Le logiciel espion « secret défense » de la DGSI était un fork d’un exploit disponible sur GitHub
La révélation selon laquelle le logiciel espion utilisé par la DGSI pour infiltrer le réseau EncroChat était un fork d’un exploit open source disponible sur GitHub soulève des questions majeures sur les limites de la cybersécurité publique et les risques systémiques liés à la réutilisation d’outils vulnérables. Cette affaire illustre aussi comment des dispositifs conçus pour la lutte antiterroriste et criminelle peuvent être détournés, voire copiés, par des acteurs étatiques, révélant une porosité troublante entre les sphères légales et illégales du numérique.
Comment la DGSI a-t-elle pu utiliser un exploit open source pour infiltrer EncroChat, et quels étaient les risques associés ?
Le logiciel espion développé par le service technique national de captation judiciaire (STNCJ) de la DGSI, créé en 2018, était en réalité une version modifiée (fork) d’un exploit initialement disponible sur GitHub. Ce choix technique expose les dispositifs étatiques à deux risques majeurs : d’abord, la diffusion incontrôlée d’outils de piratage une fois leurs vulnérabilités découvertes, et ensuite, la possibilité pour des acteurs malveillants de reproduire ou d’adapter ces méthodes, affaiblissant ainsi la sécurité globale des infrastructures ciblées.
Quels étaient les mécanismes de sécurité d’EncroChat, et comment ont-ils été contournés ?
EncroChat proposait un système de déni plausible via un smartphone Android modifié, avec un stockage chiffré et des pseudonymes aléatoires pour ses utilisateurs. Les échanges étaient automatiquement effacés après 14 jours, et le téléphone pouvait être neutralisé à distance. Cependant, ces protections ont été neutralisées par le logiciel espion de la DGSI, qui exploitait une faille technique pour activer à distance les appareils sans alerter leurs propriétaires, démontrant que même les systèmes les plus sécurisés peuvent être compromis par des méthodes ciblées.
Quelles sont les conséquences judiciaires et politiques de cette révélation pour la DGSI et ses partenaires ?
La rétro-ingénierie du logiciel espion a révélé que son développement s’appuyait sur des projets open source, ce qui pourrait remettre en cause la légitimité de son usage dans le cadre légal français, couvert par le secret défense. Par ailleurs, l’extradition en 2024 de Paul Kursky, le créateur présumé d’EncroChat, pour une quinzaine de chefs d’accusation, pourrait entraîner des tensions diplomatiques, notamment si son implication dans la conception du système est contestée. Enfin, cette affaire interroge sur la transparence des méthodes de surveillance étatique et leur conformité aux principes démocratiques.
Ce que ça pourrait changer
Cette affaire pourrait accélérer les débats sur la régulation des outils de cybersécurité utilisés par les États, notamment en matière de responsabilité algorithmique et de traçabilité des exploits. Elle met aussi en lumière les risques de détournement des outils publics par des acteurs criminels, qui pourraient exploiter les mêmes vulnérabilités pour cibler des infrastructures critiques. Enfin, elle pose la question de l’équilibre entre sécurité nationale et protection des libertés individuelles, dans un contexte où les frontières entre guerre numérique et criminalité s’estompent.
