Dr Didier Samfat, consultant en cybersécurité : «Il n’y a pas de cadre rigoureux pour la cybersécurité nationale»

Comment un gouvernement peut-il intercepter des communications chiffrées comme celles de Signal ou WhatsApp, alors que le chiffrement de bout en bout est censé empêcher toute interception ?
Le chiffrement de bout en bout (E2EE), en théorie, empêche les gouvernements ou les opérateurs télécoms de voir directement le contenu des messages, mais plusieurs méthodes existent pour contourner cette protection.

Piratage de l’appareil cible avec Spyware : Des logiciels espions comme Pegasus (NSO Group) ou Predator (Intellexa) peuvent être installés à distance sur un smartphone. Une fois le téléphone compromis, tous les messages peuvent être récupérés en clair avant même d’être chiffrés.

Exploitation des failles de sécurité Zero-Day : En 2019, une faille sur WhatsApp permettait à Pegasus d’infecter un téléphone avec un simple appel manqué.

Attaques sur les sauvegardes cloud : WhatsApp stocke des sauvegardes sur Google Drive ou iCloud qui ne sont pas chiffrées de bout en bout. Quelqu’un qui accède à ces sauvegardes peut récupérer l’historique des conversations.

Surveillance des métadonnées via Deep Packet Inspection (DPI) : Un DPI installé chez un opérateur télécom peut voir qui communique avec qui, à quelle fréquence, depuis quelle localisation. Ces métadonnées peuvent révéler des réseaux de contacts les comportements des utilisateurs.

Faille sur le réseau de signalisation SS7 des opérateurs : Un attaquant (comme un gouvernement ou une entreprise comme PertSol) peut exploiter des failles du réseau de signalisation SS7 des opérateurs pour rediriger des SMS de vérification de WhatsApp ou Telegram et ainsi prendre le contrôle d’un compte. Il peut aussi écouter les appels VoIP en passant par le réseau mobile.

L’interception complète de toutes les communications en temps réel est-elle possible ? 
L’interception en temps réel de toutes les communications, qu’il s’agisse des téléphones fixes ou mobiles, est parfaitement possible et facile avec la coopération des opérateurs télécoms. Ceux-ci peuvent fournir une passerelle (« Gateway ») reliant le cœur de leurs réseaux aux équipements d’interception, permettant ainsi un accès direct aux flux de communication. Il est également important de rappeler que les emails transitent en clair sur Internet, à moins qu’ils ne soient chiffrés avec des protocoles sécurisés (PGP, S/MIME). Cela signifie qu’un opérateur télécom ou un acteur malveillant peut dupliquer et stocker les emails entrants et sortants pour une analyse ultérieure.

En ce qui concerne les applications de messagerie chiffrées comme WhatsApp, Messenger ou Telegram, l’interception est plus complexe mais reste faisable. Il existe une pleine industrie de la surveillance et du cyberespionnage, avec des plateformes capables de mener des opérations de guerre numérique telles que :

• Pegasus (NSO Group) – Utilisé pour l’espionnage politique et la surveillance d’opposants.
• FinSpy (FinFisher) – Permet l’exfiltration de données depuis des appareils mobiles et PC.
• Intellexa Predator – Un autre spyware sophistiqué capable de prendre le contrôle total d’un appareil.
• Verint – Spécialiste des interceptions télécoms et de l’analyse avancée des communications.
• Ces technologies, lorsqu’elles sont utilisées sans contrôle strict, ouvrent la porte à des dérives majeures en matière de surveillance de masse et de violations des libertés individuelles.

L’opacité entourant ces infrastructures de surveillance nécessite un audit indépendant...

Quelle infrastructure matérielle et logicielle est nécessaire pour un tel niveau de surveillance ? 
Il faut tout d’abord une connexion réseau haut débit fibre optique entre l’opérateur télécom et le système de surveillance et des serveurs puissants pour traiter la masse de données recueillies. Le challenge est de pouvoir intercepter et sauvegarder toutes les communications en temps réel et d’utiliser des outils tels que :

• Des algorithmes d’intelligence artificielle capables d’analyser les métadonnées ;
• Des serveurs Big Data pour traiter de gros volumes de données par jour ;
• Des sondes DPI installées chez les opérateurs télécoms pour analyser et stocker les métadonnées. 

Le coût de stockage n’est pas des moindres. Si on prend, par exemple, uniquement WhatsApp et dans le cas de Maurice : 1 utilisateur WhatsApp génère en moyenne 10 Mo de messages/jour. Donc, pour un million d’utilisateurs, il faudrait 10 To/jour, soit 300 To par mois. Et pour un pays comme Maurice, trois à cinq pétaoctets par an.  Cela nécessite plusieurs Data Centres de haute facture. 

Comment l’effacement des données a-t-il été techniquement réalisé ?
Il y a plusieurs types de techniques d’effacement de données :

• La suppression logique (ex suppression des fichiers dans la corbeille du PC).
• Plusieurs écrasements des disques avec des données aléatoires.
• Démagnétisation ou destruction physique des disques durs.

En général, la suppression logicielle, seule, ne garantit pas que les données sont irrécupérables. Par exemple, la suppression logique est plus facilement récupérable car même si l’utilisateur ne voit pas les fichiers, ces derniers demeurent toujours sur le disque dur.

Les experts internationaux affirment pouvoir retrouver des données effacées. Comment une telle récupération est-elle techniquement possible ?
En forensique numérique, plusieurs techniques permettent la récupération de données, même après leur suppression apparente : 

Analyse des secteurs du disque dur : Utilisation de logiciels spécialisés comme Autopsy, EnCase ou FTK pour explorer les fragments de fichiers supprimés. Ces outils garantissent l’intégrité de la « chain of custody », essentielle pour la validité des preuves numériques.

Récupération des données volatiles depuis la mémoire vive (RAM) : Tant qu’un appareil n’a pas été redémarré, il est possible d’extraire des fragments de fichiers, des clés de chiffrement temporaires et des traces d’activités en exploitant la mémoire volatile.

Exploitation des fichiers journaux (logs) : De nombreux logiciels et systèmes conservent des « logs » détaillés des opérations effectuées, y compris les suppressions de fichiers et les transferts de données. Ces journaux peuvent révéler quand, comment et par qui des fichiers ont été manipulés ou effacés.

Analyse des fichiers cache et résidus système : Certains fichiers supprimés laissent des traces dans les caches applicatifs ou les index système (ex. : fichiers temporaires, snapshots, metadata). Des outils spécialisés peuvent reconstruire ces fragments pour reconstituer des documents partiellement effacés.

Demande d’accès aux sauvegardes officielles : Si un contrat de maintenance a été signé avec PertSol, il est tout à fait légitime de demander officiellement l’accès aux copies de sauvegarde disponibles. En principe, toute infrastructure de surveillance sophistiquée génère et conserve des « backups » pour assurer la continuité du service et prévenir les pertes de données. Ces sauvegardes peuvent contenir des enregistrements d’appels, des logs de surveillance, voire des données interceptées, ce qui pourrait permettre de reconstituer les opérations effectuées.

Dans un cadre légal et transparent, une telle demande d’accès serait essentielle pour faire toute la lumière sur les pratiques de surveillance en place.

Quels sont les risques que des hackers ou des gouvernements étrangers aient eux aussi pu exploiter ce système de surveillance ?
Ce risque est réel surtout si lesdites stations de surveillance étaient mal protégées en matière de cyberdéfense. On peut alors penser à des : 

• Piratages des serveurs gouvernementaux contenant les données interceptées.
• Réutilisations des outils par d’autres pays, hackers internationaux au détriment des Mauriciens.
• Fuites de données massives pouvant être exploitées pour du chantage ou de la désinformation.

L’arrêt de la surveillance est-il réellement garanti ?
Non. Une fois qu’un système de surveillance de masse est en place, il peut être réactivé à tout moment sous un autre prétexte et à n’importe quel moment.

Ne faudrait-il pas renforcer la cybersécurité nationale pour éviter de telles dérives ?
Oui, c’est une nécessité absolue. Le PM a lui-même évoqué l’utilisation des caméras Huawei Safe City contre certains opposants politiques, ce qui soulève des préoccupations majeures en matière de cybersurveillance et de respect des libertés individuelles. Huawei Safe City Solutions est une plateforme de surveillance de masse intégrant l’analyse des réseaux mobiles, la reconnaissance faciale, l’intelligence artificielle (IA) et l’analyse des métadonnées. Officiellement conçue pour améliorer la sécurité publique et la gestion urbaine, elle présente des risques évidents de dérives, notamment en matière de surveillance illégitime, de répression politique et de violations des droits fondamentaux.

L’opacité entourant ces infrastructures de surveillance en général nécessite un audit indépendant et rigoureux pour garantir que leur utilisation respecte un cadre légal strict et ne puisse pas être détournée à des fins politiques ou abusives.

Actuellement, le National Cybersecurity Committee, tel que prévu par le Cybersecurity and Cybercrime Act 2021, ne fonctionne pas correctement en raison d’un manque de ressources humaines et techniques. Bien que cette loi impose des audits de cybersécurité sur les infrastructures critiques, aucun organisme structuré et indépendant n’existe réellement pour s’assurer de leur mise en œuvre effective.

À titre de comparaison, des régulateurs comme la Bank of Mauritius (BoM) et la Financial Services Commission (FSC) imposent des audits de cybersécurité aux banques et aux sociétés de gestion par des auditeurs reconnus. Pourquoi un cadre aussi rigoureux n’existe-t-il pas pour la cybersécurité nationale, qui impacte directement la souveraineté et la protection des citoyens ?
Pour restaurer la confiance du public et garantir un contrôle démocratique des infrastructures de surveillance, il est impératif de réviser la législation en cybersécurité et de mettre en place une Cybersecurity Authority indépendante dotée des ressources et des pouvoirs nécessaires pour :

• Superviser les audits de cybersécurité des infrastructures critiques.
• S’assurer de la transparence dans l’utilisation des technologies de surveillance.
• Protéger les citoyens contre les abus potentiels de surveillance de masse.
• S’assurer que la liberté des Mauriciens est préservée
• S’assurer que le pays est bien protégé contre les hackers et autres cyberattaques.

Un État moderne ne peut pas ignorer les implications d’une cybersécurité défaillante. Il est temps d’agir avant que ces dérives ne deviennent systémiques et irréversibles.