WikiLeaks révèle, dans des documents, que l’agence américaine a développé, à la fin des années 2000, un «cheval de Troie» afin de pirater l’outil qu’elle fournissait à ses partenaires étrangers.
Un adage en vogue dans les milieux du renseignement veut qu’en matière d’espionnage, on n’ait pas d’alliés, seulement des intérêts. De nouveaux documents internes à la CIA publiés le 24 août par WikiLeaks, et auxquels Libération, Mediapart et le quotidien italien la Repubblica ont eu accès, révèlent qu’à la fin des années 2000, la CIA, chargée du renseignement extérieur américain, avait développé un logiciel espion afin de pirater le système de collecte d’informations biométriques (empreintes digitales, voire de l’iris) qu’elle fournissait à ses… partenaires.
L’intérêt de l’agence américaine pour ce type de données est déjà largement documenté. En 2010, l’organisation de Julian Assange rendait public un câble diplomatique américain de juillet 2009, adressé à une trentaine d’ambassades et de consulats ainsi qu’à la CIA, à propos de la nouvelle directive nationale en matière de renseignement dit de «source humaine», c’est-à-dire collecté par des personnes physiques. Ce texte enjoignait les officiers traitants de l’agence à recueillir autant d’informations que possible au sujet des diplomates travaillant aux Nations unies : de leurs horaires de travail à leurs mots de passe et clés de chiffrement personnelles, en passant par leurs numéros de carte bancaire, ou leurs numéros de membre des programmes de fidélité dans les compagnies aériennes.
Empreintes digitales et rétiniennes
Mais ce qui choqua le plus l’opinion publique fut de découvrir qu’il était également demandé aux espions américains de recueillir les identifiants biométriques de nombreux diplomates haut placés. Etaient ainsi visés non seulement les diplomates nord-coréens, chinois, cubains, indiens, pakistanais, soudanais, syriens… mais aussi et surtout les représentants permanents des autres pays membres du Conseil de sécurité (Chine, France, Royaume-Uni, Russie). Egalement ciblés, les «responsables clefs» de l’ONU et leurs sous-secrétaires, et les responsables et conseillers des agences spécialisées, des opérations de maintien de la paix et des missions politiques, «y compris les commandants militaires». Ou encore les «interlocuteurs clefs» des institutions internationales en charge du contrôle de l’armement – «tout particulièrement les candidats au poste de directeur général de l’Agence internationale de l’énergie atomique» – ainsi que les principaux responsables en matière de santé, dont le directeur général de l’Organisation mondiale de la santé (OMS) et la direction de l’Onusida.
Plusieurs autres câbles diplomatiques réclamaient par ailleurs la collecte des «informations biométriques» des leaders et conseillers «actuels et émergents» en Bulgarie, Hongrie, Roumanie et Slovénie, celles des dirigeants de l’Autorité palestinienne et du Hamas, et jusqu’aux empreintes digitales et rétiniennes et aux identifiants ADN des principaux responsables de l’Afrique des Grands Lacs ou du Paraguay. Le quotidien britannique The Guardian a depuis révélé que, si le câble avait été signé par Hillary Clinton, il émanait en fait de la CIA, donneuse d’ordre en la matière.
Or les nouveaux documents internes de l’agence américaine révélés par WikiLeaks laissent entendre que cette collecte d’identifiants biométriques pourrait avoir été bien plus vaste encore. On y découvre en effet que le Bureau des services techniques de la CIA – l’équivalent du célèbre «Q» de James Bond, responsable des gadgets et du soutien technique des actions clandestines du MI6 britannique – avait, à cette époque, commencé à fournir à un nombre indéterminé de «services de liaison» (les correspondants de la CIA au sein de services de renseignement et/ou de sécurité à l’étranger) un système de collecte d’identifiants biométriques. Ce dernier était composé d’un ordinateur «durci» (étanche et résistant aux chutes) Panasonic Toughbook et de capteurs, logiciels et systèmes biométriques permettant la collecte d’empreintes digitales et rétiniennes, ainsi que la vérification des zones de lecture optique (MRZ) des passeports.
Derrière la mise à jour, le siphonnage
Ni les cibles de cette collecte ni son ampleur ne sont détaillés dans les documents techniques publiés par WikiLeaks. Mais on y apprend que la CIA avait aussi, et ce dès 2008, développé un logiciel espion destiné à vérifier que les dits «services de liaison» partageaient bel et bien les informations biométriques collectées grâce aux systèmes qu’elle leur avait confiés. En 2009, elle y ajoutait même une fonctionnalité cachée, permettant de désactiver le système au cas où elle ne serait plus à même de continuer à y accéder (par défaut, tous les six mois).
Concrètement, ce cheval de Troie nommé ExpressLane («Voie express») était utilisé par les agents de la CIA lors de leurs visites aux services de liaison. Sous couvert de mettre à jour le logiciel biométrique de la société Crossmatch, installé sur les systèmes fournis par l’agence à ses partenaires, l’écran d’attente (ou «splash screen») du programme offrait aux espions américains le temps nécessaire pour siphonner toutes les données biométriques préalablement collectées par le système. Ces dernières étaient récupérées discrètement sur la clé USB utilisée pour la mise à jour.
Histoire d’éviter de se faire repérer, les hackers de la CIA avaient aussi réussi à faire en sorte que leur logiciel espion ne soit pas bloqué par les antivirus des éditeurs McAfee, Norton et Kaspersky. WikiLeaks, qui avait déjà révélé en 2014 les astuces des services techniques de l’agence pour «passer les frontières sans se faire choper», ne précise pas ce qu’il en est depuis. Mais les «services de liaison» qui travaillent avec la CIA auront confirmation, s’il en était besoin, que non contente d’espionner ses adversaires, la CIA réserve le même traitement à ses «partenaires».