Un souvenir offert après une visite, une clé USB distribuée sur un salon, une soirée généreusement payée, etc. Ces attentions peuvent ouvrir la voie à une captation d’informations ou à une tentative de compromission. La DGSI raconte quatre affaires concernant des entreprises françaises, anonymisées pour préserver leur identité.
La visite s’était déroulée sans incident. Dans un établissement industriel français travaillant dans un secteur sensible, plusieurs partenaires étrangers avaient découvert les locaux avant d’offrir des objets symboliques aux dirigeants. Après le départ de la délégation, les bénéficiaires ont remarqué un détail inhabituel. Les cadeaux semblaient identiques, pourtant certains étaient plus lourds que d’autres, sans raison apparente.
Alertée, la direction sûreté a recommandé de s’en séparer pour éviter le risque d’un dispositif dissimulé de captation du son ou de l’image. Une première analyse technique a ensuite révélé une « anomalie grave » dans l’un des objets. Tous les cadeaux ont été immédiatement écartés de l’établissement.
La DGSI ne précise toutefois pas la nature de cette anomalie et n’a pas confirmé publiquement la présence d’un dispositif d’espionnage. Elle rapporte malgré tout un fort soupçon étayé par une analyse, qui a justifié le retrait des objets.
Deux clés USB infectées sur cinq
Dans une autre affaire, la menace numérique a bien été constatée. À l’occasion d’un salon international, des représentants d’une société française avaient noué contact avec une entreprise étrangère du même secteur. Pour préparer une éventuelle relation commerciale, des cadeaux avaient été échangés, dont des clés USB au logo de l’entreprise étrangère.
À leur retour en France, les salariés ont confié les supports à leur direction sûreté pour expertise. Sur les cinq clés reçues, deux contenaient un logiciel malveillant, dissimulé sous l’apparence d’un raccourci Windows placé à la racine du support. Le cadeau promotionnel transportait donc un cheval de Troie.
L’entreprise française a interrompu les contacts avec son interlocuteur. Elle ignorait cependant si les clés avaient été infectées volontairement. Le rapport ne permet donc pas d’attribuer une opération délibérée au donateur. Le contrôle préalable a néanmoins permis de repérer la menace avant toute utilisation.
Une soirée à plusieurs dizaines de milliers d’euros
Le piège peut aussi se refermer loin des ordinateurs. Lors d’un salon international organisé en France, le représentant d’une entreprise étrangère a approché des salariés et des dirigeants de plusieurs sociétés françaises, dont certaines actives dans des secteurs stratégiques. Après les premiers échanges, il les a invités à dîner, puis à poursuivre la soirée en discothèque. Son entreprise a réglé la totalité de la facture, pour plusieurs dizaines de milliers d’euros.
Les investigations de la DGSI ont révélé deux objectifs. Recueillir des informations confidentielles auprès des participants et compromettre certains d’entre eux en les incitant à boire pour pouvoir les photographier dans des situations potentiellement gênantes.
Ces images peuvent ensuite devenir un moyen de pression. Rien n’indique qu’un chantage a été exercé. Il établit en revanche que la soirée devait permettre de collecter des renseignements et de constituer un levier contre certains invités.
Du matériel gratuit pour installer une dépendance
Une quatrième entreprise française, qui fournit des prestations techniques à de nombreux acteurs stratégiques, a été confrontée à une générosité d’une autre nature. Après une importante commande, son fournisseur étranger lui a offert, sans l’en avertir, plus du double du matériel commandé. Le lot comprenait un équipement particulièrement innovant et coûteux.
Le responsable commercial a ensuite été invité à découvrir le siège du fournisseur à l’étranger et ses dernières innovations. Transport, hébergement et repas devaient être entièrement pris en charge. Jugeant ces propositions inhabituelles, le dirigeant français a sollicité la DGSI. Celle-ci l’a alerté sur les risques de dépendance commerciale et de captation d’informations, notamment pendant le voyage. L’entreprise a renvoyé le matériel offert et refusé les visites.
Ces affaires conduisent la DGSI à recommander une évaluation des cadeaux avec les services sûreté et informatique, ainsi qu’une charte interne pour les déclarer et les recenser. Les objets reçus ne devraient pas être exposés dans les salles de réunion, les bureaux de direction ou les locaux de recherche. Quant aux supports numériques, leur utilisation doit attendre une analyse préalable. In fine, le bon réflexe commence avant de brancher une clé, de poser un souvenir sur son bureau ou d’accepter un voyage tous frais payés.
