Un exemple de lutte antiterroriste

Les services ont arrêté deux individus suspectés de projeter un attentat dans un quartier de Marseille. Ils ont saisi leur matériel informatique et ont récupéré des pseudos des contacts Facebook avec lesquels ils ont échangé des messages instantanés. Ils ont des raisons de penser que certains de ces individus leur ont apporté un soutien en France, tandis que d'autres sont en Syrie et ont rejoint l'EI. Ces communications Facebook passent toutes par des serveurs de l'entreprise situés hors du territoire national, et entrent donc dans le champ des communications transfrontalières visées dans les dispositions sur la surveillance internationale (lesquelles permettent à la DGSE d'intercepter largement le trafic IP transfrontalier et d'exploiter tant les métadonnées que le contenu des messages, le cas échéant après l'avoir déchiffré). Déjà autorisée à surveiller toutes les communications des personnes situées en Syrie en direction des serveurs de Facebook au fin de lutte contre le terrorisme, la DGSE met immédiatement en place une surveillance exploratoire visant à repérer les communications stockées et déchiffrées impliquant ces identifiants, pour tenter de repérer toutes les communications mentionnant ces pseudos, ainsi que toutes les autres métadonnées associées à ces paquets IP (adresses mails, compte Twitter, etc.). Grâce aux outils Big Data mettant en rapport ces différents sélecteurs, la DGSE dresse rapidement le graphe social de ces personnes. Cela confirme que plusieurs de ces identifiants correspondent à des personnes situées en Syrie. Grâce au trafic intercepté et déchiffré, la direction technique de la DGSE est capable de faire ressortir le contenu de plusieurs messages Facebook échangés par ces personnes avec leurs correspondants. Ces messages laissent notamment appraître un identifiant utilisé sur un forum prisé des milieux terroristes, mais aussi les noms et prénoms de quatre personnes résidant en France. Pour ces résidents français, c'est la DGSI qui prend le relais. Après l'envoi de requêtes aux principaux FAI français, on dispose désormais des noms, prénoms et adresses de ces quatre abonnés suspects. L'IP d'une de ces personnes a déjà été repérée à plusieurs reprises comme ayant voulu se connecter à des sites censurés par l' OCLTIC3 (le blocage du site permet en effet de rediriger l'ensemble des requêtes de consultation vers un serveur du ministère de l'Intérieur, et donc de relever des IPs suspectes). Pour cette IP là, la DGSI demande au Ministre qui sollicite l'avis de la CNCTR pour pouvoir passer directement à une interception détaillée de ses communications téléphoniques et Internet. Accordé. Pour les trois autres abonnés, on passe alors à une surveillance en temps réel du trafic Internet et téléphonique des abonnés. En quatre mois, une seule de ces IP laisse apparaîre des identifiants caractéristiques des milieux terroristes, notamment le protocole du service de messagerie Whatsapp combiné à des IP de serveurs dont on sait qu'ils hébergent des sites faisant l'apologie du terrorisme. La DGSI veut se concentrer sur les communications Whatsapp de cet abonné. Grâce à une nouvelle autorisation « boîtes noires » (L. 851-3), les sondes à travers le territoire sont paramétrées pour retrouver d'autres paquets contenant le « protocole Whatsapp » de même taille que ceux émis par la cible, et ainsi les corréler rentre eux. On arrive ainsi à repérer certaines des IP correspondant à 12 résidents français avec qui la cible communique via Whatsapp, dont l'un d'entre eux est fiché S. La DGSI demande une interception ciblée du trafic Internet et téléphonique de ce dernier, qui ne fait plus l'objet d'une surveillance active depuis plusieurs mois. Les 11 autres personnes sont mises sous surveillance en temps réel pendant quatre mois (la loi autorisant la surveillance des n+2 depuis juillet 2016, la CNCTR n'a plus de bonne raison de s'opposer à cette surveillance). Une seule de ces 11 lignes laisse apparaître des communications « suspectes ». Pour l'abonné en question, une interception ciblée est pratiquée. Pour les 10 lignes restantes, la DGSI ne renouvelle pas les autorisations et arrête donc la surveillance, mais conserve à toutes fins utiles les métadonnées récoltées pendant trois ans, tel que la loi l'autorise, dans les bases de données moulinées par les algorithmes de Palantir (le prestataire Big Data de la DGSI depuis fin 2016, notamment pour faire sens des masses de données issues des perquisitions réalisées dans le cadre de l'état d'urgence).