Une faille numérique inattendue révèle l’emplacement de bases militaires américaines
Des militaires américains et alliés continuent de partager leurs données de localisation et leurs déplacements via l’application de suivi sportif Strava, malgré l’interdiction du département de la Guerre américain.
Le Pentagone interdit depuis près de huit ans l’utilisation d’applications similaires sans autorisation préalable, une faille de renseignement susceptible de permettre à l’Iran et à d’autres puissances hostiles de localiser des bases militaires et de suivre les modes de déploiement des forces américaines au Moyen-Orient.
En 2018, le Pentagone avait lancé un examen approfondi après avoir averti que les données recueillies par l’application pouvaient permettre d’établir une « cartographie des habitudes de vie » quotidiennes des militaires. Il avait ensuite renforcé les restrictions, mais leur mise en œuvre est restée inégale.
Selon une analyse réalisée par la chaîne britannique Sky News, plus de 1 300 utilisateurs de Strava ont été identifiés comme partageant leurs séances d’entraînement depuis des bases militaires américaines dans la région. La plupart utilisent leur véritable identité, ce qui les rend potentiellement traçables et exposés à des risques de ciblage.
L’expert en opérations spéciales Jonathan Hackett a estimé que la persistance de ces fuites de localisation témoignait d’un « manque de respect des règles et d’une absence de sensibilisation », jugeant probable que l’Iran ait déjà exploité ces données.
Joseph Gurney, chercheur spécialisé dans les questions cybernétiques au Royal United Services Institute, a considéré comme « tout à fait plausible » l’utilisation de ces informations accessibles au public dans des opérations de ciblage, celles-ci constituant des points de données susceptibles d’être recoupés avec d’autres renseignements afin d’éclairer des décisions opérationnelles.
Le risque dépasse les forces américaines
Le problème ne concerne pas uniquement les forces américaines. L’enquête a également identifié des militaires britanniques publiant leurs activités sportives depuis la base aérienne d’Akrotiri, à Chypre, qui avait elle-même été la cible d’attaques iraniennes.
Trois utilisateurs ont également été repérés enregistrant leurs parcours de course à pied à l’intérieur du centre nucléaire israélien de Dimona, régulièrement considéré comme une cible d’attaques.
En mars dernier, le quotidien français Le Monde a révélé que des membres des services secrets américains et des agents de sécurité avaient publié sur Strava des séances d’entraînement susceptibles de compromettre leur routine opérationnelle. Un officier français avait également révélé la localisation d’un porte-avions déployé au Moyen-Orient.
Aux Pays-Bas, le quotidien Volkskrant a rapporté que le chef du renseignement militaire néerlandais, le général Peter Reesink, avait conservé pendant plusieurs années un compte Strava public. Cela permettait à n’importe quel abonné de suivre ses itinéraires à vélo et ses parcours de course, et potentiellement d’en déduire l’adresse de son domicile ainsi que ses lieux de vacances, en violation flagrante des directives du ministère néerlandais de la Défense.
La plateforme spécialisée dans le renseignement géospatial Maрulous souligne que les technologies grand public produisent désormais des données pouvant atteindre une valeur comparable à celle du renseignement militaire. Elle avertit que « ce qui commence comme un simple suivi personnel de l’activité physique peut, à grande échelle, se transformer en un réseau mondial de surveillance ». Il s’agit d’un exemple classique de renseignement de source ouverte, dans lequel les données quotidiennes des consommateurs peuvent se transformer en faille de sécurité nationale.
De son côté, Strava a assuré, en réponse à l’enquête, qu’elle prenait très au sérieux la sécurité et la confidentialité de ses utilisateurs et qu’elle mettait à leur disposition de nombreux outils de contrôle. L’entreprise a ajouté qu’elle s’attendait à ce que les personnes exerçant des professions sensibles utilisent ces outils afin de limiter leur contenu de manière appropriée, laissant ainsi la responsabilité finale aux individus et aux institutions concernées.
