AccueilActualités informatiqueSurveillance massive en ligne : Google est "le meilleur", Apple "phénoménal"

Surveillance massive en ligne : Google est « le meilleur », Apple « phénoménal »

Une petite entreprise du Nebraska fait, selon ses propres dires, les meilleures affaires avec les autorités de poursuite pénale aux Etats-Unis et dans le monde entier. PenLink est spécialisée dans l’aide aux enquêteurs pour surveiller les utilisateurs de services de messagerie et de réseaux sociaux. L’entreprise aurait par exemple aidé une autorité judiciaire californienne à mener jusqu’à 50 « écoutes » de médias sociaux quasiment d’une traite. L’instance intermédiaire collecte ainsi les flux de données de Facebook, Google et les transmet à la police après les avoir préparés.

Sommaire

Les indications proviennent d’un enregistrement secret d’un tour de table lors de la conférence d’hiver de la National Sheriffs’ Association à Washington, réalisé par le fondateur du portail de transparence « Tech Inquiry », Jack Poulson, qui vient de le publier. Il s’agit d’un exposé de Scott Tuma, collaborateur de longue date de PenLink. Celui-ci a expliqué dans quelle mesure les groupes et fournisseurs tech comme Apple, WhatsApp ou Snapchat mettent des informations à la disposition de la police. Pour cela, il n’est souvent même pas nécessaire d’obtenir un mandat de perquisition valable – une convocation ou une prise de contact directe suffisent parfois pour une coopération volontaire.

Tuma a qualifié les copies de sécurité de l’iCloud d’Apple de « phénoménales ». « Si vous avez fait quelque chose de mal, je parie avec vous que je peux le trouver dans cette sauvegarde », a-t-il déclaré selon l’enregistrement que Poulson a d’abord mis à la disposition de « Forbes ». Apple n’a pas souhaité faire de commentaires au magazine américain.

Le fabricant de l’iPhone a certes développé progressivement le cryptage de bout en bout dans iCloud au cours des dernières années, mais il est absent de la messagerie et des signets. Malgré des demandes de longue date, Apple ne crypte toujours pas les sauvegardes. Cela conduit par exemple à la situation absurde où l’on peut certes stocker des messages iMessage cryptés dans iCloud. Mais la clé se trouve dans la sauvegarde. Apple fournit régulièrement des copies de sécurité de ses nuages informatiques aux autorités sur ordre du tribunal.

Il est également possible, a expliqué Tuma, de consulter les messages WhatsApp, bien que la plateforme promette des mesures de sécurité strictes. Pendant longtemps, les utilisateurs qui faisaient une copie de sauvegarde de leurs messages annulaient ainsi automatiquement la protection offerte par le cryptage de bout en bout de l’application.

Le représentant de PenLink a fait état d’un cas à New York dans lequel il était assis sur « environ mille enregistrements de WhatsApp ». Cependant, le service appartenant à Facebook n’est pas bien adapté à l’écoute en temps réel, car il n’est possible de faire des sauvegardes qu’une fois par jour. Les métadonnées qui montrent comment un compte WhatsApp a été utilisé et quels numéros sont entrés en contact à quel moment pourraient toutefois être suivies à l’aide d’un enregistreur de numéros (« Pen-Register »). PenLink propose un tel outil.

« Nous examinons, validons et répondons soigneusement aux demandes des forces de l’ordre sur la base du droit applicable et conformément à nos conditions d’utilisation, et nous l’indiquons clairement sur notre site web et dans des rapports de transparence réguliers », a souligné un porte-parole de WhatsApp à « Forbes ». Les données ne seraient pas transmises à des entreprises comme PenLink, mais directement aux enquêteurs. Depuis l’année dernière, il serait en outre possible de crypter de bout en bout les sauvegardes dans iCloud ou Google Drive.

Tuma s’est également enthousiasmé pour les données de localisation de Google : le fournisseur Android « peut me localiser à un mètre près ». Il a collaboré à d’innombrables cas longtemps inexpliqués, dans lesquels les données pouvaient encore être attribuées aux suspects après « cinq, six, sept ans », par exemple lors d’un délit de fuite ou d’une agression sexuelle. Si les gens avaient leur smartphone sur eux et un compte Gmail, la chance souriait aux enquêteurs : « Et cela arrive souvent ». En comparaison, Facebook peut trouver une cible dans un délai de 18 à 27 mètres. Snapchat a commencé à fournir une localisation plus précise dans un rayon de cinq mètres environ.

Il est également très instructif de demander à Google l’historique des recherches, a déclaré Tuma. Il en a été témoin lors de plusieurs enquêtes sur des meurtres : les auteurs recherchent effectivement via le service « comment se débarrasser d’un corps humain ». Cela apparaît ensuite dans leur historique Google. Le praticien assure : « Ils ont effacé leur navigateur et leurs cookies et ainsi de suite, ils pensent que cela a disparu. Google est le meilleur ». Un porte-parole du géant de la recherche a affirmé qu’il essayait toujours de concilier la protection des données avec les besoins de la police.

Selon la présentation, les entreprises de technologie peuvent en principe être chargées de suivre des suspects gratuitement et presque en direct. L’inconvénient est que les flux des médias sociaux ne peuvent pas être consultés en temps réel. Il y a un délai, qui est de 15 minutes pour Facebook et Instagram. Sur Snapchat, les intervalles sont encore plus longs. Dans les « cas urgents », les opérateurs fournissent toutefois les données souhaitées plus rapidement.

Selon Tuma, le fait que les agents de l’ordre doivent se connecter à un portail et télécharger les fichiers complique encore la tâche des agents de Facebook. Si un enquêteur ne se connecte pas toutes les heures pendant une surveillance, il est bloqué. PenLink a automatisé le processus afin de permettre aux agents de faire une pause.

Jennifer Granick, de l’organisation américaine de défense des droits civiques American Civil Liberties Union (ACLU), a qualifié sur Twitter le rapport de « dérangeant ». PenLink affirme par exemple qu’une « simple demande » auprès de Facebook fournit des informations sur « quand et où une photo a été téléchargée ou quand une transaction par carte de crédit a eu lieu. Cela va au-delà de ce que la loi autorise ».

Les exploitants de réseaux sociaux seraient en mesure de filtrer les données en fonction de la date, du type de données et même de l’expéditeur et du destinataire. Ceux qui fournissent des téraoctets de données ne peuvent pas ainsi « fonder un soupçon suffisant », comme l’exige le droit constitutionnel.

Plus d'articles