Derrière le détournement d’AirTag, des atteintes à la vie privée plus courantes

Mi-juin, une affaire d’AirTag retrouvé dans un sac à main a agité la toile. Si ce type d’affaire permet d’attirer l’attention sur le détournement de technologies à des fins malveillantes, certaines associations craignent qu’elle ne participe à invisibiliser des envahissements plus « classiques » de la vie privée, notamment dans le cadre de violences de genre, pour lesquels la sensibilisation reste à faire.

Il y a quelques semaines, une histoire a agité les réseaux sociaux : celle de cette jeune fille, qui a témoigné sur Twitter avoir retrouvé un AirTag qui ne lui appartenait pas dans son sac. Le AirTag, c’est cet outil mis en vente par Apple en avril 2021 et censé aider à repérer ses clés ou son téléphone facilement.

LES PARISIENNES

faites MEGA attention avec les airtags, on m’en a mis un dessus dans le 16e y a qql jours, et là c ma pote qui vient d’en retrouver un sur elle en rentrant de la SALLE DE SPORT, ils recommencent en balle avec ça faites super attention les chiens sont de sortie pic.twitter.com/abmpKcnuxH

— Wen 🍎 (@_wenartica) June 12, 2023

Plus de 9 000 retweets, pas loin de 20 000 likes : l’histoire a suscité l’émotion. On a cherché, on a interrogé des associations, les forces de l’ordre aussi, mais les données sur la fréquence du phénomène se font rare. Tout ce que l’on peut produire pour le moment, ce sont des sommes de témoignages : cette autre internaute rapportait, en avril 2022, l’histoire d’un AirTag retrouvé sous une voiture.

Ma sœur qui m’appelle, sa meilleure pote vient de se rendre compte qu’elle a un AirTag sous sa voiture
Putain mais les mecs vous êtes vraiment un fléau c’est pas possible

— ✨💜𝒪𝑒𝒾𝓁 𝒹𝑒 𝐵𝒾𝓉𝒸𝒽 💜✨ (@0eil_debitch) April 29, 2022

En mars 2022, une troisième intimait les amiénoises à la prudence.

Les filles faites attention aux trackers sur Amiens, si vous recevez une notification "Accessoire inconnu détecté près de vous" appelez le 17 et surtout restez pas seule

— eva queen 🇵🇹 (@EvaDeCarvalho6) March 1, 2022

En février 2023, RFI rapportait trois histoires similaires qui se sont déroulées aux États-Unis : celles de deux femmes et d’un homme, dont les voitures avaient été équipées d’AirTag par un conjoint, ex-conjoint ou un proche, sans que la victime ne le sache au départ. En 2021, sur Twitter, une autre femme rapportait le même problème quelques mois après une autre, dont la vidéo a été très vue sur TikTok.

Une estimation complexe

On a beau chercher, cela dit, difficile d’avoir des chiffres précis pour décrire l’ampleur du phénomène. Tout au plus peut-on citer un rapport publié par la police canadienne et qui pointait un détournement du dispositif à des fins de suivi et de vol de voitures dès décembre 2021. Ou, plus directement lié aux questions de surveillance non consentie de personnes, celui de la police américaine obtenu par Vice un an après le lancement des AirTag.

À l’époque, le document dénombrait au moins 150 femmes victimes de géolocalisation indues à l’aide du dispositif d’Apple. Si ces éléments manquent de précision, ils dessinent tout de même un faisceau d’éléments pointant vers un même problème : le détournement récurrent d’une technologie vendue comme utile et susceptible d’aider ses propriétaires, à des fins malveillantes.

Ça ne fait pas nécessairement une spécificité de l’AirTag, pointe lman Karzabi, responsable de l’Observatoire régional des violences faites aux femmes du Centre Hubertine Auclert : tout au plus ce dernier est-il « un outil de plus dans la palette des ressources disponibles pour les agresseurs ».

Un détournement parmi d’autres

En 2018, l’organisme pour lequel elle travaille a réalisé une enquête sur l’ampleur des cyberviolences conjugales. Le schéma est particulier, dans la mesure où il s’agissait spécifiquement d’ausculter les violences numériques subies par une personne de la part de son conjoint ou ex-conjoint (en 2021, en France, 87 % des victimes de violences conjugales étaient des femmes, 88 % des mis en cause des hommes). Il fournit néanmoins quelques indications : si à l’époque, les AirTag ne sont pas en vente, 9 femmes victimes de violences conjugales interrogées sur 10 se déclarent aussi visées par des violences numériques.

Ces violences recouvrent toutes sorte de pratiques, pointe lman Karzabi : « envois répétés ou lecture des SMS, des mails, cyberharcèlement, détournement des aides sociales… » Dans le lot, une forme importante de cybercontrôle de la localisation, puisqu'une femme sur trois déclarait s’être vu demandée d’envoyer une photo pour prouver où elle se trouvait par son partenaire ou ex-partenaire violent. 21 % déclaraient aussi avoir le sentiment d'être surveillées à distance, sans consentement, par des logiciels espions.

Ce dernier chiffre est « à prendre des pincettes, indique néanmoins lman Karzabi. Ce type d’outils a probablement été mentionné parce qu’il est relativement médiatisé, donc que les victimes l’ont en tête. Il peut aussi être sous-déclaré puisque, par définition, un logiciel espion est censé être invisible. »

• Comment le « meilleur » stalkerware grand public s’adresse aux hommes en mal de contrôle 

• Prison avec sursis pour l’éditeur de l’espiogiciel Fireworld

En la matière, continue l’experte, l’AirTag – ou le Smart Tag de Samsung, ou les outils de Tile – peut donc devenir un outil supplémentaire de surveillance, car il est « facile à acheter en ligne, de très petite taille donc difficile à repérer. C’est presque plus simple qu’un logiciel espion, puisqu’utiliser un AirTag pour suivre quelqu’un ne demande pas d’avoir accès à son téléphone pour l’installer. »

Une médiatisation déformante ?

Comme elle, cela dit, les bénévoles de l’association de lutte contre les cyberviolences sexistes Echap estiment que la seule médiatisation de technologies comme les logiciels espions ou, donc, les AirTags, peut poser problème.

« Sur le terrain, les invasions de la vie privée que l’on constate le plus souvent sont beaucoup plus basiques », pointe Lila. Avec les autres bénévoles d’Echap, une partie de ses activités consiste à fournir un soutien et de la sensibilisation à la cybersécurité à des associations d’accueil de femmes victimes de violences conjugales :

« Les pratiques majoritaires, ce ne sont pas tellement les logiciels espions ou le détournement d’AirTags que celui d’applications et d’outils plus courants. Comptes partagés, vols de mots de passe, les personnes surveillées n’ont pas encore le réflexe de se dire que c’est ça le premier danger, alors que ça l’est. »

Or, contrairement à un AirTag « qu’on peut finir par trouver », la surveillance en ligne a un aspect « multimodal », pointe Esther, une autre bénévole d’Echap, qui implique d’aider les victimes à faire l’inventaire des espaces numériques sur lesquels un (ex)conjoint violent ou un agresseur quelconque pourrait avoir prise.

Comme elles, lman Karzabi note par ailleurs que la méconnaissance de la réalité des moyens de contrôle numérique donne l’« impression d’une toute puissance de l’agresseur », qui peut empêcher les victimes d’aller chercher de l’aide. Or, selon les différentes expertes que nous avons interrogées, le coût psychologique de ce sentiment de surveillance est immense pour la personne visée.

Experte en cybersécurité, Rayna Stamboliyska s’inquiète précisément de la non-reconnaissance de cette charge par l’entourage. « Savoir que son adresse personnelle se balade en ligne, ça peut mettre très mal à l’aise. Mais si vous expliquez aux gens que vous vous sentez menacée, la réponse générique, pour le moment, c’est "arrête de pleurnicher" ou "sois plus dure" ». Une forme de dévalorisation de ces invasions de la vie privée qui empêche, selon elle, « d’en faire un fait de société », donc de s’y attaquer plus frontalement.

Encadrement législatif

Question législation, pourtant, le problème est loin d’être laissé en friche. En France, « la loi de juillet 2020 interdit ouvertement la géolocalisation sans consentement », rappelle lman Karzabi. Selon l’article 226 - 1 du code pénal, les contrevenants risquent un an de prison et 45 000 euros d’amende pour une telle atteinte à « l’intimité de la vie privée d’autrui ».

Mais sur le terrain, Rayna Stamboliyska souligne des freins : « en France, si je ne peux pas démontrer le préjudice direct d’un acte que je trouve anormal – par exemple, qu’un inconnu ait récupéré mon adresse et m’ait probablement suivie –, on va souvent refuser ma plainte. Cela rend très compliqué de réaliser un décompte précis. » Et de citer d’autres types de violences, notamment faites aux femmes, qui restent mal reçues dans les commissariats.

En bout de chaîne, cela empêche de faire des invasions de la vie privée « un fait de société. Faute de chiffres, l’institution ne se dit pas : nous avons constaté un grand nombre de telle infraction et l’avons punie de telle sorte. » C’est pourquoi l’experte enjoint toute victime de ce type d’acte à aller porter plainte. « Une réponse courante est "ça ne nous reconstruira pas", mais c’est un enjeu civique : ça permettrait aux pouvoirs publics d’avoir une vision d’ensemble de l’ampleur du phénomène. » Sous réserve, encore une fois, que les plaintes soient bien enregistrées.

En parallèle de ces débats bien plus larges, certaines entreprises ont réagi aux problèmes de géolocalisations non consenties. Du moins Apple, qui s’est le plus directement retrouvé dans la tourmente, a-t-elle adapté ses AirTag en les faisant sonner plus rapidement et a publié des guides à destination des usagers.

• AirTag : Apple va améliorer les contre-mesures anti-stalking
• AirTag : les mesures anti-pistage d’Apple déjà contournées

Pour faciliter la découvrabilité d’AirTag non sollicités depuis des appareils Android – quand bien même le dispositif fonctionne via le réseau FindMy d’Apple –, l’entreprise a aussi créé l’application Tracker Detect. Enfin, en février 2022, elle s’est fendue d’un communiqué dans lequel elle déclare condamner « avec la plus grande fermeté tout usage malveillant de nos produits ».

• Qu'est-ce que l'UWB qui se trouve dans les AirTag et les smartphones d'Apple et de Samsung ?

La surveillance de l’autre, un enjeu de société

« Est-ce que depuis que les vendeurs d’alcool écrivent "à consommer avec modération" sur leurs publicités, on s’est absolument tous mis à les écouter ? » raille Rayna Stamboliyska. Qu’une entreprise technologique intime à ses utilisateurs à ne pas détourner ses outils est, selon elle, d’une efficacité toute relative.

Pour lman Karzabi du Centre Hubertine Auclert, c’est simple, « la loi devrait obliger les constructeurs de ces outils à poser des limites dès le début. Ça aurait même un intérêt pédagogique, pour tout le monde, car on a déjà entendu des situations un peu différentes, par exemple une personne en colocation qui s’est dit "ah super, je vais pouvoir géolocaliser ma colocataire". »

Il y a besoin d’un message d’interdit plus clair, estime-t-elle, car la surveillance est de plus en plus largement acceptée. Citant les réponses proposées par Google quand on lui envoie une requête liée aux AirTag, hors période d’emballement médiatique, Rayna Stamboliyska agrée : « On voit vite que la première préoccupation des gens, c’est comment s’en servir pour surveiller, notamment les enfants. Cela illustre les difficultés que nous avons à considérer l’intimité et la vie privée de l’autre. » 

« Tout se passe comme si les gens se disaient « à partir du moment où les technologies existent, pourquoi je me priverais de les utiliser ? » », continue l'experte. Sauf qu’ici, il est bien question de suivre des personnes sans leur consentement. « C’est fondamentalement un problème de société : comment être ensemble, comment soutenir les gens qui en ont besoin, comment s’assurer que celles et ceux qui ont besoin d’aide ne se retrouvent pas dans des situations encore plus précaires… »

« C’est le débat habituel sur la responsabilité », renchérit Lila, chez Echap : « Est-ce que c’est celle de la technologie, est-ce c’est celle de l’humain ? » « Le risque, c’est le solutionnisme technologique », ajoute Esther. « Ce n’est pas parce qu’on crée une application qui permet aux potentielles victimes de repérer un AirTag non désiré dans leur environnement qu’on aura résolu le problème. » Dès le départ, pointe-t-elle, l’outil présenté par Apple comme utile pour retrouver ses clés aura aussi été détourné pour suivre des personnes. 

Des outils pour redonner le pouvoir

Pour faire face, toutes les personnes interrogées mentionnent le besoin de redonner du pouvoir aux internautes, et avant tout aux potentielles victimes. « Quand on sait ce que chaque outil permet, mais que l’on connait aussi ses limites, ça permet de mieux réagir », explique lman Karzabi.

• Pourquoi dédier une journée à l’inclusion des femmes dans le numérique ? 

Si un AirTag est découvert, indique Rayna Stamboliyska, enlever la batterie, comme ç’a été suggéré en ligne, permet de couper l’envoi des données de position vers le propriétaire de l’outil. Mais elle regrette presque la démarche : « Encore une fois, on se retrouve à déplacer la charge mentale, à encourager des potentielles victimes à être en hypervigilance, donc à rajouter dans leur arsenal de microdécisions le besoin de savoir si quelqu’un ne les surveille pas à leur insu. »

Chez Echap, ni Lila ni Esther ne nient le déséquilibre des forces. L'approche de l’association consiste néanmoins à donner autant d’outils que possible aux internautes et potentielles victimes. À l’aide de guides, soit spécifiquement dédiés à « se déconnecter de son ex-partenaire » soit plus largement construit pour améliorer la sécurité de différents services numériques, « on essaie de rendre aux utilisateurs une forme de pouvoir sur les outils qu’ils ont dans leur poche toute la journée, indique Lila. Le but, c’est que chacun puisse mieux comprendre comment ça fonctionne, voire donne leur avis. »

« Il ne s’agit pas de dire "la tech est mauvaise" », continue-t-elle, « mais de reconnaître qu’une techno peut aussi bien émanciper que servir à accroître des violences. Donc s’interroger beaucoup plus sur qui la construit, pourquoi, à qui ça bénéficie et à qui ça complique la vie. » Pour elle et Esther, une affaire comme celle des AirTag illustre en fait l’aspect fondamentalement politique des outils technologiques.