La CNIL et la Commission nationale de contrôle des techniques de renseignement (CNCTR) organisaient la semaine passée un colloque intitulé « La surveillance dans tous ses états. Quelle éthique pour protéger nos libertés ? ». Sébastien Bourdon, vice-président d'Open Facto (dont l’objectif est de fédérer les acteurs de l'OSINT, ou renseignement d'origines sources ouvertes) et journaliste au Monde, y est notamment revenu sur sa récente enquête consacrée aux traces laissées par les gardes du corps d'Emmanuel Macron, Joe Biden et Vladimir Poutine sur l'application Strava.

• Des centaines d’agents de services de renseignement étaient « à poil » sur Strava, depuis 4 ans

En réaction, Nicolas Lerner, directeur général de la sécurité extérieure (DGSE), a quant à lui opportunément pointé du doigt les problèmes, encore plus grands, que pose l'ADINT (pour ADvertising INTelligence), du nom donné à la collecte de données publicitaires, potentiellement encore plus intrusives.

• Une régie publicitaire surveillait plus de 5 milliards de portables via 500 000 applications

L'été dernier, Bayerischer Rundfunk (BR, le service public audiovisuel de la Bavière) et le média indépendant netzpolitik.org, défenseur des libertés numériques, ont ainsi révélé, dans toute une série d'articles, qu'il était possible de géolocaliser des personnes à l'intérieur de bâtiments de l'armée et des services de renseignement allemands.

Après un bref appel téléphonique, Sebastian Meineck, de netzpolitik.org, avait en effet réussi à obtenir, de la part d'un courtier de données états-unien, un fichier comportant 3,6 milliards de points de localisations collectés sur une période d'environ huit semaines fin 2023.

Le fichier lui avait été fourni gratuitement à titre d'échantillon via Datarade, une place de marché en ligne basée à Berlin de mise en relation avec plus de 500 databrokers internationaux, commercialisant près de 600 catégories de données. Un abonnement comprenant des données de localisation mises à jour toutes les heures pour des personnes résidant dans plus de 150 pays lui aurait coûté 14 000 dollars par mois.

Le vendeur n'avait pas précisé comment, ni auprès de quelles applications, il s'était procuré les données. Collectées via le tracking d'environ 11 millions d'identifiants publicitaires de téléphones portables, elles révélaient leurs géolocalisations GPS, et donc les déplacements de leurs millions de propriétaires.

Si les identifiants publicitaires ne sont pas nominatifs, ils permettent donc néanmoins d'identifier où travaillent les détenteurs des téléphones portables associés, où ils vivent et résident, où ils se rendent le soir, le week-end et pendant leurs congés.

Basé aux États-Unis, le courtier était passé outre l'obligation de recueil du consentement prévu par le RGPD. Et rien n'empêchait Datatrade de mettre des clients européens en contact avec le databroker, la place de marché se contentant de mettre en relations les parties intéressées, sans pour autant elle-même traiter les données.

Géolocalisés de l'école de leurs enfants jusqu'à des maisons closes

L'enquête de BR et nextpolitik.org faisait suite à d'autres investigations de ce type effectuées aux USA, en Norvège, aux Pays-Bas et en Suisse. Le magazine WIRED vient de s'associer à eux pour tenter de mesurer ce que ces milliards de données révèlent au sujet des militaires basées dans les installations américaines sensibles en Allemagne, où les États-Unis maintiennent une force d'au moins 35 000 soldats :

« Il s'agit notamment de dizaines d'appareils situés dans des installations de surveillance ou d'analyse des signaux soupçonnées d'appartenir à la NSA, de plus d'un millier d'appareils dans un vaste complexe américain où des troupes ukrainiennes ont été formées en 2023, et de près de 2 000 autres dans une base aérienne qui a joué un rôle crucial dans les opérations de drones américains. »

Si nos enquêtes reposant sur Strava nous ont permis d'identifier où travaillaient un certain nombre d'agents de services de renseignement français et étrangers, mais aussi là où ils habitaient, l'ADINT est bien plus intrusive, puisqu'elle ne se limite pas, contrairement à Strava, aux seules activités sportives.

• Comment Strava permettait de remonter la piste d’agents des renseignements français et étrangers

WIRED précise qu'il est ainsi possible de suivre les mouvements des militaires, non seulement de leur domicile jusqu'aux abris blindés d'une base aérienne où des armes nucléaires américaines seraient stockées, mais également jusqu'aux écoles de leurs enfants, notamment.

Les journalistes ont aussi identifié quatre appareils qui, émettant régulièrement des signaux à partir de la base aérienne de Ramstein, ont ensuite été localisés dans des maisons closes situées à l'extérieur de la base, « notamment dans un établissement à plusieurs étages appelé SexWorld ».

L'analyse a également révélé des données de localisation provenant de 12 313 appareils géolocalisés à l'intérieur ou à proximité d'au moins 11 sites militaires et de renseignement :

« Notre enquête a permis de découvrir 38 474 signaux de localisation provenant de 189 appareils à l'intérieur de la base aérienne de Büchel, une installation allemande de haute sécurité où pas moins de 15 armes nucléaires américaines seraient stockées dans des bunkers souterrains. Dans la zone d'entraînement de Grafenwöhr, où des milliers de soldats américains sont stationnés et ont entraîné des soldats ukrainiens sur des chars Abrams, nous avons repéré 191 415 signaux provenant de 1 257 dispositifs. »

Suivre à la trace des forces spéciales des États-Unis jusqu'en Syrie

WIRED souligne cela dit que les identifiants publicitaires mobiles peuvent être réinitialisés, et que plusieurs identifiants peuvent donc être attribués à un seul et même appareil : « Notre analyse a révélé que, dans certains cas, plus de 10 identifiants publicitaires mobiles avaient été attribués à des appareils ».

De plus, la précision de la localisation peut, elle aussi, être sujette à caution. Un journaliste dont l'identifiant figure dans la base de données a ainsi constaté qu'il était souvent identifié à un pâté de maisons de son appartement et à des moments où il n'était pas en ville.

Une étude du Centre d'excellence en communications stratégiques de l'OTAN a pour sa part estimé que « la quantité éclipse la qualité » dans le secteur du courtage de données et qu'en moyenne, seules 60 % des données étudiées pouvaient être considérées comme précises.

Sur son site, aujourd'hui fermé, le courtier de données Datastream Group expliquait qu'il commercialisait des « données publicitaires sur Internet couplées à des courriels hachés, des cookies et des données de localisation mobile ». Le courtier permettait aussi de cibler des catégories de niche telles que les propriétaires de bateaux, les demandeurs de prêts hypothécaires et les fumeurs de cigarettes, précise WIRED.

Le magazine avait déjà raconté comment Mike Yeagley, un entrepreneur et sous-traitant du gouvernement américain, avait expliqué, lors d'une conférence en 2016, son recours à de telles données pour suivre à la trace des téléphones de l'entourage de Vladimir Poutine. Il avait également suivi des soldats américains depuis leurs bases aux États-Unis jusque dans une cimenterie abandonnée près de Kobané, alors bastion de Daech au nord de la Syrie, identifiant ainsi une station d'opérations avancées pourtant secrète.

Sur son profil LinkedIn, Yeagley explique avoir « enseigné aux agences de renseignement américaines comment tirer parti de l'écosystème de la technologie publicitaire, la plus vaste entreprise de collecte d'informations jamais conçue par l'homme. Je n'ai pas piraté, volé ou intercepté les données - je les ai achetées ». Près de 10 ans plus tard, il se dit consterné de voir qu'il est toujours possible d'acquérir, sur le marché, de telles données sensibles.

Faciliter le chantage, la traque, le harcèlement et l'humiliation publique

Un rapport déclassifié l'été dernier par Avril Haines, directrice sortante du renseignement national, reconnaissait que les agences de renseignement états-uniennes avaient acheté de « grandes quantités » d'« informations sensibles et intimes » sur les citoyens américains à des courtiers de données. Il soulignait que, « dans de mauvaises mains », ces données pourraient « faciliter le chantage, la traque, le harcèlement et l'humiliation publique ».

Le rapport relevait aussi que si le gouvernement américain « n'aurait jamais été autorisé à contraindre des milliards de personnes à porter en permanence sur elles des dispositifs de localisation », les smartphones, les voitures connectées et le suivi sur le web ont rendu cela possible « sans la participation du gouvernement », résume WIRED.

Une présentation interne du Pentagone obtenue par le collectif de journalistes reconnaît néanmoins que ce type de collecte de données, certes susceptible de révéler des secrets militaires ou d'aider des puissances étrangères à espionner voire corrompre des soldats, est cela dit « inévitable ». Les militaires sont des êtres humains comme les autres, et ne peuvent donc tout simplement pas vivre sans téléphones portables et autres technologies connectées.

Une conclusion qui, souligne WIRED, « reflète étroitement » les observations du juge en chef John Roberts de la Cour suprême des États-Unis, qui, dans plusieurs affaires relatives à la protection de la vie privée, avait décrit les téléphones portables comme un « élément omniprésent et insistant de la vie quotidienne ». Au point que le fait d'en posséder un était devenu « indispensable à la participation à la société moderne ».

Chargé de cours à la Sanford School of Public Policy de l'université Duke, Justin Sherman dirige un projet de recherche sur le courtage de données. En 2023, raconte WIRED, son équipe avait obtenu un financement de 250 000 dollars de l'Académie militaire des États-Unis pour étudier la facilité avec laquelle il était possible d'acheter des données sensibles sur le personnel militaire auprès de courtiers en données.

Les résultats se sont avérés « alarmants » : au-delà des données géolocalisées, l'équipe avait en effet pu acheter des données médicales et financières « hautement sensibles, non publiques et individuellement identifiables » sur des militaires en service actif et ce, « sans aucun contrôle », relève WIRED.

Des projets de loi mis au placard par les Républicains, en attendant Trump

M. Sherman avait aussi participé à la rédaction d'un amendement à la loi sur l'autorisation de la défense nationale (National Defense Authorization Act), qui oblige le ministère de la Défense à veiller à ce que les données individuelles hautement identifiables partagées avec les sous-traitants ne puissent pas être revendues.

Une démarche qui, cela dit, lui semble vaine : « C'est l'ensemble du secteur qui pose problème. C'est une bonne chose d'adopter des contrôles ciblés sur certaines parties de l'écosystème, mais si vous ne vous occupez pas du reste de l'industrie, vous laissez la porte grande ouverte à tous ceux qui veulent obtenir des données de localisation sur les agents de renseignement », déplore-t-il.

Or, relève WIRED, les efforts du Congrès américain pour adopter une législation plus complète sur la protection de la vie privée « sont au point mort depuis une bonne dizaine d'années ». La dernière tentative en date, connue sous le nom de « American Privacy Rights Act », n'a pas progressé en juin après que les leaders du Parti républicain ont menacé de faire échouer le projet de loi, qui a ensuite été considérablement affaibli, avant d'être mis au placard.

Un autre projet de loi sur la protection de la vie privée, le « Fourth Amendment Is Not For Sale Act », vise de son côté à interdire au gouvernement états-unien d'acheter des données sur les citoyens américains qu'il devrait normalement obtenir par mandat.

Bien que ce projet de loi n'interdise pas totalement la vente de données de localisation commerciale, relève WIRED, il empêcherait cela dit les agences fédérales d'utiliser ces achats pour contourner les protections constitutionnelles confirmées par la Cour suprême. Le sort du projet de loi est encore entre les mains des leaders de la Chambre des représentants et du Sénat.

« L'industrie non réglementée du courtage de données constitue une menace évidente pour la sécurité nationale », déplore pour sa part Ron Wyden, sénateur démocrate de l'Oregon, qui a supervisé pendant plus de 20 ans le travail des services de renseignement :

« Il est scandaleux que des courtiers en données américains vendent des données de localisation recueillies auprès de milliers de membres courageux des forces armées qui servent au péril de leur vie dans le monde entier. »

M. Wyden avait écrit au ministère américain de la Défense, à la Commission fédérale du commerce (FTC) ainsi qu'au Conseil national de sécurité (NSC) en septembre. Le ministère de la Défense, pas plus que le NSC, n'ont répondu à ses questions. Mais WIRED a appris que la FTC prévoit d'intenter prochainement plusieurs actions en justice afin de reconnaître officiellement que les installations militaires américaines sont des sites protégés.

La source de WIRED précise que ces actions s'inscrivent dans le cadre des efforts entrepris par Lina Khan, présidente de la FTC, afin de protéger les consommateurs états-uniens, y compris militaires, contre les pratiques de surveillance préjudiciables.

Reste à savoir ce qu'en fera l'administration Trump, qui remplacera Lina Khan, voire si la FTC survivra à la purge administrative promise par Elon Musk. Et ce, d'autant que le projet 2025, censé préparer la présidence Trump, suggère notamment d'abolir la Commission antitrust.