Aux multiples révélations sur les menées de surveillance des services de renseignements américains et britanniques, systématiques et massives dans certains cas, très ciblées dans d’autres, toujours effectuées avec le parfait manque de scrupules que peut seul donner une assurance d’impunité, se sont ajoutées récemment des informations sur des attaques menées conjointement par des espions américains et britanniques contre des entreprises de sécurité informatique.
Une première indication de telles pratiques avait été livrée récemment avec l’annonce par la société russe Kaspersky, qui propose l’un des anti-virus les plus appréciés au monde, qu’elle avait fait l’objet d’une attaque venue apparemment d’Israêl. Kaspersky expliquait que les hackers qui s’étaient introduits dans son réseau cherchaient à trouver un moyen de neutraliser le logiciel antivirus installé chez des clients de Kaspersky afin de pouvoir « s’installer » sur leurs ordinateurs sans être détectés. Or, rapporte The Intercept, des documents récemment publiés, extraits du cache d’Edward Snowden, montrent que les services américains et britanniques s’adonnaient déjà depuis au moins 2008 à de telles pratiques, avec des campagnes systématiques visant Kaspersky, mais aussi de nombreuses autres sociétés d’antivirus et de sécurité informatique.
Pour parvenir à accéder à des ordinateurs individuels, ces services sont donc prêts à installer dans des logiciels de sécurité des points d’entrée secrets qui leur permettent de les neutraliser et de fouiller ou de surveiller sans être détectés, que dans leur superbe dénuée de tout scrupule, ils pensent pouvoir demeurer durablement les seuls à activer. Ce qui est évidemment un leurre : planter de tels « backdoors » dans des programmes de sécurité revient, à terme, à inviter les hackers et truands de tout poil, y compris ceux que les services de renseignement sont censés combattre, à s’en servir à leur tour. Pas moins de 23 sociétés proposant des programmes antivirus et de sécurité informatique figuraient sur une liste établie par la NSA décrivant le projet « Camberdada », parmi lesquels, outre Kaspersky, F-Secure, une société finlandaise, Eset, slovaque, Avast, tchèque, et Bit-Defender, roumaine. Symantec et McAfee, deux sociétés américaines de renom actives dans ce domaine, n’y figurent pas, mais on y trouve CheckPoint, une société israélienne qui produit des programmes parefeu. Les ingénieurs du GHCQ ont aussi décortiqué et manipulé les routeurs de Cisco de façon à pouvoir rediriger le trafic d’utilisateurs ciblés vers ses propres serveurs : The Intercept explique que cette activité a permis au service britannique d’accéder à « pratiquement n’importe quel internaute » au Pakistan. Une autre pratique consiste à intercepter les emails arrivant chez Kaspersky et décrivant des logiciels pernicieux récemment apparus : dans ce cas, les hackers de la NSA vérifiaient si ces logiciels de type « malware » pouvaient leur être d’une quelconque utilité.
The Intercept précise que le GHCQ a malgré tout cherché à se couvrir contre ce qu’il considérait contre l’éventualité « improbable » de se faire prendre la main dans le sac à violer les conditions d’utilisation des sociétés antivirus et à tripoter leur code. Mais le mandat qu’a obtenu le service britannique était des plus douteux, selon la publication, cette activité s’aventurant sur le terrain de la propriété intellectuelle que ne couvrait pas la réglementation applicables aux écoutes des services de renseignement. La démarche de ces services de renseignement, dans laquelle le GHCQ semble avoir joué un rôle prépondérant, peut paraître logique si l’on considère, comme le suggérait le Patriot Act, que tout justifie in fine les efforts de surveillance. Que des services de renseignement occidentaux se livrent ainsi à un exercice systématique de subversion des entreprises dont le rôle est de rendre l’utilisation d’Internet plus sûre n’en est pas moins choquant. De tels manipulations affaiblissent systématiquement et durablement les dispositifs de sécurité : elles sont le fait d’apprentis sorciers.