Deux méthodes ont été mobilisées pour tenter de localiser des smartphones appartenant à du personnel militaire américain stationné dans le Golfe. L’une remonte aux années 1970, l’autre est née avec la publicité mobile. Ni l’une ni l’autre n’a été conçue pour espionner qui que ce soit. Mais toutes deux se prêtent, avec une facilité déconcertante, à ce genre de détournement.
La première s’appuie sur le SS7 (« Signaling System 7 »), un protocole qui permet aux opérateurs télécoms du monde entier de dialoguer entre eux, notamment quand un abonné se connecte à l’étranger. Ce système repose sur une confiance mutuelle entre opérateurs et n’a jamais été pensé pour un usage public.
Résultat : un opérateur, ou toute entité disposant d’un accès légitime au réseau, peut envoyer une requête baptisée « ping SS7 » et obtenir la position approximative d’un téléphone, sans que son propriétaire en sache rien. Cette architecture n’a quasiment pas évolué depuis, malgré les mises en garde répétées de plusieurs agences de sécurité, dont le département américain de la Sécurité intérieure.
La seconde méthode exploite les identifiants publicitaires attribués par les fabricants à chaque appareil (IDFA sous iOS, AAID sous Android), initialement destinés au ciblage publicitaire. Recoupés avec des bases de données commerciales, ils permettent de localiser un appareil précis, ou un groupe d’appareils, dans une zone donnée, un hôtel par exemple.
Ce détournement n’a rien de nouveau : les services de sécurité nationale connaissent bien le procédé, pour l’utiliser eux-mêmes. Le Financial Times rappelle d’ailleurs que les États-Unis ont déjà eu recours à ce type de données commerciales dans leurs propres opérations de surveillance.
Des opérateurs du Golfe ont bloqué des requêtes suspectes
Selon le projet de recherche Mobile Surveillance Monitor, dont les données ont été transmises au Financial Times, plusieurs opérateurs régionaux du Golfe ont bloqué une série de requêtes SS7 pendant la période concernée. Pour des experts en cybersécurité, il s’agissait d’une campagne coordonnée. Certaines de ces requêtes étaient reliées à un opérateur mobile disposant d’accords d’itinérance dans la région.
Un responsable américain a par ailleurs évoqué l’utilisation de bases publicitaires commerciales pour repérer des hôtels au Kurdistan irakien.
Interrogé, un porte-parole du gouvernement bahreïni a assuré que l’infrastructure télécoms du pays « reste résiliente » et que les opérateurs sont tenus d’appliquer des pare-feux et d’autres protections. De son côté, le commandement militaire américain pour le Moyen-Orient a confirmé au Congrès avoir reçu des signalements sur l’exploitation de données de localisation commerciales visant ses effectifs, sans toutefois établir de lien déterminant avec des frappes.
Le sujet n’est pas nouveau pour l’institution. Une enquête de l’inspecteur général de la Défense, lancée en 2024, pointait déjà l’absence de solution durable sur les téléphones militaires.
Pour Michael Stokes, ancien de la CIA et aujourd’hui vice-président chez Veilant, le problème dépasse largement la question du piratage. « Il n’y a même pas besoin de pirater le téléphone », observe-t-il. « Ce dernier envoie déjà, en permanence, des données pouvant être exploitées. » La situation s’aggrave, selon lui, quand le propriétaire de l’appareil préfère utiliser son téléphone personnel plutôt qu’un terminal sécurisé.
