Mise à jour de la base de données, veuillez patienter...

Il faut parfois prendre le temps de l’analyse. Parler de surveillance globale, c’est intéressant. Reflets le fait depuis 2011 avec par exemple l’interview sur Techtoc.tv de Thibaut Bechetoille, PDG de Qosmos. C’était bien avant les révélations Snowden. Nous avions poursuivi avec la révélation de la vente d’un système Eagle à la Libye, sujet largement traité dans la presse par la suite. Les récents articles réalisés en partenariat avec Mediapart sur Qosmos donnent une vision plus large de ce qu’est ce marché français de la surveillance globale, du DPI, cette technologie au cœur des systèmes d’écoute de la NSA révélés par les documents d’Edward Snowden. La série entamée sur Qosmos montre également les liens très étroits entre ce secteur et celui du renseignement d’Etat. La DGSE et Qosmos sont étroitement liés, notamment via une « business unit », la BUK. Maintenant prenons un peu de recul. Nos articles ou ceux de Glenn Greenwald ont-il changé quelque chose ? Une question pas inintéressante au moment où Atos annonce le rachat de Bull.

Bien entendu, le grand public a désormais une meilleure vision de ce qu’est la surveillance globale. Pour autant, les politiques se sont-ils emparés de ce sujet ? Ont-il forcé les entreprises et les gouvernements à stopper ce mouvement de construction d’une société panoptique ? Les entreprises publiques on-t-elles mis un terme à leurs relations commerciales avec ces sociétés spécialisées dans l’écoute ? la BUK a-t-elle été dissoute chez Qosmos ?

Nous avions déjà écrit un article titré « #Amesys : business as usual ». C’était avant Snowden. C’était avant que Le Monde ne parle d’un projet franco-français d’écoute globale. Alors, aujourd’hui, est-ce mieux ? Avons nous suffisamment ouvert les yeux gouvernementaux, des « représentants du peuple » ?

Nous allons laisser de côté Qosmos l’espace d’un article et revenir sur la galaxie Amesys. Les entreprises publiques, les émanations étatiques (l’Armée par exemple) ont-elles mis un terme à leurs relations commerciales avec cette galaxie, dont on sait désormais sans aucun doute qu’elle a vendu un système d’écoute global à la Libye de Kadhafi ? Mieux, elle avait comme interlocuteur Abdallah Senoussi, beau frère du guide suprême, mais aussi, condamné en France pour terrorisme, en raison de son rôle dans l’attentat du DC-10 d’UTA. Une galaxie de sociétés dont on sait maintenant que leurs produits ont aidé les bourreaux à mieux torturer… Le pays auto-proclamé des Droits de l’Homme a-t-il mis fin à son commerce avec cette galaxie ?

Pas vraiment.

En 2013 et 2014, Thales, comme toujours, continue de commander chez Elexo. Cassidian également. Tout comme Safran Turbomeca ou MBDA, Zodiac Data Systems, Astrium, Orange, TCS, Accor, BNP, Alstom, Infineon, Airbus, Dassault, Latecoere, Amadeus, Altran, le CEA, Cap Gemini, Pages Jaunes…

Bull apar ailleurs « vendu » son activité Eagle d’Amesys à … AMESys (Advanced Middle East Systems) pour sortir du périmètre immédiat, ce « boulet » en termes d’image, de son giron. Mais continue à vendre des solutions via sa division « Data Management ». Selon les documents que Reflets s’est procurés, il s’agit, selon leurs mots de : « Electronic warfare, intelligence products, solutions and safety, solutions for critical infrastructures (enterprises and governments) ». Chez Amesys Conseil, par exemple, ce sont deux personnes, Stéphane Sabatier et Miguel Fernandez, qui étaient en charge de l’Electronic Warfare.

Bref…

Il faut bien le dire, si tout le monde est prêt à s’offusquer de toutes ces activités particulièrement nuisibles aux Droits de l’Homme, rien ne change. Les politiques de droite comme de gauche continuent de couvrir ces activités, refusent de répondre aux journalistes qui les interrogent. Les patrons d’entreprises continuent leur business avec ces sociétés impliquées dans des ventes d’armes visant à écouter les populations (Relisez l’article 12 de la Déclaration universelle des Droits de l’Homme).

 

Ce matin, à ma table de petit déjeuner, il y avait un type, sourire ultra-brite, mais avec une sorte de sale tronche, un truc dissonant dans le visage. Je ne m’attendais pas à trouver un inconnu dans ma cuisine…

« Bonjour !« , me lance-t-il. « C’est le FN qui s’invite pour le petit déjeuner… »

« Mais enfin, je ne vous ai pas invité ! »

« Mais si, vous m’avez invité. Et plein de gens m’ont invité« , me répond l’intrus.

Je veux bien que l’âge me fasse un peu perdre la mémoire mais tout de même, je sais bien, moi que je n’ai jamais invité quelqu’un d’extrême-droite chez moi…

Pendant qu’il mangeait comme un goinfre toutes mes réserves de muffins, de confiture et de café, je m’interrogeais. Comment est-ce possible ? Comment faire pour le faire partir ?

Et voilà qu’entre dans ma cuisine un certain monsieur Bonneconscience Petitspartis.

« Non mais ça ne va pas les mecs ? C’est quoi ici ? Un hall de gare ? »

« Je suis juste venu prendre un café et vous dire que vous êtes responsable de la présence de ce monsieur dans votre cuisine. C’est de votre faute ! Vous auriez du vous mobiliser. Il y a des alternatives ! Vous auriez dû m’inviter moi ! »

J’avoue qu’à ce stade, le doute commençait à m’habiter. Ils sont cons ou juste mal élevés ? Je n’ai invité personne, je ne voulais inviter personne, je ne veux toujours inviter personne. Est-ce que le fait de ne vouloir inviter personne et de ne pas l’avoir fait m’interdit de dire que je ne veux pas de monsieur Ultra-brite dans ma cuisine ?

Soudain, un détail qui m’avait échappé se révéla. monsieur Bonneconscience Petitspartis avait le même sourire. Pas un truc qui ressemblait à celui du monsieur du FN, non juste LE MÊME. Identique.

Drrriiiiiiiing-Drrriiiiiiiing-Drrriiiiiiiing-Drrriiiiiiiing…

Tiens, mon réveil… Ce n’était donc qu’un cauchemar…

Purée… Un bon café pour oublier cette horreur !

Sur le seuil de ma cuisine, je m’arrête stupéfait. Il y a une dizaine de types avec un sourire ultra-brite assis autour de la table en train de bâfrer…

Hier, un internaute nous faisait remarquer une curiosité sur l’un des sites web réalisés par Bygmalion, il s’agissait à coup sûr d’un serveur de test. Une curiosité, le mot est faible pour qualifier l’inimaginable. Il s’agit d’un site d’un salon professionnel qui était destiné à manipuler une masse conséquente de données personnelles puisque ce genre de site est principalement destiné à l’inscription des participants et des visiteurs.

Quand on réalise ce type de site web, nous l’avons dit et répété, on évite de faire appel à un développeur inexpérimenté que l’on facture probablement au prix fort au client. D’ailleurs on évite tout simplement de s’adresser à une agence de communication. Est-ce que vous iriez acheter votre pain chez le garagiste vous ? Malheureusement, cette pratique, est comme nous allons le voir assez courante.

Hébergé sur un sous domaine de Bygmalion.net, l’application web révélait dans son code source une expression régulière visant à vérifier les adresses emails des personnes souhaitant s’inscrire à l’événement. Jusque là, rien d’anormal, la « sanitization » est une bonne pratique. ce qui l’est beaucoup moins en revanche, c’est l’utilisation d’expressions régulières d’un autre temps qui piquent les yeux. Les développeurs auront tout de suite compris que la bonne pratique aurait été d’utiliser un :

filter_var

… à la place de cette horreur :

On sent tout de suite qu’il y a quelque chose qui ne tourne pas rond. Mais le plus grave n’est pas là. C’est quand on examine les 5 premières lignes qu’on se dit que non… ce n’est pas possible que ceci ait été codé par un développeur qualifié. Car en dur dans le code, on découvre une fonction mysql_connect qui révèle, en clair, l’adresse du serveur de base de données, l’identifiant et le mot de passe du serveur destiné à collecter les données entrées par les visiteurs. Tout ça dans le code d’une page html, sans la moindre volonté de dissimuler quoi que ce soit.

C’est exactement comme si vous partiez en vacances en laissant les clés non pas sous le paillasson, mais sur le paillasson.

Mais la rigolade ne s’arrête pas là. Des internautes se demandant d’où peut bien provenir ce code d’une autre planète, ont en quelques recherches, trouvé d’où il provenait.

Tenez vous bien…

Ce code a été initialement soumis sur Stackoverflow, un site web communautaire d’entraide pour développeurs. Ce code est d’ailleurs corrigé par une réponse d’un contributeur un peu en dessous qui explique bien que le langage PHP a une fonction dédiée à la validation et le nettoyage du code.

Mais visiblement, le développeur oeuvrant pour Bygmalion s’est arrêté au code défectueux et n’a pas pris soin de lire la correction, et encore moins d’apprendre à développer. Ce code est tout simplement un copier collé d’une énormité. Outre le fait que l’on se demande si cette affreuse chose a été facturée au client final, on a tout de suite envie de lui demander « combien », juste histoire de voir si les grilles tarifaires pratiquées pour l’UMP sont comparables.

Voyons maintenant le bon côté des choses : au final, on ne peut que se satisfaire que Bygmalion ait pu facturer à l’UMP des meetings imaginaires, car on peut légitimement se demander ce qu’il serait advenu des données personnelles des participants à ces meetings si ce genre de code avait servi à leur inscription.

Petit rappel à toutes fins utiles, ce n’est pas parce que les clés sont sur le paillasson, que vous êtes invités à pénétrer. Toute tentative de connexion à cette base de données relèverait de l’infraction pénale qualifiant l’intrusion et le maintien frauduleux dans un système de traitement automatisé de données.

Ceci est l’article le plus court, et peut-être le plus inutile (ou pas) de l’histoire de Reflets :

Si les activités de Qosmos ont été dévoilées à l’occasion d’un contrat avec la Syrie, le leader français du DPI a bien d’autres clients peu scrupuleux du respect des Droits de l’Homme et travaillant, par exemple, avec l’Iran ou Barheïn. Pour ce troisième volet de notre enquête, Mediapart et Reflets ont notamment eu accès au “Protobook” de la société, c’est-à-dire le catalogue listant toutes les options d’interception proposées à ses clients.

L’ouverture d’une information judiciaire sur le projet Asfador, prévoyant d’équiper la Syrie de Bachar al-Assad d’un dispositif de surveillance global du pays, est-elle due aux erreurs de communication de la société Qosmos ? Ou cette affaire n’est-elle finalement que l’arbre qui cache la forêt, la partie émergée de l’iceberg des activités du spécialiste français du Deep Packet Inspection (DPI) ?

Le conflit entre Qosmos et un de ses anciens salariés devenu lanceur d’alerte, et la stratégie particulièrement agressive choisie par la société pour le réduire au silence, ont conduit à braquer les projecteurs sur un seul de ses nombreux contrats. Or, selon nos informations, la Syrie n’est qu’un des nombreux pays où les produits de Qosmos ont été installés. Et parmi ses clients, figurent des sociétés très peu soucieuses des Droits de l’Homme et ayant vendu des solutions d’interception des communications dans plusieurs dictatures telles que l’Iran ou Bahreïn.

Comme nous le rappelions dans les précédents volets de notre enquête, l’utilisation du Deep Packet Inspection, une technologie permettant d’inspecter « en profondeur » les informations circulant sur le réseau, a très tôt inquiété les experts en raison de ses applications potentielles en matière de surveillance. Et dès mois de janvier 2011, le PDG de Qosmos lui-même, Thibaut Bechetoille, était interpellé par Reflets, sur l’utilisation faite par les clients de ses produits et sur sa responsabilité morale.

Mais il a fallu l’intervention de James Dune, à l’époque « responsable du service documentation technique » au sein de Qosmos, pour que ce débat devienne public et pour que son employeur se retrouve sur le banc des accusés.

Entré chez Qosmos en 2005, James Dune était chargé de traduire en anglais les documentations techniques des produits. Salarié bien noté par ses supérieurs, il vit cependant de plus en plus mal le virage que prend la société à partir de 2007, quand celle-ci se spécialise dans le DPI pour un usage « d’interception légale » et commence à travailler avec divers services de renseignement. Il exprime tout d’abord ses doutes en interne, puis publiquement.

Au début de l’année 2011, il tombe sur des articles particulièrement critiques sur le Deep Packet Inspection et commence à s’exprimer de plus en plus ouvertement. Ceux-ci sont confirmés en fin d’année, par la révélation de la participation de la société, via l’entreprise allemande Utimaco, au projet Asfador prévoyant de vendre un système de surveillance au régime syrien de Bachar al-Assad.

James Dune se transforme alors en lanceur d’alerte, s’exprimant notamment sur son blog, hébergé sur Mediapart, et dans des commentaires. Des médias commencent à prendre au sérieux ses propos, à l’interviewer et à enquêter. Ces différentes révélations et articles conduiront la Fédération internationale des ligues des Droits de l’Homme (FIDH) et la Ligue des Droits de l’Homme (LDH) à envoyer au procureur de la République une lettre de dénonciation qui débouchera sur l’ouverture de l’information judiciaire du mois d’avril 2014.

Face à la tourmente, Qosmos s’est lancée dans une contre-attaque à la fois juridique et médiatique particulièrement agressive (voir l’opération de communication de Qosmos en dessous de cet article). Licencié fin 2012, James Dune a également fait l’objet d’une plainte pour diffamation, tout comme la chaîne de télévision France 24 et le quotidien Le Parisien qui avaient repris ses propos. La LDH et la FIDH ont quant à elles eu droit à une plainte pour « dénonciation calomnieuse ».

Depuis, les dirigeants de Qosmos martèlent le même message : ils n’avaient aucune connaissance du client final, à savoir la Syrie et, de toutes manières, leur matériel n’a jamais été « opérationnel ». Des affirmations déjà remises en cause dans le premier volet de notre enquête. Pour le reste, Qosmos se serait retiré du marché de « l’interception légale » au cours de l’année 2012 et se concentrerait sur celui de la mesure d’audience et de l’optimisation du réseau. Ces deux dernières activités sont en effet des applications potentielles du DPI.

Mais voilà, cette vision des activités de Qomos ne correspond qu’en partie au Protobook, une sorte de catalogue interne listant les protocoles que les sondes de la société sont capables de capter, dont Mediapart et Reflets ont pu consulter une version datant de l’année 2013.

Quoi qu’en dise Thibaut Bechetoille et les gouvernements qui se sont succédé depuis l’ère Sarkozy jusqu’à aujourd’hui, les technologies développées par Qosmos ont un but évident : la surveillance globale. Pas celui de la mesure d’audience ou de l’optimisation réseau. Ni même de la simple « cybersécurité ».

Pour s’en convaincre, il suffirait que le patron de Qosmos regarde de plus près le Protobook, ou « livre des protocoles » surveillés par les sondes et que la société tient à jour. Il se rendrait compte que la majorité des protocoles surveillés n’ont rien à voir avec la mesure d’audience.

Les données interceptées, comme souvent le nom de l’utilisateur, son mot de passe ou les contenus échangés sont bien plus utiles à un surveillant qu’à une entreprise qui mesurerait le nombre de visiteurs sur des sites Web…

Le Protobook : ce que Qosmos est capable de faire

Pour aller dans le sens de Thibaut Bechetoille, et se faire l’avocat du diable, chacun comprendrait qu’une entreprise, par exemple, décide que ses employés ne peuvent pas passer trop de temps sur leurs comptes Facebook personnels pour y poster des photos de chats, ou « liker » les posts de leurs camarades de promo. Les sondes de Qosmos peuvent éventuellement remplir ce rôle. Pour autant, c’est normalement un rôle que remplit très bien un firewall classique, par exemple.

Pour ce faire, les développeurs de Qosmos vont intégrer aux sondes une adresse qui déclenchera des actions. Par exemple, www.facebook.com engendrera une alerte, sera filtré, interdit, etc. Jusque-là, tout va bien. Nous sommes dans ce cas de figure imaginaire, dans une utilisation plus ou moins neutre (en terme de vie privée et de données personnelles) du DPI. Sauf que le Protobook de Qosmos indique tout ce que la sonde va disséquer pour Facebook.

Et là, tout commence à aller mal. Parce que l’on n’est ni dans la mesure d’audience, ni dans l’optimisation réseau. Ainsi, les sondes Qosmos, pour ce qui est de Facebook, vont récupérer (en vrac et sans être exhaustif) l’identifiant de l’utilisateur, son mot de passe (inutile s’il est chiffré, mais cette problématique peut être aisément contournée, surtout dans un pays comme la Syrie), les actions qu’il effectue, le fait que l’accès à Facebook ait été fait via un téléphone mobile, le prénom et le nom de l’utilisateur qui se connecte, le contenu des messages instantanés, les requêtes envoyées au moteur de recherche de Facebook, le sexe du destinataire d’un message instantané, son identifiant (idem pour celui qui l’envoie), le contenu d’une mise à jour du statut…

Qosmos pourrait arguer que puisque l’on regarde si l’accès est fait depuis un portable ou pas, c’est bien que l’on fait de la mesure d’audience. Imaginons une chaîne de télévision qui voudrait savoir si l’accès à sa page Facebook vient d’un téléphone ou d’un PC…

Oui… Mais non.

D’une part, dans ce cas, elle n’a pas à connaître l’identifiant et le mot de passe ou le contenu des messages instantanés de ceux qui viennent voir sa page ; d’autre part, elle ne peut pas positionner cette sonde Qosmos à un endroit stratégique, c’est-à-dire chez Facebook, ou encore moins chez un fournisseur d’accès à Internet. Bref, elle n’a pas l’usage d’un tel produit.

Dans un cadre juridique français, il n’y a, en fait, pas de cas d’usage juridiquement acceptable par un tribunal d’une sonde qui intercepterait et stockerait de telles informations. Sauf, bien entendu, dans le cadre d’écoutes « légales » opérées par la Justice.

Pour ce qui est des webmails, les sondes Qosmos repèrent bien entendu Gmail, La Poste, Hotmail et Live, Mail.ru, Orange, OWA (Microsoft) Squirrelmail, etc.

Dans le détail, et c’est intéressant pour des opposants politiques dans des pays fâchés avec les Droits de l’Homme, Qosmos ou ses clients peuvent savoir si un message Gmail « vient d’être lu ou composé », le « contenu d’un fichier joint », « l’adresse email du contact », le « contenu d’un message », « l’adresse IP de l’auteur du message », « l’adresse complète du destinataire du courriel (y compris les destinataires en CC ou Bcc) » et quelques détails encore.

Mais ce qui intéressera le plus ceux qui souhaitent passer sous les radars est le champ qui indique si un message « est un brouillon ou est réellement envoyé ». Nombre de défenseurs du droit à la vie privée ou d’ONG qui pensent aider les opposants à ne pas être repérés, conseillent en effet de composer des « brouillons » dans des boîtes mails partagées avec leurs correspondants. Le mail ne circulant pas, ils pensent ne pas être repérés. Le champ « Adresse IP actuelle de l’autre utilisateur du compte » surveillé par les sondes, laisse penser que Qosmos essaye d’ailleurs de repérer un éventuel deuxième utilisateur du compte.

Le Protobook ne donne donc pas que des indications sur des sites à surveiller pour la « mesure d’audience », façon Qosmos.
Pour ce qui est de la mesure d’audience, il convient d’ailleurs de noter que Youporn, site de partage de vidéos pornographiques le plus populaire, par exemple, puisque ce site est susceptible d’être surveillé par les sondes Qosmos, dispose déjà de toutes les statistiques détaillées sur ses utilisateurs et n’a sans doute pas besoin de Qosmos pour connaître les goûts de ses visiteurs…

Il y a bien d’autres usages d’Internet qui n’ont absolument rien à voir avec la mesure d’audience ou l’optimisation réseau. Des usages qui intéressent les services d’espionnage ou les dictateurs.

Car ces usages vont permettre de tout savoir sur une personne et ses contacts. Un vrai plus pour un dictateur. Cela permet notamment de repérer plus facilement un journaliste, un blogueur, un citoyen qui uploade sur Internet ses vidéos dérangeantes pour le pouvoir en place.

Or, et c’est bien pratique, tous ces usages sont au cœur du Protobook.

C’est le cas de Telnet, FTP, SSH (pour se connecter à une machine distante), SNMP (pour l’administration réseau) l’Appstore ou iCloud d’Apple, Google Play (Android), SSL, Tor (pour le trafic chiffré), SAP (pour les ERP), rsync (pour les synchronisations), Linkedin, IMAP, SMTP, POP, LotusNotes, etc. Pour les mails, Qosmos récupère bien entendu les identifiants et mots de passe des comptes mails.

Autre sujet troublant pour les techniciens à qui le Protobook a été soumis, les sondes Qosmos sont également actives dans le domaine de la téléphonie mobile. Elles savent capter les SMS et les messages multimédias.

Plus inquiétant encore pour les opposants politiques, les sondes Qosmos savent reconnaître le protocole GTP version 2 et en ressortir la substantifique moelle. Pour faire simple, GTP est un protocole utilisé pour véhiculer sur les réseaux de téléphonie mobile les protocoles Internet classiques.

Dans certains pays du Proche et Moyen-Orient, la connexion Internet est souvent réalisée par GSM et il est impératif, si l’on souhaite écouter la population, de surveiller cela aussi.

Huawei, Trovicor : les autres clients gênants

Ces particularités des sondes de Qosmos n’intéressaient probablement pas que la Syrie. Jusqu’à présent, dans ce dossier, la société s’est réfugiée derrière le fait qu’elle n’avait pas passé un contrat direct avec le régime de Bachard al-Assad mais avec la société allemande spécialisée dans la surveillance, Utimaco, elle-même sous-traitante de la société italienne Area Spa. Il n’existe aucun contrat, et donc aucune trace de résiliation, du projet dit Asfador vendu à Damas, celui-ci ayant été réalisé au sein d’un accord cadre. Interrogé par Mediapart et Reflets, Qosmos a refusé de répondre à la question de savoir si elle avait mené d’autres projets avec Utimaco.

La question n’est pourtant pas anodine. En effet, comme nous le révélions dans la première partie de cette enquête, des documents internes montrent que Qomos a continué à mettre à la disposition d’Utimaco des mises à jour de ses produits. Or Utimaco est une société pour le moins sulfureuse, elle-même mise en cause pour avoir vendu des solutions d’interception à d’autres dictatures.

Au mois de décembre 2012, Reuters publie une enquête révélant « comment des sociétés étrangères ont essayé de vendre du matériel d’espionnage à l’Iran ». L’agence de presse affirme avoir pu consulter un document dans lequel un partenaire de Huawei a proposé une « solution d’interception légale » à MobinNet, le principal opérateur iranien.

Le système proposé doit « supporter les exigences spéciales des agences de sécurité visant à surveiller en temps réel les communications entre usagers ».

Huawei avait fourni à MobinNet une présentation PowerPoint décrivant la technologie proposée : le Deep Packet Inspection.

Dans la présentation transmise à MobinNet, Huawei donne plusieurs exemples d’application par d’anciens clients. Son système aurait notamment été utilisé lors des Jeux olympiques de Beijing de 2008 pour « bloquer » des services téléphoniques illégaux, filtrer l’accès à certains sites internet et mener « une analyse du comportement des utilisateurs ».

Mais surtout, les documents consultés par Reuters stipulent que le produit proposé par Huawei intègre la technologie de la fameuse société allemande Utimaco. Il est même précisé que la solution proposée par Huawei a « déjà été intégrée avec succès », en partenariat avec Utimaco et que cela a permis d’accumuler « une riche expérience d’intégration, qui sera partagée ».

De son côté, Utimaco a démenti avoir traité directement avec Huawei ou MobinNet. Mais l’existence d’un précédent contrat a bien été confirmée par l’un des responsables de la société, Malte Pollmann. En 2006, UItimaco a bien vendu ses logiciels à la filiale allemande de Nokia afin d’équiper MTN Irancell, le second opérateur mobile du pays.

Or, selon nos informations, Qosmos a bien mené avec Utimaco d’autres projets qu’Asfador. Et l’un d’entre-eux a pour nom… Huawei.

Selon les documents que nous avons pu consulter, le but de ce projet était notamment d’équiper ce client d’une sonde traitant le protocole MSRP, c’est-à-dire les messages instantanés et/ou les messages multimédias sur les réseaux GSM…

Le monde de la surveillance et des télécoms étant particulièrement petit, Qosmos a également eu comme client… Nokia. La firme Nokia Siemens Network (NSN) est même l’un des clients historiques de Qomos, après que la société a décidé de se spécialiser dans le DPI, à partir de 2007/2008. Selon des documents que nous avons pu consulter, jusqu’à au moins fin 2012, Qosmos a livré des solutions d’interception légale à la société et plus particulièrement à l’une de ses filiales spécialisée dans la surveillance électronique : Trovicor Gmbh.

Or, cette société, basée à Munich en Allemagne, n’a rien à envier à Utimaco en terme de mauvaise réputation auprès des associations de défense des Droits de l’Homme.

Selon un rapport de l’Electronic Frontier Foundation de février 2012, Trovicor aurait notamment vendu ses solutions d’espionnage à pas moins de 12 pays du Moyen-Orient d’Afrique du Nord. Le 24 août 2011, Bloomberg racontait ainsi comment « la torture au Barhein est devenue une routine avec l’aide de Nokia Siemens » via Trovicor.

Dans son enquête, l’agence cite le cas d’un militant des Droits de l’Homme, Abdul Ghani Al Khanjar, qui a été arrêté et torturé par des policiers disposant des retranscription de ses SMS et conversations téléphoniques. Les services de sécurité avaient réussi à intercepter ses communications grâce à « un équipement d’espionnage » vendu par Siemens AG et entretenu par Nokia Siemens Networks via Trovicor, affirmait Bloomberg citant plusieurs sources internes et un responsables de Nokia Siemens.

Parmi les clients de Qosmos peu regardants sur les Droits de l’Homme, on peut également citer la police de Macau ou encore Al Fahad, une autre entreprise spécialisée dans le « Homeland security », et particulièrement, la surveillance électronique. Cette société, basée à Dubaï, est également cliente d’Amesys.

Il est en tous cas certain que, au cours des années 2010/2011, Qosmos a été particulièrement active au Moyen et Proche-Orient, multipliant les démarchages via des conférences et des salons. Comme en témoigne cette plaquette datant du mois de février 2011, pour une conférence organisée à Dubai sur « les systèmes d’aide au renseignement pour l’interception légale, les investigations criminelles et la collecte d’informations ». Les plus grands noms de la surveillance du net étaient présents : Trovicor, Utimaco, Al Fahad et bien sûr Qosmos, qui assure pas moins de cinq conférences, ateliers ou démonstrations.

Contacté par Mediapart et Reflets, la direction de Qosmos a une nouvelle fois refusé de répondre à nos questions.

Mais, concernant ces éventuels contrats, se pose une nouvelle fois la question du rôle du gouvernement français. Comme nous le soulignions dans le deuxième volet de cette enquête, l’État français est en effet à la fois actionnaire, via le Fonds stratégique d’investissement (FSI), et client, via les services de renseignement, de Qosmos. Le principal produit d’interception proposé par Qosmos, le ixMachine-LI, a en outre également fait l’objet d’une autorisation, délivrée par le premier ministre lui-même. Interrogé sur la procédure ayant conduit à cette validation, et sur son éventuelle connaissance des différents clients de Qosmos, les services de Manuel Valls ont une nouvelle fois refusé de répondre à nos questions.

---

 

Encadré

L’agence de communication Clai, à la manoeuvre

La stratégie de communication de Qomos consistant à dire que l’entreprise s’est retirée du projet Asfador en découvrant à quoi allaient servir ses sondes et à marteler qu’elles n’ont jamais été « opérationnelles » a été enrayée par un grain de sable nommé James Dune. Cet ancien salarié a été chargé, de 2005 à 2012, de traduire et rédiger la documentation des produits fournis par Qosmos.

Mais, à partir de 2011, face à la multiplication des révélations dans la presse, il est pris d’une crise de conscience. Il commence tout d’abord par s’interroger, en interne, sur la destination et l’utilisation finale des « briques technologiques » qu’il documente à longueur de journée. Puis, il commence à exprimer des doutes sur sur son blog, hébergé par Mediapart, ainsi que dans des commentaires.

Cette démarche fait suite à des interrogations en interne qui n’ont trouvé aucune réponse satisfaisante de la part de la direction de l’entreprise. Celle-ci reste vague face aux questions précises. Parfois, même, elle nie travailler pour des régimes non démocratiques.

Ses craintes sont pourtant confirmées lorsque, au mois de juillet 2012, la FIDH et la LDH adressent au parquet de Paris une lettre de dénonciation de Qosmos pour complicité d’actes de torture. James Dune s’exprime alors ouvertement dans plusieurs médias. Il tient également un blog sur Mediapart qui offre un témoignage d’insider sur cette entreprise “hors normes”, habilitée secret défense, aux activités multiples, se voulant porteuse d’une brique technologique qu’elle offre clés en main à d’autres sociétés pour des usages très divers, allant de la surveillance de masse à la mesure d’audience, en passant par la détection de virus informatiques et à la prévention de fuites de données ou d’intrusions.

Les sorties médiatiques de James Dune deviennent vite insupportables pour son employeur. Licencié quelques mois plus tard, il a depuis attaqué son ex-employeur devant le conseil des prud’hommes. Qosmos, de son côté, s’est lancée dans une stratégie de communication basée sur l’agressivité, attaquant en diffamation son ancien salarié et les différents médias ayant relayé ses propos. La LDH et la FIDH, elles, ont eu droit à une plainte pour « dénonciation calomnieuse ».

Dépassée par l’ampleur médiatique que prend la polémique autour du DPI, Qosmos décide finalement de faire appel à une agence de communication pour se lancer dans une grande opération de whitewashing visant à faire oublier une image de marque fortement dégradée par l’affaire Asfador et par les multiples déclarations de James Dune. Elle s’adjoint pour cela les services du cabinet de conseil en stratégie de communication corporate et institutionnelle Clai. Cette agence dont l’une des spécialités est justement le repositionnement de l’image écornée d’une entreprise, a été fondée par Éric Giuily, ancien président de Publicis Consultants, ancien directeur général de France 2, ancien directeur général de l’AFP. Bref, un communicant qui connaît très bien le milieu de la presse.

Clai a donc entrepris de contacter un par un une série de journalistes et d’organiser des rendez-vous en tête-à-tête avec Thibaut Bechetoille, PDG de Qosmos. Deux angles d’attaques étaient particulièrement prégnants lors de ces rendez-vous. D’une part, James Dune est un fou qu’il faudrait enfermer. Et de l’autre, Qosmos ne fait pas du Deep Packet Inspection pour écouter tout un pays, mais de la « mesure d’audience » et de « l’optimisation réseau ».

Bref, Qosmos fait pour les journalistes le contraire de ce qu’il écrit dans ses brochures : de l’interception « à l’échelle d’un pays ».

Fin 2013, Qosmos, avec l’aide active du cabinet Clai, invite donc une série de journalistes pour des rencontres en face-à-face avec Thibaut Bechetoille.

Pas de chance, Clai affecte principalement à la crise Qosmos des « juniors ». Cela se verra lors des réunions avec les journalistes.

À l’un, Clai souhaite interdire que soit publié le chiffre d’affaires de Qosmos, pourtant public sur Societe.com.

À un autre, Clai, avec un air de commisération, tente d’expliquer le DPI. Un sujet forcément incompréhensible pour un journaliste. Et ce n’est pas triste : « Alors le DPI, c’est comme une autoroute, avec des camions rouges et des camions verts »…

Lors de ces réunions, James Dune est parfois un sujet à part entière. Bluetouff et Fabrice Epelboin, journalistes du site Reflets.info et auteurs de la fameuse interview sur Techtoc.tv, seront également cités… Ces gens-là ne racontent que des bêtises… Thibaut Bechetoille n’a visiblement pas oublié l’interview de février 2011… Les « bêtises » de Bluetouff et Fabrice Epelboin étaient pourtant assez prémonitoires.

Lors de l’un de ces rendez-vous avec des journalistes, à Paris, en octobre 2013, Thibaut Bechetoille se met à crier dans le café où il reçoit les journalistes, « ce James Dune est fou à lier, il faut l’enfermer ! ». C’est la personne mandatée par Clai qui lui tape sur l’épaule pour le calmer.

Il y a dans cet épisode une sorte de révélateur. Qosmos est le “bébé” de Thibaut Bechetoille. Cette plainte pour complicité de torture le touche personnellement. Il a perdu la nécessaire et habituelle distanciation qu’affectent généralement les grands dirigeants d’entreprise pris dans la tourmente d’une crise d’image. Qosmos reste une petite PME avec moins de 100 salariés, pas une multinationale.

La radicalisation de leurs relations avec James Dune de la part du PDG Thibaut Bechetoille et de Anh Nguyen-Phuoc, son supérieur hiérarchique, les conditions de son licenciement (James Dune a publié sa lettre de licenciement sur son blog), montrent que dès le départ, Qosmos a créé les conditions d’un affrontement duquel son image ne pouvait que ressortir dégradée. Radicaliser sa relation avec un salarié dont on souhaite se séparer, au lieu de trouver un accord amiable, ne peut mener qu’à un affrontement qui, une fois public, pose problème pour une entreprise, surtout si le salarié était à un poste-clef pour observer la vie de la société.

L’intérêt de la presse et de la justice pour Qosmos a visiblement mis une pression insoutenable sur les épaules de Thibaut Bechetoille, qui finit par lâcher, le regard noir, à un journaliste : « Vivement que l’on soit vendu à une boîte de la Silicon valley. » Ce qui plaira sans doute à Arnaud Montebourg, après le décret visant à interdire à des sociétés étrangères de reprendre des entreprises françaises sensibles. Un vrai cas d’école…

 

Lire les deux épisodes précédents de cette enquête :

Surveillance: enquête sur Qosmos, le fournisseur de sondes à la Syrie d’al-Assad

Qosmos : du projet universitaire aux activités « secret-défense »