Selon le président colombien Gustavo Petro, le logiciel espion Pegasus de la société israélienne NSO avait été acheté en échange de 11 millions de dollars en espèces durant le gouvernement de son prédécesseur et rival politique, le conservateur Iván Duque (2018 - 2022), rapporte l’AFP.

« Dans l’enquête que nous menons, nous avons la certitude qu’il s’agit de blanchiment d’argent », a déclaré le directeur de la Direction nationale du renseignement (DNI), Jorge Lemus, dans une interview diffusée lundi par la chaîne publique Señal Colombia. L’argent « est sorti illégalement, ils n’ont laissé aucune trace. Ils ont commis un crime », a accusé le patron du renseignement colombien.

Selon le président Petro, le paiement « s’est fait en deux fois, en juin et novembre 2021, via notamment un avion privé transportant le cash de Bogota à Tel-Aviv ». Entre 2006 et 2009, alors opposant, M. Petro avait lui-même été victime d’écoutes téléphoniques illégales pour lesquelles le gouvernement a été condamné en 2020, relève l’AFP.

Article mis à jour à 17h30 avec la réponse de l’IAB, le lobby des annonceurs.

Un nouveau rapport de la Federal Trade Commission (FTC) montre que les principaux médias sociaux et services de streaming vidéo « se sont engagés dans une vaste surveillance des consommateurs afin de monétiser leurs informations personnelles tout en ne protégeant pas de manière adéquate les utilisateurs en ligne, en particulier les enfants et les adolescents ».

Neuf entreprises sont concernées, « dont certains des plus grands médias sociaux et services de streaming vidéo » : Amazon.com via sa plateforme de jeux Twitch, Facebook, YouTube, Twitter/X Corp., Snap, ByteDance pour sa plateforme de partage de vidéos TikTok, Discord, Reddit et WhatsApp.

Le rapport constate que les entreprises « collectent et peuvent conserver indéfiniment des masses de données », y compris des informations provenant de courtiers en données, et concernant à la fois les utilisateurs et non-utilisateurs de leurs plateformes.

Il souligne également que de nombreuses entreprises se sont engagées dans « un vaste partage de données » qui « soulève de sérieuses inquiétudes » quant à l’adéquation des contrôles et de la surveillance du traitement des données par les entreprises.

Le rapport a en outre constaté que les utilisateurs et non-utilisateurs n’avaient que peu ou pas de moyens de refuser l’utilisation de leurs données par ces systèmes automatisés, mais aussi que certaines entreprises ne supprimaient pas toutes les données des utilisateurs en réponse à leurs demandes de suppression.

Les droits accordés par le RGPD n’ont pas été élargis aux Américains

Intitulé « Un regard derrière les écrans », le rapport s’étonne que « les droits accordés en vertu du règlement général sur la protection des données n’ont pas été automatiquement accordés aux consommateurs américains » :

« Seules quelques entreprises ont déclaré avoir étendu aux utilisateurs américains les mêmes protections que celles accordées aux utilisateurs européens en vertu du RGPD. La plupart des entreprises ont déclaré avoir étendu aux utilisateurs américains une partie, mais pas la totalité, des modifications qu’elles ont apportées en réponse au RGPD. »

« Bien que lucratives pour les entreprises, ces pratiques de surveillance peuvent mettre en danger la vie privée des gens, menacer leurs libertés et les exposer à toute une série de préjudices, allant du vol d’identité au harcèlement », a déclaré la présidente de la FTC, Lina M. Khan :

« L’incapacité de plusieurs entreprises à protéger correctement les enfants et les adolescents en ligne est particulièrement troublante. Les conclusions du rapport arrivent à point nommé, en particulier au moment où les responsables politiques des États et du gouvernement fédéral envisagent de légiférer pour protéger les personnes contre les pratiques abusives en matière de données. »

Le rapport recommande dès lors au Congrès d’adopter une législation fédérale complète sur la protection de la vie privée afin de limiter la surveillance, de mettre en place des protections de base et d’accorder aux consommateurs des droits en matière de protection des données.

Les entreprises, de leur côté, ne devraient pas collecter d’informations sensibles par le biais de technologies de suivi publicitaire portant atteinte à la vie privée, mais également « limiter la collecte de données », et donc mettre en œuvre des politiques concrètes et applicables de minimisation et de conservation des données.

Elles devraient par ailleurs limiter le partage des données avec des tiers et des sociétés affiliées, supprimer les données des consommateurs lorsqu’elles ne sont plus nécessaires et adopter des politiques de protection de la vie privée « conviviales, claires, simples et faciles à comprendre ».

La publicité n’est pas une « surveillance commerciale de masse »

En réponse au rapport de la FTC, l’Interactive Advertising Bureau (IAB) explique être « déçue » de voir que la commission « continue de caractériser le secteur de la publicité numérique comme étant engagé dans une « surveillance commerciale de masse » » :

« Cette accusation laisse entendre que les données personnelles des consommateurs sont secrètement collectées et utilisées à des fins publicitaires. Rien n’est moins vrai, car d’innombrables études ont montré que les consommateurs comprennent l’échange de valeur et se réjouissent d’avoir accès à des contenus et services gratuits ou fortement subventionnés. »

L’IAB précise que « nous plaidons depuis longtemps pour que les consommateurs disposent de certains droits leur permettant de limiter l’utilisation de leurs données personnelles, y compris à des fins publicitaires », ce pourquoi il « soutient avec véhémence une loi nationale complète sur la confidentialité des données » :

« C’est au Congrès, et non à une agence fédérale, qu’il revient de trouver un équilibre entre les droits des consommateurs en matière de protection de la vie privée, la concurrence et l’échange de valeurs entre les consommateurs et les éditeurs. L’IAB et ses membres continueront à défendre la vie privée des consommateurs, la transparence et la capacité de tous les acteurs de l’économie numérique à faire des affaires. »

La CNIL avait lancé, en mai, un appel à candidature pour permettre à des entreprises innovantes, « dont le modèle d’affaires repose sur le traitement de données », de bénéficier d’un appui des équipes de la CNIL, « afin de les guider vers une bonne prise en compte de la règlementation sur la protection des données », autour de 3 principales modalités :

• un appui juridique et technique « dans des délais rapides » en leur apportant des réponses à des questions juridiques ou techniques, une formation et assistance à la réalisation d’analyse d’impact relative à la protection des données (AIPD), des recommandations en matière de cybersécurité, etc. ;
• une « revue de conformité » des traitements mis en œuvre et des « grands enjeux de conformité » afin de lui proposer des recommandations adaptées ;
• des actions de sensibilisation aux enjeux de la protection des données, « notamment à destination des salariés et/ou des dirigeants ».

La CNIL vient d’annoncer avoir sélectionné quatre entreprises, qui bénéficieront donc d’un « accompagnement renforcé » sur les six prochains mois :

• DOCAPOSTE, qui développe une solution d’IA générative « éthique et souveraine », « Dalvia Santé », dédiée aux professionnels et établissements de santé, afin de leur permettre, face à l’augmentation du volume de données, « d’optimiser leur temps consacré aux soins, en leur fournissant des synthèses médicales et en facilitant l’analyse des dossiers patient » ;
• DOCTRINE, qui exploite l’intelligence artificielle (notamment générative) pour centraliser l’information juridique et légale disponible et la rendre accessible et pertinente pour les professionnels du droit (avocats, juristes, magistrats) ;
• FRANCAISE DES JEUX (FDJ), qui « indique souhaiter poursuivre sa politique de jeu responsable et promouvoir une pratique récréative du jeu auprès de ses 27 millions de clients » ;
• SHAREID, qui intervient dans le domaine de l’identité numérique en proposant des solutions de vérification d’identité, d’authentification et de vérification d’âge, et « développe une solution pour permettre la vérification d’âge par double anonymat ».

« Les enseignements tirés de cet accompagnement viendront également alimenter et enrichir les publications de la CNIL afin que d’autres acteurs puissent en bénéficier », précise la Commission, qui rappelle par ailleurs qu’elle « propose différentes formes d’accompagnement pour tous les organismes publics et privés », comme nous l’avait explicité en juin Thomas Dautieu, directeur de la conformité juridique de la CNIL.

• Thomas Dautieu (CNIL) : « le temps accordé aux entreprises sert au plus grand nombre »

L’enquête ayant mené au démantèlement du cryptophone australien Ghost avait débuté en 2021. Des enquêteurs suédois avaient découvert, dans le cadre d’une enquête sur un réseau criminel, que les suspects utilisaient cette messagerie chiffrée, raconte GendInfo, le site d’information de la gendarmerie.

• La gendarmerie française et Europol démantèlent Ghost, un cryptophone criminel australien

Le Centre de lutte contre les criminalités numériques (C3N) du Commandement de la gendarmerie dans le cyberespace (COMCYBERGEND) avait alors « rapidement » été sollicité, « à la fois parce que l’un des serveurs de cette application est localisé en France, mais aussi et surtout parce que la gendarmerie nationale est identifiée comme un pôle d’excellence dans ce domaine, depuis le démantèlement d’Encrochat en 2020 », souligne Gendinfo.

#BellesAffaires Coup d'arrêt pour l'application criminelle téléphonique #Ghost !
En analysant l'un de ces appareils, les experts du @ComCyberMI et du @CyberGEND sont parvenus à pirater le réseau, permettant ainsi aux enquêteurs de lire en direct les messages échangés par les… pic.twitter.com/b3H5DqBZFb

— Gendarmerie nationale (@Gendarmerie) September 19, 2024

À l’époque, la gendarmerie avait en effet réussi à intercepter, analyser et décrypter plus d’une centaine de millions de messages chiffrés, grâce à trois « dispositifs techniques ». Deux étaient couverts par le secret défense, probablement développés par le service spécialisé de la Direction générale de la sécurité intérieure (DGSI). Ce qui avait alors permis des centaines d’arrestations, et la saisie de millions d’euros et de milliers de tonnes de drogues.

• La gendarmerie a (de nouveau) cassé des messages chiffrés

Pour parvenir à craquer Ghost, les experts cyber du Centre national d’expertise numérique (CNENUM) du COMCYBER-MI – plus précisément son laboratoire de rétro-conception situé à Pontoise, composé de militaires dont les profils vont du technicien au docteur en informatique – ont mené « un travail similaire à celui réalisé sur Encrochat », « très technique » et qui a duré « plus d’un an ».

Collaborant avec d’autres laboratoires européens, dans le cadre du projet Overclock de décryptage des données chiffrées, « cette unité très spécialisée va analyser la structure de l’application, exploiter les vulnérabilités identifiées, et tester des dispositifs de captation et d’interception », précise GendInfo :

« Cette très belle opération a été le fruit d’une coopération internationale, avec notamment la constitution d’une Équipe commune d’enquête (ECE) entre la gendarmerie et le Federal bureau of investigation (FBI) américain, note le colonel Michel. Ce n’est que la seconde fois que cela se produit, et cela prouve bien la reconnaissance de la compétence et de l’efficacité de la gendarmerie et du COMCYBER-MI aux yeux de tous les acteurs mondiaux. »

La Lettre (ex Lettre A) révèle une « liste noire » de sept médias à qui les employés du groupe LVMH ont désormais « une interdiction absolue de parler » (termes soulignés et grassés dans le mail) : La Lettre, Glitz Paris (également publiée par Indigo Publications), Miss Tweed, l’Informé, Puck (US), Mediapart, Le Canard enchaîné, ainsi que « toutes les autres lettres confidentielles ou pages du même type qui existent ou pourraient être créées ».

[Info @lalettre_fr] Bernard Arnault n’est pas fan des articles sur LVMH publiés "en dehors des circuits de communication". Dans un mail interne, le PDG a dressé une liste noire des médias d’investigation auxquels il est absolument interdit de parler https://t.co/wVRNOkNfut pic.twitter.com/oAPtMf4b40

— Alexandre Berteau (@aberteau_) September 18, 2024

Dans un mail de « recommandations » adressé en janvier dernier aux 16 membres du comité exécutif du groupe, le milliardaire Bernard Arnault, récemment tombé à la cinquième place des fortunes mondiales, puis remonté à la quatrième, rappelle qu’ « en tant que propriétaire de grands médias, nous savons l’importance d’une information fiable et honnête », et que « nous ne pouvons pas prendre ce sujet à la légère » :

« Mais il faut compter avec le fait que les médias recherchent aussi de l’information « confidentielle », venant de sources internes en dehors des circuits de communication que nous avons mis en place dans nos entreprises et qui obéissent à des règles très précises, sans parler des publications orientées, la plupart du temps à caractère négatif, des lettres soi-disant confidentielles, des sites dits d’investigation qui se servent de l’attrait du public pour le luxe pour attirer de manière racoleuse, un nouveau lectorat. »

« Je condamne formellement tout comportement consistant à entretenir des relations avec des journalistes peu scrupuleux », conclut le patron du groupe de luxe, également propriétaire des médias Les Échos, Le Parisien et Radio Classique, rajoutant que « tout manquement à ces recommandations (et cela sera inévitablement connu) sera considéré comme une faute grave, avec les conséquences qui y sont attachées ».

La Lettre relève que les publications visées « ont pour point commun d’avoir choisi un business model sans soutien publicitaire des grands annonceurs », et que « cette indépendance prive nécessairement l’état-major du groupe de luxe de potentiels moyens de pression ».

LVMH, qui est en effet l’un des principaux annonceurs de la presse, est également connu pour faire pression sur les journalistes en cessant d’acheter des publicités dans les médias publiant des enquêtes déplaisant aux intérêts du groupe.

LVMH s’était également illustré pour avoir espionné François Ruffin et son journal Fakir pendant au moins un an, caviardé Wikipedia, et payé le cabinet d’intelligence économique Avisa Partners pour publier « un article pour dézinguer François Ruffin », comme l’expliqua un lanceur d’alertes à Fakir. Cet aveu déclencha le scandale des faux contenus journalistiques également révélé par Mediapart, et valut à Next, Arrêt sur Image, l’ADN et Reflets d’être poursuivis en Justice, Avisa nous accusant d’avoir relayé leurs articles.

• Fakir et Mediapart révèlent une entreprise (française) de désinformation massive
• Next INpact attaqué en justice par Avisa Partners

Avisa ayant finalement retiré sa plainte, le tribunal judiciaire de Paris a estimé qu’il n’avait donc pas « eu un comportement abusif ». Ce pourquoi nous avons fait appel, estimant qu’il s’agit clairement d’une procédure-bâillon à notre encontre et que ces pratiques représentent un danger pour la liberté de la presse. La date des plaidoiries est fixée au 16 octobre, le délibéré quelques semaines plus tard.

• Procédure-bâillon d’Avisa Partners : Next fait appel, le combat pour la liberté de la presse continue !

Apple a demandé vendredi à un tribunal états-unien de rejeter son action en justice pour piratage, vieille de trois ans, contre le pionnier des logiciels espions NSO Group, révèle le Washington Post.

L’entreprise a fait valoir qu’elle pourrait ne jamais être en mesure d’obtenir les fichiers les plus critiques concernant l’outil de surveillance Pegasus de NSO, mais également que ses propres divulgations de documents pourraient tomber en de mauvaises mains, et aider NSO ainsi que ses concurrents à contourner ses mesures de protection mises en place ces dernières années.

Une version expurgée de la plainte déposée auprès du tribunal fédéral de San Francisco cite un article paru en juillet dans le Guardian, selon lequel des fonctionnaires israéliens avaient saisi des fichiers au siège de NSO pour empêcher que ceux-ci ne soient transmis à un tribunal américain, dans le cadre d’une procédure de piratage antérieure, toujours en cours, intentée contre NSO par WhatsApp, filiale de Meta. Ils avaient aussi demandé à un tribunal israélien de garder le secret sur cette action, y compris vis-à-vis des personnes impliquées dans la procédure liée à WhatsApp.

NSO avait par ailleurs tenté, en vain, de rejeter l’affaire en janvier dernier. L’entreprise reprochait à Apple d’avoir fourni des logiciels vulnérables et d’avoir permis à des criminels et à des terroristes de communiquer de façon sécurisée.

Si NSO se réjouira probablement de l’abandon des poursuites, Apple et certains de ses alliés ont déclaré que cette décision était en partie due au déclin de NSO, précise le Washington Post. Connu pour avoir été utilisé par des régimes autoritaires contre des dissidents, des défenseurs des droits de l’homme et des journalistes, NSO était considéré ces dernières années comme le principal vendeur de logiciels espion gouvernementaux.

Or, placé sous liste noire par les États-Unis en 2021, NSO avait dû résilier les contrats le liant à dix de ses clients en raison des abus qu’ils avaient perpétrés au moyen de son logiciel espion Pegasus. Face aux scandales à répétition, Israël avait en outre interdit la vente d’outils de piratage et de surveillance dans 65 pays, réduisant le nombre de pays autorisés à importer des systèmes de cybersécurité israéliens de 102 à 37 seulement.

• Pegasus : les États-Unis placent NSO sur « liste noire »

De plus, nombre de ses employés ont depuis quitté l’entreprise pour monter leurs propres sociétés, ou rejoindre des concurrents. « Le groupe NSO est sur la corde raide, il n’est plus la seule entreprise en ville et n’est plus aussi redoutable qu’il l’était autrefois », explique au journal américain Ronald Deibert, directeur du Citizen Lab de l’université de Toronto et l’un des principaux critiques de l’industrie des logiciels espions.

Le général de brigade Yossi Sariel, commandant de l’unité 8200 de Tsahal, l’équivalent israélien de la NSA, a annoncé son intention de démissionner. Il évoque ce qu’il considérait comme sa responsabilité dans les failles qui ont conduit au massacre du 7 octobre 2023.

Le général a reconnu que l’enquête préliminaire sur le rôle de l’unité 8200 dans les échecs du 7 octobre avait constaté que « dans les années, mois, jours et heures qui ont précédé l’attaque surprise », l’unité avait rédigé des rapports détaillés sur « le projet d’attaque du Hamas dans sa version opérationnelle », rapporte The Times of Israel.

Néanmoins, déplore Yossi Sariel, « les informations détaillées qui ont été produites et diffusées à propos des projets du Hamas et de ses préparatifs ne sont pas parvenues à éveiller suffisamment l’attention, que ce soit au sein de la communauté du renseignement ou de l’armée, de notre unité ou de nos partenaires ».

8200 avait identifié les préparatifs d’une « invasion de grande ampleur »

L’Unité 8200 avait, en effet, « dès avril 2022, obtenu un document précis exposant les projets du Hamas pour une telle attaque – document qu’elle n’a jamais fait suivre au chef d’État-major », relève le Times :

« L’Unité 8200 avait par ailleurs rassemblé un dossier le 19 septembre – soit moins de trois semaines avant le 7 octobre – disant que le Hamas s’entraînait pour une invasion de grande ampleur en Israël. Ce dossier n’aurait pas été pris au sérieux par les plus hautes autorités de la communauté du renseignement. »

Le Times rappelle que d’autres hauts responsables des services de sécurité ont, eux aussi, quitté leur poste dans les mois qui ont suivi l’attaque du 7 octobre, « mais la majeure partie des hauts-gradés de Tsahal sont toujours là » :

« En juillet, le chef du district sud de l’agence de sécurité du Shin Bet a démissionné et, avant lui, en avril, le général de division Aharon Haliva, chef de la Direction du renseignement militaire. En juin, le général de brigade Avi Rosenfeld, chef de la division de Gaza, avait annoncé sa démission, tout comme le général de brigade Amit Saar, chef de la division de la recherche de la direction, en mars, après avoir été diagnostiqué d’un cancer. »

Le chef de 8200 trahi par les méta-données de son e-book

L’identité du patron de l’unité 8200, qui est d’ordinaire tenue secrète, avait été découverte en avril dernier par le Guardian dans les méta-données d’un ebook qu’il avait auto-publié sur Amazon. Il y théorisait les programmes d’intelligence artificielle utilisés pour cibler et bombarder les personnes identifiées comme « terroristes » (et leurs familles) à Gaza.

• Le créateur des IA israéliennes de bombardement automatisé identifié suite à une boulette

« Where’s Daddy ? » et l’« usine d’assassinats de masse »

Le média indépendant + 972 a depuis révélé que l’un des modèles algorithmiques utilisés par Tsahal, « Habsora » (évangile), avait été décrit par un ancien officier du renseignement comme une « usine d’assassinats de masse » qui « met l’accent sur la quantité, pas sur la qualité » des cibles recommandées.

Les forces armées israéliennes ont en effet eu recours à un système automatisé cyniquement appelé « Where’s Daddy ? » (Où est papa ?), conçu spécifiquement pour suivre les individus ciblés et les bombarder lorsqu’ils rentrent chez eux. Et ce, quitte à faire s’effondrer la maison sur toutes les personnes qui s’y trouvaient et décimer sa famille, femmes et enfants compris, ou encore à les tuer alors même que la cible aurait, à tort, été identifiée comme étant rentrée chez elle.

• Israël – Hamas : comment l’IA intensifie les attaques contre Gaza

« Le revirement est inédit », souligne Libération. Johanna Brousse, cheffe de la section J3 de la Junalco (parquet de Paris, qui a signé le mandat de recherche de Pavel Durov), confirme au journal que « la porte s’ouvre vraiment » :

« Selon nos informations, la plateforme de messagerie a en effet donné suite à des demandes formulées par l’Office mineurs (Ofmin) de la police nationale et la gendarmerie dans plusieurs enquêtes pénales, en livrant des éléments susceptibles d’identifier certains suspects. Des dossiers de pédocriminalité, notamment, sont concernés. Un changement de pied perceptible dès la garde à vue de Dourov. »

« Nous constatons en effet que, depuis quelque temps, Telegram est plus enclin à collaborer avec la justice », indique par ailleurs le parquet fédéral belge à Libération : « Nous surveillons ce dossier de près, en espérant que la collaboration continuera d’évoluer dans le bon sens ».

Alors que Telegram se vantait depuis des années de ne pas traiter les requêtes liées au contenu illégal sur son réseau, sa FAQ a été discrètement modifiée la semaine passée pour indiquer qu’il est désormais possible de signaler les contenus illégaux, « en quelques clics seulement ».

• Pavel Durov aurait fait l’objet d’un mandat de recherche pour avoir refusé d’identifier un violeur d’enfant
• Pavel Durov sort de son silence, Telegram revoit (discrètement) ses règles de modération

Sur Telegram, Pavel Durov a par ailleurs répondu aux accusations dont il fait l’objet en rétorquant s’être fixé « comme objectif de veiller à ce que nous améliorions considérablement les choses » en matière de modération des contenus illégaux.

Dans un second message, publié le lendemain, le milliardaire franco-russe a par ailleurs déclaré vouloir faire de la modération de sa plateforme une « matière à éloges » plutôt qu’une « matière à critiques », relève Libération.

Il a en outre annoncé la disparition d’une fonctionnalité controversée, la « recherche de personnes à proximité », au nom de « problèmes avec des bots et des escrocs ». Libération souligne qu’« en réalité, elle était accusée par les autorités de nombreux pays d’encourager les trafics en tous genres, en particulier de stupéfiants ».

Toujours la semaine passée, Telegram avait aussi supprimé des « deepfakes » pornographiques de collégiennes, étudiantes et célébrités à la demande des autorités sud-coréennes. Ce ménage a fait suite à un scandale ayant fait réagir jusqu’au président de la République de la Corée du Sud. La police du pays a ouvert une enquête judiciaire au sujet de la chaîne Telegram concernée, qui réunissait 220 000 personnes.

• Deepfakes pornographiques : quels sont les enjeux ?
• Deepfakes pornographiques : les défis à relever pour enrayer le phénomène

« Depuis qu’existe la lutte contre la cybercriminalité, les liens avec le monde de la recherche n’ont jamais été aussi riches qu’aujourd’hui », explique le 8ᵉ numéro de La MInute Cyber, la lettre d’information du Commandement du ministère de l’Intérieur dans le cyberespace (COMCYBER-MI), qu’il a partagée sur LinkedIn et X.com.

Rédigée par des experts cyber de la gendarmerie, elle évoque plusieurs des nombreux projets académiques et universitaires auquel le Commandement contribue. Elle rappelle que « la communauté française de recherche en cybersécurité est en effet particulièrement riche et couvre de nombreuses dimensions et approches qui contribuent à la lutte contre les cybermenaces », y compris du côté des sciences sociales :

« Le COMCYBER-MI milite notamment pour renforcer les liens entre les sciences de l’information et les sciences humaines, et nos nombreux échanges avec la communauté montrent qu’il existe un fort intérêt en ce sens. »

En termes feutrés et choisis, le COMCYBER-MI relève par ailleurs que la proposition de la Commission européenne de règlement renforçant la lutte contre les abus sexuels sur mineurs, surnommé #ChatControl par ses nombreux opposants, soulève un certain nombre de problèmes.

Si le renforcement de la prévention et de la lutte contre les abus sexuels sur mineurs « constitue une priorité des autorités françaises », rappelle le COMCYBER-MI, « à l’échelon européen, le compromis est cependant difficile à obtenir en raison des divergences de positions sur la proportionnalité des injonctions de détection et l’atteinte au chiffrement de bout en bout ».

Certains États sont ainsi « extrêmement réservés » au sujet de la proposition de « recherche indifférenciée de contenus et du grooming dans les communications privées », au motif que les technologies de détection des contenus nouveaux et du grooming (ou « pédopiégeage », sollicitation d’enfants à des fins sexuelles, y compris en se faisant passer pour un mineur) « ne sont pas assez matures » pour éviter un risque élevé de « faux positifs », souligne le COMCYBER-MI :

« En outre, il semble très complexe de prévoir un système de détection obligatoire pour les communications interpersonnelles chiffrées sans affaiblir le chiffrement, et porter ainsi atteinte au droit au respect de la vie privée. »

Une analyse qui fait écho à certains des arguments avancés il y a quelques mois dans une lettre ouverte co-signée par plus de 300 scientifiques et chercheurs de 35 pays, ainsi qu’aux « preuves scientifiques » collectées par l’ONG EDRi ayant, elles aussi, démontré l’infaisabilité technique de cette proposition. Elles sont d’ailleurs si nombreuses que l’ONG en est venue à qualifier le texte de « projet de loi européen le plus critiqué de tous les temps ».

• Pédocriminalité : l’usine à gaz européenne pour scanner photos et vidéos dans les messageries
• Détection des contenus pédosexuels : le « projet de loi européen le plus critiqué de tous les temps »

Le ministère de la Justice américain (DOJ) a annoncé la saisie de 32 sites web, et la sanction de 10 personnes ayant contribué à plusieurs opérations de désinformation russe ciblant la présidentielle états-unienne, rapporte Le Monde.

Tenet Media, dont le siège est situé dans l’État du Tennessee et qui se présente comme « l’endroit où s’expriment les voix des sans-peur », avait réussi à attirer quelques personnalités reconnues de l’extrême-droite états-unienne.

Le contrat de l’un d’entre eux prévoyait une rémunération d’environ 400 000 euros par mois. Thaïs d’Escufon, porte-parole du groupuscule Génération identitaire jusqu’à sa dissolution en 2021, y était également intervenue pour expliquer que « les communistes ont volé l’élection française », relève de son côté le collectif Sleeping Giants de lutte contre le financement du discours de haine.

Or, les deux créateurs de Tenet Media avaient caché que ces fonds provenaient de Russia Today (RT), la chaîne d’État russe, interdite de diffusion en Europe depuis le début de la guerre en Ukraine, et de sa maison mère ANO TV-Novosti. Les liens financiers entre l’entreprise du Tennessee et la chaîne d’État russe, à hauteur de 10 millions d’euros, étaient en outre maquillés par une série de sociétés écrans.

Plusieurs des noms de domaine saisis avaient été utilisés pour usurper l’identité visuelle de médias français et y publier des infox cherchant à déstabiliser la France. Une opération qu’avait déjà dénoncée l’agence Viginum de protection contre les ingérences numériques étrangères de l’État en février dernier, ainsi qu’en juin.

• Élections européennes : Meta échoue à modérer des publicités de propagande pro-russe

« Après plus de dix ans, demain sera mon dernier jour chez X », vient de partager Nick Pickles sur le réseau social. Il précise avoir pris sa décision « il y a plusieurs mois ».

Ancien directeur de l’ONG britannique libertarienne Big Brother Watch, il était entré au bureau de Londres de Twitter en 2014 en tant que responsable senior des politiques publiques. Il avait été promu responsable des affaires gouvernementales mondiales de X en décembre 2022, précise-t-il sur LinkedIn.

Il était considéré comme le bras droit de la directrice générale Linda Yaccarino, « qui subissait une pression féroce pour améliorer les finances de l’entreprise et reconquérir les annonceurs », souligne le Financial Times.

Âgé de 40 ans, il était resté en poste après le rachat de Twitter par Elon Musk, et avait donc souvent dû défendre les positions controversées du milliardaire auprès des médias et des gouvernements du monde entier. Son rôle était « similaire à celui de Nick Clegg, président des affaires mondiales chez Meta et ancien vice-premier ministre britannique », note le Financial Times.

Plus d’un quart des annonceurs prévoient de réduire leurs dépenses sur la plateforme X d’Elon Musk en raison de préoccupations concernant le contenu de la plateforme de médias sociaux et la confiance dans les informations diffusées, rapporte The Guardian.

Une étude réalisée par la société de données Kantar, basée sur des entretiens avec 18 000 consommateurs et 1 000 spécialistes du marketing dans le monde entier, indique que 26 % des spécialistes du marketing prévoient de réduire les dépenses publicitaires sur X en 2025, « ce qui représente le plus grand recul enregistré sur une grande plateforme publicitaire mondiale », souligne Kantar.

La confiance des spécialistes du marketing dans les publicités sur X, qualifiée d’« historiquement faible », est passée de 22 % en 2022 à 12 % en 2024. Et seuls 4 % des spécialistes du marketing pensent que les publicités sur X garantissent la sécurité de la marque, contrairement à Google, qui arrive en tête pour la sécurité de la marque avec 39 %.

« L’accélération brutale de cette tendance au cours des 12 derniers mois signifie qu’un retournement de situation semble actuellement improbable », explique Gonca Bubani, directrice chez Kantar :

« X a tellement changé ces dernières années et peut-être imprévisible d’un jour à l’autre – il est difficile d’avoir confiance en la sécurité de sa marque dans cet environnement. Paradoxalement, la diminution des dépenses des spécialistes du marketing sur X rendra les consommateurs plus satisfaits de la plateforme, car ils seront confrontés à moins de publicités. »

X se situe même en dehors du top 10 mondial en ce qui concerne la confiance et la perception du caractère innovant de la publicité sur la plateforme. Cela contraste avec TikTok, l’éditeur publicitaire le plus innovant pour la cinquième année consécutive, et YouTube, le plus digne de confiance.

Les chiffres d’eMarketer mettent en évidence le déclin commercial rapide de la plateforme, dont les revenus mondiaux avaient atteint un sommet en 2021 à 4,46 milliards de dollars. Depuis qu’Elon Musk a racheté Twitter pour 44 milliards de dollars en octobre 2022, ils ont plus que diminué de moitié, les recettes annuelles de X devant tomber à 1,9 milliard de dollars à la fin de cette année.

Kantar relève dans le même temps que près de la moitié des consommateurs (47 %) se disent aujourd’hui réceptifs aux publicités, alors qu’ils n’étaient que 24 % en 2020.

Pour sa défense, Pavel Durov avait affirmé avoir ouvert un canal de communication officiel avec la DGSI dans le cadre de la lutte antiterroriste, « avec hot-line et adresse mail dédiée en cas de risque de mort imminente », ce qui lui aurait permis de « déjouer plusieurs attentats ».

• Pavel Durov affirme avoir aidé le renseignement français à déjouer des attentats

Or, relève Le Canard Enchaîné dans son édition du 4 septembre, « d’après les infos du Palmipède, si nos contre-espions ont bel et bien pris contact avec le boss de Telegram dans le cadre de la lutte antiterroriste, ils n’ont jamais réussi à obtenir une quelconque coopération avec lui ».

Un contre-espion qui avait « eu à traiter le dossier » raconte au Canard que « vu que la messagerie nous avait envoyé balader », alors qu’elle était devenue le canal de communication privilégié des djihadistes, « on avait demandé aux services russes de récupérer le contenu de certains échanges chiffrés », avant de préciser :

« Mais ils nous avaient répondu qu’eux-mêmes n’y arrivaient pas car Dourov n’en faisait qu’à sa tête ».

Durov ayant par ailleurs laissé une partie de ses serveurs en Russie, « offrant ainsi au FSB et consorts la possibilité d’y fourrer le nez », la DGSI aurait par ailleurs réussi, « à force de tirer la sonnette d’alarme », à obtenir que l’usage de Telegram, « comme celui de WhatsApp et Signal, soit interdit aux membres du gouvernement et de la haute administration », en novembre 2023.

Or, c’est précisément en novembre 2023 que le bureau de la Première ministre avait publié une circulaire à destination des ministres, secrétaires d’État, ainsi que les membres et directeurs de cabinets ministériels, les enjoignant à désinstaller en urgence toutes les solutions de messageries instantanées courantes au profit d’une seule, Olvid.

À l’époque, Matignon avait précisé au Canard que « ces consignes ne concernent que les téléphones des cabinets fournis par l’État, et lorsqu’il s’agit d’une communication entre ministres et cabinets ». « Ce qui n’empêche pas Macron de continuer à blablater sur le canal russe », conclut Le Palmipède dans son édition du jour.

• Propulsée par Matignon, la messagerie Olvid soulève des questions

La police sud-coréenne a lancé une enquête sur Telegram afin de déterminer si l’application de messagerie chiffrée s’est rendue complice de la diffusion de contenus pornographiques sexuellement explicites, rapporte l’agence Reuters.

L’enquête fait suite au scandale résultant de l’identification d’une nouvelle chaîne Telegram réunissant 220 000 personnes et échangeant des deepfakes pornographiques de collégiennes, étudiantes et célébrités. Le président Yoon Suk-yeol avait d’ailleurs appelé publiquement à enquêter et à sévir contre le phénomène. 


• En Corée du Sud, la vague de deepfakes pornographique fait réagir le président Suk-yeol

La Corée du Sud serait le pays le plus ciblé par ce phénomène, ses chanteuses et actrices constituant 53% des deepfakes pornographiques identifiés dans le monde par Security Hero, une startup américaine axée sur la protection contre le vol d’identité.

La police sud-coréenne avance que le nombre de cas pris en charge depuis le début de l’année a bondi à 297, contre 156 pour l’ensemble de l’année 2021, lorsque les données ont été rassemblées pour la première fois, et précise que la plupart des victimes et auteurs sont des adolescents.

En plus d’exhorter les entreprises de médias sociaux à coopérer plus activement à la suppression et au blocage de ces contenus, le régulateur sud-coréen des médias a demandé aux autorités françaises de coopérer régulièrement à la résolution des problèmes liés à Telegram et de faciliter la communication directe avec Telegram, rapporte Reuters.

Le gouvernement sud-coréen a en outre déclaré qu’il ferait pression en faveur de lois plus strictes pour que l’achat ou le visionnage de deepfakes à des fins d’exploitation sexuelle soit considéré comme un acte « criminel ».

La semaine passée, Telegram s’était de son côté défendu en déclarant modérer activement les contenus nuisibles sur sa plateforme, y compris la pornographie illégale.

VLOP pas glop

La Commission européenne soupçonne Telegram d’avoir sous-estimé sa présence dans l’UE afin de rester sous le seuil des 45 millions d’utilisateurs (soit 10 % de la population de l’UE) fixé dans le Digital Services Act, révèle le Financial Times (FT). Au-delà, les « très grandes plateformes en ligne » (very large online platforms, ou VLOP) sont en effet soumises à une série de réglementations destinées à contrôler leur influence.

• Très grandes plateformes VLOP & VLOSE : la conformité au Digital Services Act (DSA) commence aujourd’hui

Telegram revendique « nettement moins » que le seuil européen

Telegram avait déclaré, en février, 41 millions d’utilisateurs de sa messagerie dans l’UE, pour 900 millions dans le monde entier. Telegram avait précisé, en juillet, avoir dépassé les 950 millions d’utilisateurs dans le monde entier, mais sans mettre à jour le nombre d’utilisateurs européens.

Elle était aussi censée fournir un chiffre actualisé ce mois-ci, mais ne l’a pas fait, se contentant de déclarer qu’elle avait « nettement moins de 45 millions de destinataires actifs mensuels moyens dans l’UE », relève le FT.

Le fait de ne pas fournir les nouvelles données met Telegram en infraction avec la DSA, ont déclaré au FT deux fonctionnaires de l’UE. Ils estiment en outre qu’il leur semble probable que l’enquête ouverte par le Centre commun de recherche de la Commission (JRC, pour Joint Research Centre, le service interne de données et de science de l’UE) permet de découvrir que le nombre réel était supérieur au seuil fixé pour les très grandes plateformes en ligne.

« Nous devons vérifier [ces chiffres] car Telegram fait l’objet de nombreuses plaintes, en particulier dans les pays baltes et dans les pays où il y a un grand nombre de russophones », avait déclaré Vera Jourová, vice-présidente de la Commission européenne chargée des valeurs et de la transparence, en juin dernier comme le rapporte le Guardian.

Nos confrères précisaient que Telegram affirmait respecter les sanctions de l’UE concernant l’accès aux médias russes tels que RT (anciennement Russia Today) et Sputnik. Elle avait également déclaré qu’elle n’était pas « une plateforme efficace pour diffuser de la désinformation » et que, « contrairement à d’autres applications », elle n’utilisait pas « d’algorithmes pour promouvoir des contenus sensationnels ». Elle avait ajouté qu’elle permettait aux utilisateurs russes d’accéder à des informations non censurées.

« Nous disposons de nos propres systèmes et calculs pour déterminer la précision des données des utilisateurs », explique au FT Thomas Regnier, porte-parole de la Commission pour les questions numériques. « Et si nous pensons qu’ils n’ont pas fourni de données utilisateur précises, nous pouvons les désigner unilatéralement [comme une très grande plateforme] sur la base de notre propre enquête ».

En ligne de mire, des obligations pour la messagerie

Cette désignation entraîne des obligations plus importantes en matière de conformité et de modération du contenu, d’audit par des tiers et de partage obligatoire des données avec la Commission européenne. Les violations peuvent entraîner une amende pouvant aller jusqu’à 6 % du chiffre d’affaires annuel de l’entreprise, rappellent Engadget et le FT :

« Ces règles, qui comprennent l’interdiction de cibler les publicités sur les utilisateurs en fonction de leur religion, de leur sexe ou de leurs préférences sexuelles, des mécanismes obligeant les plateformes à divulguer les mesures qu’elles prennent pour lutter contre la désinformation ou la propagande, et de nouvelles protections pour les mineurs, ont suscité des contestations juridiques de la part de certaines plateformes en raison de leurs lourdes exigences. »

La Commission regarde Telegram depuis des mois

En février dernier, Bloomberg avait révélé que la Commission européenne envisageait d’ouvrir une enquête sur la manière dont Telegram calcule le nombre de ses utilisateurs, mais également sur les contenus illicites qui circuleraient plus ou moins librement sur la plateforme.

• DSA : la Commission européenne envisagerait une enquête sur Telegram

Kaja Kallas, Première ministre de l’Estonie, avait de son côté déclaré : « Nous pensons que Telegram est une plateforme suffisamment importante pour que des obligations similaires à celles de Facebook, X et YouTube s’appliquent à elle. Elle devrait être considérée comme une très grande plateforme en ligne ».

L’eurodéputée Stéphanie Yon-Courtin (Renew Europe), spécialiste des questions numériques, estime auprès de La Croix que cette vérification est « plus que nécessaire ». « Il faut se rendre compte de quoi l’on parle : des enfants peuvent télécharger Telegram gratuitement sur leur smartphone, taper “drogue”, “cannabis” ou “sexe” sur la barre de recherche et se retrouver sur un canal dédié », s’alarme l’élue, qui réclame a minima un débat en plénière à ce sujet.

Et ensuite ?

Si la Commission décide de désigner Telegram comme une VLOP, elle disposera alors « d’un délai de quatre mois pour se conformer à la DSA ». Dans les régles à suivre, il y a notamment « analyser et évaluer les risques systémiques liés à leurs services ». Sont particulièrement cités le contenu illicite, les droits fondamentaux, ceux des enfants, la sécurité publique et celle des processus électoraux, la violence sexiste, le bien-être mental et physique, etc.

Sachez enfin que, par la suite, « la Commission révoquera sa décision si la plateforme ou le moteur de recherche n’atteint plus le seuil de 45 millions d’utilisateurs mensuels au cours d’une année complète ».

Les règles DSA pour les très grandes plateformes sont entrées en vigueur il y a un an, obligeant les plus grands acteurs en ligne du monde, dont Instagram, Google et TikTok, à embaucher des milliers de personnes pour travailler au respect des règles, rappelle Ars Technica.

Or, de l’aveu même de Pavel Durov, Telegram ne compterait qu’une cinquantaine d’employés, dont 30 ingénieurs. Sans que l’on sache combien serait en charge de la modération et du traitement des demandes d’aide judiciaire.

Or, la messagerie Telegram se vante à la fois de collaborer avec les autorités en bannissant comptes et canaux de discussion à caractère terroriste, mais également de ne divulguer aucune donnée concernant ses utilisateurs, « y compris aux gouvernements ». Ce qui aurait, précisément, conduit Pavel Durov, et son frère, à faire l’objet de mandats de recherche, puis au fondateur de la messagerie d’être arrêté puis mis en examen à Paris, avec interdiction de quitter le territoire.

• Pavel Durov aurait fait l’objet d’un mandat de recherche pour avoir refusé d’identifier un violeur d’enfant
• Pavel Durov (Telegram) mis en examen avec interdiction de quitter le territoire

Mise à jour du 30 aout 10h42 : ajout des précisions sur Apple, NVIDIA et le nombre d’utilisateurs.

OpenAI est en pourparlers en vue de lever plusieurs milliards de dollars lors d’un nouveau tour de table qui valoriserait la startup à plus de 100 milliards de dollars, rapporte le Wall Street Journal. Trois personnes ont indiqué au New York Times qu’Apple et NVIDIA seraient intéressés à y contribuer, confirmant des informations initialement publiées par Bloomberg et le Wall Street Journal.

• Apple obtient un siège d’observateur au conseil d’administration d’OpenAI

OpenAI vient par ailleurs de déclarer que ChatGPT comptait désormais plus de 200 millions d’utilisateurs actifs hebdomadaires, soit deux fois plus qu’il y a un an, et que 92 % des entreprises Fortune 500 utilisent ses produits, rapporte Axios.

Ce nouveau tour de table constituerait la plus importante injection de capitaux extérieurs dans OpenAI depuis que Microsoft y avait investi environ 10 milliards de dollars en janvier 2023. Le tour devrait en effet être emmené par le fonds américain Thrive Capital, dirigé par l’homme d’affaires Joshua Kushner, engagé à hauteur d’un milliard de dollars, et complété par certains actionnaires historiques, dont Microsoft.

• Microsoft investit plusieurs milliards de dollars dans OpenAI et devient son partenaire exclusif

OpenAI avait été évaluée pour la dernière fois à 86 milliards de dollars à la fin de l’année dernière, contre 29 milliards en février 2023, « alors qu’on estime qu’elle a perdu 500 millions de dollars » en 2022, avait alors noté Wayne Hu, associé au sein de la société de capital investissement SignalFire.

Des documents consultés par le Wall Street Journal indiquent que ces dernières semaines, un ou plusieurs actionnaires d’OpenAI ont négocié la vente de leurs actions à un prix qui valoriserait l’entreprise à 103 milliards de dollars.

Au début de l’année, le chiffre d’affaires d’OpenAI s’élevait à 3,4 milliards de dollars sur une base annuelle, selon une personne au fait du dossier.

Mais OpenAI, qui a dépensé plus de 100 millions de dollars pour construire GPT-4, travaille actuellement sur son prochain modèle, qui devrait coûter encore plus cher.

Microsoft, qui a déjà investi 13 milliards de dollars dans la startup depuis 2019 et qui détient 49 % de ses actions, prévoit de nouveau d’y injecter de l’argent, d’après le WSJ. Cette forte participation soulève aussi des questions auprès de certains (y compris des régulateurs) sur une éventuelle mainmise de Microsoft sur le développement d’OpenAI, d’autant plus avec le passage éclair de Sam Altman chez Microsoft après s’être fait virer de sa société.

OpenAI ayant hébergé sa technologie sur la plateforme cloud Azure de Microsoft, une partie de cet argent lui est d’ores et déjà revenue. Un retour sur investissement qui pourrait aussi expliquer, en partie, ce pourquoi Microsoft serait prêt, de nouveau, à investir dans OpenAI.

Et ce, même si Microsoft a aussi embauché, en début d’année, le PDG et une grande partie de l’équipe d’Inflection AI, un rival d’OpenAI, pour développer des outils d’IA pour les consommateurs, relève le WSJ, pour qui les deux entreprises sont également « de plus en plus en concurrence » :

« En juillet, Microsoft a renoncé à son statut de membre sans droit de vote du conseil d’administration d’OpenAI, en partie pour faire un geste à l’égard des régulateurs qui examinent leur relation. Elle a également ajouté récemment OpenAI à sa liste de concurrents dans le domaine de l’IA et de la recherche dans un document réglementaire. »

• Mustafa Suleyman (cofondateur de DeepMind) est CEO de Microsoft AI

« Nous ne traitons pas les requêtes qui y sont liées »

La messagerie Telegram se vante à la fois de collaborer avec les autorités en bannissant des comptes et canaux de discussion à caractère terroriste, mais également de ne divulguer aucune donnée concernant ses utilisateurs, « y compris aux gouvernements ». Ce qui aurait, précisément, conduit Pavel Durov, et son frère, à faire l’objet de mandats de recherche.

Mise à jour, 19h09 : les frères Durov ne faisaient l’objet de mandats d’arrêt (qui visent les personnes ne s’étant pas rendus à la convocation dont ils ont fait l’objet, et qui les amènent en détention) comme le mentionne la version en anglais de l’article de POLITICO sur laquelle nous nous étions initialement basé, mais de mandats de recherche (ils ne savaient pas qu’ils étaient recherchés, ce pourquoi Pavel Durov a d’abord été placé en garde à vue), comme le mentionne l’article en français de POLITICO qui a depuis été mis en ligne.

Un document administratif partagé avec POLITICO par une personne directement impliquée dans l’affaire révèle que les autorités françaises avaient émis des mandats de recherche contre le PDG de Telegram, Pavel Durov, ainsi que son frère et cofondateur, Nikolai, le 25 mars dernier. Ils étaient alors poursuivis pour « complicité de détention, distribution, offre ou mise à disposition d’images pornographiques de mineurs, en bande organisée ».

• Pavel Durov (Telegram) : 12 chefs d’accusation, garde à vue jusqu’à mercredi
• Pavel Durov (Telegram), arrêté en France : garde à vue prolongée, encore beaucoup de questions

Le document indique, en effet, que Telegram refusait alors de coopérer avec la police française au sujet d’une enquête sous couverture portant sur des abus sexuels commis sur des enfants. Conduite sur Telegram par la branche cybercriminelle du bureau du procureur de Paris, elle a commencé des mois plus tôt que ce que l’on pensait jusqu’alors.

L’enquête avait identifié un suspect discutant d’attirer des jeunes filles mineures pour qu’elles envoient de la « pornographie infantile autoproduite », puis de les menacer de la diffuser sur les réseaux sociaux, explique POLITICO. Le suspect avait également déclaré aux enquêteurs qu’il avait violé une jeune enfant. Or, Telegram n’avait pas répondu à la demande des autorités françaises d’identifier le suspect.

Les mandats d’arrêt ont été émis au motif que la plateforme de messagerie ne donnait « aucune réponse » à une demande judiciaire antérieure visant à identifier le suspect. Ce motif ne figure pas dans les 12 chefs d’inculpation rendus publics par le Parquet de Paris. Le document souligne également « la coopération quasi inexistante de Telegram » avec les autorités françaises et européennes dans d’autres affaires.

Une personne proche de Durov a par ailleurs expliqué au Wall Street Journal que pendant des années, Telegram avait ignoré les citations à comparaître et les ordonnances judiciaires qui lui étaient adressées, et qui « s’accumulaient dans une boîte aux lettres électronique rarement vérifiée ».

• La France et l’émirat de Dubaï avaient piraté l’iPhone de Pavel Durov avant de le naturaliser

Tout en soulignant le manque de coopération de Telegram avec les autorités, le document mentionne aussi l’utilisation de la plateforme « par de nombreux groupes criminels » pour justifier les mandats d’arrêt à l’encontre des frères Durov. POLITICO précise que « rien n’indique que les frères Durov aient été directement impliqués dans l’une des activités illégales identifiées par l’enquête ».

Le vice-président de Telegram, Ilya Perekopsky, est par ailleurs mentionné dans le résumé de l’affaire, mais le document n’indique pas si un mandat a été délivré à son encontre.

Une cinquantaine d’employés, pour 950 millions d’utilisateurs

Dans une interview au Financial Times, sa première intervention publique depuis 2017, en prévision d’une possible introduction en Bourse, Pavel Durov s’était vanté en février dernier d’avoir dépassé les 900 millions d’utilisateurs, contre 500 millions début 2021.

Il se targuait également de réaliser plusieurs centaines de millions de dollars de revenus après avoir introduit des services de publicité et d’abonnement premium deux ans plus tôt, et espérait pouvoir devenir rentable l’an prochain, voire cette année.

Durov, qui détient Telegram à 100 %, précisait au FT s’être vu proposer de la part d’investisseurs potentiels des évaluations valorisant l’entreprise à plus de 30 milliards de dollars. Et ce, alors qu’elle ne compterait qu’une cinquantaine d’employés à temps plein seulement.

Telegram revendiquait 950 millions d’utilisateurs actifs en juillet 2024, ce qui en fait la quatrième plateforme de messagerie la plus populaire au monde, derrière WhatsApp, WeChat et Facebook Messenger, précise The Independant.

« Je dirige cette entreprise parce que j’aime ça », avait expliqué Durov à l’ex-journaliste complotiste de Fox News Tucker Carlson, qui l’avait interviewé en avril dernier : « Je suis le seul chef de projet parce que je pense que c’est de cette manière que je peux le mieux y contribuer ».

Il avait également précisé que Telegram ne disposait pas d’un service de ressources humaines dédié, et que la messagerie ne compte que 30 ingénieurs dans ses effectifs : « c’est une équipe très compacte, très efficace, comme une équipe de Navy SEAL. C’est ainsi que nous fonctionnons ».

Telegram peut divulguer votre IP, mais cela ne s’est jamais produit

À défaut de savoir combien de personnes seraient employées à la modération, ainsi qu’au traitement des demandes d’aide judiciaire, on peut néanmoins constater que Telegram, en la matière, souffle le chaud et le froid.

Le passage de sa Privacy policy consacré aux Autorités chargées de l’application de la loi (Law Enforcement Authorities) précise, en effet, que « si Telegram reçoit une décision de justice confirmant que vous êtes suspecté de terrorisme, nous pouvons divulguer votre adresse IP et votre numéro de téléphone aux autorités compétentes », mais aussi que « jusqu’à présent, cela ne s’est jamais produit ».

Dans sa FAQ, elle précise qu’en août 2024, ses services « comptaient nettement moins de 45 millions de destinataires actifs mensuels moyens dans l’UE au cours des six mois précédents », ce qui est inférieur au seuil requis pour être désigné comme une « très grande plateforme en ligne ».

Les paragraphes consacrés au « contenu illégal sur Telegram » ainsi qu’aux bots ou canaux de discussions qui portent atteinte au droit d’auteur avancent que « Tous les échanges et groupes sur Telegram restent privés entre leurs participants » et que, dès lors, « Nous ne traitons pas les requêtes qui y sont liées ».

La messagerie souligne cela dit que « les lots d’autocollants, les canaux et les bots sur Telegram sont accessibles publiquement ». Et qu’il est a contrario possible de la saisir, soit par courrier électronique, soit via son bot @ISISwatch, qui publie tous les jours le nombre de bots et channels à caractère terroriste qui ont été bannis de la messagerie, à raison de plusieurs milliers chaque mois.

« Lorsque nous recevons une plainte à l’adresse abuse@telegram.org ou dmca@telegram.org concernant la légalité d’un contenu public, nous effectuons les vérifications juridiques nécessaires et retirons le contenu lorsque cela est jugé approprié », précise la FAQ :

« Notre mission est de fournir un moyen de communication sécurisé qui fonctionne partout sur la planète. Pour assurer cela dans les endroits où cela est le plus nécessaire (et pour continuer à distribuer Telegram via l’App Store et Google Play), nous devons traiter les demandes légitimes de suppression du contenu public illégal (par exemple, les lots d’autocollants, les bots et les canaux) dans l’application. Par exemple, nous pouvons supprimer les lots d’autocollants qui violent les droits de propriété intellectuelle ou les bots pornographiques. »

« Nous avons divulgué 0 octet de données à des gouvernements »

« Veuillez noter que cela ne s’applique pas aux restrictions locales de la liberté d’expression », souligne Telegram :

« Par exemple, si critiquer le gouvernement est illégal dans un pays, Telegram ne participera pas à une telle censure à caractère politique. Cela va à l’encontre des principes de nos fondateurs. Bien que nous bloquions les bots et les canaux terroristes (liés à ISIS, par exemple), nous ne bloquerons personne exprimant pacifiquement des opinions alternatives. »

Telegram précise par ailleurs que « si vous pensez que nous avons banni votre bot, canal ou lot d’autocollants sans raison apparente, écrivez-nous à abuse@telegram.org ». Mais également que les utilisateurs dont les publications ont été retirées dans le cadre du règlement européen relatif à la lutte contre la diffusion de contenus terroristes en ligne (TCO) « peuvent demander des détails sur les raisons pour lesquelles ces publications ont été considérées comme terroristes et comment contester leur suppression » en écrivant à Telegram ou « en contactant le bot @EURegulation sur Telegram et en utilisant la commande /tco_ask ».

La FAQ vante enfin sa fonctionnalité (cachée) d’ « échanges secrets », qui « utilisent un chiffrement de bout en bout, ce qui signifie que nous ne pouvons pas divulguer de données », et qu’« à ce jour, nous avons divulgué 0 octet de données utilisateur à des tiers, y compris aux gouvernements » :

« Grâce à cette structure, nous pouvons faire en sorte qu’aucun gouvernement ou ensemble de pays partageant les mêmes idées ne puisse empiéter sur la vie privée et la liberté d’expression des individus. Telegram ne peut être contraint de divulguer des données que si le problème est suffisamment grave et universel pour être soumis à l’examen par plusieurs systèmes juridiques différents dans le monde. »

Un nouveau chapitre de la réponse sociétale aux plateformes

Dans un thread partagé sur X.com, Jonathan Hall, le contrôleur indépendant de la législation anti-terroriste britannique (Independent Reviewer of Terrorism Legislation), estime que l’arrestation de Pavel Durov ferait également suite à la bataille entre Twitter et l’Australie plus tôt cette année. Le commissaire australien à la sécurité électronique n’avait alors lui non plus réussi à obtenir une injonction permanente pour la suppression mondiale de contenus terroristes.

Évoquant également la nébuleuse Terrorgram, « seule organisation terroriste interdite au Royaume-Uni à porter le nom d’un réseau social », il évoque un « nouveau cycle de normes imposées par l’État contre la liberté technologique » qui verrait les enquêteurs français envisager la « responsabilité des systèmes plutôt que celle d’un contenu spécifique » :

« La question se pose alors de savoir ce que Telegram et d’autres plateformes doivent faire. Lire les communications chiffrées ? Recueillir plus de détails sur les utilisateurs ? Investir davantage dans des systèmes permettant d’identifier les abus à partir des métadonnées ? »

• Terrorgram, la fabrique de terroristes d’extrême-droite, à coups de mèmes et de shitposts

Pour lui, ce qui se trame s’apparente à « une bataille autour de l’existence de certains modèles d’entreprises technologiques ». Il s’étonne d’ailleurs que le fonctionnement d’un réseau social comptant près d’un milliard d’utilisateurs puisse ne reposer que sur quelques dizaines d’employés, au surplus au vu du nombre de contenus délictueux, voire criminels qui y sont partagés.

« Il semble que nous entrions dans le troisième chapitre de la réponse sociétale aux plateformes » avance le contrôleur indépendant, dont le rôle est d’éclairer le débat public et politique sur la législation antiterroriste au Royaume-Uni  :

« Première phase : émerveillement, gratitude et utopisme technologique / aller vite et tout casser.
2e phase : les plateformes semblent s’autoréguler et intégrer des normes prosociales (confiance et sécurité, Cour suprême de Facebook).
3e phase : les États démocratiques s’affirment. »

« La question fondamentale est de savoir si les États feront valoir que certains modèles commerciaux, comme celui de Telegram, sont tout simplement incompatibles avec la sécurité et l’État de droit », conclut Jonathan Hall.

Le Wall Street Journal révèle que lors d’un déjeuner qui n’avait jusqu’alors jamais été rendu public, Emmanuel Macron avait invité Pavel Durov, en 2018, à déménager Telegram à Paris. La messagerie venait, l’année précédente, d’installer son siège social à Dubaï, capitale de l’un des sept Émirats arabes unis et Durov en a également fait son principal lieu de résidence. Il a donc refusé l’offre du président français.

Les sources du WSJ révèlent aussi et surtout que, cette même année 2017, une opération conjointe entre les services de renseignement français et des Émirats arabes unis (nom de code « Purple Music ») leur avaient permis de pirater l’iPhone de Pavel Durov :

« Les responsables français de la sécurité étaient très préoccupés par l’utilisation de Telegram par l’État islamique pour recruter des agents et planifier des attaques. Les gouvernements ont ciblé M. Durov en raison des groupes attirés par son application, qui vont des manifestants pro-démocratie et des dissidents aux militants islamistes, aux trafiquants de drogue et aux cybercriminels. »

Un ancien responsable du renseignement français de la DGSI a précisé au WSJ que la compromission de Telegram avait été « un effort à long terme des services d’espionnage du pays ».

Or, la France et les Émirats arabes unis ont depuis accordé, tous deux en 2021, la citoyenneté à Pavel Durov, et le pays du Golfe a aussi investi plus de 75 millions de dollars dans sa plateforme cette année-là.

• Le fondateur de Telegram a obtenu la nationalité française, mais on ne sait pas pourquoi

Durov, qui a aussi obtenu la nationalité de Saint-Kitts-et-Nevis, une île des Caraïbes qui l’offre à ceux qui peuvent la payer, s’était en outre installé, ainsi que le siège social de Telegram, à Dubaï, la capitale des Émirats arabes unis.

Les appels vocaux de Telegram, comme ceux de la plupart des applications d’appel sur Internet, sont pourtant bloqués aux Émirats arabes unis, où les libertés politiques sont « fortement réduites, et qui considèrent les appels chiffrés comme un risque pour la sécurité », souligne le WSJ.

Une personne proche de Durov explique par ailleurs au quotidien états-unien que pendant des années, Telegram avait ignoré les citations à comparaître et les ordonnances judiciaires qui lui étaient adressées, et qui « s’accumulaient dans une boîte aux lettres électronique rarement vérifiée ».

Telegram affirme depuis qu’elle se conforme désormais au Digital Services Act européen, qui exige que les sociétés en ligne coopèrent avec les autorités pour lutter contre la diffusion de contenus illégaux sur leurs plates-formes.

Durov, qui s’est également rendu plusieurs fois aux États-Unis, avait expliqué à l’ancien animateur de Fox News Tucker Carlson qu’il y était toujours accueilli par des agents du FBI, qui tentaient d’obtenir sa coopération : « j’ai cru comprendre qu’ils voulaient établir une relation pour, d’une certaine manière, mieux contrôler Telegram », avait-il précisé.

Philippe Teuwen, responsable de la recherche de la société française de cybersécurité Quarkslab et ancien responsable de la recherche en sécurité de NXP Semiconductors, a découvert une « porte dérobée matérielle permettant l’authentification avec une clé inconnue » dans les cartes sans contact MIFARE Classic.

En 2020, la société Shanghai Fudan Microelectronics, le principal fabricant chinois de puces « compatibles MIFARE » sans licence, avait sorti une variante, la FM11RF08S. Dotée de contre-mesures spécifiques conçues pour déjouer toutes les attaques connues par carte seule, sans accès à son lecteur, elle a depuis gagné des parts de marché dans le monde entier.

Développées sous licence de NXP, elles sont aujourd’hui déployées dans plus de 50 pays, et utilisées par plus de 1,2 milliard de personnes pour ouvrir leurs chambres d’hôtel ou dans leurs cartes de transport, rappelle Fred Raynal. CEO de Quarkslab, ce dernier est également connu pour avoir co-fondé le Symposium sur la sécurité des technologies de l’information et des communications (SSTIC), et avoir créé la revue MISC consacrée à la cybersécurité.

Or, Philippe Teuwen a identifié (preprint) plusieurs attaques lui permettant d’identifier la présence d’une porte dérobée matérielle dans plusieurs cartes développées par Fudan, mais également dans d’anciennes cartes de NXP (MF1ICS5003 & MF1ICS5004) et Infineon (SLE66R35), « simplement en accédant à la carte pendant quelques minutes »

« Toutes ont la même backdoor … mais avec des clés différentes » résume Fred Raynal, pour qui cette porte dérobée remonterait à « un temps reculé » Il formule l’hypothèse qu’elle aurait été introduite, soit à la demande du gouvernement chinois, soit par ce dernier et à l’insu de NXP et Infineon, avant que Fudan ne s’inspire de leur MIFARE Classic et ne la reproduise dans ses propres cartes.

Philippe Teuwen rappelle par ailleurs que « le protocole MIFARE Classic est intrinsèquement cassé, quelle que soit la carte » qu’il sera toujours possible de récupérer les clés si un pirate a accès au lecteur correspondant, et qu’il existe de nombreuses alternatives plus robustes sur le marché.

« Microsoft modifie les petits caractères pour avertir tout le monde de ne pas prendre son IA au sérieux », titre The Register, qui a repéré, dans la mise à jour à venir des conditions de contrat de services Microsoft, publiée le 30 juillet et qui entreront en vigueur le 30 septembre, trois changements relatifs à ses Services d’IA.

Ils rappellent que les contenus générés par des IA ne sauraient être présumés fiables, exonèrent Microsoft de son éventuelle responsabilité en matière de réclamation au sujet de la reproduction de contenu copyrighté, et proscrivent le fait d’effacer les identifiants indiquant qu’un contenu a été généré par une IA.

La version en vigueur ne comporte en effet que cinq paragraphes, contre huit dans la version à venir. Le premier rajout précise que « les services d’IA ne sont pas conçus, prévus pour ou destinés à être utilisés comme des substituts aux conseils de professionnels ».

Le second, relatif à la « Propriété du Contenu », souligne que « Microsoft ne revendique pas la propriété de tout contenu que vous fournissez, publiez, saisissez, soumettez ou recevez des Services d’IA (y compris les commentaires et suggestions) » :

« Vous devrez prendre vos propres décisions quant aux droits de propriété intellectuelle dont vous disposez sur le contenu de sortie et sa facilité d’utilisation, en tenant compte, entre autres, de vos scénarios d’utilisation et des lois de la juridiction concernée. Vous garantissez et déclarez que vous possédez ou contrôlez de toute autre manière tous les droits sur votre contenu, comme décrit dans les présentes Conditions, y compris, sans s’y limiter, tous les droits nécessaires pour que vous puissiez fournir, publier, télécharger, saisir ou soumettre le contenu. »

La version actuelle relève par ailleurs déjà que, en matière de recours par des tiers, « Vous êtes seul(e) responsable de la réponse à toute réclamation de tiers concernant Votre utilisation des services IA conformément aux lois en vigueur (y compris, mais sans s’y limiter, la violation des droits d’auteur ou d’autres réclamations relatives au contenu produit lors de Votre utilisation des services IA) ».

Le troisième rajout a trait aux « Identifiants de contenu » et indique que « Microsoft stocke des informations sur sa création et associe ces informations et le contenu à un identifiant de contenu », laissant entendre que les contenus générés par ses IA seront tatoués de sorte de pouvoir être identifiables comme tels. C’est d’ailleurs l’une des exigences du règlement sur l’intelligence artificielle (AI Act), entré en vigueur le 1er août 2024 et applicable à partir du 2 août 2026 :

« Vous ne pouvez pas créer de contenu dans le but de supprimer ou de modifier les identifiants de contenu ou d’autres méthodes, marques ou signaux de provenance indiquant qu’un résultat a été généré par les Services d’IA, ni utiliser les Services d’IA de toute autre manière pour créer du contenu dans le but d’induire d’autres personnes en erreur sur le fait qu’une sortie a été générée par des services d’IA. »

• OpenAI peut tatouer les textes générés par ChatGPT, mais hésite à s’en servir

La mise à jour indique par ailleurs que les clients Xbox ne doivent pas s’attendre à une confidentialité de la part de ses partenaires, dès lors que « les plateformes tierces autres que Xbox peuvent demander aux utilisateurs de partager leur contenu et leurs données pour jouer aux jeux de Xbox Game Studio et que ces plateformes tierces peuvent suivre et partager vos données, sous réserve de conditions ».