Suivi du déploiement des technologies de surveillance russes en Asie centrale et en Amérique latine

Summary:

Plusieurs pays d'Asie centrale et d'Amérique latine basent très certainement leurs capacités de surveillance numérique sur le système russe de SORM (System for Operative Investigative Activities), ce qui montre que la technologie de surveillance russe s'est répandue dans le voisinage de la Russie et parmi ses alliés. Insikt Group a identifié des preuves d'au moins huit fournisseurs de SORM exportant vers ces régions, avec au moins quinze entreprises de télécommunications comme clients probables. Les plus grands fournisseurs de SORM russes, tels que Citadel, Norsi-Trans et Protei, exportent et participent à des expositions commerciales en Afrique, en Amérique latine et au Moyen-Orient, soulignant les efforts déployés pour poursuivre leur expansion à l'échelle mondiale. Bien que ces systèmes aient des applications légitimes en matière de sécurité, les gouvernements décrits dans le présent rapport ont tendance à utiliser à mauvais escient leurs capacités de surveillance, notamment pour réprimer l'opposition politique, les journalistes et les militants, sans contrôle efficace ou indépendant. Le SORM facilite l'interception d'une grande partie du trafic Internet et de télécommunications par les autorités à l'insu des fournisseurs de services eux-mêmes, ce qui réduit la transparence et le contrôle des opérations de surveillance et accroît les possibilités d'abus. Les entreprises qui opèrent dans ces pays ou qui envisagent d'y établir des activités physiques doivent évaluer les risques de surveillance et adopter des outils de protection de la vie privée tels que le chiffrement et les VPN (dans la mesure où la législation locale le permet) afin d'éviter l'interception des communications sensibles.

Qu'est-ce que le SORM ?

Le SORM russe est à la base de l'appareil de surveillance électronique de la Fédération de Russie, qui implique que toutes les entreprises de télécommunications et les fournisseurs d'accès Internet installent des équipements de surveillance sous le contrôle strict du gouvernement. Les services de sécurité et de renseignement ont un accès direct au trafic de télécommunications passant par l'équipement installé, sans passer par les fournisseurs de services, qui ne sont pas autorisés à accéder aux informations concernant les interceptions. Le SORM a évolué, passant de l'interception des communications terrestres et mobiles à la surveillance du trafic Internet, du Wi-Fi et des médias sociaux. La dernière version (SORM-3) permet la collecte et le stockage à long terme des métadonnées relatives au trafic et aux abonnés dans une base de données consultable. Ce système permet aux autorités chargées de l'application de la loi et aux services de sécurité de filtrer les données par identifiants tels que les numéros de téléphone, les géolocalisations, les adresses IP et les noms d'utilisateur, tous soutenus par des cadres juridiques imposant la conformité. La nature de l'intégration du SORM dans l'infrastructure des télécommunications et Internet facilite les interceptions potentielles et réduit la visibilité des opérations de surveillance, augmentant ainsi le risque d'abus, notamment dans les pays où la surveillance est limitée ou inexistante.

Risque d'accès du gouvernement russe

Les déploiements internationaux de systèmes de surveillance basés sur le SORM qui utilisent des composants fabriqués en Russie comportent probablement un risque d'accès par la Russie, compte tenu des liens étroits entre les fournisseurs de SORM et le gouvernement russe, ainsi que de la valeur potentiellement élevée des informations interceptées par ces systèmes. Des cas précédents, tels que l'exploitation présumée des exportations de Kaspersky, appuient l'hypothèse selon laquelle Moscou peut probablement accéder aux technologies de SORM exportées. En juin 2024, le BIS (Bureau of Industry and Security) du ministère américain du Commerce a interdit à Kaspersky Lab de fournir des technologies et des services aux États-Unis ou à des ressortissants américains, invoquant plusieurs facteurs de risque « inacceptables » pour la sécurité nationale. Des préoccupations similaires s'appliquent aux fournisseurs de SORM, tels que Citadel, qui ont été liés aux services de sécurité russes, en particulier au FSB (Federal Security Service), et à des oligarques proches du président Vladimir Poutine. Le rôle majeur de Citadel dans la consolidation du marché russe du SORM met également en évidence ses liens probables avec le gouvernement russe. Le Kazakhstan et le Kirghizstan se sont notamment inquiétés de la présence de portes dérobées dans les équipements de SORM, des éléments suggérant que les fabricants russes ont conservé l'accès aux systèmes déployés à l'étranger.

Mitigations

Les entreprises opérant dans des pays utilisant des systèmes basés sur le SORM doivent atténuer le risque d'interception. Pour cela, elles peuvent sécuriser les communications en ligne avec des outils de chiffrement réputés, éviter les services des fournisseurs d'hébergement avec des domaines de premier niveau de ces pays, limiter ou supprimer l'accès aux données sensibles de l'entreprise pendant les déplacements, ou encore mener des évaluations complètes des capacités de surveillance numérique et physique de l'État, en se concentrant sur les preuves d'utilisation malveillante à l'encontre des voyageurs d'affaires.

Dans ce rapport, Insikt Group a fourni une liste d'indicateurs que les entreprises peuvent utiliser pour évaluer les risques de confidentialité des données et de surveillance dans le contexte du SORM. Bien qu'aucun de ces facteurs ne garantisse qu'un pays utilise le SORM, la présence de plusieurs indicateurs est révélatrice d'un risque accru de surveillance étatique, notamment les importations de fournisseurs russes de SORM connus, la législation exigeant l'installation de technologies d'interception similaires au SORM, les projets de télécommunications conjoints avec des fournisseurs russes de SORM, le contrôle de l'État sur l'infrastructure des télécommunications, les rapports de surveillance intrusive ou malveillante, et les restrictions sur les technologies de chiffrement. La fonctionnalité Country Risk (Risque pays) de Recorded Future propose des analyses et des conseils d'atténuation régulièrement mis à jour pour évaluer ces risques.

Outlook

Le matériel de marketing et la participation aux salons professionnels des principaux fournisseurs de SORM suggèrent que ces organisations continueront très probablement à rechercher des opportunités d'expansion à l'étranger. Les pays ayant des liens étroits avec la Russie, notamment ceux ayant des antécédents de coopération en cybersécurité ou en renseignement, ou des projets communs dans le domaine des télécommunications, continueront probablement à s'approvisionner en composants de surveillance numérique auprès de fournisseurs russes. Les déploiements de SORM dans ces régions continueront très certainement à présenter des risques pour la sécurité des données, en particulier là où le contrôle de la surveillance gouvernementale est faible. De manière plus générale, l'exportation des technologies de surveillance russes continuera d'offrir à Moscou des opportunités d'étendre son influence, notamment dans les « régions voisines », et potentiellement d'améliorer ses capacités de collecte de renseignements, bien que le degré d'accès potentiel reste incertain.

To read the entire analysis, click here to download the report as a PDF.