Cybersécurité électorale à l’ère de l’IA : comment les démocraties défendent le vote

Le plus grand exercice démocratique de l’histoire face à sa plus grande cybermenace

Le cycle électoral de 2024 a été sans précédent tant par son ampleur que par les menaces qu’il a rencontrées. Plus de 70 pays représentant environ quatre milliards d’habitants ont tenu des élections nationales, de la plus grande démocratie du monde en Inde aux scrutins cruciaux aux États-Unis, dans l’Union européenne, au Royaume-Uni, en Indonésie et en Afrique du Sud. Environ 1,7 milliard de personnes ont effectivement voté, faisant de 2024 le plus grand exercice démocratique en une seule année de l’histoire. Chaque élection majeure a fait face à des cybermenaces documentées, transformant l’année en test de résistance définitif pour la cybersécurité électorale à l’ère de l’intelligence artificielle.

Le paysage des menaces avait fondamentalement changé par rapport aux cycles précédents. Alors que les élections américaines de 2016 et 2020 étaient définies par le piratage étatique et la manipulation des réseaux sociaux, le cycle de 2024 a introduit l’IA générative comme multiplicateur de force. Les deepfakes audio et vidéo, le texte généré par l’IA à grande échelle et les personnages synthétiques sur les réseaux sociaux ont créé un environnement de désinformation plus rapide, moins coûteux et plus convaincant que tout ce que les défenseurs électoraux avaient précédemment affronté. La CISA (Cybersecurity and Infrastructure Security Agency) a identifié la désinformation assistée par l’IA comme une menace de premier plan pour l’élection américaine de 2024, aux côtés des attaques traditionnelles contre les infrastructures.

La bonne nouvelle : les institutions démocratiques ont tenu dans la plupart des cas. Aucune élection majeure n’a été renversée par une cyberattaque au sens traditionnel, et plusieurs pays ont démontré des cadres défensifs efficaces. La mauvaise nouvelle : l’élection présidentielle roumaine a été annulée après qu’un tribunal a jugé que la manipulation des réseaux sociaux soutenue par l’étranger avait faussé le résultat, et les outils à disposition des adversaires continuent d’évoluer plus vite que les défenses déployées contre eux.

---

Le mode d’emploi de la désinformation par l’IA : ce qui s’est passé en 2024

L’élection parlementaire en Slovaquie du 30 septembre 2023 a fourni l’aperçu. Deux jours avant le vote, un enregistrement audio deepfake est apparu sur Telegram prétendant capturer un appel téléphonique entre Michal Simecka, leader du parti libéral Slovaquie progressiste, et la journaliste Monika Todova de Dennik N. Dans l’enregistrement fabriqué, les deux semblaient discuter d’un plan pour truquer l’élection en achetant les votes de la minorité rom. L’enregistrement a été identifié comme généré par l’IA, mais il s’est rapidement propagé de Telegram à TikTok, YouTube et Facebook, se diffusant largement pendant une période de silence médiatique pré-électoral où les réfutations factuelles étaient légalement restreintes. La Slovaquie est devenue le modèle que les acteurs malveillants allaient itérer tout au long du méga-cycle de 2024.

Lors de l’élection générale indienne d’avril-juin 2024, des vidéos deepfake de personnalités politiques faisant des déclarations incendiaires ont circulé sur WhatsApp, atteignant des millions de personnes avant que les vérificateurs de faits ne puissent réagir. Le BJP et les partis d’opposition se sont mutuellement accusés de déployer du contenu généré par l’IA. La Commission électorale indienne a publié des directives exigeant que le contenu généré par l’IA porte des étiquettes, mais l’application était effectivement impossible sur la plateforme chiffrée de WhatsApp. Meta a élargi son réseau de vérification des faits indien à 12 partenaires couvrant 16 langues et a déployé son Centre d’opérations électorales, tout en reconnaissant que la désinformation continuait de dépasser la détection à travers la base de plus de 500 millions d’utilisateurs indiens de la plateforme.

L’élection présidentielle américaine de 2024 a vu le déploiement le plus sophistiqué. Des appels automatisés générés par l’IA imitant la voix du Président Biden ont exhorté les électeurs de la primaire du New Hampshire à rester chez eux en janvier 2024. La FCC a adopté un ordre de confiscation de 6 millions de dollars contre Steve Kramer, le consultant politique qui a orchestré le stratagème, tandis que le fournisseur de services vocaux Lingo Telecom a accepté une amende séparée d’un million de dollars. Tout au long de l’élection générale, des images, clips audio et vidéos deepfake complets générés par l’IA ont été déployés par des acteurs nationaux et étrangers. Le Centre d’analyse des menaces de Microsoft a attribué des campagnes de désinformation par IA coordonnées ciblant l’élection américaine à des acteurs liés à la Russie (Storm-1516), la Chine (Spamouflage) et l’Iran (Cotton Sandstorm).

Le cas le plus dramatique est venu de Roumanie. Lors de l’élection présidentielle de novembre 2024, le candidat d’extrême droite Calin Georgescu est passé de sondages proches de zéro à la victoire au premier tour, propulsé par une campagne TikTok coordonnée que les services de renseignement roumains ont liée à des opérations soutenues par la Russie. Plus de 25 000 comptes TikTok auraient été utilisés pour amplifier sa candidature. La Cour constitutionnelle de Roumanie a annulé les résultats électoraux en décembre 2024, marquant la première fois qu’une démocratie européenne invalidait une élection en raison d’une manipulation des réseaux sociaux soutenue par l’étranger. La Commission européenne a ensuite ouvert une enquête formelle DSA contre TikTok pour défaut d’atténuation des risques d’intégrité électorale en Roumanie.

---

L’infrastructure assiégée : au-delà de la désinformation

Alors que la désinformation par l’IA dominait les gros titres, les attaques traditionnelles contre l’infrastructure électorale ont continué et évolué. Les bases de données d’inscription électorale sont restées des cibles privilégiées. La Commission électorale britannique a révélé en août 2023 qu’une brèche, survenue initialement en août 2021 et non détectée jusqu’en octobre 2022, avait exposé les données personnelles d’environ 40 millions d’électeurs. En mars 2024, le Centre national de cybersécurité du Royaume-Uni a attribué l’attaque à APT31, un groupe de piratage soutenu par l’État chinois.

Des attaques DDoS contre des sites web électoraux et des portails de communication des résultats ont été signalées dans plusieurs pays. Le site web de la Commission électorale générale d’Indonésie (KPU) a été frappé par ce que les responsables ont décrit comme des « centaines de millions » d’attaques par déni de service le jour de l’élection, le 14 février 2024, pendant le décompte de l’élection présidentielle. Des attaques similaires ont ciblé l’infrastructure électorale en Moldavie, en Géorgie et en Roumanie lors de leurs scrutins respectifs de 2024, avec une attribution pointant vers des acteurs liés à la Russie dans plusieurs cas.

Le ciblage des chaînes d’approvisionnement électorales représente une évolution préoccupante. Les fournisseurs de technologies de vote, les éditeurs de logiciels de gestion électorale et même les imprimeries tierces produisant du matériel de vote sont devenus des cibles de reconnaissance et de tentatives de compromission. La CISA a répondu en effectuant plus de 700 évaluations de cybersécurité pour les juridictions électorales locales en 2023 et 2024, reflétant la reconnaissance croissante qu’une compromission d’un seul fournisseur peut affecter des élections dans de multiples juridictions.

---

Les cadres défensifs qui ont fonctionné

Plusieurs pays ont démontré des modèles efficaces de cybersécurité électorale pendant le cycle de 2024. L’approche américaine, coordonnée par la CISA, s’est articulée autour du cadre « Rumor Control » qui adressait préventivement les narratifs de désinformation anticipés avec du contenu factuel. La CISA a déployé des conseillers en cybersécurité et sécurité électorale dans les 50 États, conduit 200 exercices de simulation et plus de 500 formations touchant plus de 30 000 responsables électoraux et partenaires, et établi des canaux de partage de menaces en temps réel entre agences fédérales, responsables d’État et plateformes de médias sociaux.

L’Union européenne a utilisé le Digital Services Act (DSA) comme principal outil réglementaire. Sous les obligations du DSA, les très grandes plateformes en ligne dont Meta, X, Google et TikTok étaient tenues d’évaluer et d’atténuer les risques liés aux élections, de fournir aux chercheurs un accès aux données et de mettre en place des mécanismes de réponse rapide pendant les périodes électorales. Cependant, l’application s’est avérée lente : la première amende DSA n’a été imposée qu’en décembre 2025, lorsque X (anciennement Twitter) a été condamné à une amende de 120 millions d’euros pour violations de transparence.

L’élection présidentielle taïwanaise de janvier 2024 a offert peut-être le modèle le plus instructif. Face à des opérations d’influence chinoises persistantes, Taïwan a déployé une stratégie « l’humour contre la rumeur » où les agences gouvernementales et les organisations de la société civile produisaient rapidement des mèmes et du contenu satirique pour désamorcer les narratifs de désinformation. Établie par le Ministère des Affaires numériques vers 2022, la stratégie exploitait l’avantage de vitesse de l’humour, qui peut devenir viral plus rapidement que les vérifications de faits, tout en évitant les préoccupations de censure associées à la suppression de contenu. Taïwan a navigué son élection avec succès malgré le fait d’être l’une des démocraties les plus intensément ciblées au monde.

---

L’horizon 2026 : menaces émergentes et défenses en évolution

Trois développements définiront la prochaine génération de défis de cybersécurité électorale. Premièrement, la vidéo deepfake en temps réel approche du seuil de déploiement en direct. La capacité de générer une vidéo deepfake convaincante d’une personnalité politique en temps réel, potentiellement lors d’un événement diffusé en direct, crée un vecteur de menace que les outils de détection actuels ne peuvent pas traiter dans la fenêtre temporelle pertinente.

Deuxièmement, la convergence de l’IA et du micro-ciblage crée une désinformation hyper-personnalisée. Plutôt que de diffuser un seul faux narratif à des millions de personnes, les adversaires peuvent désormais générer des milliers de messages sur mesure conçus pour exploiter des vulnérabilités démographiques, psychographiques ou régionales spécifiques.

Troisièmement, le paysage réglementaire reste fragmenté. Le DSA de l’UE fournit un modèle, mais la plupart des démocraties manquent de cadres équivalents. L’approche américaine repose fortement sur la coopération volontaire des plateformes, qui s’est considérablement affaiblie alors que les grandes plateformes ont réduit leurs équipes de confiance et sécurité en 2023-2025.

La coordination internationale offre la voie la plus solide. Le Processus IA de Hiroshima du G7 et la Déclaration de Bletchley sur la sécurité de l’IA ont établi des principes de haut niveau, mais la coordination opérationnelle de cybersécurité électorale reste ponctuelle. Un centre permanent international de coordination de cybersécurité électorale, calqué sur les relations CERT-à-CERT, pourrait permettre le partage de menaces en temps réel entre démocraties faisant face à des adversaires communs.

---

---

Sources et lectures complémentaires

• CISA Election Security — #PROTECT2024 Campaign
• Microsoft Threat Analysis Center — Election Threat Reports 2024
• EU Digital Services Act — TikTok Election Integrity Proceedings
• UK Electoral Commission — Cyber Incident Public Notification
• FCC Forfeiture Order — AI-Generated Biden Robocalls
• Jakarta Post — KPU Websites Face Extraordinary Cyberattacks on Voting Day
• Foreign Policy — Taiwan’s Electoral Anti-Disinformation Strategy
• Harvard Kennedy School Misinformation Review — The Slovak Deepfake Case
• The Hacker News — Romania Cancels Presidential Election Results
• EU Register — First DSA Fine Imposed on X (EUR 120M)
• GEOpolitics — Russian Interference in Moldova, Romania, and Georgia 2024 Elections
• Meta — Preparing for Indian General Elections 2024