Context of International Security*, 2019, p. 6.</footnote>

<footnote n="79">⁷⁹ AALCO, *Verbatim Record of Discussions: Fifty-Eighth Annual Session*, 2019, p. 176.</footnote>
# Section 2. La définition progressive d'un encadrement légal strict du cyberespace chinois

## §1. Le Great Firewall of China

La Chine a commencé à délimiter son cyberespace tôt. A partir des années 1998, le ministère de la Sécurité publique lance d'abord le *Golden Shield Project*<fnref n="80" />, qui obtiendra plus tard le surnom de *Great Firewall of China* (防火长城, littéralement : « Grande Muraille ignifugée ») en référence à la Grande Muraille de Chine (长城). Ce projet, résolument avant-gardiste, est né de la « crainte de voir les nouvelles technologies menacer le régime en autorisant la libre expression d'idées politiques ou d'informations à caractère néfaste »<fnref n="81" />. Le *Great Firewall* met en place un système élaboré de censure du cyberespace chinois [Annexe 3], qui sanctionne les informations politiquement subversives ou critiques contre l'Etat et interdit le dénigrement de l'action du gouvernement ou du PCC<fnref n="82" />.

Dès lors, la Chine compte moins d'une dizaine de fournisseurs d'accès à l'Internet mondial, affiliés au gouvernement, qui font office de « véritables postes-frontières du réseau chinois »<fnref n="83" />. Pour l'Internet Society, « *China's intranet is so separated from the global Internet that it is more accurately described as a national intranet* »<fnref n="84" />, quitte à fragiliser son réseau en bloquant les connexions HTTPS sécurisées par le chiffrement TLS 1.3⁸⁵ et obligeant *in fine* les utilisateurs chinois à transférer leurs données avec une faible protection (voire aucune). Un tel idéal de souveraineté dans le cyberespace se trouve renforcé, progressivement, par d'autres mesures législatives.

## §2. L'extraterritorialité de la protection des données chinoises

Certainement consciente des limites sécuritaires de son *Great Firewall*, la Chine a en effet récemment produit trois nouvelles lois d'hygiène numérique : la Loi sur la Cybersécurité (*Cybersecurity Law* – CSL) en 2017, la Loi sur la Sécurité des Données (*Data Security Law* – DSL) et la Loi sur la Protection des Informations personnelles (*Personal*

<footnote n="80">⁸⁰ WU (J.), LAM (O.), « *The evolution of China's Great Firewall: 21 years of censorship* », Hong-Kong Free Press, 3 septembre 2017, https://hongkongfp.com/</footnote>

<footnote n="81">⁸¹ DOUZET (F.), « *Les frontières chinoises de l'Internet* », *Hérodote*, n°127, 2007, p. 130.</footnote>

<footnote n="82">⁸² *Ibid*.</footnote>

<footnote n="83">⁸³ *Ibid.*, p. 132.</footnote>

<footnote n="84">⁸⁴ Internet Society, « *When is the Internet Not the Internet?* », 1 décembre 2023, https://www.internetsociety.org/</footnote>

<footnote n="85">⁸⁵ CIMPANU (C.), « *China is now blocking all encrypted HTTPS traffic that uses TLS 1.3 and ESNI* », ZD Net, 8 août 2020, https://www.zdnet.com/</footnote>
*Information Protection Law – PIPL* en 2021⁸⁶. Cette trilogie, loin d'être l'ensemble exhaustif des lois en la matière en Chine, constitue toutefois en quelque sorte la nouvelle Sainte Trinité du cyberespace chinois.

Cet encadrement des données chinoises s'articule notamment autour de l'obligation de stocker en Chine toute information personnelle (个人信息), donnée importante (重要数据) ou donnée fondamentale de l'Etat (国家核心数据, littéralement : « donnée du noyau de l'Etat »)<fnref n="87" />. Ces trois lois sont essentielles en raison de leur portée extraterritoriale. La CSL requiert que les informations personnelles et les données importantes collectées et générées par des opérateurs d'infrastructures d'informations critiques en Chine soient stockées sur le territoire national, et qu'une analyse de sécurité soit menée pour estimer de la nécessité d'un transfert de données vers l'extérieur (article 37). La DSL, quant à elle, s'applique à tout traitement mettant en péril la sécurité nationale, les intérêts publics ou les droits et intérêts légitimes d'individus ou d'organisations originaires de Chine (article 36). Elle autorise également la Chine à prendre des contre-mesures en réponse à toute « sanction discriminatoire » contre elle en termes d'investissements, de commerce ou tout autre domaine lié aux données, au développement des données et à l'utilisation de technologies (article 26). Enfin, sur le principe, la PIPL a le même objectif que le RGPD<fnref n="88" /> européen : protéger les données personnelles des ressortissants chinois. En revanche, elle prévoit des exceptions peu justifiées pour les activités de gestion des informations personnelles des organes de l'Etat (article 44, article 45) et aucune autorité indépendante n'en surveille la bonne application. En outre, toujours dans une optique de protection ferme de ses actifs, la PIPL n'ouvre aux transferts transfrontaliers qu'une brève liste de motifs admissibles.

L'encadrement des transferts internationaux de données chinoises se trouve renforcé par la nouvelle version de la Loi anti-espionnage (*Counter-Espionage Law – CEL*) de 2014, adoptée en 2023⁸⁹. D'une part, elle ajoute les cyberattaques (网络攻击) contre tout organe de l'Etat ou toute infrastructure d'informations critiques dans son acceptation de la notion d'espionnage (article 4)<fnref n="90" />. D'autre part, plusieurs sources s'enflamment en affirmant que « *The law [...] bans the transfer of information related to national security and interests which*

<footnote n="86">⁸⁶ GODEMENT (F.), ZHU (V.), « *Cross-Borders Data Flows: the Choices for Europe* », Institut Montaigne, 2023, p. 52.</footnote>

<footnote n="87">⁸⁷ VON CARNAP (K.) et al., « *Fragmenting Cyberspace. The future of the internet in China* », Mercator Institute for China Studies, 2023, p. 15.</footnote>

<footnote n="88">⁸⁸ Règlement UE 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données et abrogeant la directive 95/46/CE.</footnote>

<footnote n="89">⁸⁹ « *Counter-espionage Law* », China Law Translate, 3 novembre 2014, https://www.chinalawtranslate.com/</footnote>

<footnote n="90">⁹⁰ Comité permanent de l'Assemblée nationale populaire, *Loi anti-espionnage de la République populaire de Chine* (中华人民共和国反间谍法), 2023.</footnote>
it does not specify »<fnref n="91" />. En réalité, l'article 36 de la CEL ne prévoit que l'arrêt de toute transmission de données (停止传输) par un organe de sécurité nationale (国家安全机关) lorsque celui-ci découvre des « informations sur le contenu du web » (网络信息内容) ou bien des « cyberattaques de niveau risqué » (网络攻击等风险) qui « impliquent un comportement espion » (涉及间谍行为)<fnref n="92" />. Une telle norme semble légitime. En revanche, si l'absence de définition de ce que constitue un « comportement espion » est à surveiller, l'ambiguïté de la loi demeure classique quand il s'agit d'espionnage. Ici, la Chine joue la carte de la défensive (interrompre le transfert d'informations vers des non-nationaux) quand les Etats-Unis, adversaires de l'Empire du Milieu mais alliés de l'Europe, ont par exemple une position offensive (collecter des informations de non-nationaux). En effet, la section 702 du *Foreign Intelligence Surveillance Act* américain autorise les Etats-Unis à « acquire communications of non-Americans outside the United States without a warrant »<fnref n="93" />. Prudence et relativité sont donc de mise quant aux annonces hyperbolées sur la CEL.

En tout état de cause, l'exigence de stockage d'informations sur le sol chinois n'est pas exempte de conséquences. En effet, de nombreuses entreprises non-chinoises ont dû transférer les données de leurs utilisateurs chinois vers des centres de données en Chine (par exemple, Apple en 2018)<fnref n="94" />, voire quitter le pays<fnref n="95" />. En outre, la CAC a sanctionné en 2022 l'entreprise Dīdī Chūxíng à hauteur de huit milliards de yuan (environ un milliard d'euros) d'amende<fnref n="96" />, une somme colossale pour le leader des voitures de transport avec chauffeur (VTC) chinois, en raison de violations de la CSL, la DSL et la PIPL détectées dans sa gestion des données personnelles. L'entreprise Alibaba Cloud avait également été sanctionnée la même année pour des raisons similaires<fnref n="97" /> et l'entreprise était tombée en disgrâce pour ne pas avoir prévenu en premier lieu les autorités chinoises de sa découverte de la vulnérabilité sur Log4J<fnref n="98" />. En effet, elle avait d'abord informé l'éditeur du logiciel avant de rendre la faille publique, sans prévenir le gouvernement chinois, violant la législation chinoise récente en termes de divulgation des vulnérabilités.

<footnote n="91">⁹¹ WOO (R.), GOPALAKRISHNAN (R.), « China wants to mobilise entire nation in counter-espionage », Reuters, 2 août 2023, https://www.reuters.com/</footnote>

<footnote n="92">⁹² Comité permanent de l'Assemblée nationale populaire, *Loi anti-espionnage de la République populaire de Chine* (中华人民共和国反间谍法), op. cit.</footnote>

<footnote n="93">⁹³ AARON (D.), « Unpacking the FISA Section 702 Reauthorization Bill », *Just Security*, 18 avril 2024, https://www.justsecurity.org/</footnote>

<footnote n="94">⁹⁴ BRAUN (E.), « Données : Apple se plie aux exigences de la Chine », *Le Figaro*, 26 février 2018, https://www.lefigaro.fr/</footnote>

<footnote n="95">⁹⁵ « Les nouvelles règles déroutantes du business en Chine », *Le Nouvel Economiste*, 22 avril 2024, https://www.lenouveleconomiste.fr/</footnote>

<footnote n="96">⁹⁶ LEPLÂTRE (S.), « La Chine inflige à Didi, l'Uber chinois, une amende de plus d'un milliard d'euros », *Le Monde*, 21 juillet 2022, https://www.lemonde.fr/</footnote>

<footnote n="97">⁹⁷ FENG (C.), « Alibaba Cloud data leak ‘violated Cybersecurity Law’ in 2019 and must rectify, local Chinese telecoms regulator says », *South China Morning Post*, 24 août 2021, https://www.scmp.com/</footnote>

<footnote n="98">⁹⁸ « Log4j : Pékin sanctionne Alibaba Cloud », *In Cyber*, 29 décembre 2021, https://incyber.org/</footnote>
### §3. La régulation des vulnérabilités

Dans son processus important de légifération dans le cyberespace, la Chine a en effet entendu encadrer les vulnérabilités d'un système informatique qui permettent de le compromettre si elles sont exploitées. Dès septembre 2021, la CAC, le MIIT et le ministère de la Sécurité publique ont publié un Règlement sur la gestion des failles de sécurité dans les produits réseau (网络产品安全漏洞管理规定; Regulations on the Management of network product Security Vulnerabilities – RMSV). Cette réglementation prévoit d'abord l'interdiction d'exploitation des vulnérabilités (article 4)<fnref n="99" /> puis donne la marche à suivre concernant la divulgation de celles-ci. Aux termes de son article 7, le RMSV dispose que les failles doivent en premier lieu être directement notifiées au fournisseur de produits touché<fnref n="100" />, puis en informer dans un délai de deux jours le MIIT via la plateforme d'échange d'informations sur les menaces et les failles (威胁和漏洞信息共享平台报送相关). Enfin, le fournisseur doit « organiser à temps la réparation des failles de sécurité sur le produit réseau » (应当及时组织对网络产品安全漏洞进行修补) et « informer les utilisateurs du produit ayant possiblement subi les impacts [des failles de sécurité] » (告知可能受影响的产品用户).

La règle sur la divulgation des vulnérabilités est la plus controversée, et à juste titre. En effet, à part prévoir un délai de deux jours pour prévenir le MIIT de la découverte d'une faille en l'enregistrant dans une base de données sur les vulnérabilités, le RMSV ne prévoit aucun autre délai pour la réalisation d'un correctif ou l'information aux utilisateurs, si ce n'est « 及时 » (« à temps »), qui peut en réalité aussi bien signifier en chinois « immédiatement » que « au moment opportun ». Il permet donc au gouvernement d'obtenir des failles exploitables bien avant que celles-ci ne soient rendues publiques ou corrigées, ce qui est un avantage considérable dans ce qui est communément appelé la cyberguerre. « Critics consider this akin to stockpiling an arsenal. [...] For intelligence services and militaries that seek to hack an adversary's systems, having vulnerabilities on hand is key », résument deux experts de la cybersécurité dans un rapport très complet<fnref n="101" />.

<footnote n="99">⁹⁹ « Aucune organisation ou personne ne doit utiliser les failles de sécurité des produits réseau ; s'appliquer à des activités compromettant la cybersécurité ; recueillir, vendre et publier illégalement des informations » (任何组织或者个人不得利用网络产品安全漏洞从事危害网络安全的活动, 不得非法收集、出售、发布网络产品安全漏洞信息).</footnote>

<footnote n="100">¹⁰⁰ « En amont, le fournisseur doit immédiatement être pertinemment informé de la faille de sécurité existant dans un produit ou un composant qui lui appartient » (对属于其上游产品或者组件存在的安全漏洞, 应当立即通知相关产品提供者).</footnote>

<footnote n="101">¹⁰¹ CARY (D.), DEL ROSSO (K.), *Sleight of hand: How China weaponizes software vulnerabilities*, rapport de l'Atlantic Council, 2023.</footnote>
Une telle exergue sur la protection de ses vulnérabilités démontre l'intérêt de la Chine pour celles de ses concurrents et partenaires dans le cyberespace.
# CHAPITRE II / L'EXPLOITATION CONSTANTE D'UN ÉCOSYSTÈME CYBER-OFFENSIF PERFORMANT

Il s'agira de présenter les origines de l'arsenal étatique chinois en termes de cyber-offensive (1), et son utilisation tactique de personnes privées dans sa conquête du cyberespace (2).

## Section 1. Un arsenal étatique aux origines anciennes

### §1. L'attribution complexe des cyberattaques sur la scène internationale

De plus en plus d'Etats dénoncent des cyberattaques chinoises. Cette année, la Chine s'est vue accusée de cyber-malveillance à cinq reprises par les Pays-Bas, les Etats-Unis, le Royaume-Uni, l'Australie, la Corée du Sud, le Japon, la Nouvelle-Zélande, l'Allemagne ou encore le Canada<fnref n="102" />.

Il n'en demeure pas moins que l'attribution d'une cyberattaque demeure une tâche complexe à appréhender pour deux raisons : « certains États entretiennent des liens plus ou moins étroits avec des groupes non-étatiques et les utilisent comme des intermédiaires »<fnref n="103" /> et le fait que « le droit international n'offre pas de définition unanimement acceptée du terme cyberattaque »<fnref n="104" />. Un troisième point de vigilance est à noter : la plupart des cyberattaques sont en effet le fait d'acteurs privés, et il est difficile de savoir si elles ont été commanditées par leur Etat d'origine ou non. Cela n'aurait de toute manière qu'une pertinence limitée : « le signe qu'une activité informatique a été lancée depuis le territoire ou une infrastructure informatique d'un État, ou y trouve son origine peut être insuffisant à lui seul pour imputer l'activité en question à cet État »<fnref n="105" />.

En outre, la Chine ne reconnaît pas explicitement l'applicabilité du droit international au cyberespace, il est donc difficile de lui opposer les conditions de la responsabilité internationale du fait d'une personne privée telles que prévues à l'article 8 (comportement sous la direction ou le contrôle de l'Etat) ou 11 (comportement reconnu et adopté par l'Etat

<footnote n="102">¹⁰² « Significant Cyber Incidents », Center for Strategic and International Studies, https://www.csis.org/</footnote>

<footnote n="103">¹⁰³ BANNELIER (K.), CHRISTAKIS (T.), *Cyberattaques. Prévention-réactions : rôle des Etats et des acteurs privés*, Les Cahiers de la Revue Défense Nationale, Paris, 2017, p. 7.</footnote>

<footnote n="104">¹⁰⁴ *Ibid.*, p. 31.</footnote>

<footnote n="105">¹⁰⁵ Assemblée Générale des Nations-Unies, *Groupe d'experts gouvernementaux chargé d'examiner les progrès de l'informatique et des télécommunications dans le contexte de la sécurité internationale*, 2015, §28(f).</footnote>
comme étant sien) du *Projet d'articles sur la responsabilité internationale de l'Etat pour fait internationalement illicite*<fnref n="106" />.

Toutefois, dans la *Position de la Chine sur l'établissement de normes internationales dans le cyberespace* de 2021, l'Empire du Milieu reconnaît l'application des principes de souveraineté, d'abstention du recours à la force et de non-ingérence dans les affaires internes de l'Etat dans le cyberespace<fnref n="107" />. Ainsi, si « les normes et principes internationaux qui procèdent de la souveraineté étatique s'appliquent à l'utilisation de l'outil informatique par les États ainsi qu'à leur compétence territoriale en matière d'infrastructure informatique »<fnref n="108" />, la Chine demeure tenue à une obligation de *due diligence*, conformément à la jurisprudence internationale sur l'affaire de l'Île de Palmas<fnref n="109" />. Cette dernière rappelle que la souveraineté territoriale implique une « obligation de protéger à l'intérieur du territoire, les droits des autres États, en particulier leur droit à l'intégrité et à l'inviolabilité en temps de paix et en temps de guerre »<fnref n="110" />. Dès lors, « qui peut et n'empêche, pèche »<fnref n="111" />.

C'est donc uniquement sur cette base que les Etats peuvent attribuer la responsabilité d'une cyberattaque à la Chine du fait de personnes privées et demander réparation d'éventuels dommages causés par ces dernières. Mais il demeure à concevoir que la plupart des attributions de cyberattaques ont plus une vocation politique – « *Name and Shame* » – que juridique.

Parallèlement, de plus en plus d'acteurs privés prennent la parole pour dénoncer les comportements d'Etat dans le cyberespace (Microsoft<fnref n="112" />, par exemple). Leur objectif est d'assurer le meilleur service possible à leurs clients, quitte à « notify [clients] if we believe [their] account has been targeted or compromised by an individual or group working on behalf of a nation state », tout en demeurant évasif quant à leurs méthodes d'attribution : « The evidence we collect in any active investigation may be sensitive, so we do not plan on providing detailed or specific information about the attackers or their methods. But when the

<footnote n="106">¹⁰⁶ Commission du droit international des Nations-Unies, *Projet d'articles sur la responsabilité internationale de l'Etat pour fait internationalement illicite*, 2001.</footnote>

<footnote n="107">¹⁰⁷ UNODA, *China's Positions on International Rules-making in Cyberspace*, op. cit.</footnote>

<footnote n="108">¹⁰⁸ Assemblée Générale des Nations-Unies, *Groupe d'experts gouvernementaux chargé d'examiner les progrès de l'informatique et des télécommunications dans le contexte de la sécurité internationale*, op. cit., §27.</footnote>

<footnote n="109">¹⁰⁹ Sentence arbitrale rendue le 4 avril 1928, par M. Max Huber, entre les Etats-Unis et les Pays-Bas, dans le litige relatif à la souveraineté sur l'île de Palmas (ou Miangas).</footnote>

<footnote n="110">¹¹⁰ *Ibid.*, p. 9.</footnote>

<footnote n="111">¹¹¹ BANNELIER (K.), CHRISTAKIS (T.), *Cyberattaques. Prévention-réactions : rôle des Etats et des acteurs privés*, op. cit., p. 18.</footnote>

<footnote n="112">¹¹² Microsoft Threat Intelligence, « Volt Typhoon targets US critical infrastructure with living-off-the-land techniques », *Microsoft*, 24 mars 2023, https://www.microsoft.com/ : « The attack is carried out by Volt Typhoon, a state-sponsored actor based in China ».</footnote>
evidence reasonably suggests the attacker is state sponsored, we will say so »<fnref n="113" />. L'opacité derrière les cyber-opérations et leurs origines (privées ou étatiques) est donc à garder en mémoire en termes d'attribution.

## §2. Militarisation du cyberespace et réforme des Forces de Soutien Stratégique (SSF) de l'Armée Populaire de Libération (PLA)

Dès les années 1990, l'armée chinoise est consciente du développement d'un « type de guerre non-militaire »<fnref n="114" />. Ces conflits impliquent notamment des pirates informatiques, considérés déjà à l'époque comme des « combattants non-professionnels »<fnref n="115" />. En s'appuyant sur l'opinion d'un ancien chef d'état-major de l'armée de terre américaine, qui affirmait que « la guerre informatique serait la forme de combat fondamentale dans une future guerre »<fnref n="116" />, les autorités chinoises estiment qu'il est impératif de s'aligner sur les Etats-Unis en créant une force numérisée au sein de l'armée. Effectivement, la Chine, inquiète de la manière dont l'évolution technologique « brouille la question de savoir qui sont les antagonistes de la guerre » et de la « menace toujours plus grande » que font peser ces « adversaires de plus en plus redoutables pour les armées de métier »<fnref n="117" />, souhaite dès lors devenir précurseur des « opérations de guerre non-militaires »<fnref n="118" /> ; d'une « guerre hors-limites »<fnref n="119" />.

En 2005, l'Armée Populaire de Libération (People Liberation Army – PLA) organise une unité de cyber-milice au sein de l'entreprise Nánhào Group composée de deux groupes tâchés de conduire des cyber-opérations offensives et défensives<fnref n="120" />.

Dix ans plus tard, la PLA se dote d'une Force de Soutien Stratégique (Strategic Support Force – SSF) aux côtés des forces terrestre, maritime, aérienne et spatiale de l'armée chinoise<fnref n="121" />. Ce « cyber warrior » est augmenté en 2017 d'un Département des Systèmes Réseaux (Network System Department – NSD), intégration de trois anciens départements du Département du Service Général chargés de la surveillance radio et de la reconnaissance, des

<footnote n="113">¹¹³ CHARNEY (S.), « Additional steps to help keep your personal information secure », Microsoft, 30 décembre 2015, https://www.microsoft.com/</footnote>

<footnote n="114">¹¹⁴ QIAO (L.), WANG (X.), *La Guerre hors limites*, Payot & Rivages, Paris, 2006, p. 83.</footnote>

<footnote n="115">¹¹⁵ *Ibid.*, p. 81.</footnote>

<footnote n="116">¹¹⁶ *Ibid.*, p. 85.</footnote>

<footnote n="117">¹¹⁷ *Ibid.*, p. 84.</footnote>

<footnote n="118">¹¹⁸ *Ibid.*, p. 87.</footnote>

<footnote n="119">¹¹⁹ *Ibid.*, p. 250.</footnote>

<footnote n="120">¹²⁰ CREEMERS (R.), PAPAGIANNEAS (S.) et. al., *The Emergence of China's Smart State*, in CALDERARO (A.), CARR (M.), eds., *Digital Technologies and Global Politics*, Rowman & Littlefield, Londres, 2024, p. 175.</footnote>

<footnote n="121">¹²¹ WU (T.H.), HUNG (C.L.), *Cyber Warfare Capabilities of the PLA Strategic Support Force (SSF)*, in SUN (T.Y.), HUNG (J.M.), eds., *Report on the Defense Technology Trend Assessment—Assessment of the New Generation of Chinese Communist Party's Military Technology*, Taipei, Institute for National Defense and Security Research, 2021, p. 98.</footnote>
systèmes radars, et de la défense et offensive militaire dans le cyberespace<fnref n="122" />. Elle comprendrait alors 200 000 à 250 000 personnels, soit seulement 10% à 12% des forces totales de la PLA<fnref n="123" />. Une telle unité au sein de l'armée régulière chinoise a une importance éminemment stratégique, la Chine étant impliquée dans nombre de tensions géopolitiques, que ce soit avec Taïwan et les Etats-Unis, ses Etats voisins et la Mer de Chine méridionale, ou encore la région du Cachemire en Inde. Cette force spéciale est donc pertinemment mobilisée dans ces contextes. Dans un rapport du ministère de la Défense taïwanais, il est par exemple admis que la SSF est capable de paralyser le système opérationnel et le système de commandement d'un éventuel ennemi au début d'un conflit<fnref n="124" /> : « These capabilities have been sufficient to neutralize the [Taiwan] Armed Force's air defense, command of the sea, and countermeasure capabilities »<fnref n="125" />.

Cependant, en avril 2024, la SSF est dissoute. La Commission militaire centrale (Central Military Commission – CMC) divise les sous-départements de la SSF (dont le NSD) en trois nouvelles troupes qui ne sont plus interdépendantes : la Force de Soutien à l'Information (信息支援部队), la Force de la Navigation spatiale militaire (军事航天部队) et la Force du Cyberespace (网络空间部队)<fnref n="126" />. Elles constituent désormais, avec la Force conjointe de Soutien logistique (联勤保障部队), les quatres armes (兵种) soumises à la CMC<fnref n="127" />. Selon Xi Jinping, la Force du Cyberespace sera tâchée de renforcer la cyberdéfense nationale, de détecter et de contrer les intrusions dans les réseaux et de maintenir la souveraineté nationale en matière de cybersécurité et d'information<fnref n="128" />. De son côté, la PLA se fixe l'année 2027 – au centenaire de la création du NSD – « to achieve its modernisation goals, paving the way for it to become a “world class” military power by 2049 »<fnref n="129" />.

Mais la Chine ne fait pas reposer ses cyber-opérations uniquement sur son armée. En effet, « Individuals and entities, including private sector companies, carry out network attacks and defence when they are needed » : les forces civiles (民间力量) sont perçues

<footnote n="122">¹²² Ibid., p. 100.</footnote>

<footnote n="123">¹²³ DAHM (J.M.), China C4ISR and Counter-Intervention, rapport du Mitchel Institute for Aerospace Studies, 2024, p. 12.</footnote>

<footnote n="124">¹²⁴ Bureau du Secrétaire à la Défense, *Annual Report to Congress: Military and Security Developments Involving the People's Republic of China*, 2021, p. 88.</footnote>

<footnote n="125">¹²⁵ WU (T.H.), HUNG (C.L.), *Cyber Warfare Capabilities of the PLA Strategic Support Force (SSF)*, op. cit., p. 108.</footnote>

<footnote n="126">¹²⁶ NOUWENS (M.), « China's New Information Support Force », *International Institute for Strategic Studies*, 3 mai 2024, https://www.iiss.org/</footnote>

<footnote n="127">¹²⁷ DAHM (J.M.), « A Disturbance in the Force: The Reorganization of People's Liberation Army Command and Elimination of China's Strategic Support Force », *China Brief*, n°24, 2024.</footnote>

<footnote n="128">¹²⁸ WANG (A.), « New force for China's PLA eyes modern warfare information support », *South China Morning Post*, 23 avril 2024, https://www.scmp.com/</footnote>

<footnote n="129">¹²⁹ Ibid.</footnote>
comme « "spontaneously" engaging in network attack and defence [and] can be organised
and mobilised to conduct network operations »<fnref n="130" />.

## Section 2. L'utilisation tactique de prestataires chinois privés de la cybersécurité

### §1. Des entreprises privées sous l'égide du ministère de la Sécurité d'Etat (MSS)

La communauté chinoise de hackers constitue une force importante dans la cyberguerre, qui évolue en tandem avec les efforts et le soutien de l'Etat s'inscrivant dans l'initiative de fusion civilo-militaire<fnref n="131" /> et la stratégie du Front Uni, visant à user de toutes les ressources à disposition de l'Etat (biens, technologies, personnes physiques et morales) aux fins de servir l'intérêt national<fnref n="132" />. En effet, la plupart des forces civiles aux activités cyber-offensives sont encadrées par le ministère de la Sécurité publique, le ministère de la Sécurité d'Etat (Ministry of State Security – MSS) ou la PLA<fnref n="133" /> [Annexe 4]. Il s'agit d'un système dit de « hack-for-hire », de mercenariat du piratage informatique, qui repose sur des hackers sous contrat et des chercheurs d'élite<fnref n="134" />.

En effet, la Chine est dotée de compétences civiles en hacking remarquables. Au cours des années 2010, les chercheurs chinois en la matière se sont établis comme dominants les compétitions de hacking internationales<fnref n="135" />, comme Pwn2Own. Leur efficacité se démontre ainsi dans les programmes de bug bounty (programmes de récompenses basés sur la quête de vulnérabilités) de géants américains : « From 2017 to 2023, China alone contributed 27% of all vulnerabilities submitted to the bug bounty programs of Apple, Google Android, and Microsoft combined, while the rest of the world accounted for 59% »<fnref n="136" />.

Pendant cette période, l'Etat chinois a toutefois souhaité progressivement conserver le travail des chercheurs de failles informatiques à ses propres fins – cela concorde avec les travaux puis la publication du RMSV (2021). Dès 2018, la Chine interdit officiellement à ses ressortissants de concourir aux compétitions de hacking étrangères et crée sa propre

<footnote n="130">130 CREEMERS (R.), PAPAGIANNEAS (S.) et. al., *The Emergence of China's Smart State*, op. cit., p. 173.</footnote>

<footnote n="131">131 BENINCASA (E.), *From Vegas to Chengdu. Hacking Contests, Bug Bounties, and China's Offensive Cyber Ecosystem*, rapport du Center for Security Studies de l'Ecole Polytechnique Fédérale de Zürich, 2024, p. 18.</footnote>

<footnote n="132">132 « Politique étrangère : le Front uni à l'avant-garde de la nouvelle diplomatie de Xi Jinping », *Intelligence Online*, 14 mars 2024, https://www.intelligenceonline.fr/</footnote>

<footnote n="133">133 CREEMERS (R.), PAPAGIANNEAS (S.) et. al., *The Emergence of China's Smart State*, op. cit., pp. 172-173.</footnote>

<footnote n="134">134 BENINCASA (E.), *From Vegas to Chengdu. Hacking Contests, Bug Bounties, and China's Offensive Cyber Ecosystem*, op. cit., p. 12.</footnote>

<footnote n="135">135 UREN (T.), « How China's Cyber Ecosystem Feeds Off Its Superstar Hackers », Lawfare, 14 juin 2024, https://www.lawfaremedia.org/</footnote>

<footnote n="136">136 BENINCASA (E.), *From Vegas to Chengdu. Hacking Contests, Bug Bounties, and China's Offensive Cyber Ecosystem*, op. cit., p. 21.</footnote>
compétition, la Tiānfǔ Cup<fnref n="137" />. Cette dernière est financée aussi bien par l'Etat que des entreprises de cyber chinoises, comme la société Topsec (liée, par ailleurs, à la fuite de données de l'assurance américaine Anthem en 2015). D'autres entreprises chinoises du secteur se sont ensuite mobilisées pour stimuler à leur tour les compétences civiles en hacking, la société I-SOON organisant par exemple une Ānxún Cup<fnref n="138" />.

Dès lors, la communauté chinoise de hackers est constituée de *threat actors* (« acteurs de la menace [cyber] »), qui peuvent mener des campagnes d'attaque contre une cible spécifique, ou bien visent à atteindre plusieurs cibles sur une période de temps plus longue, à l'aide campagnes d'attaque aux propriétés, comportements et attributs similaires. On parle alors d'*intrusion sets* (modes opératoires d'attaque)<fnref n="139" />. Certains *intrusion sets* reposent sur des « menaces persistantes avancées » (*Advanced Persistent Threats* – APT), des cyberattaques sophistiquées qui s'étendent dans la durée<fnref n="140" /> et ne visent pas un résultat direct, mais plutôt à s'infiltrer en profondeur dans un système d'information afin de voler des données sensibles sur le long terme. Leur objectif est notamment de conduire des campagnes d'espionnage contre les « Cinq Poisons » (五毒)<fnref n="141" />, qui font référence aux mouvements d'indépendance taïwanais et tibétain, à l'ethnie ouïghoure, au mouvement démocratique chinois et au mouvement spirituel Fǎlún Gōng (qui a constamment résisté à l'influence du PCC), mais des opérations vis-à-vis de l'Occident sont également à l'oeuvre [Annexe 5].

Dans son rapport sur la menace cyber internationale de 2022, l'entreprise chinoise Qihoo360, soutenue par l'Etat, considère ainsi la Corée du Nord, la Corée du Sud, l'Inde, Taïwan et le Vietnam comme menaces principales aux côtés de la Russie, d'Israël et des Etats-Unis (en nommant explicitement la CIA et la NSA)<fnref n="142" />. Evidemment, elle ne mentionne pas les menaces chinoises, mais ce mémoire ne s'en tiendra pas là.

## §2. Advanced Persistent Threats (APT) chinoises et multiplication des attaques à des fins politiques

Pour conduire des activités de cyberespionnage, les entreprises privées spécialisées dans la cybersécurité sont recrutées par le PCC afin de mener des campagnes d'attaque ou de

<footnote n="137">137 UREN (T.), « How China's Cyber Ecosystem Feeds Off Its Superstar Hackers », op. cit.</footnote>

<footnote n="138">138 Ibid.</footnote>

<footnote n="139">139 OASIS Cyber Threat Intelligence TC, « Defining Campaigns vs. Threat Actors vs. Intrusion Sets », OASIS Open, https://oasis-open.github.io/cti-documentation/</footnote>

<footnote n="140">140 LENAERTS-BERGMANS (B.), « Advanced Persistent Threat (APT) », Crowdstrike, 28 février 2023, https://crowdstrike.com/</footnote>

<footnote n="141">141 HOFFMAN (S.), MATTIS (P.), « Managing the power within: China's State Security Commission », War on the Rocks, 28 juillet 2016, https://warontherocks.com/</footnote>

<footnote n="142">142 Source confidentielle.</footnote>
constituer des intrusion sets [Annexe 6]. Un exemple fiable est la société I-SOON, dont une fuite de documents d'origine interne et vraisemblablement volontaire en début d'année<fnref n="143" /> a permis de prendre conscience de l'écosystème des APT chinoises et de leur fonctionnement. En effet, l'entreprise est non seulement désignée comme fournisseur officiel du MSS mais fait également partie, depuis 2019, des premiers fournisseurs certifiés (列裝单位) du Bureau de la Cybersécurité et de la Défense du ministère de la Sécurité publique en technologies et matériels informatiques<fnref n="144" />. Cette confiance entre I-SOON et le Parti est confirmée en 2020, quand l'entreprise reçoit une habilitation secret de deuxième classe pour les entreprises de recherche et de production d'armes et d'équipements (武器装备科研生产单位二级保密资格) au sein du MIIT<fnref n="145" />. Cette habilitation est la plus élevée qu'une entité non-étatique puisse se voir remettre et a permis à I-SOON de mener des recherches classifiées liées à la sécurité de l'Etat.

Au-delà d'exploiter de véritables entreprises de cybersécurité, il est également concevable que le MSS crée *ex-nihilo* des sociétés-écran pour masquer ses activités de cyberespionnage, comme le conclut Intrusion Truth<fnref n="146" /> : « *a regional office of the MSS creates a company, hires a team of hackers and attacks Western targets* »<fnref n="147" />. En effet, depuis six ans, Intrusion Truth a mis en lumière une trentaine de personnels appartenant à au moins six APT affiliées au MSS : « *The revelations exposed a pattern connecting front companies with MSS local/regional bureaus and contract hackers. More broadly, they shed light on the intricate relationships between China's IT sector, academic institutions, and the country's intelligence agencies* »<fnref n="148" />.

Au-delà d'entreprises comme I-SOON ou Qihoo360, les APT prolifèrent depuis la Chine, notamment trois acteurs : APT41, Volt Typhoon et Mustang Panda. D'une part, accusée d'être soutenue par le gouvernement chinois par des rapports particulièrement complets<fnref n="149" />, APT41 mène des actions de cyberespionnage ciblant « généralement » des objectifs alignés au Plan quinquennal chinois sur le développement économique (*Five Year Plan*)<fnref n="150" />, et des opérations à but lucratif depuis au moins 2012, notamment contre les secteurs

<footnote n="143">143 KAUFMAN (A.), « I-Soon Data Leak Provides Glimpse Into China's Ecosystem of Cyber-espionage », China Digital Times, 23 février 2024, https://chinadigitaltimes.net/</footnote>

<footnote n="144">144 DANOWSKI (M.), « i-SOON Leak: Unanswered Questions and What Now? », *Natto Thoughts*, 27 mars 2024, https://nattothoughts.substack.com/</footnote>

<footnote n="145">145 *Ibid*.</footnote>

<footnote n="146">146 Intrusion Truth est un groupe anonyme apparu en 2017 qui publie sur WordPress et X (Twitter) du contenu de cyber threat intelligence sur les threat actors chinois.</footnote>

<footnote n="147">147 « Is there a pattern? », Intrusion Truth, 15 juillet 2019, https://intrusiontruth.wordpress.com/</footnote>

<footnote n="148">148 BENINCASA (E.), *From Vegas to Chengdu. Hacking Contests, Bug Bounties, and China's Offensive Cyber Ecosystem*, op. cit., p. 19.</footnote>

<footnote n="149">149 *FireEye Threat Intelligence, APT41. A Dual Espionage and Cyber Crime Operation*, rapport de Mandiant, 2022.</footnote>

<footnote n="150">150 *Ibid.*, p. 6.</footnote>
de la santé et de la technologie dans plus de dix pays. D'autre part, Volt Typhoon (aussi connu sous le nom de Vanguard Panda) est une APT active depuis au moins 2021, et considérée comme ayant ciblé des infrastructures américaines critiques, notamment la base militaire de Guam en mai 2023¹⁵¹. Enfin, Mustang Panda (aussi connu sous le nom de Temp.Hex), est une APT basée en Chine. Découverte en 2017, elle pourrait être active depuis au moins 2014 et cible notamment des entités gouvernementales aux Etats-Unis, en Europe, en Mongolie et en Asie du Sud-Est<fnref n="152" />.

Dès lors, ce type de *threat actors* poursuit continuellement des cyberattaques à portée politique, que ce soit à des fins de cyberespionnage ou de déstabilisation. Mustang Panda aurait par exemple attaqué des entités militaires et policières au Myanmar et à l'ambassade du Myanmar en Serbie<fnref n="153" />. En effet, la Chine est un soutien important de la junte rebelle arrivée au pouvoir en 2021¹⁵⁴, celle-ci lui offrant un accès au Golfe du Bengale et donc une position privilégiée sur l'Océan Indien<fnref n="155" />. Cette APT aurait également utilisé le conflit russo-ukrainien pour cibler des pays européens et d'Asie-pacifique<fnref n="156" />, notamment la Russie elle-même. Pour certains experts, « *while China and Russia ties keeps on deepening, it is highly likely Beijing is interested in anticipating how the conflict would impact Chinese interests in the region and globally* »<fnref n="157" />. Par ailleurs, en Asie du Sud, APT41 aurait visé des entités gouvernementales sri-lankaises en 2022, opération qui serait liée à la nomination du Premier ministre Dinesh Gunawardena dont la famille est liée à l'Inde<fnref n="158" />, à une période où la Chine était accusée de pressurisation<fnref n="159" /> sur cet autre Etat stratégique dans sa quête de pouvoir dans l'Océan Indien<fnref n="160" />. Et avec la hausse des tensions relatives à l'île de Taïwan<fnref n="161" /> et en mer de Chine méridionale<fnref n="162" />, il est peu probable que ce genre d'activités ne cessent.

<footnote n="151">¹⁵¹ Sekoia Threat Detection and Response, « *My Tea's not cold. An overview of China's cyber threat* », Sekoia, 07 septembre 2023, https://blog.sekoia.io/</footnote>

<footnote n="152">¹⁵² Ibid.</footnote>

<footnote n="153">¹⁵³ Threat Intelligence Team, « *Hitching a ride with Mustang Panda* », Decoded, 2 décembre 2022, https://decoded.avast.io/</footnote>

<footnote n="154">¹⁵⁴ Le Monde, AFP, « *Chinese foreign minister renews 'friendship' with Myanmar in official visit to junta leader* », Le Monde, 3 mai 2023, https://www.lemonde.fr/en/</footnote>

<footnote n="155">¹⁵⁵ BERTHET (S.), « *Les corridors de la discorde* », Le Monde diplomatique, n°776, 2018, p. 9.</footnote>

<footnote n="156">¹⁵⁶ The BlackBerry Research and Intelligence Team, « *Mustang Panda Uses the Russian-Ukrainian War to Attack Europe and Asia Pacific Targets* », BlackBerry, 12 juin 2022, https://blogs.blackberry.com/</footnote>

<footnote n="157">¹⁵⁷ Sekoia Threat Detection and Response, « *My Tea's not cold. An overview of China's cyber threat* », op. cit.</footnote>

<footnote n="158">¹⁵⁸ Ibid.</footnote>

<footnote n="159">¹⁵⁹ THAROR (I.), « *China has a hand in Sri Lanka's economic calamity* », The Washington Post, 20 juillet 2022, https://www.washingtonpost.com/</footnote>

<footnote n="160">¹⁶⁰ HOARAU (C.), « *Sri Lanka et Chine, une coopération au gré des crises* », Observatoire Français des Nouvelles Routes de la Soie, 3 avril 2023, https://observatoirenrs.com/</footnote>

<footnote n="161">¹⁶¹ SIMORRE (A.), « *La Chine durcit le ton face aux “indépendantistes taïwanais”* », Le Figaro, 7 septembre 2024, https://www.liberation.fr/</footnote>

<footnote n="162">¹⁶² PEDROLETTI (B.), « *En mer de Chine du Sud, regain de tension entre la Chine et les Philippines autour de l'atoll Sabina* », Le Monde, 3 septembre 2024, https://www.lemonde.fr/</footnote>
CONCLUSION

Ce mémoire a vocation à mettre en lumière la transformation profonde du cyberespace comme enjeu stratégique majeur pour la Chine, car au-delà du simple déploiement de technologies numériques, Pékin a mis en place une stratégie globale visant à contrôler, réguler et exploiter le cyberespace à des fins politiques et sécuritaires.

La première étape de ce travail a été de montrer comment la Chine a institutionnalisé son cyberespace pour en faire un véritable domaine de sa politique. Pour cela, nous avons présenté le processus d'érection d'institutions internes de contrôle du cyberespace chinois, bien que les deux principales, la CAC et le MIIT, aient des prérogatives concurrentes. En effet, nous avons mis en exergue la montée en puissance rapide de la CAC, un organe relativement nouveau qui affirme de plus en plus son pouvoir sur la réglementation du cyberespace chinois. Puis nous avons rappelé les prérogatives importantes du MIIT qui, bien que ses compétences chevauchent en partie celles de la CAC, conserve une influence certaine dans l'encadrement d'Internet et donc du cyberespace en Chine. En outre, expliciter l'institutionnalisation du cyberespace chinois nécessitait d'en souligner les stratégies d'influence et de sécurité. Nous avons expliqué comment la sécurité idéologique du PCC irrigue les politiques de sécurité nationale et internationale, notamment grâce au concept de « sécurité nationale globale » et à l'exploitation par la Chine de l'OCS comme facteur d'influence internationale. Il a ensuite été pertinent d'évoquer la mise en place des Nouvelles Routes de la Soie, et du développement de leur aspect numérique, dans un contexte géostratégique marqué par l'importance des câbles sous-marins.

La seconde étape a été d'aborder l'intensification des activités chinoises dans le cyberespace, concomitante à son effort d'institutionnalisation par la Chine. Ces activités consistent notamment en la production croissante de réglementations sur le cyberespace, le droit étant utilisé comme un instrument de conquête de ce dernier à part entière, entre *lawfare* et stratégie des Trois Guerres. Outil qui permet, *in fine*, de définir progressivement un cadre strict au cyberespace chinois, par le biais du *Great Firewall*, des trois lois extraterritoriales sur la protection des données (CSL, DSL, PIPL) et du nouvel encadrement de divulgation des vulnérabilités (RMSV). Mais les opérations chinoises en ligne ne concernent pas uniquement des documents juridiques. En effet, la Chine exploite constamment un écosystème cyber-offensif performant, qui repose avant tout sur un arsenal étatique ancien. Il a d'abord été important de rappeler les problématiques d'attribution de cyberattaques d'Etats sur la scène internationale avant de pouvoir évoquer les forces liées au cyberespace de la PLA.
Après avoir mentionné les acteurs publics de la cyber-offensive, il était pertinent d'examiner l'utilisation tactique par la Chine de prestataires privés. En effet, le lien entre les entreprises chinoises et le MSS était à mentionner, ces acteurs privés étant souvent derrière des APT qui multiplient des cyberattaques à des fins politiques.

Ce que tend à faire comprendre ce travail, c'est montrer que la Chine, dans sa sagesse et son expérience millénaires, a souvent un tour d'avance ou, pour le moins, une stratégie complexe sous-tendant chacune de ses actions. Si le penseur chinois Han Feizi avait théorisé bien avant Machiavel que la fin justifie les moyens<fnref n="163" />, on constate que la Chine a deux caractéristiques dans le cyberespace : tout d'abord, une politique de réaction aux menaces réelles ou supposées qui proviennent de l'Occident, principalement des Etats-Unis, avec une volonté depuis plusieurs années de contrôler le narratif en s'arrogeant l'initiative. De plus, la Chine dispose d'une opacité tangible dans ce qu'elle entreprend, que ce soit dû à l'obscurité inhérente de ses institutions et de l'organisation réelle de l'Etat et du Parti, ou bien en raison de la complexification de son discours, tant juridique que diplomatique et politique.

Dans une démarche de neutralité au cours de la rédaction de ce travail, lire des sources directement en chinois s'est révélé être primordial. En effet, il a été facile de réaliser les biais cognitifs de traduction de certains documents, inconscients ou non, dans la doctrine européenne, américaine et australienne.

En tout état de cause, les enjeux liés à la quête de puissance chinoise dans le cyberespace sont multiples et complexes. Le désir de contrôle étatique, la construction d'un cyberespace souverain, l'exploitation des technologies d'espionnage et d'influence, ainsi que les risques de débordement de la cyberguerre sont autant de défis auxquels fait face la communauté internationale. La Chine apparaît ainsi comme un acteur clé de la gouvernance du cyberespace, dont les actions ont des implications profondes pour l'équilibre des puissances mondiales et la sécurité numérique, qu'il convient de continuer à étudier et à comprendre.

<footnote n="163">¹⁶³ QIAO (L.), WANG (X.), *La Guerre hors limites*, op. cit., p. 250.</footnote>
# ANNEXES

<figure><img src="image_3.png" /></figure>

## ANNEXE 1

→ LEGARDA (H.), « China's new international paradigm: security first », Mercator Institute for China Studies, 15 juin 2021, https://merics.org/en

<figure><img src="image_4.png" /></figure>

## ANNEXE 2

→ BANACH (C.), GUNTER (J.), « How the BRI is shaping global trade and what to expect from the initiative in its second decade », Mercator Institute for China Studies, 1 décembre 2023, https://merics.org/en
Restrictions on online information are affecting nearly every field

Examples of restrictions imposed since 2019

<figure><img src="image_5.png" /></figure>

<table><thead><tr><th>CATEGORY</th><th>RESTRICTION</th></tr></thead><tbody><tr><td>Human rights</td><td>From 2019, local governments in Xinjiang halted the release of census data over concerns it could form evidence of human rights violations in China.</td></tr><tr><td>Technology policy</td><td>China's Ministry of Science and Technology thus far has not released its 14th Five-Year Plan on Technology and Innovation, originally formulated between 2021 and 2022 to the public.</td></tr><tr><td>Law</td><td>China's Supreme People's Court has reduced the number of verdicts released to the public via China Judgements Online by 63%.</td></tr><tr><td>Academic databases</td><td>Cybersecurity investigations into academic database CNKI have led to the partial suspension of services to foreign subscribers.²</td></tr><tr><td>Corporate information</td><td>Company information databases Qichacha and Tianyancha shut down access to foreign users.³</td></tr><tr><td>Finance</td><td>WIND, China's top financial data provider, cut foreign access to its data starting in 2022.⁴</td></tr><tr><td>Communications</td><td>Social media platforms are implementing cumbersome registration requirements, either requiring Chinese phone numbers or adding near-insurmountable verification mechanisms.</td></tr><tr><td>Research grants</td><td>After 2019, China's Ministry of Science and Technology stopped publicizing the awarded monetary value and project initiators of grants for the National Key Projects.</td></tr></tbody></table>

Source: MERICS

© MERICS

ANNEXE 3

→ VON CARNAP (K.), « *The increasing challenge of obtaining information from Xi's China* », *Mercator Institute for China Studies*, 15 février 2024, https://merics.org/en

<figure><img src="image_6.png" /></figure>

ANNEXE 4

→ Sekoia Threat Detection and Response, « *My Tea's not cold. An overview of China's cyber threat* », Sekoia, 07 septembre 2023, https://blog.sekoia.io/
<figure><img src="image_7.png" /></figure>

ANNEXE 5

→ HMAIDI (A.), « "Here to stay" – Chinese state-affiliated hacking for strategic goals », *Mercator Institute for China Studies*, 22 novembre 2023, https://merics.org/en

<figure><img src="image_8.png" /></figure>

ANNEXE 6

→ Ibid.
# BIBLIOGRAPHIE

## Articles

* BERTHET (S.), « Les corridors de la discorde », Le Monde diplomatique, n°776, 2018.

* BONDAZ (A.), « La définition de l'intérêt national en Chine : une réalité mouvante », Revue internationale et stratégique, IRIS Editions, 2017/1, n°105.

* BITZINGER (R.), « Civil-military integration and Chinese military modernization », China Brief, n°23, 2004.

* CHEN (Y.), « Fully Implement the Overall National Security Outlook », Interpret: China, Center for Strategic and International Studies, 2024.

* CHENG (J.), ZENG (J.), « 'Digital Silk Road' as a Slogan Instead of a Grand Strategy », Journal of Contemporary China, 2023.

* CHILSTEIN (D.), « Législation sur la cybercriminalité en France », Revue internationale de droit comparé, n°62, 2010.

* CREEMERS (R.), « China's Cyber Governance Institutions », Leiden Asia Centre, Université de Leiden, 2021.

* CREEMERS (R.), PAPAGIANNEAS (S.) et. al., *The Emergence of China's Smart State, in CALDERARO (A.), CARR (M.), eds., Digital Technologies and Global Politics*, Rowman & Littlefield, Londres, 2024.

* DAHM (J.M.), « A Disturbance in the Force: The Reorganization of People's Liberation Army Command and Elimination of China's Strategic Support Force », China Brief, n°24, 2024.

* DOUZET (F.), « Les frontières chinoises de l'Internet », Hérodote, n°127, 2007.

* DUROSELLE (J.B.), « Paix et guerre entre les nations : la théorie des relations internationales selon Raymond Aron », Revue française de sciences politiques, n°12, 1962.

* GODEMENT (F.), ZHU (V.), « Cross-Borders Data Flows: the Choices for Europe », Institut Montaigne, 2023.

* HUANG (Z.), YING (Y.), « The application of the principle of distinction in the cyber context: A Chinese perspective », International Review of the Red Cross, n°913, 2021.
* IASIELLO (E.), « La stratégie des “Trois guerres” de la Chine ou comment atténuer les retombées du cyberespionnage », ASPJ Afrique et Francophonie, 2017.

* LEE (J.), « Cyberspace Governance in China. Evolution, Features and Future Trends », Center for Asian Studies, IFRI, 2022.

* LI (Z.), « A Chinese perspective on cyberwar », International Review of the Red Cross, n°886, 2012.

* ORTS (E.), « The Rule of Law in China », Vanderbilt Journal of Transnational Law, n°34, 2001.

* PERKINS (D.), « Law, Family Ties, and the East Asian Way of Business », in HARRISON (L.), HUNTINGTON (S.), eds., *Culture Matters*, Basic Books, New York, 2000.

* TANG (A.), « Ideological Security in the Framework of the Overall National Security Outlook », Interpret: China, Center for Strategic and International Studies, 2019.

* VON CARNAP (K.) et al., « Fragmenting Cyberspace. The future of the internet in China », Mercator Institute for China Studies, 2023.

* WU (T.H.), HUNG (C.L.), *Cyber Warfare Capabilities of the PLA Strategic Support Force (SSF), in* SUN (T.Y.), HUNG (J.M.), eds., *Report on the Defense Technology Trend Assessment—Assessment of the New Generation of Chinese Communist Party’s Military Technology*, Institute for National Defense and Security Research, Taipei, 2021.

## Documents officiels

* AALCO, *Verbatim Record of Discussions: Fifty-Eighth Annual Session*, 2019.

* Assemblée Générale des Nations-Unies, *Groupe d’experts gouvernementaux chargé d’examiner les progrès de l’informatique et des télécommunications dans le contexte de la sécurité internationale*, 2015.

* Bureau du Secrétaire à la Défense, *Annual Report to Congress: Military and Security Developments Involving the People’s Republic of China*, 2021.

* Commission du droit international des Nations-Unies, *Projet d’articles sur la responsabilité internationale de l’Etat pour fait internationalement illicite*, 2001.

* Comité central du PCC, *Avis du Comité central du Parti communiste chinois concernant la promulgation du règlement sur le travail politique de l’Armée*
populaire de libération du peuple chinois (中共中央关于颁布《中国人民解放军政治工作条例》的通知), 2003.

* Comité permanent de l'Assemblée nationale populaire, Loi anti-espionnage de la République populaire de Chine (中华人民共和国反间谍法), 2023.

* Ministère du Commerce de la République Populaire de Chine, Avis du Conseil d'Etat du Parti communiste chinois sur la création d'un meilleur environnement de développement pour soutenir la réforme et le développement du secteur privé (中共中央国务院关于营造更好发展环境支持民营企业改革发展的意见), 2019.

* Sénat, Rapport fait au nom de la commission d'enquête sur les politiques publiques face aux opérations d'influences étrangères visant notre vie démocratique, notre économie et les intérêts de la France sur le territoire national et à l'étranger afin de doter notre législation et nos pratiques de moyens d'entraves efficients pour contrecarrer les actions hostiles à notre souveraineté, 2024.

* Sentence arbitrale rendue le 4 avril 1928, par M. Max Huber, entre les Etats-Unis et les Pays-Bas, dans le litige relatif à la souveraineté sur l'île de Palmas (ou Miangas).

* UNODA, China's Submissions to the Open-ended Working Group on Developments in the Field of Information and Telecommunications in the Context of International Security, 2019.

* UNODA, China's Positions on International Rules-making in Cyberspace, 2021.

## Ouvrages

* BANNELIER (K.), CHRISTAKIS (T.), Cyberattaques. Prévention-réactions : rôle des Etats et des acteurs privés, Les Cahiers de la Revue Défense Nationale, Paris, 2017.

* BENINCASA (E.), From Vegas to Chengdu. Hacking Contests, Bug Bounties, and China's Offensive Cyber Ecosystem, rapport du Center for Security Studies de l'Ecole Polytechnique Fédérale de Zürich, 2024.

* CARY (D.), DEL ROSSO (K.), Sleight of hand: How China weaponizes software vulnerabilities, rapport de l'Atlantic Council, 2023.

* CHARON (P.), JEANGÈNE VILMER (J.B.), Les Opérations d'influence chinoises. Un moment machiavélien, rapport de l'Institut de recherche stratégique de l'École militaire (IRSEM), Paris, 2021.
❖ DAHM (J.M.), *China C4ISR and Counter-Intervention*, rapport du Mitchel Institute for Aerospace Studies, 2024.

❖ DELERUE (F.), *Analyse du Manuel de Tallinn 2.0 sur le droit international applicable aux cyber opérations*, rapport pour la Direction générale des relations internationales et de la stratégie, 2017.

❖ FERNANDEZ (J.), *Relations internationales*, Dalloz, Paris, 2021.

❖ FireEye Threat Intelligence, *APT41. A Dual Espionage and Cyber Crime Operation*, rapport de Mandiant, 2022.

❖ KAMENAROVIC (I.P.), *La Chine classique*, Les Belles Lettres, Paris, 1999.

❖ QIAO (L.), WANG (X.), *La Guerre hors limites*, Payot & Rivages, Paris, 2006.

❖ SUN (Z.), *L'art de la guerre de Sūn Zǐ* (孙子兵法), 600 av. J.C.

## Ressources en ligne

❖ AARON (D.), « *Unpacking the FISA Section 702 Reauthorization Bill* », Just Security, 18 avril 2024, https://www.justsecurity.org/

❖ ANSSI, *Glossaire*, https://cyber.gouv.fr/

❖ BANACH (C.), GUNTER (J.), « *How the BRI is shaping global trade and what to expect from the initiative in its second decade* », Mercator Institute for China Studies, 1 décembre 2023, https://merics.org/en

❖ BRAUN (E.), « *Données : Apple se plie aux exigences de la Chine* », Le Figaro, 26 février 2018, https://www.lefigaro.fr/

❖ CAC, « *Construire une communauté de destin dans le cyberespace pour procurer un meilleur bien-être aux peuples de chaque pays du monde* » (构建网络空间命运共同体更好造福世界各国人民), 8 décembre 2023, https://www.cac.gov.cn/

❖ CHARNEY (S.), « *Additional steps to help keep your personal information secure* », Microsoft, 30 décembre 2015, https://www.microsoft.com/

❖ CHEN (S.), « *Community of Common Destiny for Mankind* », The China Media Project, 25 août 2021, https://chinamediaproject.org/

❖ CIMPANU (C.), « *China is now blocking all encrypted HTTPS traffic that uses TLS 1.3 and ESNI* », ZD Net, 8 août 2020, https://www.zdnet.com/

❖ « *Commentateur web de Qiúshì* : mieux recourir au droit en tant qu’arme pour préserver la raison d’Etat » (求是网评论员:更好运用法律武器维护国家利益), Qiúshì, 21 février 2022, http://www.qstheory.cn/
❖ « *Counter-espionage Law* », China Law Translate, 3 novembre 2014,
https://www.chinalawtranslate.com/

❖ CREEMERS (R.), « Guidelines for the Construction of the Online Data Security Standards System », DigiChina, 10 avril 2020, https://digichina.stanford.edu/

❖ CREEMERS (R.), « Guiding Opinions Concerning Strengthening Cybersecurity Work in the Telecommunications and Internet Sectors », DigiChina, 28 août 2014,
https://digichina.stanford.edu/

❖ CREEMERS (R.), « Internet Domain Name Management Rules », DigiChina, 24 août 2017, https://digichina.stanford.edu/

❖ CREEMERS (R.), « Notice Concerning Adjustment of the Ministry of Industry and Information Technology's Relevant Duties and Bodies », DigiChina, 20 avril 2015,
https://digichina.stanford.edu/

❖ CREEMERS (R.), « Opinions Concerning Stimulating the Healthy and Orderly Development of the Mobile Internet », DigiChina, 15 janvier 2017,
https://digichina.stanford.edu/

❖ CREEMERS (R.), « Self-Discipline Norms for Internet Search Engine Service Companies on Resisting Obscenity, Sex, and Other Such Unlawful and Harmful Information », DigiChina, 22 décembre 2004, https://digichina.stanford.edu/

❖ CREEMERS (R.), WEBSTER (G.) et. al., « Translation: Cybersecurity Law of the People's Republic of China (Effective June 1, 2017) », DigiChina, 29 juin 2018,
https://digichina.stanford.edu/

❖ CREEMERS (R.), WEBSTER (G.), « Translation: Personal Information Protection Law of the People's Republic of China – Effective Nov. 1, 2021 », DigiChina, 20 août 2021, https://digichina.stanford.edu/

❖ DANOWSKI (M.), « *i-SOON Leak: Unanswered Questions and What Now?* », Natto Thoughts, 27 mars 2024, https://nattothoughts.substack.com/

❖ DETRY (C.E.), « ThucyBlog n° 199 – Le lawfare nous apprend-il quelque chose sur le droit international ? (⅔) », Centre Thucydide, 10 mars 2022,
https://www.afri-ct.org/

❖ DRINHAUSEN (K.), LEGARDA (H.), « “Comprehensive National Security” Unleashed: How Xi's approach shapes China's policies at home and abroad », Mercator Institute for China Studies, 15 septembre 2022, https://merics.org/en
❖ FENG (C.), « *Alibaba Cloud data leak 'violated Cybersecurity Law' in 2019 and must rectify, local Chinese telecoms regulator says* », South China Morning Post, 24 août 2021, https://www.scmp.com/

❖ FU (J.), LIU (J.), HAO (S.), « Lu Wei invite la Chine et l'Europe à renforcer leur coopération pour créer une Route de la Soie numérique » (鲁炜促中欧深化合作造数字丝绸之路), Guāncházhě, 6 juillet 2015, https://www.guancha.cn/

❖ Full text of President Xi's speech at opening of Belt and Road forum, Xinhua, 14 mai 2017, https://english.news.cn/

❖ HMAIDI (A.), « “Here to stay” – Chinese state-affiliated hacking for strategic goals », Mercator Institute for China Studies, 22 novembre 2023, https://merics.org/en

❖ HOARAU (C.), « Sri Lanka et Chine, une coopération au gré des crises », Observatoire Français des Nouvelles Routes de la Soie, 3 avril 2023, https://observatoirenrs.com/

❖ HOFFMAN (S.), MATTIS (P.), « Managing the power within: China's State Security Commission », War on the Rocks, 28 juillet 2016, https://warontherocks.com/

❖ HORSLEY (J.P.), « Behind the Facade of China's Cyber Super-Regulator », DigiChina, 8 août 2022, https://digichina.stanford.edu/

❖ Internet Society of China, « China IGF established in Beijing », 10 juillet 2020, https://www.isc.org.cn/

❖ Internet Society, « When is the Internet Not the Internet? », 1 décembre 2023, https://www.internetsociety.org/

❖ « Is there a pattern? », Intrusion Truth, 15 juillet 2019, https://intrusiontruth.wordpress.com/

❖ ITU, « ITU's top contributors: China », 22 août 2022, https://www.itu.int/

❖ JI (Z.), « Tianxia, retour en force d'un concept oublié », La vie des idées, 3 décembre 2008, https://laviedesidees.fr/

❖ JINDAL (D.), « Shifting Cyber Agenda in Shanghai Cooperation Organisation », Modern Diplomacy, 29 août 2022, https://moderndiplomacy.eu/

❖ JUN (M.), « Xi Jinping urges China to arm itself with stronger laws and better lawyers for ‘international struggle’ », South China Morning Post, 16 février 2022, https://www.scmp.com/

❖ KAUFMAN (A.), « I-Soon Data Leak Provides Glimpse Into China's Ecosystem of Cyber-espionage », China Digital Times, 23 février 2024, https://chinadigitaltimes.net/
❖ KIZEKOVA (A.), « *The Shanghai cooperation organisation: challenges in cyberspace* », RSIS Commentaries, 22 février 2012, https://www.rsis.edu.sg/

❖ LEGARDA (H.), « *China's new international paradigm: security first* », Mercator Institute for China Studies, 15 juin 2021, https://merics.org/en

❖ Le Monde, AFP, « *Chinese foreign minister renews 'friendship' with Myanmar in official visit to junta leader* », Le Monde, 3 mai 2023, https://www.lemonde.fr/en/

❖ Le Monde, AFP, « L'ONU approuve son premier traité contre la cybercriminalité », Le Monde, 9 août 2024, https://www.lemonde.fr/

❖ LENAERTS-BERGMANS (B.), « *Advanced Persistent Threat (APT)* », Crowdstrike, 28 février 2023, https://crowdstrike.com/

❖ « Les nouvelles règles déroutantes du business en Chine », Le Nouvel Economiste, 22 avril 2024, https://www.lenouveleconomiste.fr/

❖ LEPLÂTRE (S.), « La Chine inflige à Didi, l'Uber chinois, une amende de plus d'un milliard d'euros », Le Monde, 21 juillet 2022, https://www.lemonde.fr/

❖ « Log4j : Pékin sanctionne Alibaba Cloud », In Cyber, 29 décembre 2021, https://incyber.org/

❖ MCKUNE (S.), « *An Analysis of the International Code of Conduct for Information Security* », The Citizen Lab, 28 septembre 2015, https://citizenlab.ca/

❖ Microsoft Threat Intelligence, « *Volt Typhoon targets US critical infrastructure with living-off-the-land techniques* », Microsoft, 24 mars 2023, https://www.microsoft.com/

❖ MOYNIHAN (H.), « *The Application of International Law to State Cyberattacks* », Chatham House, 2 décembre 2019, https://www.chathamhouse.org/

❖ NEGER (G.), « Cyberdéfense et droit international : qui veut la paix... prépare la guerre hybride », Village de la Justice, 26 janvier 2024, https://www.village-justice.com/articles/

❖ NOUWENS (M.), « *China's New Information Support Force* », International Institute for Strategic Studies, 3 mai 2024, https://www.iiss.org/

❖ OASIS Cyber Threat Intelligence TC, « *Defining Campaigns vs. Threat Actors vs. Intrusion Sets* », OASIS Open, https://oasis-open.github.io/cti-documentation/

❖ OWNBY (D.), « Le nouveau Tianxia : reconstruire l'ordre interne et externe de la Chine », Le Grand Continent, 27 août 2022, https://legrandcontinent.eu/fr/
❖ PEDROLETTI (B.), « En mer de Chine du Sud, regain de tension entre la Chine et les Philippines autour de l'atoll Sabina », Le Monde, 3 septembre 2024, https://www.lemonde.fr/

❖ « Politique étrangère : le Front uni à l'avant-garde de la nouvelle diplomatie de Xi Jinping », Intelligence Online, 14 mars 2024, https://www.intelligenceonline.fr/

❖ RAFAELOF (S.), CREEMERS (R.) et. al., « Translation: Data Security Law of the People's Republic of China (Effective Sept. 1, 2021) », DigiChina, 19 juin 2021, https://digichina.stanford.edu/

❖ ROBIN (W. J.), « La Belt and Road Initiative et les Routes de la Soie Numériques : contexte et origines », Portail de l'Intelligence Economique, 11 octobre 2022, https://www.portail-ie.fr/

❖ SALAH (R.), « Route de la soie numérique – Géostratégie des câbles sous-marins », Observatoire Français des Nouvelles Routes de la Soie, 6 octobre 2021, https://observatoirenrs.com/

❖ SEEBECK (L.), « Why the fifth domain is different », Australian Strategic Policy Institute, 5 septembre 2019, https://www.aspistrategist.org.au/

❖ Sekoia Threat Detection and Response, « My Tea's not cold. An overview of China's cyber threat », Sekoia, 07 septembre 2023, https://blog.sekoia.io/

❖ SHAN (J.), « China exports facial ID technology to Zimbabwe », Global Times, 12 avril 2018, https://www.globaltimes.cn/

❖ « Significant Cyber Incidents », Center for Strategic and International Studies, https://www.csis.org/

❖ SIMORRE (A.), « La Chine durcit le ton face aux “indépendantistes taïwanais” », Le Figaro, 7 septembre 2024, https://www.liberation.fr/

❖ THAROOR (I.), « China has a hand in Sri Lanka's economic calamity », The Washington Post, 20 juillet 2022, https://www.washingtonpost.com/

❖ The BlackBerry Research and Intelligence Team, « Mustang Panda Uses the Russian-Ukrainian War to Attack Europe and Asia Pacific Targets », BlackBerry, 12 juin 2022, https://blogs.blackberry.com/

❖ Threat Intelligence Team, « Hitching a ride with Mustang Panda », Decoded, 2 décembre 2022, https://decoded.avast.io/

❖ TRIOLO (P.), WEBSTER (G.), « Profile: China Academy for Information and Communications Technology (CAICT) », New America, 16 octobre 2018, https://www.newamerica.org/
* UREN (T.), « *How China's Cyber Ecosystem Feeds Off Its Superstar Hackers* », Lawfare, 14 juin 2024, https://www.lawfaremedia.org/

* VON CARNAP (K.), « *The increasing challenge of obtaining information from Xi's China* », Mercator Institute for China Studies, 15 février 2024, https://merics.org/en

* WANG (A.), « *New force for China's PLA eyes modern warfare information support* », South China Morning Post, 23 avril 2024, https://www.scmp.com/

* WOO (R.), GOPALAKRISHNAN (R.), « *China wants to mobilise entire nation in counter-espionage* », Reuters, 2 août 2023, https://www.reuters.com/

* WU (J.), LAM (O.), « *The evolution of China's Great Firewall: 21 years of censorship* », Hong-Kong Free Press, 3 septembre 2017, https://hongkongfp.com/

* ZHANG (M.), « *Adaptation de la fonction institutionnelle du ministère de l'industrie et des technologies de l'information : création d'un bureau de gestion de la sécurité des réseaux* » (工信部机构职能调整:设网络安全管理局), 21st Century Business Herald, 10 juillet 2015, https://m.21jingji.com/

* ZHUANG (R.), « *Compréhension scientifique des lois de la communication sur Internet et efforts pour améliorer l'utilisation et le niveau de gouvernance d'Internet* » (科学认识网络传播规律 努力提高用网治网水平), Qiúshì, 16 septembre 2018, http://www.qstheory.cn/
TABLE DES MATIÈRES

INTRODUCTION..................................................................................................................8

PARTIE I / L'INSTITUTIONNALISATION DU CYBERESPACE COMME DOMAINE POLITIQUE À PART ENTIÈRE..................................................................................................13

CHAPITRE I / L'ÉRECTION D'INSTITUTIONS INTERNES DE CONTRÔLE DU CYBERESPACE CONCURRENTES................................................................................................13

Section 1. La montée en puissance rapide de l'Administration chinoise du cyberespace (CAC)..................................................................................................................13

§1. Un organe nouveau aux racines anciennes..................................................................13

§2. Un pouvoir de réglementation du cyberespace conséquent........................................14

Section 2. Le maintien des prérogatives importantes du ministère de l'Industrie et des Technologies de l'Information (MIIT)..................................................................................16

§1. Des prérogatives concurrentes à celle de la CAC....................................................16

§2. Une influence conservée en termes de cybersécurité et d'Internet....................17

CHAPITRE II / LE DÉVELOPPEMENT DE STRATÉGIES D'INFLUENCE ET DE SÉCURITÉ AU SEIN DU CYBERESPACE..................................................................................19

Section 1. Une sécurité nationale et internationale dans le cyberespace fondée sur la sécurité idéologique..................................................................................................................19

§1. L'introduction du concept de sécurité nationale globale........................................19

§2. Le développement de l'influence internationale par le biais de l'Organisation de Coopération de Shanghai (OCS)................................................................................20

Section 2. L'élaboration d'un réseau de communications tentaculaire comme facteur d'influence : les Nouvelles Routes de la Soie................................................................................21

§1. De la construction d'infrastructures à une Route de la Soie numérique..................21

§2. La politique des câbles sous-marins et ses conséquences........................................23

PARTIE II / L'INTENSIFICATION DES ACTIVITÉS CHINOISES DANS LE CYBERESPACE..................................................................................................................25

CHAPITRE I / LA PRODUCTION EXPONENTIELLE DE RÉGLEMENTATIONS SUR LE CYBERESPACE..................................................................................................................25

Section 1. L'utilisation croissante du droit comme instrument de conquête du cyberespace à part entière..................................................................................................................25

§1. Le Lawfare et la stratégie des Trois Guerres..................................................................25

§2. L'exploitation du lawfare dans le cyberespace..................................................................26

Section 2. La définition progressive d'un encadrement légal strict du cyberespace chinois..................................................................................................................28

§1. Le Great Firewall of China....................................................................................28

§2. L'extraterritorialité de la protection des données chinoises........................................28

§3. La régulation des vulnérabilités..................................................................................31

CHAPITRE II / L'EXPLOITATION CONSTANTE D'UN ÉCOSYSTÈME CYBER-OFFENSIF PERFORMANT..................................................................................................................33

Section 1. Un arsenal étatique aux origines anciennes....................................................33
<table><tr><td>§1. L'attribution complexe des cyberattaques sur la scène internationale</td><td>33</td></tr><tr><td>§2. Militarisation du cyberespace et réforme des Forces de Soutien Stratégique (SSF) de l'Armée Populaire de Libération (PLA)</td><td>35</td></tr><tr><td>Section 2. L'utilisation tactique de prestataires chinois privés de la cybersécurité</td><td>37</td></tr><tr><td>§1. Des entreprises privées sous l'égide du ministère de la Sécurité d'Etat (MSS)</td><td>37</td></tr><tr><td>§2. Advanced Persistent Threats (APT) chinoises et multiplication des attaques à des fins politiques</td><td>39</td></tr><tr><td>CONCLUSION</td><td>42</td></tr><tr><td>ANNEXES</td><td>44</td></tr></table>