5 tentatives d’installations de logiciels espions visant des téléphones portables ont été autorisées par la juge d’instruction ou, plus tôt dans l’enquête, par un juge des libertés et de la détention. De ce qu’on comprend, 3 demandes n’ont pas pu aboutir, une installation a réussie, et pour la dernière des demandes, la procédure ne comprend aucune trace d’échec ou de réussite de l’installation. L’installation qui a réussie aurait a priori été faite grâce à un accès physique au téléphone. Le téléphone infecté est un iPhone SE 2020. De ce qu’on suppose, les policier.es, qui surveillaient intensément la personne ciblée, ont profité de sorties quotidiennes qu’elle effectuait sans son téléphone pour pénétrer dans son domicile et installer le logiciel espion via un accès physique au téléphone. Ces dispositifs ont pour objectif d’avoir accès au stockage des données du téléphone, à ce qui est tapé et apparaît à l’écran et aux conversations chiffrées de type Signal. Le contenu d’au moins une conversation Signal et ses participant·e·s ont ainsi été connus des enquêteur·ice·s. Il est fort probable que les enquêteur·ice·s aient aussi eu accès à l’entiereté des boucles sur lesquelles le compte Signal était inscrit.
Le cadre légal : l’installation d’un logiciel espion permettant d’accéder au contenu et à l’activité d’un téléphone ou d’un ordinateur est autorisée dans les enquêtes concernant un crime, un délit terroriste, certains délits lorsqu’ils sont commis en bande organisée, une association de malfaiteurs, ou lorsque les délits portent atteinte aux « intérêts fondamentaux de la nation » [1]. Sa mise en place doit être autorisée par un juge d’instruction dans le cas d’une instruction, et par un juge des libertés et de la détention dans les enquêtes préliminaires et de flagrance. Dans le jargon policier, l’installation d’un logiciel espion s’appelle installation d’« un dispositif technique ayant pour objet, sans le consentement des intéressés, d’accéder à des données informatiques, de les enregistrer, de les conserver et de les transmettre, telles qu’elles sont stockées dans un système informatique, telles qu’elles s’affichent sur un écran pour l’utilisateur d’un système de traitement automatisé de données, telles qu’il les y introduit par saisie de caractères ou telles qu’elles sont reçues et émises par des périphériques. » La loi les autorise à accéder à la totalité des données contenues sur un téléphone, et c’est donc plus des limitations techniques que légales qui freinent les kondés [2]
Ce moyen d’enquête ne vise des smartphones que depuis quelques années. Si on en croit la communication policière, les keufs français ont fait le choix de ne pas utiliser les solutions commerciales d’infections de smartphones (comme Pegasus, logiciel espion de l’entreprise israelienne NSO). Le logiciel espion utilisé en France est développé par un service spécialisé de la DGSI, le service technique national de captation judiciaire (STNCJ). Développer un tel logiciel, et l’adapter pour plusieurs modèles de téléphones et plusieurs versions de systèmes d’exploitation demande des moyens conséquents. Selon la presse, on comprend que ce logiciel n’est pas très performant en zero click, c’est-à-dire pour infecter un téléphone sans action de l’utilisateur (Pegasus, lui, utilisait notamment des failles de sécurité de whatsapp pour infecter des smartphones). Moins de 100 téléphones seraient infectés par ans en zero click, ce chiffre prenant en compte à la fois les infections dans le cadre d’affaires judiciaires et les infections effectuées pour les services de renseignement.
Plutôt que le zero click, les keufs essaieraient donc, en première solution, d’envoyer des SMS de fishing aux personnes visées, les sms contenant des liens piégés, comme les arnaques un peu pétées que tout le monde reçoit régulièrement. Les kondés soulignent que « la confection du message piégeux fait donc l’objet d’un soin particulier, son contenu devant être adapté à la personnalité et aux centres d’intérêt de la cible ». Théoriquement, les kondés pourraient faire des réquisitions à des entreprises comme des banques ou colissimo pour envoyer de vrais messages infectés, loin des messages d’arnaques un peu pétés qu’on reçoit souvent. C’est une technique qui a, de ce qu’on sait, déjà été utilisée en Italie dans des affaires ciblant la gauche radicale.
Les policier.es provoquent aussi des passages aux commissariats pour infecter des téléphones. Dans une affaire d’attaque terroriste en octobre 2023, on a appris que la DGSI souhaitait installer un logiciel espion sur le téléphone d’un personne, et qu’elle a donc demandé aux policier.es locaux de faire un contrôle d’identité, de tenter de trouver un moyen pour mettre en vérification d’identité ou en garde-à-vue la personne ciblée et de profiter de son passage au commissariat pour installer le logiciel espion.
Si ce moyen d’enquête est vraiment dangereux puisqu’il permet notamment d’accéder aux communications sur Signal, les policier.es sont limités par la complexité technique de sa mise en oeuvre : il faut qu’une version du logiciel espion soit disponible pour l’appareil à infecter et pour la version du système d’exploitation utilisée, ou il faut que le STNCJ développe spécialement une version de son logiciel. Autant dire que c’est pas ultra courant, et que, même pour une enquête d’ampleur comme l’affaire Lafarge, un seul smartphone a pu être infecté, sur 5 tentatives, et sur des dizaines de personnes ciblées.
[1] https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000038311624
[2] Même si la formulation de la loi est floue sur le sujet, il semble que l’utilisation du logiciel espion pour accéder au micro ou aux caméras du téléphone et ainsi écouter et voir ce qui se passe aux alentours ne soit pas autorisée. Un projet de loi passé en 2023 voulait autoriser l’accès au micro et à la caméra de téléphones pour écouter les conversations et filmer l’intérieur de lieux privés. Cette disposition a été annulée par le conseil constitutionnel.