MANUEL DE TERRAIN DU SURVIVANT · UN RÉCIT NOIR EN ENTREPRISE

L’APOCALYPSE DU PIÈGE DE SÉDUCTION

La ville se noyait sous la pluie, la salle du conseil se noyait sous l’argent, et le directeur général était sur le point de commettre la plus vieille erreur de l’histoire des costumes hors de prix : il croyait que la belle femme assise en face de lui s’intéressait à lui.

Bureau de veille ZombieCash · 14 novembre 2026 · Un récit inspiré de cas d’espionnage documentés, clairement distingués de la fiction

À 21 h 17, un jeudi soir, l’étage de direction de VantaCore brillait encore comme un aquarium de luxe. Les équipes de nettoyage étaient rentrées chez elles. Les jeunes analystes faisaient semblant de terminer leurs rapports tout en cherchant en secret des appartements à leur portée. Au quarante-deuxième étage, toutefois, le directeur général de l’entreprise, Adrian Vale, recevait une invitée.

Elle s’appelait Mara. Du moins, c’était le nom inscrit sur l’invitation. Elle portait une robe noire qui semblait avoir été conçue par quelqu’un connaissant aussi bien l’architecture que les mauvaises décisions. Un fin bracelet d’argent accrocha la lumière lorsqu’elle leva son verre. Elle avait le maintien calme d’une femme qui n’avait jamais eu à appeler un serveur deux fois, et le genre de sourire qui faisait soudain se rappeler à toute une salle d’hommes puissants qu’ils avaient des dents.

Adrian lui parlait de la prochaine acquisition de l’entreprise. Il n’avait pas prévu de le faire. Il comptait parler de la météo, du restaurant, peut-être de la dernière absurdité du marché des technologies. Mais Mara l’écoutait avec une attention qu’il n’avait pas reçue de son conseil d’administration depuis des mois. Elle se souvenait du nom de son premier produit, posa une question pertinente sur l’expansion européenne et rit exactement au bon moment lorsqu’il décrivit le directeur financier comme « un tableur avec un pouls ».

« Tu dois être épuisé », dit-elle.

« Je suis entouré de gens qui veulent tous quelque chose de moi. »

« Et toi, qu’est-ce que tu veux ? »

C’était une bonne question. C’était aussi la première de la soirée à laquelle Adrian n’était pas prêt à répondre.

Il s’adossa à son siège. Au-delà de la vitre, la ville tremblait sous la pluie. La conversation passa du travail aux voyages, des voyages aux anciennes relations, puis de ces anciennes relations aux petites humiliations qu’impliquait le fait d’être riche, puissant et perpétuellement entouré de gens qui disaient « absolument » quand ils pensaient « je n’en ai aucune idée ». Mara ne lui demanda pas de mot de passe. Elle n’en avait pas besoin. Elle le laissa parler.

À minuit, Adrian lui avait révélé quelle division allait être vendue, quel fournisseur était en difficulté, quand le conseil voterait et pourquoi le nouveau système de sécurité de l’entreprise avait pris du retard. Il prenait cela pour de l’intimité. Quelqu’un d’autre aurait pu appeler ça une séance gratuite de renseignement, avec un éclairage impeccable.

Tout le monde a un prix. Parfois, ce n’est pas de l’argent.

Le lendemain matin, Adrian reçut un message. Une photo de la veille, une plaisanterie sur ses goûts déplorables en jazz et un lien vers un album privé. Il sourit devant son écran. Puis le lien lui demanda de se connecter à nouveau. Il faillit le faire.

C’est à cet instant que l’histoire cessa de ressembler à une tentative de séduction et commença à prendre l’allure d’un incident de sécurité.

Si les professionnels du renseignement étudient depuis des décennies la dimension humaine de l’espionnage, ce n’est pas sans raison. Il peut être difficile de pénétrer un serveur verrouillé. Une personne qui vous trouve fascinant peut vous ouvrir la porte, la tenir pour vous et s’excuser du manque de courtoisie du vigile. Le renseignement humain — HUMINT — désigne les informations recueillies auprès de personnes. Il peut s’agir de recrutement, de mise en confiance, d’obtention d’informations, d’observation et d’exploitation de la confiance. Les méthodes ne sont pas toujours spectaculaires. Souvent, elles sont douloureusement ordinaires.

Le premier mouvement consiste rarement à dire : « Donne-moi le fichier secret. » Il s’agit plutôt d’une question qui semble anodine. Comment avance le lancement ? La fusion est-elle toujours prévue ? Qui te pose des problèmes ? Vous travaillez encore avec l’ancien fournisseur ? Quelqu’un qui veut impressionner un nouvel ami peut révéler davantage en dix minutes qu’un employé imprudent n’enverrait dans dix courriels.

Parfois, l’appât est l’attirance sexuelle. Parfois, c’est l’admiration, la reconnaissance professionnelle, l’argent, le ressentiment, l’ambition ou l’ivresse de se sentir enfin compris. La cible peut être un PDG, mais tout aussi bien un assistant qui contrôle l’agenda, un ingénieur qui sait où se trouve le prototype, un responsable des achats qui sait quel fournisseur est aux abois, ou un employé qui a quitté l’entreprise il y a six mois mais y a encore des amis.

Le leurre le plus efficace n’est pas nécessairement la personne en robe noire. C’est le sentiment que cette personne en robe noire voit en vous quelque chose de spécial. Un peu d’attention peut être plus persuasive qu’une valise pleine d’argent, surtout quand la cible passe depuis dix ans à se faire applaudir par des gens qui attendent qu’elle cesse de parler.

Et voilà la plaisanterie au cœur de l’espionnage industriel : l’entreprise dépense des millions pour protéger ses serveurs, puis laisse ses informations les plus précieuses sans surveillance sur une table de restaurant, à côté d’un bol d’olives.

Les archives historiques sont moins glamour — et bien plus embarrassantes

Les véritables affaires d’espionnage se présentent rarement avec une bande-son. Elles arrivent sous la forme de pièces de procédure, de rapports d’inspecteurs généraux, de relevés de paiements et d’années d’embarras institutionnel.

Prenons le cas de Katrina Leung. Le rapport de 2006 de l’inspecteur général du ministère de la Justice des États-Unis la décrit comme une source du FBI pendant dix-huit ans. Au cours de cette période, le FBI lui a versé plus de 1,7 million de dollars en rémunération et frais. L’enquête a établi que Leung entretenait depuis longtemps une relation intime avec son officier traitant au FBI, l’agent spécial James J. Smith, ainsi qu’une liaison distincte et épisodique avec un autre agent du FBI, William Cleveland.

Ce rapport n’est pas un thriller romantique. C’est une étude de cas sur ce qui arrive lorsque relations personnelles, gestion des sources et supervision s’emmêlent. Les enquêteurs ont examiné plus de 300 000 pages de documents et mené plus de 100 entretiens. Quelque part dans cette montagne de paperasse se trouvait la réponse à une question qui aurait dû s’imposer bien plus tôt : qui gérait qui ?

La leçon est particulièrement sombre. Les services de renseignement sont censés repérer les conflits d’intérêts, pas en faire des drames personnels qui s’éternisent. Si votre système de supervision repose sur le jugement d’un seul officier traitant alors que celui-ci entretient une relation amoureuse avec sa source, vous n’avez pas un système de contrôle. Vous avez un feuilleton doté d’un budget classifié.

Toutes les affaires d’espionnage industriel ne passent pas par la séduction. En 2022, le ministère de la Justice des États-Unis a annoncé que l’officier du renseignement chinois Yanjun Xu avait été condamné à vingt ans de prison pour des crimes liés à l’espionnage, notamment des tentatives d’obtention de secrets commerciaux aéronautiques auprès d’entreprises aérospatiales américaines et européennes. Les documents publics décrivent des efforts visant à approcher des initiés du secteur et à obtenir des informations techniques. Ils ne décrivent pas d’opération dans une chambre à coucher ; nous n’allons donc pas en ajouter une au dossier judiciaire. Les faits sont déjà assez intéressants sans leur inventer des dessous affriolants.

D’autres affaires montrent à quel point une relation professionnelle en apparence ordinaire peut facilement devenir un canal de transmission d’informations sensibles. Le récit public du FBI, publié en juin 2026, au sujet de Korbein Schultz, ancien analyste du renseignement de l’armée américaine, décrit une prise de contact en ligne par une personne se faisant passer pour un client d’un cabinet de conseil géopolitique. Ce qui avait commencé par des analyses rémunérées a évolué en demandes de documents militaires sensibles. Selon le FBI, Schultz a transmis au moins 92 documents sensibles et a été condamné à sept ans de prison. Nul besoin d’un dîner aux chandelles. La séduction prenait la forme d’honoraires de conseil et d’une promesse d’argent facile.

Une mise en garde conjointe du National Counterintelligence and Security Center, du FBI et de la Defense Counterintelligence and Security Agency décrit une autre affaire : le quartier-maître de deuxième classe de la marine américaine Thomas Zhao a été condamné en janvier 2024 après avoir transmis des informations militaires sensibles à un officier du renseignement chinois. Selon la mise en garde, il avait d’abord été approché dans un groupe de discussion sur les réseaux sociaux consacré au trading boursier. Le document fait état de quatorze versements totalisant $14,866, en échange de photos, vidéos et documents relatifs à des exercices militaires et à des installations radar. Cela représente environ $1,062 par versement — pas vraiment de quoi prendre sa retraite, mais apparemment assez pour échanger une carrière contre une série de virements.

Ces affaires sont différentes. Leurs méthodes, leurs preuves et leurs issues judiciaires ne sont pas interchangeables. Ensemble, toutefois, elles révèlent une vérité récurrente : l’accès a de la valeur, et on peut approcher les gens par la romance, l’argent, le travail, la vanité, l’idéologie ou la simple faiblesse humaine.

Le problème Roméo : la romance a toujours été utile au renseignement

Pendant la guerre froide, les officiers du renseignement est-allemands ont été associés à ce qu’on a fini par appeler les opérations « Roméo ». Des agents masculins nouaient des relations amoureuses avec des femmes travaillant dans les administrations ouest-allemandes, dans l’espoir d’accéder à des informations grâce à la confiance créée par ces relations. Un récit historique de la CIA décrit ce chapitre de l’histoire du renseignement. Ce n’était pas une histoire de femmes naïves. C’était une histoire de mise en confiance patiente, d’accès professionnel et de la force d’une relation qui semblait privée.

Le vieux cliché de la séductrice et du dirigeant crédule est pratique pour les affiches, mais la réalité est moins nette. Les hommes comme les femmes peuvent être recrutés, manipulés, flattés, victimes de chantage ou persuadés de coopérer. Certaines opérations font intervenir le sexe. D’autres reposent sur une offre d’emploi, un service rendu, une dette, un appel idéologique ou la promesse que la cible est enfin invitée dans le cercle des gens qui comptent.

Et parfois, ce n’est pas dans la chambre à coucher que le secret est obtenu. C’est là que la cible décide qu’elle peut faire confiance à l’autre personne. La collecte proprement dite peut avoir lieu quelques jours plus tard, dans un message, un document partagé, une invitation à une réunion ou une photo d’écran. Le moment intime crée l’atmosphère ; les informations sont recueillies dans un endroit beaucoup moins cinématographique.

Il y a aussi une raison pour laquelle l’expression « piège de séduction » est si souvent galvaudée. Elle fait un titre irrésistible. Elle transforme une opération complexe en anecdote croustillante. Mais un inconnu séduisant n’est pas une preuve d’espionnage. Une liaison consentie ne prouve pas qu’il y a eu recrutement. La nationalité, le genre, la tenue ou l’apparence d’une personne ne révèlent rien de fiable sur ses intentions. Le signal d’alerte n’est pas une robe rouge. C’est un ensemble de demandes suspectes, d’affiliations dissimulées, de pressions, de paiements inhabituels ou de tentatives d’obtenir des informations que la personne n’a aucune raison légitime de consulter.

L’affaire fictive de la Veuve de Jade

Passons maintenant à la partie qui n’a jamais eu lieu — du moins pas en dehors de cette histoire.

La Jade Widow Directorate était un réseau de renseignement fictif imaginé pour le manuel de terrain de ZombieCash. Son siège se serait trouvé au dernier étage d’un hôtel absent des cartes. Sa devise était : « Ne demandez jamais deux fois quand un compliment suffit. » Ses agents auraient préféré la soie noire, les coupes impeccables et les restaurants où les serveurs se souvenaient de tout, sauf du nom des clients. Rien de tout cela ne constitue une affirmation historique. Les Veuves de Jade sont fictives ; elles ont été créées pour rendre plus visibles les mécanismes de l’influence.

L’une de leurs missions imaginaires impliquait un dirigeant du secteur technologique nommé Adrian Vale. L’opération s’appelait Silk Mirror. La cible n’avait pas été choisie parce qu’il était riche ou beau. Il avait été choisi parce qu’il était seul, orgueilleux, imprudent avec les informations et convaincu que les règles étaient faites pour des gens moins importants que lui.

La femme présentée à Adrian au dîner n’avait pas reçu pour consigne de demander des secrets. Elle devait lui donner le sentiment d’être intéressant. Elle écoutait ses doléances au sujet du conseil, se souvenait de détails sur sa carrière et le faisait rire. Quand il desserrait sa cravate, elle relâchait la conversation. Quand il se plaignait que personne ne comprenait la pression qu’il subissait, elle ne lui donnait pas de conseils. Elle se penchait simplement un peu plus près et laissait le silence faire son œuvre.

Plus tard, dans l’intimité de son penthouse, la soirée prit un tour plus intime. Les lumières de la ville se répandaient sur le mur de la chambre ; son téléphone vibrait sur la table de chevet, ignoré sous une veste abandonnée. Ils s’embrassèrent, rirent et passèrent la nuit ensemble. Pas de tour de magie, pas de parfum hypnotique, pas de confession digne du cinéma. Juste deux adultes, dont l’un croyait passer une soirée privée et dont l’autre, dans ce scénario fictif, avait une tout autre raison de se souvenir de chaque détail.

Le matin, elle lui demanda s’il travaillait toujours aussi tard. Il plaisanta en disant que l’entreprise s’effondrerait sans lui. Elle sourit et dit : « Alors, peut-être devrais-tu me dire où tu gardes les pièces. » Il rit. C’était une bonne réplique. C’était aussi le genre de réplique qui aurait dû le faire cesser de parler.

Elle ne prit pas son ordinateur portable. Elle ne photographia pas le coffre-fort. Elle n’en avait pas besoin. Au dîner, dans le taxi et au cours de la conversation paresseuse avant de s’endormir, Adrian avait déjà décrit le calendrier de l’acquisition, le nom du fournisseur sous pression, l’administrateur opposé à l’accord et l’équipe interne qui avait mis au point le nouveau système de chiffrement. Le lendemain après-midi, un message arriva, accompagné d’un lien vers leurs photos. Il menait à une fausse page de connexion.

Voilà le propos fictif de Silk Mirror : la séduction n’était que l’emballage. La véritable opération reposait sur la mémoire, la confiance et des informations que la cible avait livrées de son plein gré. La chose la plus précieuse dans la pièce n’était pas la robe sur la chaise. C’était le téléphone à côté du lit.

Pendant ce temps, l’entreprise continue de payer son pare-feu

Les approches humaines et les attaques numériques se renforcent souvent mutuellement. Une conversation révèle le nom d’un chef de projet. Un profil public fournit son titre. Une discussion lors d’un congrès révèle la date du lancement et les deux fournisseurs concernés. Plus tard, arrive un message qui semble familier parce qu’il fait référence au dîner, au congrès ou à un détail de la conversation. La pièce jointe s’intitule « Photos mises à jour », « Présentation révisée pour les investisseurs » ou « Remboursement des frais de déplacement ». Le lien ouvre une page de connexion convaincante. La cible saisit son mot de passe. Une deuxième demande d’authentification apparaît. La cible l’accepte parce que le message lui semblait attendu.

Il se peut que l’attaquant n’ait jamais besoin de séduire le directeur général. On peut piéger une réceptionniste pour qu’elle laisse entrer un visiteur. Persuader un assistant de transférer une invitation à une réunion. Se servir d’un recruteur pour repérer un employé mécontent. Demander à un fournisseur un peu plus de détails que le contrat n’en exige. Proposer à un ingénieur une généreuse rémunération pour une « étude sectorielle ». L’entreprise n’est pas un château doté d’un seul pont-levis. C’est un vaste bâtiment plein de portes, de fenêtres, de quais de livraison et de gens qui essaient simplement de tenir jusqu’à vendredi.

La campagne de sensibilisation du FBI à l’espionnage économique, « Company Man », décrit un cas dans lequel des acteurs ont utilisé les réseaux sociaux pour repérer des employés, étudié la possibilité d’une coentreprise, fait appel à un chasseur de têtes comme intermédiaire pour trouver des initiés potentiels, tenté une intrusion informatique au moyen de ports USB non protégés, et recouru à la corruption et à l’intrusion dans le cadre de leurs efforts. Cela ressemble moins à l’œuvre d’un maître-espion qu’à celle d’un service commercial particulièrement déplaisant.

C’est pourquoi la réponse en matière de sécurité ne peut pas se résumer à « ne parlez jamais aux inconnus » ou « interdisez les consultants séduisants ». Il faut faire preuve de plus d’intelligence que ça. Vérifiez les nouveaux contacts par un canal indépendant. Gardez les documents confidentiels hors des messageries personnelles. Ne prenez pas en photo les tableaux blancs, les badges ou les écrans. Utilisez des mots de passe uniques et une authentification multifacteur résistante à l’hameçonnage. Méfiez-vous des demandes de connexion inattendues. Faites en sorte que les employés puissent signaler des approches inhabituelles sans qu’on se moque d’eux ni qu’on les punisse pour avoir posé une question.

Les entreprises devraient savoir quelles informations leur seraient réellement préjudiciables si elles étaient divulguées : code source, modèles non publiés, listes de clients, tarifs, projets d’acquisition, identifiants, recherches et calendriers opérationnels. L’accès doit être limité aux personnes qui en ont besoin. Le cas échéant, les visiteurs doivent être enregistrés et accompagnés. Assistants, recruteurs, équipes des achats, services financiers, ingénieurs et dirigeants doivent tous comprendre que l’attaquant choisira la porte la plus facile, et non le titre le plus élevé.

Mais surtout, les équipes de sécurité doivent enquêter sur les comportements et les éléments de preuve, pas sur l’apparence ou l’identité. Une personne en robe noire peut être consultante, journaliste, rendez-vous galant, espionne, ou simplement quelqu’un qui aime les robes noires. On n’a encore jamais vu une robe divulguer du code source.

Et qu’est-il arrivé à Adrian ?

Dans la version fictive, Adrian faillit saisir son mot de passe. Puis il remarqua que l’adresse dans la barre différait d’une lettre. Il appela le directeur de la sécurité de l’entreprise, qui arriva dans la suite de direction avec la chemise de la veille et l’expression d’un homme qui attendait depuis des années qu’une personne importante prenne une décision sensée.

L’équipe de sécurité isola l’appareil, conserva le message et vérifia les journaux d’accès. Le lien était un piège. Tout ce qu’Adrian avait évoqué au dîner n’était pas classifié, mais c’était suffisant pour aider un tiers à cartographier les priorités de l’entreprise. Le conseil était furieux. Le service juridique était furieux. Le directeur financier était furieux parce que le directeur de la sécurité avait interrompu une réunion. Le temps d’un magnifique après-midi, tout l’étage de direction partagea la même émotion.

Adrian demanda si Mara avait vraiment existé.

« Le dîner était réel, dit le directeur de la sécurité. Les photos sont peut-être réelles. La page de connexion est fausse. Et ton mot de passe aurait été bien réel si tu l’avais saisi. »

Adrian fixa la pluie. « Alors, on m’a manipulé ? »

« On a tenté de t’approcher. S’agissait-il d’espionnage, de fraude ou des deux ? C’est à l’enquête de le déterminer. La prochaine fois, parle peut-être de la météo. »

« La météo l’intéressait beaucoup. »

« Évidemment. Tu lui as donné le calendrier de l’acquisition avant le dessert. »

La Jade Widow Directorate, puisqu’elle était fictive, ne fut jamais démasquée. Adrian, puisqu’il était fictif, retint la leçon. L’entreprise, elle aussi fictive, finit par financer une véritable formation à la sécurité. La seule vraie victime fut la réputation du restaurant : le conseil interdit les dîners privés pendant six mois et se mit à tenir ses réunions stratégiques dans une salle à l’éclairage fluorescent.

Et voilà, chers survivants, la véritable horreur de l’espionnage industriel : pas la caméra cachée, pas l’inconnu mystérieux, pas même le mot de passe compromis. C’est la perspective qu’après avoir risqué l’avenir de l’entreprise pour une soirée grisante, vous soyez contraint de passer les six mois suivants à déjeuner sous des néons, en compagnie du service conformité.