Un cadre qui part à l’étranger avec son ordinateur et son téléphone pro n’emporte pas seulement avec lui deux terminaux. Il transporte ses mails, ses contacts, ses documents, ses accès au cloud et parfois une partie du système d’information de son entreprise. Dans 31 pays, cette concentration de données constitue désormais un risque élevé ou très élevé, alerte Recorded Future.
Il monte dans l’avion avec un ordinateur soigneusement rangé dans son sac, un smartphone chargé et quelques présentations à terminer avant son rendez-vous. Rien de très inhabituel. Pourtant, ce voyageur transporte bien plus que ses dossiers commerciaux. Son téléphone contient ses échanges avec la direction, les coordonnées de ses clients, ses conversations privées, son agenda et les codes lui permettant de se connecter aux outils de son entreprise.
Autrement dit, il a toute sa vie numérique dans la poche.
Dans un rapport consacré aux risques liés à la surveillance numérique étatique, Recorded Future a évalué la situation dans 193 pays. Et il s’avère que dans 31 d’entre eux, le risque pesant sur les données des voyageurs d’affaires et des ressortissants étrangers est jugé élevé ou très élevé. Les autorités peuvent y exploiter les infrastructures télécoms, les plateformes en ligne, des logiciels espions, la reconnaissance faciale, les bases biométriques ou encore des outils d’IA.
Un téléphone peut ouvrir les portes de toute l’entreprise
L’image du cadre espionné à son insu dans une chambre d’hôtel sort aujourd’hui du cadre de la fiction cinématographique, et est même devenue techniquement banale.
La surveillance peut, en effet, commencer par le réseau. Le trafic internet passe par des opérateurs locaux susceptibles de conserver, filtrer ou transmettre des données. Elle peut aussi viser directement l’appareil grâce à un logiciel espion capable de récupérer des fichiers, d’activer le micro ou de suivre les déplacements. D’autres dispositifs exploitent les comptes utilisés sur les plateformes, les caméras installées dans l’espace public ou les données collectées lors de l’achat d’une carte SIM, du passage à la frontière et de l’enregistrement dans un hôtel.
Ces informations peuvent ensuite être rapprochées. Une photo issue d’une caméra, une adresse IP, un numéro de passeport, la géolocalisation d’un téléphone et la liste des personnes rencontrées suffisent à reconstituer un profil particulièrement précis.
Le risque ne concerne plus seulement les diplomates, les opposants politiques ou les journalistes. Recorded Future souligne que les logiciels espions commerciaux ciblent désormais plus fréquemment des dirigeants, des banquiers et des responsables d’entreprise. L’objectif peut être politique, mais également économique. Plans industriels, stratégie commerciale, négociations, propriété intellectuelle et informations sur des partenaires peuvent intéresser un État ou une organisation travaillant pour son compte.
Six pays dans le rouge absolu
Le rapport place six pays au niveau de risque le plus élevé. Il s’agit de la Biélorussie, de la Chine, de l’Iran, du Myanmar (ex-Birmanie), de la Corée du Nord et de la Russie.
Recorded Future y relève une combinaison particulièrement préoccupante. Les capacités de surveillance sont avancées, les contrôles indépendants faibles ou inexistants et les étrangers peuvent être directement visés. Dans ces pays, l’organisation recommande de partir du principe que les appareils numériques risquent d’être compromis.
La Russie dispose par exemple du système SORM, intégré aux infrastructures des opérateurs télécoms. Il permet aux autorités d’intercepter des communications sans que l’opérateur sache nécessairement qui est surveillé. Le pays développe parallèlement un profil numérique des ressortissants étrangers réunissant des informations administratives, biométriques et familiales.
La Chine combine, de son côté, contrôle du réseau, inspection approfondie du trafic, reconnaissance faciale et agrégation massive de données. Le rapport évoque notamment des outils capables de croiser l’adresse d’un étranger, son visa, son employeur, ses déplacements, les lieux fréquentés et les personnes avec lesquelles il a été photographié.
Au Myanmar, les données des cartes SIM, les fichiers d’identité, les caméras, les séjours hôteliers et les passages aux frontières peuvent être réunis dans une même base. En Corée du Nord, certaines applications installées sur les appareils enregistrent l’activité de l’utilisateur, son historique et même des captures d’écran.
Quatre autres destinations à placer sous haute vigilance
Quatre autres pays méritent d’être ajoutés à la liste des destinations nécessitant des précautions renforcées pour les voyageurs professionnels. Le Kazakhstan, le Kirghizstan, le Nicaragua et l’Ouzbékistan ont, selon le rapport, très probablement acquis des technologies provenant de fournisseurs russes du système SORM.
Au Kazakhstan, les risques ne se limitent pas à l’interception des réseaux. Les autorités ont également été associées à l’utilisation de logiciels espions et d’outils permettant d’extraire le contenu de téléphones verrouillés. Au Kirghizstan, le contrôle d’une partie des infrastructures internationales de connexion a été renforcé. Au Nicaragua, plusieurs textes permettent aux autorités d’obtenir des données télécoms, parfois sans décision judiciaire préalable. L’Ouzbékistan fait quant à lui partie des États ayant développé leurs capacités d’interception avec des technologies russes particulièrement opaques.
Le maillon faible reste la politique de voyage
Le rapport met surtout en lumière une incohérence fréquente. Les entreprises investissent dans la protection de leurs infrastructures, segmentent leurs réseaux et renforcent leurs systèmes d’authentification, puis laissent un dirigeant partir dans un pays sensible avec son ordinateur habituel.
Dans les six pays classés au niveau maximal, Recorded Future recommande d’éviter les déplacements non essentiels. Lorsque le voyage est indispensable, le collaborateur ne devrait pas emporter ses appareils personnels ou professionnels ordinaires. Il devrait disposer d’un équipement réservé à la mission, contenant le strict minimum de données et n’offrant aucun accès permanent aux comptes sensibles. L’usage d’une adresse électronique temporaire, la désactivation du Bluetooth, d’AirDrop, de la caméra et du micro sont également préconisés.
Pour les destinations à risque élevé, les appareils doivent être intégralement mis à jour avant le départ. L’accès aux données doit être limité, les comptes non indispensables laissés de côté et les communications chiffrées de bout en bout. Un VPN peut être utilisé lorsqu’il est légalement autorisé. Les applications locales imposées ou recommandées sur place ne devraient pas être installées sur le téléphone professionnel principal.
Ces mesures peuvent sembler excessives jusqu’au jour où un appareil compromis revient dans l’entreprise et se reconnecte à ses systèmes.
