Les logiciels espions : un danger pour notre vie privée et professionnelle ?

PEGASUS, ce logiciel qui s’installe très furtivement sur les smartphones pour accéder à toutes les données, révèle au grand jour l’existence de programmes et de logiciels de collecte massive d’informations qui sont qualifiés d’espions.

Le recueil de l’information et ses dérives actuelles

Missions essentielles de tout service de renseignement et de sécurité, la collecte et l’analyse de l’information alimentent un cycle de travail communément appelé le « Cycle du renseignement ».  

Comme les formes de cette information sont multiples, les moyens d’alimenter ce cycle le sont tout autant, on parle alors de différentes sources que l’on peut, en simplifiant à l’extrême, catégoriser en deux grands types, les humaines (HUMINT : Human intelligence) et les techniques qui touchent tout le spectre électromagnétique.


Dans ces différentes formes de renseignement électromagnétique, toutes les lois de la physique et des mathématiques sont exploitées. Les plus connues sont le COMINT (Communication Intelligence : interception des communications ), le SIGINT (Signal Intelligence : interception des signaux ) et l’ ELINT (Electronic Intelligence : interception des émissions électroniques).


Les mesures pour réduire ces menaces à leurs niveaux minimum exigent des moyens techniques qui ne sont pas à la portée de tous : faradisation des infrastructures, matériels TEMPEST (Telecommunications Electronic Material Protected from Emanating) et nécessitent parfois de faire appel à des services TSCM (Technical Surveillance Countermeasure), qui détectent tout dispositif d’écoute et de surveillance malveillant.



Le logiciel PEGASUS et ses congénères constituent  un bel exemple de l’arsenal du renseignement électromagnétique, dans ce qu’il a de plus abouti : en quelques mots, ils peuvent en tout ou en partie avoir accès à toutes les données (voix, textes, images, vidéos…), paramètres (sécurité, utilisation), applications (messagerie, jeux, outils bureautiques…) et fonctionnalités (caméra, GPS, Bluetooth, WIFI…) de votre smartphone, à votre insu et à celui de ses outils de protection bien évidemment. Ces logiciels sont très furtifs tant dans leur présence que dans leur mode de fonctionnement. 


Etant donné qu’aucun matériel et réseau informatique et de communication standard n’est à l’abri de ce type de logiciel et l’évolution constante de la menace et des besoins rendant rapidement obsolètes les outils de protection, le monde de la cybersécurité évolue et se densifie en permanence. Ce monde est devenu le secteur d’avenir très lucratif du business lié à l’informatique.        

Quelles sont les menaces qui pèsent sur notre sécurité, vie privée ?

Ici, il faut considérer deux risques majeurs. En effet, si les missions et méthodes des services de renseignement et de sécurité sous nos latitudes sont encadrées par des lois, il n’en est rien en d’autres points du globe. Ensuite, si le processus du cycle du renseignement s’est vulgarisé dans le grand public (Il est enseigné dans toutes les écoles de commerce via « l’Intelligence Economique » et appliqué en particulier par les GAFAM), il est aussi appliqué dans d’autres milieux moins recommandables comme les milieux criminels et terroristes.

Ainsi, les méthodes et les sources (humaines et techniques) peuvent migrer d’un milieu à l’autre sans barrières physiques et encore moins virtuelles, le web et si nécessaire sa partie peu visible, le Dark Web.


PEGASUS, tout comme l’emploi de téléphones cryptés déjà évoqué dans un article précédent, font partie de ces outils, de ces sources qui peuvent selon le cadre d’emploi se révéler bénéfiques ou nocifs pour la sécurité du citoyen lambda.

Qui est concerné, comment se protéger ?

Bien qu’à priori chacun d’entre-nous ait quelque chose à cacher, ne fut-ce que ses mots de passe, ses données financières, privées, etc., nous devons considérer plusieurs niveaux et probabilité de risques, qui peuvent varier, avec les mesures de sécurité associées, de façon exponentielle selon votre position dans la société citoyenne, votre entreprise et/ou la sensibilité des informations que vous détenez.

Dans tous les cas, il existe quelques règles de base bien connues dans le monde de la sécurité informatique (INFOSEC : Information Security) et de la communication (COMSEC : Communication Security) qui permettent à tout un chacun, quel que soit son monde et son niveau de sensibilité, de réduire le niveau de risque :

• N’outrepassez pas les directives et politiques de sécurité de votre organisation, entreprise et/ou fournisseurs/fabricants des matériels informatiques et de communication. Leur non-respect constitue de loin la première source de menace et des incidents de sécurité : matériels perdus, volés, sabotés… ;
  
  

• N’abusez pas dans le cadre de vos activités professionnelles, de vos matériels informatiques et de communication privés, en règle générale plus vulnérables car moins sécurisés que les outils professionnels ;

• Abusez des outils de scan et de nettoyage de tous ces matériels (privés et professionnels) ;
  
  
  
• Utilisez des matériels disposant d’une chaîne de qualité fiable et reconnue. Ces derniers temps, l’utilisation de matériels informatiques et de communication de certaines sociétés originaires de la République Populaire de Chine est déconseillée, voire interdite par des services de sécurité européens et des USA ;
  
  
• Informez-vous des menaces et des risques INFOSEC et COMSEC des pays, des lieux de vos déplacements, de vos séjours ;
  
  
• Maintenez une veille des risques et des menaces potentielles dans votre secteur d’activités ;
  
  
  
• Si vous êtes dans la catégorie des fonctions/organismes/sociétés avec des activités/matériels/équipements/personnels sensibles, procédez à une analyse de risques et si nécessaire prenez une assurance contre les risques et menaces informatiques.

Arduino ZAGO

Spécialiste en gestion des risques informationnels et des systèmes d'information

Lire aussi :

Puis-je utiliser un téléphone mobile chiffré, est-ce légal et fiable ?

Voyages professionnels en toute sécurité : avant le départ

Voyages professionnels en toute sécurité : durant et après le séjour

Sources :

https://www.vsse.be/fr/notre-fonctionnement/de-linformation-au-renseignement/le-cycle-du-renseignement
     

https://www.regional-it.be/detached/affaire-pegasus-arsenal-qui-a-permis-de-contaminer-des-smartphones-sans-action-de-leur-proprietaire/