Wilayat internet : la résilience de l’Etat islamique sur les réseaux sociaux

Par Laurence Bindner ancienne Directrice du Développement du Centre d’Analyse du Terrorisme (CAT), et Raphael Gluck, chercheur indépendant spécialisé dans l’étude de la dissémination sur Internet des contenus à caractère terroriste.

 

Depuis la semi-clandestinité du deep-web, l’Etat islamique exerce une pression continue pour faire émerger sa propagande sur le web public. En constante adaptation face à une censure de plus en plus active, l’EI utilise de façon opportuniste et agile les différentes plateformes du web. C’est pourquoi les instances chargées de la lutte contre les contenus terroristes doivent avoir une vision systémique, mener une action globale, incluant les plateformes plus récentes et tout autant exposées, pour identifier et cibler en priorité les flux de diffusion des contenus djihadistes.

La propagation du message constitue une composante-clé de la stratégie des groupes terroristes ou insurrectionnels, que leur combat soit politique, idéologique, ou religieux. Vecteur de ralliement à la cause, d’annonce d’une action ou de sa justification, la dissémination systématique du message est cruciale pour asseoir leur influence, la développer et amplifier l’impact de leurs opérations ou attentats, notamment en leur conférant une résonnance psychologique auprès des populations-cibles.

Les groupes djihadistes comme l’Etat islamique ou al-Qaïda ont intégré cet impératif médiatique en liant étroitement propagande et commandement, incorporant ainsi la branche média au cœur du dispositif opérationnel. Le champ lexical martial en atteste : la propagande médiatique constitue un front guerrier per se. Au-delà de la seule propagande idéologique, c’est également sa mise à profit dans un but opérationnel qui est en jeu, à chaque étape de la chaîne de valeur d’un attentat (recrutement, fundraising, diffusion de cibles, tutoriaux, téléguidage, revendication, voire la diffusion en directe d’une attaque). Alors que le recul militaire de Daech se confirme en Syrie et en Irak, ce front médiatique revêt donc une importance vitale, comme terrain d’expression virtuel de l’idéologie du Califat, devant rester vivace jusqu’à sa résurgence concrète, et comme outil opérationnel et logistique.

L’une des particularités de l’EI réside dans la structure, l’échelle de production et le fonctionnement de cette machine médiatique, en particulier sa tactique de mise à profit systématique des réseaux sociaux et des différents outils accessibles du web, exploitant leur essor dès la fin des années 2000. Cette sortie de la clandestinité des forums (souvent arabisants et difficiles d’accès) vers le « web surfacique » a contribué à populariser le djihad et à le « proximiser ». Cet élan est néanmoins freiné fin 2015, avec les suppressions massives de comptes et profils (notamment sur Twitter), suite aux attentats de Paris et aux premiers procès de familles de victimes dans le cadre de la lutte contre la propagande terroriste. L’Etat islamique a alors migré vers Telegram, application de messagerie chiffrée, faisant le choix de la sécurité opérationnelle et de la longévité et limitant ainsi de façon assez significative la portée de sa communication et sa visibilité.

Cette migration constitue une forme de « repli tactique » vers la semi-clandestinité du deep web. En effet, si dans les premiers mois d’activité, les chaînes ou groupes Telegram demeuraient accessibles publiquement (sur simple recherche de leur nom dans l’application), leurs liens d’accès se sont rapidement complexifiés en « clés », inaccessibles via cet outil. Telegram constitue donc encore un espace relativement préservé : les suppressions interviennent moins fréquemment que sur les réseaux sociaux grand public, et le format des chaînes, unidirectionnel, ne laisse pas de place à la contre-propagande. Enfin, les contenus (textes, vidéos, photos, audios, etc.) peuvent être directement chargés au sein de l’application, sans lien vers des sites tiers, ce qui permet de contourner l’éventuelle obsolescence de ces liens due à la censure accrue au sein des réseaux sociaux.

Telegram : une « base de lancement » sécurisée

Néanmoins, du fait de cette longévité, l’EI utilise Telegram comme base depuis laquelle propulser son message vers d’autres plateformes ou réseaux sociaux. Il mène pour cela deux types d’opérations : des « salves » ponctuelles de liens vers un large éventail de plateformes en vue de diffuser un contenu précis et, parallèlement, en toile de fond, une activité de basse intensité d’incursions sur les réseaux sociaux grand public. Enfin, une course de relais permanent s’opère entre les différents réseaux, ainsi qu’au sein d’un même réseau afin de contourner les mesures de restriction.

L’émergence et la diffusion du message djihadiste sur le web surfacique répond à plusieurs objectifs. Outre le maintien d’une présence régulière d’occupation de l’espace virtuel à des fin « publicitaires » (présence qui permet à l’EI de proclamer les failles du contre-terrorisme en ligne – cf. capture d’écran 2), il s’agit de l’infuser au sein des différents réseaux. Le périmètre de recrutement est ainsi élargi à un public moins confidentiel que les utilisateurs de Telegram : plus accessibles sur Facebook ou Google + à des recrues potentielles, ces contenus constituent un premier contact avec la propagande djihadiste qui, dans l’idéal, les canalisera vers Telegram où l’exposition à cette propagande s’avère plus intensive.

Ainsi, le lancement d’une publication officielle par l’un des organes médiatiques de l’EI s’accompagne-t-il systématiquement d’un afflux de liens vers des clouds ou sites d’archivage, les partageant autant que possible, les renouvelant une fois la première salve supprimée. Dilution du risque de censure et débordement des équipes de contre-terrorisme en ligne sont deux des objectifs recherchés ici. Ces liens sont alors aussitôt repostés sur les réseaux sociaux, accessibles aux groupes, aux « amis », aux « amis d’amis », ou par recherche de hashtags, parvenant, par capillarité, à atteindre un important vivier. (Captures d’écran 3 et 4)

Ces hashtags constituent souvent des témoins de relais, dans une course de vitesse qui se tient entre plateformes ou sur une même plateforme. Ils peuvent être corrélés à l’Etat islamique ou pas, afin de diffuser auprès d’un public large, des recommandations de hashtags populaires étant régulièrement fournies par les comptes ou chaînes liés à l’EI (capture 5). Ces afflux de liens apparaissent de façon systématique à chaque publication des organes médiatiques officiels de l’EI, qu’il s’agisse d’une vidéo, d’un audio ou d’un magazine. Les procédés pour durer ou réapparaitre sur ces clouds sont nombreux. Citons essentiellement les altérations ou déformations de textes, d’images ou d’audios pour tenter de tromper la détection des algorithmes de reconnaissance par empreinte numérique.

Une course de relais inter-plateformes

Parallèlement à ces salves régulières, on observe au quotidien une activité permanente d’incursions au sein du web public et de tactiques de contournement des censures diverses, établissant un système de relais entre groupes, comptes, chaînes et réseaux sociaux. Ces systèmes de relais s’observent entre plusieurs plateformes ou sur une plateforme unique. Les exemples sont multiples, seuls les plus significatifs sont décrits ici.

De même qu’un individu dispose d’un compte sur plusieurs réseaux sociaux, les groupes ou individus liés à l’EI maintiennent une présence sur de multiples plateformes. Des organes médiatiques comme Amaq, Nashir, An-Nûr diversifient leur risque de censure et augmentent leur capacité de résurgence avec une présence sur Telegram, Facebook, Google plus, WhatsApp, etc. Lorsqu’un premier réseau censure les contenus djihadistes, les followers basculent alors sur un second réseau où sera posté le lien permettant de rejoindre le groupe relais sur le premier réseau.

Fréquentes sont les annonces de création de nouveaux comptes Twitter via Telegram ou la résurgence d’anciens comptes après suppression. Ces nouveaux comptes, aux profils et noms parfois anodins, parviennent (parfois malgré une durée de vie de quelques heures) à diffuser du contenu et à renvoyer vers une nouvelle chaîne Telegram sans que son lien d’accès n’apparaisse ailleurs (capture d’écran 7). Des tweets préécrits sont fournis via Telegram de sorte que les sympathisants n’aient plus qu’à les copier-coller sur Twitter.

Le même procédé de résurgence est observé sur Facebook, avec des suppressions pour l’heure moins rapides et donc de plus nombreuses occasions d’échanger divers liens.

Afin de diversifier le risque, on note, dans la même optique, des renvois d’une chaîne Telegram vers des réseaux tiers en vue d’y obtenir un lien vers une nouvelle chaîne. Des organes médiatiques ont ainsi procédé à plusieurs reprises, renvoyant vers leur groupe Google + pour obtention du futur lien de leur chaîne Telegram. (capture d’écran 8)

Notons que la présence des djihadistes sur les réseaux sociaux dépasse largement les plateformes citées précédemment. Sont également touchés Instagram, Snapshat, etc. Récemment, le jeune réseau social Baaz a fait l’objet d’une véritable invasion de la part de sympathisants de l’EI qui se sont engouffrés dans les failles de contrôle d’une équipe réduite et peu expérimentée en créant massivement comptes et groupes publics (capture 9).

Branding et résurgence

Au sein d’une même plateforme, divers procédés sont observés pour « passer le témoin » entre chaînes ou comptes en instance de censure et leur relais.

Sur Telegram, des chaînes sont créées en amont de leur mise en service, clones de chaînes existantes, ou de façon anonyme pour créer un espace qui sera renommé ultérieurement. Les premiers liens d’accès peuvent avoir une durée de vie de quelques heures afin de limiter l’infiltration des services de renseignement, chercheurs, journalistes, ce qui nécessite de la part des équipes de cyber-intelligence une assiduité permanente sous peine de se faire distancer. Certaines chaînes, connues pour leur ancienneté et crédibilité, drainent une audience importante par reconnaissance de marque (par exemple l’acronyme de la chaîne ou une icône-logo) avant même l’émission du premier message.

Un phénomène similaire de « branding » se produit sur Facebook où un compte, clairement identifié pro-EI, peut compter parmi ses amis un avatar proche (photo, partie du nom, bio identiques ou semblables) qui prend son relais dès la suppression du compte jumeau. Plusieurs dizaines de profils jumeaux ont été observés ces derniers mois, avec chacun une durée de vie de quelques jours. Là encore, la marque est essentielle et permet une reconnaissance immédiate du nouveau compte.

Conclusion : la nécessité d’une approche systémique et inclusive

Malgré l’intensification de la vigilance des autorités et réseaux sociaux, l’EI a fait preuve d’une résilience significative due à sa souplesse, sa modularité, et son adaptabilité vis-à-vis de la suppression des contenus djihadistes en ligne. Il parvient ainsi à maintenir une dissémination suffisante pour atteindre son vivier de sympathisants et recruter au-delà. De plus, cette dissémination implique une forme de « normalisation » de cette ultra-violence, faisant glisser dans sa direction la « fenêtre de l’acceptable ». A titre d’exemple, certains messages audios ou vidéos d’al-Qaïda d’incitation au djihad ou aux attentats, dénués de contenu graphique violent, peuvent perdurer plusieurs mois en ligne.

Le ciblage de cette diffusion doit donc rester une des priorités du contre-terrorisme et des réseaux sociaux, dont l’approche systémique est cruciale : la compréhension exhaustive des flux, des relais, échanges, rebonds et passerelles entre les plateformes et au sein d’une même plateforme permettra d’affiner ce ciblage. Elle permettra également d’identifier de façon fine les nœuds, interstices ou espaces pertinents pour injecter du contre-discours (ou de l’« alter-discours »), ou des outils de redirection.  De surcroit, les équipes de contre-terrorisme doivent suivre ces flux sans relâche afin d’être à jour des supports les plus récents. Enfin, la réflexion commune entreprise entre les géants du web doit s’étendre aux réseaux sociaux de plus petite taille, plus jeunes et moins outillés en termes technologiques et légaux, parfois débordés par la masse de contenus djihadistes affluant sur leurs plateformes, comme l’a récemment signalé Mariusz Zurawek, fondateur de Justpaste.it.

Si cette réflexion globale n’est pas menée rapidement, on risque, outre la survivance et l’expansion du message, une recrudescence d’utilisations de contenus à des fins opérationnelles. En attestent les cas récents de Khalid Masood (attentat de Westminster – 6 morts, 44 blessés) et de Salman Abedi (attentat de Manchester Arena- 22 morts, 116 blessés) : tous deux avaient lu ou visionné des manuels et tutoriaux via les réseaux sociaux.

Share
This entry was posted in Analyses and tagged , , , , . Bookmark the permalink.

2 Responses to Wilayat internet : la résilience de l’Etat islamique sur les réseaux sociaux

  1. Combattantduweb says:

    Bon sang les journalistes, essayer d’apprendre un peu votre metier, vous passez pour des boulets la. Telegram n’a rien a voir avec le Deep Web. Deep web, comme son nom l’indique, est sur le web, telegram est une application, strictement rien a voir. Et depuis quand le deep web est clandestin? Quand je vais voir l’etat de mes comptes en ligne je deviens clandestin donc?

    [Reply]

  2. Laurence bindner says:

    Bonsoir,
    Une réponse pour chaque remarque.
    1/ L’EI met en ligne régulièrement des sites (Amaq, Halummu,…) sur le deep web et les utilise pour refaire surface sur le web public. La migration vers Telegram s’inscrit dans le mouvement global de Daech vers une forme de clandestinité en ligne. Telegram, qui est en effet une application…. se trouve également basée sur le web. Les chaînes et groupes évoqués ici sont bien accessibles par des hyperliens (web) complexes (des clés), non indexables via un moteur de recherche (mais sans nécessité d’un outil comme Tor pour y accéder) et donc “deep”.
    2/ Nous parlons dans l’article de “semi-clandestinité” et non de clandestinité. Et pour cause : il s’agit bien pour les organisations djihadistes de passer sous les radars et d’échapper à la censure en créant ces chaînes et groupes privés.
    Bien à vous,
    LB, RG

    [Reply]

Leave a Reply

Your email address will not be published. Required fields are marked *