Les spécifications techniques et les documents commerciaux des vendeurs de technologies de surveillance sont bien souvent gardés secrets. L’asymétrie qui en résulte en termes d’accès à l’information empêche les défenseur·e·s dans le domaine de la cybersécurité et les groupes de la société civile vulnérables de comprendre l’ampleur des menaces auxquelles ils sont confrontés. L’objectif de ces recherches est d’apporter des informations concrètes sur les capacités en matière de surveillance disponibles auprès des fournisseurs sur le marché des produits de surveillance. Nous espérons que ce rapport pourra être une ressource utile pour la communauté de la cybersécurité et pour les principaux fournisseurs d’appareils portables et de technologies.
Glossaire sur l’industrie de la surveillance
| Terme | Définition |
| Logiciel espion | Un logiciel-espion est un logiciel qui permet à un opérateur d’accéder secrètement aux informations contenues dans le système d’un ordinateur ou de tout autre appareil visé. |
| Logiciel espion hautement invasif | Les logiciels espions hautement invasifs sont des logiciels espions qui peuvent obtenir l’accès complet à toutes les données se trouvant sur l’appareil ciblé et dont le fonctionnement n’est pas restreint pour permettre l’application d’un principe de proportionnalité, ou des logiciels espions qui ne peuvent pas faire l’objet d’audits ou de vérifications indépendants en cas d’abus. |
| Logiciel espion commercial | Un logiciel espion commercial ou mercenaire est un produit de surveillance élaboré et vendu par une entreprise à des gouvernements pour leur permettre de mener à bien des opérations de surveillance. Les logiciels espions commerciaux dits « de bout en bout » offrent une solution complète d’infection des appareils et de collecte de données. Ces solutions comprennent le code d’exploitation d’une faille de sécurité permettant d’installer le logiciel espion, un implant de logiciel espion qui tourne sur l’appareil infecté, et des dispositifs finaux de collecte et d’analyse des données de surveillance. |
| Implant de logiciel espion | L’implant d’un logiciel espion est le code logiciel final qui est installé sur un ordinateur ou un téléphone après son infection. Cet implant se charge de collecter les données sur l’appareil, d’activer les capteurs tels que les micros ou les caméras, et de transmettre ces données à l’opérateur du logiciel espion. |
| Vulnérabilité logicielle | Une vulnérabilité logicielle est une faille ou une faiblesse technique dans un composant ou un élément de code d’un logiciel qui peut être exploitée par un attaquant pour contourner les défenses de sécurité. |
| Code d’exploitation (exploit) | Un code d’exploitation (ou exploit) est un élément de logiciel ou de code qui met à profit (ou exploite) une ou plusieurs vulnérabilités logicielles pour accéder à un appareil. Sur les appareils mobiles modernes, les codes d’exploitation doivent contourner de nombreuses défenses de sécurité sur plusieurs niveaux et peuvent être très complexes. Une chaîne complète de codes d’exploitation visant les appareils les plus récents peut se vendre plusieurs millions d’euros. |
| Processeur de bande de base (baseband) | Le terme processeur de bande de base (ou baseband) désigne les composants matériels et logiciels d’un téléphone mobile qui lui permettent de communiquer, via une interface radio, avec une antenne-relais ou une station de base de téléphonie mobile. |
| Faille non corrigée (zero-day) | Une faille non corrigée, ou vulnérabilité zero-day, est une faille logicielle dont le développeur du logiciel n’a pas connaissance et pour laquelle il n’existe pas de correctif. Un code d’exploitation tirant profit d’une telle faille peut infecter avec succès même les appareils qui sont totalement à jour et ont bénéficié des corrections les plus récentes. |
| Vecteur d’attaque | Dans le secteur de la surveillance, on appelle vecteurs d’attaque les différentes méthodes ou techniques pouvant être utilisées pour infecter un appareil visé au moyen d’un code d’exploitation, Comme les vecteurs dits « un clic » et « zéro clic ». |
| Un clic | Une attaque « un clic » nécessite une action de la cible pour que l’infection de son appareil soit effective (généralement l’ouverture d’un lien malveillant). Différentes techniques d’ingénierie sociale sont utilisées pour duper la cible afin de l’inciter à ouvrir le lien en question, par exemple l’imitation de sites officiels ou d’articles d’actualités. Si l’on clique sur le lien, une chaîne de codes d’exploitation est téléchargée en vue d’affaiblir le navigateur Internet puis d’installer l’implant du logiciel espion sur l’appareil visé. |
| Zéro clic | Dans le secteur de la surveillance, on parle d’attaque « zéro clic » pour désigner un vecteur qui peut infecter un appareil sans aucune action de son utilisateur, par exemple sans qu’il ait à cliquer sur un lien. Les attaques « zéro clic » entièrement à distance, ou sans interaction, permettent une infection via le réseau Internet, souvent en exploitant des failles dans des applications de messagerie populaires comme iMessage ou WhatsApp. Les attaques « zéro clic » avec interaction, dites tactiques, peuvent infecter des appareils lorsque l’attaquant dispose d’un accès privilégié à un réseau ou se trouve à proximité physique de la cible. |
| Injection réseau | L’injection réseau est une technique qui consiste à injecter des paquets de données dans le trafic Internet afin de bloquer, intercepter ou manipuler ce trafic. |
| Homme du milieu – HDM (Man-in-the-middle – MitM) | Un homme du milieu est un attaquant qui est en mesure de lire, modifier et bloquer le trafic réseau d’une cible. La fonction HDM peut être utilisée pour censurer la cible ou pour mener des attaques par injection réseau. |
| Man-on-the-side (MotS) | Dans le cadre d’une attaque de type « man-on-the-side », l’attaquant peut lire et surveiller le trafic réseau mais n’est pas en mesure de le bloquer ou de le modifier directement. Cette situation est courante lorsqu’un attaquant a accès à une copie ou un miroir du trafic transmis par fibre optique. Des attaques par injection réseau peuvent aussi être lancées depuis cette position. |
| Infection tactique | Un vecteur d’infection tactique permet à l’attaquant d’attaquer les appareils situés à proximité. Des réseaux wifi et des stations de base de téléphonie mobile malveillants peuvent être utilisés pour rediriger insidieusement une cible physiquement proche vers un lien de code d’exploitation. Les attaquants peuvent aussi exploiter les vulnérabilités des logiciels de bande de base cellulaires et des interfaces wifi pour infecter les appareils situés à proximité au moyen d’ondes radio. |
| Infection stratégique | L’infection stratégique fait référence aux systèmes d’injection réseau déployés au niveau d’un fournisseur d’accès Internet ou du portail Internet d’un pays, qui peuvent être utilisés pour acheminer un logiciel espion. Ces systèmes peuvent intercepter les requêtes non chiffrées envoyées par la cible et rediriger insidieusement son appareil vers un lien de code d’exploitation. |
| SS7 | Le SS7 (Signaling System Number 7) est une série de protocoles et de normes de signalisation utilisés dans les réseaux téléphoniques pour réaliser des actions comme l’établissement de la connexion, le routage et l’itinérance entre les opérateurs de téléphonie mobile nationaux et internationaux. Conçu sans les défenses de sécurité modernes, il est exploité par les vendeurs d’outils de surveillance commerciaux pour mener différents types d’attaques, comme le suivi de la localisation et l’interception des communications. |
| Déni de service distribué (DDoS) | Une attaque par déni de service distribué est une attaque qui vise à perturber un site Internet ou un réseau en surchargeant son système au moyen d’un trafic excessif ou de requêtes trop nombreuses. Une telle attaque peut rendre un site Internet indisponible pour les visiteurs légitimes. |
| Avatar | Un avatar est une fausse identité ou un faux compte en ligne qui est utilisé pour recueillir des informations sur des plateformes en ligne ou pour interagir avec l’internaute visé. Ce type de profil ressemblant à un vrai peut servir à envoyer des liens malveillants ciblés ou à diffuser des informations en ligne via les réseaux sociaux ou les services de messagerie. |