L’angle mort de la sécurité des dirigeants : entretien avec un expert sur les dispositifs de surveillance clandestins au travail et à domicile

R. Non. Nous abordons constamment ce sujet au sein de mon équipe et avec nos partenaires. Quelle sera la prochaine entreprise touchée ? Ce n’était qu’une question de temps. Je doute que ce soit le dernier incident de ce type dont nous entendrons parler au cours de l’année à venir. 

R. Le TSCM consiste à réaliser une inspection approfondie d’un espace afin de détecter d’éventuels dispositifs d’enregistrement ou de géolocalisation clandestins, ainsi que les vulnérabilités susceptibles de permettre leur installation. Il peut s’agir d’une salle de conseil d’administration, de bureaux de direction, d’une résidence, d’un véhicule, d’un navire ou d’un aéronef.

Nous examinons d’abord l’environnement électronique, c’est-à-dire tout ce qui émet un signal dans l’espace concerné, ainsi que les équipements électroniques dissimulés, même lorsqu’ils sont éteints. Nous analysons également l’environnement physique : les objets présents dans la pièce et les équipements auxquels ils sont raccordés.

Enfin, nous évaluons la sécurité dans son ensemble, notamment les possibilités d’accès à l’espace, les endroits où un dispositif pourrait être installé et même les conversations qui pourraient être entendues depuis l’extérieur de la pièce. 

R. Les menaces proviennent de plus en plus de l’intérieur plutôt que de l’extérieur. Une personne inconnue pénétrant dans un bâtiment est beaucoup moins susceptible de tenter ce type d’action qu’une personne disposant déjà d’un accès interne. Souvent, une menace extérieure parvient d’ailleurs à obtenir un accès grâce à une personne de l’intérieur.

Nous utilisons l’expression « time on target », qui désigne le temps nécessaire pour accéder à une zone précise, y installer un dispositif, repartir et éventuellement revenir plus tard. Autrement dit, nous évaluons la facilité avec laquelle une personne pourrait mener à bien ces différentes étapes.

Il y a quelques années, un dispositif aurait été dissimulé dans un mur ou au-dessus d'une dalle de faux plafond. Aujourd’hui, les appareils sont si petits qu’ils peuvent être fixés sous une table ou dissimulés à la vue de tous. Nous recherchons donc tout élément qui n’a pas sa place dans l’environnement. 

R. Nous rencontrons constamment ce type de situation. Par exemple, Amazon vend des blocs de recharge intégrant une caméra pour moins de 50 dollars. J’en ai d’ailleurs utilisé un récemment lors d’une démonstration.

Une personne peut brancher ce type d’appareil, revenir après une réunion, le récupérer et en retirer la carte mémoire. Certains modèles possèdent un objectif visible, tandis que d’autres sont équipés d’une façade factice qui le dissimule entièrement.

Des câbles de recharge peuvent remplir des fonctions similaires pour quelques centaines de dollars. Une fois branché à un téléphone, le câble peut devenir un dispositif d’écoute ou installer un logiciel malveillant permettant d’activer le microphone et la caméra.

Nous observons également ces situations sur le terrain, dans le cadre de nos interventions auprès des clients. Lors d’une inspection TSCM de routine au domicile d’une personne protégée, par exemple, notre équipe trouve fréquemment des chargeurs classiques pour appareils mobiles.

Nous recommandons à nos clients de ne pas acheter ces accessoires auprès de vendeurs tiers ou sur Amazon. Certains chargeurs ressemblent en effet à de simples câbles de recharge, mais intègrent des composants électroniques associés à des logiciels malveillants.

Lorsqu’un tel dispositif est découvert, cela entraîne immédiatement un réexamen des procédures d’achat et des formations de sensibilisation à la sécurité numérique destinées au personnel de maison. 

R. Avant tout, un excès de confiance. J’aborde particulièrement ce sujet avec nos clients du secteur financier.

Ces organisations ont investi dans des technologies de sécurité avancées et en déduisent souvent que personne ne peut pénétrer dans leurs locaux.

Les badges de sécurité et les cartes d’accès constituent un bon exemple de dispositifs de contrôle d’accès susceptibles d’être dupliqués. Je dispose d’un lecteur capable de copier une carte d’accès par simple contact. La copie permet ensuite d’ouvrir toutes les portes accessibles avec la carte d’origine.

Tout système électronique peut être compromis et aucun espace ne peut être considéré comme totalement inaccessible.

La détection de dispositifs clandestins dans les salles de conseil d’administration est notre spécialité. Mais ce que nous constatons généralement en premier lieu, c’est qu’un client était convaincu que personne ne pouvait accéder à la pièce concernée. 

R. À moins qu’il ne s’agisse d’une seule petite pièce, une inspection approfondie ne peut pas être réalisée en une heure.

Une véritable inspection TSCM nécessite au minimum trois à quatre heures et peut durer huit heures, voire davantage, selon la superficie et les équipements présents.

Une résidence principale équipée d’appareils électroniques dans chaque pièce demandera davantage de temps qu’une résidence secondaire peu meublée.

Nous utilisons exclusivement des équipements de Research Electronics International (REI), qui constituent une référence dans le secteur des contre-mesures de surveillance technique.

Nous employons les appareils OSCOR, MESA, ORION et ANDRE, car aucun outil ne peut à lui seul remplir toutes les fonctions nécessaires.

Chacun de nos techniciens dispose de ces quatre équipements et possède les certifications correspondantes, conformément aux standards appliqués par les forces de l’ordre, les organismes gouvernementaux et les entreprises de sécurité.

Lors de nos inspections, nous examinons absolument tout, y compris les fenêtres.

Je suis basé dans le sud de la Floride, où nombre de nos clients possèdent des résidences donnant sur l’eau. Les fenêtres disposent-elles d’une protection suffisante pour empêcher qu’un microphone laser puisse capter des conversations à travers les vibrations du vitrage ?

Nous retrouvons la même problématique dans les environnements professionnels : une salle de conseil d’administration située face à un autre bâtiment, à une douzaine de mètres de distance, sans dispositif permettant d’atténuer les vibrations.

Nous inspectons les câbles et blocs de recharge ainsi que les ports USB, précisément en raison de ce qui s’est produit chez OpenAI.

Nous examinons également les locaux techniques informatiques. Enfin, nous inspectons les véhicules, les navires et les aéronefs, où nous recherchons autant les dispositifs de géolocalisation que les appareils d’enregistrement. 

R. Lorsque nous terminons une inspection, nous pouvons confirmer qu’aucun dispositif suspect n’a été détecté dans l’espace concerné au moment du contrôle.

Mais dès notre départ, cet espace redevient vulnérable aux personnes qui y entrent et en sortent.

Pour les environnements professionnels, nous recommandons des inspections régulières tout au long de l’année, qu’elles soient mensuelles, trimestrielles ou semestrielles.

La décision appartient au client et dépend notamment de son budget. 

R. De nombreux clients examinent le coût global et décident de reporter la dépense à un exercice budgétaire ultérieur.

Nous pouvons toutefois adapter le périmètre de l’inspection pour nous concentrer sur les espaces les plus vulnérables.

Dans un environnement professionnel, il n’est pas nécessaire d’inspecter l’intégralité d’un étage de 18 000 pieds carrés, soit environ 1 670 m². Nous pouvons nous concentrer sur les bureaux de direction et les salles de conseil d’administration, où se tiennent les conversations sensibles.

Le même principe s’applique aux résidences.

Pour une propriété de 17 000 pieds carrés, soit environ 1 580 m², nous nous posons la question suivante : dans quels espaces les conversations du client pourraient-elles réellement être enregistrées à son insu ?

Certains clients ne se rendent jamais dans la cuisine, par exemple. Nous réduisons donc la superficie à inspecter en conséquence. 

R. Ces organisations peuvent disposer de dispositifs de protection rapprochée et de sécurité résidentielle, mais certains angles morts subsistent, particulièrement pour les personnes protégées qui utilisent à la fois les réseaux informatiques de leur entreprise et leurs installations personnelles à domicile.

La cybersécurité ne figure souvent pas parmi leurs préoccupations prioritaires.

Et cela nous ramène à la sécurité physique.

Un dispositif installé clandestinement dans une résidence peut permettre à un individu de découvrir que la personne protégée quitte son domicile chaque jour entre 9 h et 16 h.

C’est pourquoi les inspections TSCM et les évaluations de sécurité résidentielle doivent être envisagées conjointement. 

R. Ne partagez pas vos appareils. N’acceptez pas de câbles ou de blocs de recharge provenant de personnes extérieures à votre cercle de confiance. Dans la mesure du possible, achetez directement auprès du fabricant et privilégiez les magasins physiques plutôt que les lots de trente câbles vendus en ligne pour 20 dollars. Dans les entreprises, identifiez clairement vos câbles afin que les collaborateurs sachent quels équipements vous appartiennent et puissent vérifier qu’ils n’ont pas été altérés. Il s’agit d’évaluer les risques au regard des bénéfices attendus. Comme pour une assurance, ces mesures font partie des coûts nécessaires au fonctionnement d’une entreprise. Le coût d’une inspection TSCM est connu avant même le début de notre intervention. En revanche, le coût de la divulgation d’un secret commercial à un concurrent n’est souvent découvert que lorsqu’il est trop tard pour remédier à la situation. 

Le Groupe stratégique privé de Crisis24 réalise des inspections TSCM dans les bureaux, les salles de conseil d’administration, les résidences, les véhicules, les navires et les aéronefs du monde entier. Chaque inspection est effectuée par des techniciens certifiés, avec un périmètre adapté aux espaces dans lesquels se tiennent des conversations sensibles. Elle donne lieu à un rapport écrit présentant les constatations et les recommandations. Ces inspections peuvent être réalisées dans le cadre d’une intervention ponctuelle ou d’un programme récurrent. Elles sont fréquemment associées à une évaluation de la sécurité résidentielle pour les familles ou à un programme de protection des dirigeants pour les organisations. 

Pour discuter d’une inspection TSCM de votre résidence, de vos bureaux de direction ou de votre salle de conseil d’administration, contactez-nous à l’adresse [email protected] ou consultez la page du Groupe stratégique privé de Crisis24 pour en savoir plus.