Dans le tumulte de Washington, DC en 2019, un entrepreneur gouvernemental et technologue nommé Mike Yeagley a entrepris une investigation et a transmi un avertissement crucial pour l'establishment de la sécurité nationale : Grindr posait un sérieux problème pour le gouvernement américain.
Grindr, une application de rencontres populaire, avait révolutionné la connexion entre partenaires potentiels en utilisant les capacités GPS des smartphones modernes. Cependant, Yeagley a révélé que Grindr, tout comme de nombreuses autres applications mobiles, divulguait imprudemment d'énormes quantités de données personnelles au monde opaque des annonceurs en ligne.
Yeagley, consultant en technologie avec des années d'expérience dans des projets gouvernementaux, a démontré comment les échanges de publicité numérique, omniprésents sur les applications mobiles, facilitaient l'accès aux données de localisation des utilisateurs. Cette vulnérabilité était particulièrement préoccupante pour la sécurité nationale, comme l'a souligné Yeagley en démontrant comment ces données pouvaient être utilisées pour suivre les déplacements des employés du gouvernement.
Son analyse révélait comment les utilisateurs de Grindr pouvaient être suivis jusqu'à leur lieu de travail dans des bâtiments gouvernementaux sensibles, mettant potentiellement en péril la sécurité nationale. Mais Yeagley n'a pas seulement souligné les risques : il a également mis en lumière les opportunités que ces données représentaient entre de bonnes mains, soulignant leur utilité potentielle pour les agences de renseignement.
Yeagley avait une connaissance approfondie de l'écosystème des données publicitaires, ayant joué un rôle clé dans l'introduction de ces informations au gouvernement. Il a identifié l'adtech comme une ressource précieuse, capable de fournir des informations cruciales à partir des traces de données laissées par les utilisateurs de smartphones. Cette réalisation était d'autant plus importante après les révélations d'Edward Snowden sur les pratiques de surveillance.
Les données publicitaires, un élément vital du commerce numérique, étaient devenues une source majeure d'information pour les gouvernements du monde entier, soulignait Yeagley. À travers l'exemple de Marcela:
Voici comment cela fonctionne. Imaginez une femme nommée Marcela. Elle possède un téléphone Google Pixel sur lequel l'application Weather Channel est installée. Alors qu'elle se dirige vers la porte pour faire du jogging, elle voit un ciel couvert. Marcela ouvre donc l'application pour vérifier si les prévisions annoncent de la pluie. En cliquant sur l'icône bleue de la Chaîne Météo, Marcela déclenche une frénésie d'activité numérique visant à lui proposer une publicité personnalisée. Cela commence par une entité appelée bourse de publicité, essentiellement un marché massif où des milliards d'appareils mobiles et d'ordinateurs avertissent un serveur centralisé chaque fois qu'ils disposent d'un espace publicitaire ouvert. En moins d'un clin d'œil, l'application Weather Channel partage une multitude de données avec cet échange publicitaire, notamment l'adresse IP du téléphone de Marcela, la version d'Android qu'elle utilise, son opérateur, ainsi qu'un ensemble de données techniques sur la façon dont le le téléphone est configuré, jusqu'à quelle résolution la résolution de l'écran est réglée. Le plus précieux de tous, l'application partage les coordonnées GPS précises du téléphone de Marcela et le numéro d'identification publicitaire pseudonymisé que Google lui a attribué, appelé AAID. (Sur les appareils Apple, cela s'appelle un IDFA.)
Une utilisatrice d'une application météo, il a expliqué comment chaque interaction numérique laissait une empreinte exploitable par les annonceurs et les agences gouvernementales.
Au moment où Yeagley a alerté diverses agences de sécurité concernant Grindr en 2019, VISR était également utilisé à l'échelle nationale, du moins pendant une période limitée, lorsque le FBI souhaitait évaluer son utilité dans des affaires criminelles nationales. (En 2018, le FBI s'est retiré du programme.) La Defense Intelligence Agency, une autre agence ayant accès aux données de VISR, a également admis avoir utilisé l'outil à cinq reprises pour des enquêtes de renseignement intérieur. Cependant, VISR n'est actuellement qu'un parmi plusieurs produits vendant des données adtech aux agences de renseignement. Le Département de la Sécurité intérieure a largement adopté ce type de données. Trois de ses composantes – les douanes et la protection des frontières des États-Unis, l'immigration et l'application des douanes des États-Unis, ainsi que les services secrets américains – ont acquis plus de 200 licences auprès de fournisseurs commerciaux de technologie publicitaire depuis 2019. Ils utilisent ces données pour détecter des tunnels frontaliers, traquer des immigrants non autorisés et enquêter sur des crimes nationaux. En 2023, un inspecteur général du gouvernement a critiqué le DHS pour son utilisation de l'adtech, affirmant que le département n'avait pas mis en place des mesures de protection de la vie privée adéquates et recommandant l'arrêt de l'utilisation des données jusqu'à l'élaboration de politiques appropriées. Le DHS a répondu à l'inspecteur général en indiquant qu'il continuerait d'utiliser les données, affirmant que l'adtech était un élément important du processus d'enquête de l'ICE, car il permet de combler les lacunes dans les connaissances et de générer des pistes d'enquête cachées. D'autres agences de renseignement dans le monde ont également accès à ces données. Plusieurs sociétés israéliennes telles qu'Insanet, Patternz et Rayzone ont développé des outils similaires à VISR et les vendent à des entités de sécurité nationale et de sécurité publique dans le monde entier. Rayzone a même développé la capacité de diffuser des logiciels malveillants via des publicités ciblées, selon Haaretz. En d'autres termes, tout cela n'est pas seulement une préoccupation abstraite, même pour le citoyen lambda. Si vous avez déjà utilisé une application de rencontres qui demandait votre position ou si vous avez déjà autorisé une application météo à accéder à votre localisation 24h/24 et 7j/7, il est probable qu'un journal détaillé de vos informations soit disponible. Les schémas de déplacement sont aspirés et enregistrés dans une banque de données accessible à des milliers d'individus inconnus. Cela inclut les agences de renseignement, les gouvernements étrangers, les enquêteurs privés et même les journalistes curieux. (En 2021, un petit blog catholique conservateur nommé The Pillar a rapporté que Jeffrey Burrill, le secrétaire général de la Conférence des évêques catholiques des États-Unis, était un utilisateur régulier de Grindr. La publication a rapporté que Burrill "visitait des bars gays et des résidences privées tout en utilisant une application de connexion basée sur la localisation" et a décrit sa source comme "des enregistrements disponibles dans le commerce des données de signal d'application obtenues par The Pillar.")
Si, au cours des dernières années, vous avez trompé votre conjoint et que vous avez négligé les paramètres de vos données de localisation, il est fort probable que des preuves de cela soient disponibles à l'achat. De même, si vous avez suivi une cure de désintoxication en hospitalisation, ces informations sont probablement enregistrées quelque part dans une banque de données. Si vous avez menti à votre employeur en prenant un congé maladie pour passer un entretien dans une entreprise concurrente, cela pourrait également être retrouvé. De même, si vous avez participé à des manifestations telles que celles de George Floyd et avez été impliqué dans des actes de vandalisme, votre téléphone portable pourrait vous relier à ces événements. Enfin, si vous avez consommé de l'alcool avant de causer un accident de voiture et de quitter les lieux sans prévenir la police, les données relatant cet incident pourraient encore exister quelque part.
Nous avons tous une idée vague selon laquelle nos opérateurs de téléphonie mobile disposent de ces données sur nous. Cependant, les forces de l'ordre doivent généralement obtenir un mandat du tribunal pour y accéder, ce qui nécessite des preuves d'un crime. Cela pose un autre problème en matière de confidentialité.
Un jour, j'ai rencontré un ancien employé mécontent d'une entreprise concurrente d'UberMedia et de PlaceIQ. Il avait quitté son emploi avec plusieurs gigaoctets de données de son ancienne entreprise. Bien que ce ne soit qu'un petit échantillon de données, elles représentaient les mouvements complets de dizaines de milliers de personnes sur quelques semaines. En traçant ces informations, de nombreuses personnes pouvaient être localisées avec une grande précision jusqu'à leur domicile. Il m'a proposé d'examiner ces données pour en comprendre l'intrusion et la puissance.
"Que pourrais-je en faire - hypothétiquement ?", ai-je demandé. "En théorie, pourriez-vous m'aider à tracer des zones géographiques autour des hôpitaux psychiatriques ou des cliniques d'avortement ? Pourriez-vous identifier les téléphones enregistrés dans un motel à midi et y séjournant moins de deux heures ?"
"Facilement", répondit-il.
Cependant, je n'ai jamais suivi cette voie.
Yeagley a mis en lumière le potentiel et les dangers des données publicitaires, encourageant une utilisation éthique et réfléchie de ces ressources. Son travail a été une tentative de sensibiliser les divers secteurs du renseignement américain à l'importance cruciale de comprendre et de tirer parti de ces données dans un contexte de sécurité nationale.
Par BYRON TAU et AGHILAS AZZOUG