Les polices belges et néerlandaises auraient réussi à décrypter des millions de messages échangés via des cryptophones SKY ECC. Plusieurs dizaines de ses clients, prêts à payer des milliers d'euros pour se protéger, ont été arrêtés. SKY ECC, de son côté, accuse la police d'« actions malveillantes » et menace de « poursuites judiciaires ».

La police fédérale belge a mené environ 200 perquisitions, dont une vingtaine impliquant des unités spéciales,  et ciblant des utilisateurs de cryptophones sécurisés SKY ECC, rapporte la RTBF.

48 personnes auraient été arrêtées et plus de 1,2 million d'euros saisis par pas moins de 1 500 policiers mobilisés dans ce que La Libre qualifie de « plus grande opération de police jamais organisée » dans le (plat) pays.

Les policiers ont également saisi plus de 14 tonnes de cocaïne et confisqué 15 armes prohibées dont 6 armes à feu, 8 véhicules de luxe, 3 machines pour compter l’argent, des uniformes de police et des balises GPS, précise Sud Info.

30 suspects auraient par ailleurs été arrêtés aux Pays-Bas, 28 armes saisies, ainsi qu'un serveur de SKY ECC à Rotterdam, dans le cadre de cette « Opération Argus ». La police néerlandaise a déclaré être parvenu à décrypter et lire le trafic chiffré de SKY ECC en temps réel depuis la mi-février. Elle aurait à ce titre identifié des « douzaines » de tentatives de crimes, kidnappings et assassinats.

Des criminels, parfois venus de l’étranger, se seraient en outre fournis en appareils de ce type auprès de revendeurs opérant en Belgique. Milieu de la drogue, criminalité financière grave et corruption font partie des matières investiguées par la police judiciaire fédérale.

L’opération serait le fruit d’une « intense coopération internationale d’une ampleur jamais vue faisant suite à deux ans et demi d’investigations », explique la RTBF. Des policiers fédéraux, notamment au sein de la « federal computer crime unit », auraient en effet réussi à infiltrer, espionner et localiser ces appareils conçus pour assurer un maximum de discrétion à leurs utilisateurs. Se croyant à l’abri des écoutes des autorités, des suspects communiquaient parfois sans aucune retenue via ce réseau.

1 milliard de messages interceptés, la moitié décryptés

185 téléphones équipés du logiciel de chiffrement de SKY ECC, une société opérant depuis le Canada et les États-Unis, avaient été saisis en Belgique. Dans l’incapacité technique d’en tirer des informations, et estimant que les services fournis semblaient faciliter la criminalité, le parquet fédéral avait ouvert fin 2018 une information contre SKY ECC et contre les personnes qui distribuent ces téléphones dans le milieu criminel.

Sur les quelque 171 000 téléphones SKY ECC en circulation dans le monde, 70 000 communiquent activement, dont environ 25 % des utilisateurs en Belgique (6 000, la moitié à Anvers et plus particulièrement dans la zone du port, carrefour portuaire et routier bien connu du trafic de drogue) et aux Pays-Bas (12 000).

Environ 1 milliard de messages chiffrés auraient été interceptés, et près de la moitié auraient pu être décryptés, en collaboration avec les Pays-Bas. SKY ECC se présente comme « la plateforme de messagerie la plus sécurisée que vous puissiez acheter », ironise la RTBF.

« D’autres enquêtes seront menées dans les prochaines semaines sur la base des communications interceptées. Toute personne qui utilise le système Sky ECC de manière légale est par ailleurs invitée à se faire connaître auprès des autorités judiciaires », a précisé le procureur fédéral Frédéric Van Leeuw.

Au micro de RTL, il a expliqué que « même si on a l’habitude, on a été étonnés de voir le niveau de violence, de manque de morale, les quantités astronomiques de drogue qui circulent. Ça nous a même effrayés. Il était vraiment important d’intervenir par rapport à cela. (…) Avec ce que j’ai vu pendant 3 semaines, je ne dois plus regarder Netflix. C’est encore pire que ce qu’on peut voir dans certaines séries sur Netflix. »

Contrairement à Encrochat, l'autre cryptophone « sécurisé » dont les échanges avaient été décryptés par la gendarmerie française l'an passé, SKY ECC n'est pas développé par une entité anonyme. Sa maison mère, SKY GLOBAL, est basée à Vancouver et explique sur son site avoir été fondée en 2008 par Jean-François Eap, employer 60 salariés et que SKY ECC, lancé en 2010, serait « devenu la première solution de communications sécurisées au monde ».

• La gendarmerie a (de nouveau) cassé des messages chiffrés

« Ne risquez pas votre sécurité »

Les téléphones, des BlackBerry, Google Pixel et iPhones « dotés de puces inviolables intégrées », sont commercialisés de 700 à plus de 2 000 € (frais de port compris), avec des abonnements à renouveler tous les 3 ou 6 mois. 

La version (très mal) traduite en français de son site web vante son « cryptage de bout en bout » et « permanent », son « matériel inviolable », des « messages autodestructeurs », un « mode furtif » où « SKY ECC devient une calculatrice entièrement fonctionnelle ».

Question réseau, il explique que « nos cartes SIM se connectent via un tunnel privé à nos serveurs pour empêcher les écoutes à tous les niveaux » via un « réseau mondial distribué et sécurisé » qui « vous empêche de vous connecter à l’application si la connexion n’est pas sécurisée ».

« Ne transigez pas sur votre vie privée. Ne risquez pas votre sécurité », dixit le site, qui précise partir du postulat que « votre appareil a été piraté et que votre connexion n’est pas sécurisée, puis nous neutralisons ces menaces ».

De fait, la mention d'ECC dans son nom renvoie à la cryptographie sur les courbes elliptiques (elliptic curve cryptography ou ECC en anglais), utilisée par deux des protocoles recommandés par la NSA en matière de cryptographie post-quantique. Elle est censée répondre au problème de la décomposition en produit de facteurs premiers, aussi connue comme la factorisation entière en nombres premiers et qui pourrait permettre, à terme, de décrypter les messages chiffrés au moyen d'algorithmes et protocoles précédemment recommandés.

Du fait de son architecture « Zero-Trust », la page de SKY ECC dédiée aux forces de l'ordre précise qu'elle « ne collecte aucune information personnelle sur aucun de ses utilisateurs, n'a accès à aucun numéro de téléphone ou adresse e-mail de ses utilisateurs » :

« Nous ne savons pas qui sont nos utilisateurs ni avec qui ils communiquent. La Société n'a pas la capacité d'afficher, de surveiller, d'accéder ou de décrypter les messages envoyés entre les utilisateurs de SKY ECC.

Pour une précision absolue, en raison de la conception des opérations de SKY ECC, la Société n'a pas accès à, et à ce titre, ne peut pas fournir aux forces de l'ordre les informations suivantes relatives aux utilisateurs de SKY ECC :

• • messages texte, photographies et vidéos,
  • les numéros de téléphone,
  • adresses mail, 
  • afficher des images, 
  • date de naissance, 
  • métadonnées pour les messages, 
  • nombre de messages ou d'images envoyés/reçus, 
  • adresse IP et
  • l'emplacement de l'utilisateur. »

SKY ECC menace de porter plainte

L'entreprise vient en outre de contre-attaquer dans un communiqué, expliquant que « la plateforme SKY ECC reste sécurisée et aucun appareil Sky ECC autorisé n'a été piraté. SKY ECC soutient, après une enquête approfondie, que toutes ces allégations sont fausses. »

Les distributeurs autorisés de SKY ECC en Belgique et aux Pays-Bas auraient attiré son attention sur le fait qu'« une fausse application d'hameçonnage faussement étiquetée SKY ECC a été créée illégalement, modifiée et chargée latéralement sur des appareils non sécurisés ». De plus, « les fonctions de sécurité des téléphones SKY ECC autorisés ont été éliminées dans ces faux appareils qui ont ensuite été vendus via des canaux non autorisés ».

En outre, SKY ECC nie fermement toute allégation la présentant comme la « plateforme de choix pour les criminels ». L'entreprise rétorque qu'elle a une politique stricte de tolérance zéro et que les utilisateurs et distributeurs autorisés sont expressément interdits en vertu des Conditions d'utilisation d'utiliser ou de distribuer un appareil SKY ECC à des fins illicites, illégales ou criminelles.

SKY ECC explique en outre n'avoir été contacté par aucune autorité d'enquête, et qu'elle « n'a pas autorisé ni coopéré avec les autorités chargées de l'enquête ou les personnes impliquées dans la distribution de la fausse application de phishing ».

Elle estime que « ces actions sont malveillantes » et même qu'elle entamera des poursuites judiciaires contre les personnes incriminées pour « usurpation d'identité, contrefaçon de marque, mensonge préjudiciable, diffamation et fraude ».

La presse belge ironise de son côté en rappelant que Sky ECC est tellement confiante dans la sécurité de ses cryptophones qu'elle offre 5 millions de dollars à quiconque réussirait à les hacker. D'après RTL, la police fédérale viendrait même de lui envoyer son numéro de compte bancaire...