20250507_TLP-CLEAR_NP_SGDSN_VIGINUM_Rapport technique_Storm-1516.pdf — page 3

3 
 
TLP:CLEAR 
TLP:CLEAR 
1. SYNTHÈSE 
Depuis la fin de l’année 2023, VIGINUM observe et documente les activités d’un mode opératoire 
informationnel (MOI)1 russe susceptible d’affecter le débat public francophone et européen. Connu en 
source ouverte sous le nom de « Storm-15162 », ce MOI est actif a minima depuis le mois d’août 2023. Il 
est responsable de plusieurs dizaines d’opérations informationnelles ayant ciblé des audiences 
occidentales, dont française. 
S’appuyant sur l’analyse de 77 opérations informationnelles documentées par VIGINUM et conduites 
par Storm-1516 entre la date de son apparition supposée et le 5 mars 2025, ce rapport détaille les 
principaux narratifs et contenus employés, leur chaîne de diffusion, ainsi que les acteurs étrangers 
impliqués dans la conduite du MOI. 
L’objectif principal de Storm-1516 semble être avant tout de décrédibiliser le gouvernement ukrainien, 
probablement dans l’espoir d’entraîner la suspension de l’aide occidentale à l’Ukraine dans le contexte 
de l’invasion de son territoire par la Russie. En parallèle, le MOI cible directement des dirigeants 
européens et leur entourage, notamment durant des périodes électorales en France, aux États-Unis et 
en Allemagne. Pour ce faire, le mode opératoire diffuse généralement des deepfakes, ainsi que des 
vidéos à la qualité variable mettant parfois en scène des acteurs amateurs. 
Le schéma de diffusion de Storm-1516 est particulièrement complexe et a évolué au fil du temps. Il se 
caractérise par la primo-diffusion de contenus par des comptes jetables maîtrisés par les opérateurs, 
ou via des comptes rémunérés, éventuellement appuyés par le blanchiment du narratif par 
l’intermédiaire de médias étrangers. Les faux récits sont ensuite amplifiés par un réseau d’acteurs pro-
russes et par d’autres MOI. Ces tactiques témoignent des efforts engagés par les opérateurs pour 
crédibiliser les narratifs, mais également de la forte coordination et parfois l’imbrication entre Storm-
1516 et d’autres MOI russes, dont le projet Lakhta et CopyCop. 
Les investigations de VIGINUM, qui s’appuient notamment sur des éléments révélés en source ouverte, 
confirment l’implication d’individus et d’organisations proches du gouvernement russe, dont John Mark 
DOUGAN, un ancien policier américain exilé en Russie, ainsi que de membres des écosystèmes 
PRIGOJINE et DOUGUINE. VIGINUM a par ailleurs pu obtenir des informations supplémentaires sur 
Youry KHOROCHENKY, un potentiel officier de l’unité 29155 du GRU accusé publiquement d’avoir 
financé et coordonné le mode opératoire. 
Au regard de ces éléments, VIGINUM considère que les activités de Storm-1516 réunissent les critères 
d’une ingérence numérique étrangère, et représentent une menace importante pour le débat public 
numérique, à la fois en France et dans l’ensemble des pays européens. Le MOI continuera très 
probablement de conduire des opérations ciblant la France en 2025, et pourrait faire évoluer ses 
tactiques, techniques et procédures (TTP) pour éviter la détection et gêner le suivi et l’imputation 
technique de ses activités. 
 
 
                                                        
1 VIGINUM définit un mode opératoire informationnel (MOI) comme un ensemble de comportements, d’outils, de tactiques, 
techniques et procédures et de ressources adverses mis en œuvre par un acteur ou un groupe d'acteurs malveillants dans le cadre 
d’une ou de plusieurs opérations informationnelles numériques. 
2 La dénomination Storm-1516 provient de la taxonomie du Microsoft Threat Analysis Center (MTAC), qui le désigne depuis le mois 
de mars 2025 sous le nom de Neva Flood. Cf. https://learn.microsoft.com/en-us/unified-secops-platform/microsoft-threat-actor-
naming.