Du drone de Leipzig aux engins incendiaires de Munich, une semaine d'incidents allemands révèle une doctrine, pas une série de coïncidences
Quatre cent quinze incidents documentés depuis 2022. Cinq pays dont les agences de renseignement ont placé leur capital de sécurité en état de veille permanente. Et une Allemagne qui, en moins de cinq jours, encaisse un drone militarisé, deux postes électriques sabotés, une explosion à Augsbourg et des engins incendiaires jetés sur Rohde & Schwarz - fabricant des systèmes radar qui détectent les drones. Ce n'est pas une coïncidence statistique. C'est l'empreinte d'une machine qui fonctionne.
La nuit du 2 au 3 septembre 2026, peu après minuit, une voiture circule lentement sur la Mühldorfstrasse de Munich, dans le quartier de Berg am Laim. Des inconnus jettent depuis le véhicule plusieurs engins incendiaires sur un chantier de construction, là où se trouvent les sièges de Rohde & Schwarz et de Helsing - deux entreprises de technologies de défense dont les activités incluent directement le soutien à l'Ukraine. L'Office de police criminelle de Bavière a pris en charge l'affaire en raison du soupçon d'attaque à motivation politique contre une entreprise de défense. Une femme de 28 ans et un homme de 38 ans, tous deux ressortissants bulgares, ont été interpellés à une station-service non loin des lieux.
Rohde & Schwarz n'est pas une cible anodine. L'entreprise fabrique des systèmes radio et de télécommunications pour les agences gouvernementales, les forces de l'ordre et l'armée allemande. Helsing, de son côté, se spécialise dans le développement et la fabrication de drones. Attaquer le chantier de leurs sièges adjacents, vingt-quatre heures après que Berlin a officiellement désigné la Russie comme responsable du drone de Leipzig, n'est pas sans signification opérationnelle.
Ce que les autorités n'ont pas encore établi - et qu'il serait imprudent d'affirmer à ce stade - c'est si Munich est liée directement à Moscou ou à un groupe d'extrême gauche autonome. Le ministre fédéral de l'Intérieur Alexander Dobrindt a néanmoins affirmé que des puissances étrangères, notamment la Russie, pourraient utiliser des groupes extrémistes de gauche comme mandataires pour des actes de sabotage, avertissant que certains d'entre eux reprennent de plus en plus les narratifs russes sur la guerre en Ukraine. C'est précisément la valeur ajoutée de cette doctrine pour Moscou.
Ce que la semaine du 1er au 3 septembre dit à qui sait lire
Le 1er septembre, Berlin annonce officiellement que la Russie est responsable du drone découvert à l'aéroport de Leipzig le 4 août. Selon les ministres de l'Intérieur et des Affaires étrangères, s'exprimant conjointement, « les enquêtes policières, les modes opératoires et les informations des services de renseignement démontrent une responsabilité russe dans la tentative d'attentat à l'aéroport de Leipzig ».
Selon le ministre de l'Intérieur, la configuration du drone, ses composants, le type d'explosif utilisé et le mécanisme du détonateur constituent des signatures techniques déjà observées dans d'autres opérations attribuées à Moscou, notamment sur le théâtre ukrainien. Le spécialiste du terrorisme Hans-Jakob Schindler estime que l'incident était « tellement agressif et tellement dangereux » que, si l'opération n'avait pas échoué, « nous ne parlerions pas seulement de dégâts matériels, mais très probablement aussi de victimes au niveau de l'aéroport de Leipzig ».
Le lendemain, dans la nuit du 1er au 2 septembre, deux infrastructures électriques allemandes sont visées simultanément. Des assaillants envoient des roquettes transportant des charges de « matériau conducteur » sur le site de Jänschwalde dans le Brandebourg, provoquant des courts-circuits, tandis qu'une tentative similaire vise le poste électrique de l'opérateur Amprion à Bergheim, en Rhénanie-du-Nord-Westphalie. Le ministre de l'Intérieur de Rhénanie-du-Nord-Westphalie, Herbert Reul, qualifie l'incident de Bergheim d'« acte criminel intentionnel » et évoque « un soupçon initial de sabotage dirigé contre l'ordre constitutionnel », les enquêteurs étudiant deux pistes : « un sabotage téléguidé par un État étranger » ou un acte « d'extrémiste de gauche ».
La police du Brandebourg a ouvert une enquête antiterroriste concernant l'attaque de Jänschwalde. La seconde piste s'oriente vers le groupe Vulkangruppe, actif depuis 2011 et déjà lié à une douzaine d'attaques contre des infrastructures. Des incendies visant des câbles ferroviaires avaient été revendiqués sous ce nom en 2025, et un manifeste publié en janvier 2026 donnait des conseils de communication clandestine et des instructions pour fabriquer des dispositifs incendiaires.
Le 2 septembre au matin, une explosion blesse deux ressortissants ukrainiens en gare d'Augsbourg, tôt dans la nuit, causant des blessures légères seulement. La responsabilité n'est pas établie ; les enquêteurs n'ont partagé aucune information sur les auteurs ou le mobile.
Ce n'est pas une chronologie de faits divers. C'est une semaine qui ressemble à un test de saturation des services de sécurité allemands.
La doctrine derrière les incidents : ce que les chiffres révèlent vraiment
L'ICCT et GLOBSEC ont recensé 151 incidents liés à la Russie depuis février 2022, montrant l'intensification du sabotage à travers l'Europe par le biais de réseaux criminels utilisés comme mandataires. Les auteurs du rapport estiment qu'« il est raisonnable de supposer que le nombre réel d'incidents est vraisemblablement plus élevé » - les agences de sécurité allemandes à elles seules ont enregistré 320 tentatives de sabotage présumées en 2025, incluant des survols répétés de drones non identifiés près d'aéroports et d'installations militaires.
Selon une étude de l'Institut international d'études stratégiques, le nombre de ces attaques en Europe a quadruplé entre 2023 et 2024. Ce chiffre indique une accélération, pas une stabilisation.
Le point analytique central du rapport ICCT-GLOBSEC est celui-ci : parmi les 172 auteurs présumés identifiés dans l'ensemble des 151 cas, environ 95 % étaient des civils ordinaires sans liens officiels avec les services de renseignement russes, que les chercheurs décrivent comme des agents « jetables ».
Ce que cela signifie concrètement : depuis deux ans, les services européens découvrent une mutation profonde des opérations clandestines russes - l'utilisation massive d'agents recrutés en ligne pour mener des missions de sabotage sans connaître leurs véritables commanditaires, un scénario qui revient dans plusieurs enquêtes ouvertes en Pologne, en Allemagne et dans les États baltes. Plus de 700 diplomates russes soupçonnés d'activités de renseignement ont été expulsés du continent depuis le début de la guerre en Ukraine, rendant les opérations offensives classiques beaucoup plus difficiles. Les agents jetables constituent une alternative peu coûteuse et politiquement flexible.
La moitié des agents recrutés l'ont été via Telegram, tandis qu'un quart l'a été par des relations interpersonnelles directes. Les recruteurs les trouvent notamment sur des canaux d'information pro-russes, et des canaux spécifiques proposent ce type de travail indépendant. Depuis le début de 2026 seulement, plus de 20 millions d'annonces déguisées en offres d'emploi à temps partiel ont été diffusées sur Telegram.
La plupart de ces individus proviennent d'États d'Europe centrale, orientale ou méridionale, notamment de Moldavie, de Serbie et de Bulgarie. Ces exécutants ne reçoivent bien souvent que quelques centaines d'euros pour leur participation. Les suspects arrêtés à Munich sont bulgares. Les deux ouvriers du port de Hambourg interpellés en février 2026 étaient un Roumain et un Grec.
La nouvelle frontière : les industries de défense comme cibles prioritaires Ces derniers mois, les industries de défense sont devenues la cible privilégiée. Ce glissement est documenté et délibéré.
Un élément central de la campagne russe est la tentative de perturber ou de détruire les armes transférées par l'Allemagne et d'autres alliés occidentaux aux soldats ukrainiens. Moscou est soupçonné de cibler des usines à travers l'Europe soutenant les livraisons d'armes à l'Ukraine, de placer des bombes incendiaires dans des avions et même d'avoir planifié l'assassinat du directeur général de Rheinmetall.
Au cours des semaines récentes, cinq installations de fabrication de défense ont subi des incendies inexpliqués, dont une usine Emco en Bulgarie. En Estonie, un bâtiment appartenant à Milrem Robotics, une entreprise basée à Tallinn fournissant des robots terrestres et des systèmes militaires à l'Ukraine, a été incendié le 15 août.
La cible logique de cette phase est de couper le robinet : interrompre la chaîne d'approvisionnement militaire vers l'Ukraine avant même que les armes ne quittent le territoire européen.
Ce que Bruxelles a compris - et ce que ses réponses ne couvrent pas encore Le 13 juillet 2026, l'UE a franchi un seuil notable. Bruxelles a exposé l'écosystème cybernétique malveillant de la Russie et adopté le plus vaste train de sanctions cyber de son histoire, ciblant les responsables d'activités cybernétiques malveillantes appuyant les objectifs stratégiques russes, incluant des officiers du GRU, cybercriminels, hacktivistes autoproclamés et sociétés privées.
Les pays confirmés comme cibles dans cet acte d'accusation sont la France, l'Allemagne, la Pologne, Chypre, les Pays-Bas, l'Autriche, la Slovaquie, la Roumanie et la Finlande. Récemment en Pologne, le 16e Centre russe a mené des opérations de sabotage perturbatrices contre des infrastructures critiques, y compris des centrales de cogénération.
Bruxelles et Londres ont formellement attribué une campagne de seize ans de cyber-espionnage et de sabotage physique contre les infrastructures critiques européennes aux renseignements militaires et de sécurité russes. L'Unité 29155 du GRU, précédemment liée à l'empoisonnement au Novitchok de Sergueï Skripal à Salisbury en 2018, a évolué d'une unité principalement associée à l'assassinat et au sabotage paramilitaire vers une capacité hybride et cybernétique dédiée.
Ce que ces sanctions ne couvrent pas : ni l'UE ni le Royaume-Uni n'ont évoqué de perspectives d'arrestation ou d'extradition proches pour les personnes sanctionnées, présumées se trouver en Russie. Les mesures imposent des gels d'avoirs, des restrictions de voyage et des interdictions de transactions. En d'autres termes, elles sanctionnent des actes que leurs auteurs commettront depuis l'intérieur de la Russie sans en subir les conséquences immédiates.
L'angle que personne ne nomme - la Russie exploite aussi ses propres ennemis intérieurs Le ministre Dobrindt a signalé que la Russie pourrait utiliser des groupes extrémistes de gauche comme mandataires pour des actes de sabotage, certains d'entre eux reprenant de plus en plus les narratifs russes sur la guerre en Ukraine.
C'est la dimension la plus dérangeante de la doctrine hybride actuelle. Les 151 incidents du rapport ICCT-GLOBSEC ne représentent pas 151 opérations pilotées depuis le GRU. Certains auteurs agissent pour de l'argent, d'autres pour une idéologie qui converge accidentellement avec les intérêts de Moscou, d'autres encore sans savoir qu'ils travaillent pour une puissance étrangère. Une source sécuritaire citée dans une enquête sur Munich notait que les suspects avaient peu cherché à effacer leurs traces en ligne, suggérant qu'ils voulaient que les agences de renseignement occidentales sachent que la Russie était impliquée. « Les Russes ne sont pas assez stupides pour laisser ce genre de traces, parfois ils veulent simplement qu'on découvre qu'ils ont montré leurs muscles. C'est une partie de la guerre hybride. »
Ce signal intentionnel est lui-même une information. La Russie ne cherche pas seulement à endommager une installation. Elle cherche à produire de l'incertitude, à saturer les services de sécurité, à créer un climat où chaque incident ordinaire est suspecté et où l'État dépense des ressources disproportionnées pour des incidents qui peuvent n'être que de la criminalité de droit commun.
L'ICCT et GLOBSEC concluent que le soutien à l'Ukraine est « le facteur le plus important dans la sélection des cibles » et que la Pologne, la France, l'Allemagne et le Royaume-Uni représentent ensemble plus de la moitié de l'ensemble des incidents identifiés. La carte du sabotage est la carte du soutien à l'Ukraine. Ce n'est pas une coïncidence géographique.
Où en est vraiment le front invisible
La base de données The Everywhere War du Sahaidachnyi Security Center, qui répertorie les provocations militaires, actes de sabotage, cyberattaques et autres opérations hybrides russes contre les nations européennes depuis 2022, recense 415 incidents documentés au 31 août 2026.
Ce chiffre n'est pas additionnable directement à celui de l'ICCT-GLOBSEC : les deux bases utilisent des critères distincts, des périmètres géographiques partiellement différents et des niveaux d'attribution variables. Ce que les trois bases de données - ICCT-GLOBSEC, Sahaidachnyi, Soufan Center - confirment de manière convergente, c'est la direction : une tendance à la hausse, une diversification des cibles, une complexification des réseaux d'exécution.
La directrice du GCHQ britannique, Anne Keast-Butler, a déclaré en mai 2026 que « la Russie amplifie son activité hybride quotidienne contre le Royaume-Uni et l'Europe, s'étendant des fonds marins au cyberespace, ciblant sans relâche les infrastructures critiques, les processus démocratiques, les chaînes d'approvisionnement et la confiance du public ».
Ce qui n'est pas dit dans cette déclaration mérite autant d'attention que ce qui y est dit : la progression n'est pas conjoncturelle. Elle est structurelle. Moscou a investi quatre ans dans la construction d'un réseau de mandataires, de recruteurs, d'intermédiaires et d'exécutants qui n'a pas besoin d'un ordre du GRU pour chaque incident.
Ce que le prochain cycle révélera
La trajectoire la plus probable dans les semaines à venir est celle d'une poursuite des incidents à fréquence régulière, sans escalade militaire directe. Des analystes évaluent que les attaques hybrides en Europe surviennent désormais à une fréquence supérieure à un incident tous les deux jours. Le niveau atteint par l'Allemagne en une seule semaine - Leipzig, Jänschwalde, Bergheim, Augsbourg, Munich - suggère que ce rythme s'intensifie autour des moments où les gouvernements européens prononcent des attributions officielles. La désignation publique de Moscou comme responsable de Leipzig a peut-être fonctionné comme un déclencheur symbolique pour les incidents qui ont suivi.
Une réforme réglementaire européenne sur le partage de renseignements entre États membres en temps réel reste la lacune la plus criante. L'Europe manque encore d'une image intégrée et en temps réel de l'activité sous le seuil d'un conflit à travers les domaines et les juridictions, et des outils comme le tracker du Sahaidachnyi Security Center pourraient servir de plateforme partagée entre groupes de réflexion et agences officielles.
La question la plus inconfortable reste celle-ci : si un seul drone à Leipzig, à détonateur défaillant, a mobilisé des semaines d'enquête, des mesures diplomatiques, une crise bilatérale et une réponse OTAN-UE coordonnée - que produira le premier incident qui réussit ? La doctrine hybride russe mise sur le fait que l'Europe répondra à cette question avec retard.
« Les Russes veulent parfois simplement qu'on découvre qu'ils ont montré leurs muscles. C'est une partie de la guerre hybride. »
Source sécuritaire, enquête sur Munich, septembre 2026
CE QUE LA DOCTRINE RÉVÈLE - CINQ MÉCANISMES
Recrutement externalisé - 95 % des exécutants sans liens officiels avec les services russes, payés en cryptomonnaie, recrutés via Telegram, ignorant souvent leur commanditaire réel.
Dénégation structurelle - l'utilisation de civils, de criminels de droit commun et potentiellement d'extrémistes autonomes permet à Moscou de nier tout lien officiel avec chaque incident.
Ciblage progressif - les opérations commencent par des missions de surveillance ou d'incendie mineur avant de monter vers les explosifs et les infrastructures critiques.
Saturation des services - multiplier les incidents simultanément force les agences à disperser leurs ressources et à tolérer un niveau d'incertitude plus élevé sur chaque dossier.
Signal intentionnel - certains incidents laissent délibérément des traces, car l'objectif n'est pas seulement le dommage physique mais la démonstration de capacité et la production d'incertitude permanente.
