Réseaux mobiles on Arpokrat

Le 2FA par SMS ne protège plus rien : ce qu'il faut utiliser à la place

Tue, 08 Sep 2026 00:00:00 +0000

Le 9 janvier 2024, le compte X officiel de la Securities and Exchange Commission, le régulateur des marchés financiers américains, annonce l’approbation des ETF Bitcoin, décision que le marché attendait depuis des mois. En quelques minutes, le cours du Bitcoin gagne plus de 1 000 dollars par unité. Puis la SEC dément : le compte a été piraté. Le cours redescend de plus de 2 000 dollars.

Ce qui rend l’affaire instructive n’est pas l’ampleur du mouvement de marché, c’est la banalité du moyen employé. Selon le communiqué du département de la Justice américain, Eric Council Jr., 26 ans, a imprimé une fausse carte d’identité avec une imprimante à cartes portable, s’est présenté dans une boutique AT&T, et a convaincu un employé de transférer le numéro de téléphone associé au compte vers une carte SIM qu’il contrôlait. Il a reçu par SMS les codes de réinitialisation du mot de passe et les a transmis à ses complices. Il a été condamné le 16 mai 2025 à 14 mois de prison.

Une précision s’impose, qui change la lecture du cas sans en affaiblir la leçon. D’après la déclaration officielle de la SEC, l’authentification multifacteur avait été désactivée sur ce compte en juillet 2023, à la demande des équipes. Le SMS ne servait donc pas de second facteur au moment des faits, il servait de canal de récupération. Et c’est ce qui rend l’exemple utile : second facteur ou porte de secours, le numéro de téléphone reste le point où la chaîne cède.

Ce que le second facteur est censé garantir

Le principe tient en une phrase. Un mot de passe seul est quelque chose que vous savez ; on y ajoute quelque chose que vous possédez (un téléphone, une clé physique) ou quelque chose que vous êtes (une empreinte). Un attaquant qui vole votre mot de passe dans une fuite ne dispose pas pour autant de votre objet physique.

Le raisonnement dépend d’une hypothèse rarement énoncée : que le second facteur soit réellement lié à un objet en votre possession, et que sa présentation prouve quelque chose sur l’endroit où vous vous connectez. Le SMS échoue sur ces deux points.

Le SMS n’est pas un facteur de possession

Recevoir un code par SMS ne prouve pas que vous détenez un appareil, mais qu’un numéro de téléphone, attribué par un opérateur et modifiable par lui, pointe vers un terminal. Ce n’est pas la même chose. Trois vecteurs exploitent cet écart, et ils ne se corrigent pas de la même façon.

Le SIM swap

C’est l’attaque du cas SEC, et elle ne repose sur aucune faille technique. L’attaquant collecte des informations personnelles sur sa cible, souvent disponibles dans des fuites déjà publiques, puis contacte l’opérateur en se faisant passer pour elle : téléphone perdu, transfert du numéro vers une nouvelle carte SIM. S’il est convaincant, ou si un employé est complice, le numéro bascule et tous les SMS arrivent chez lui. Le rapport annuel 2024 de l’IC3, le centre de plaintes du FBI, recense pour la seule année 982 signalements de SIM swap et près de 26 millions de dollars de pertes déclarées, et ne compte que les victimes ayant porté plainte. Aucune mise à jour logicielle ne corrige ce vecteur : il ne vise pas un logiciel, il vise un processus commercial humain.

L’interception SS7

Signaling System 7 est le protocole qui permet aux réseaux téléphoniques du monde entier de se parler : acheminer un appel, gérer l’itinérance, livrer un SMS d’un opérateur à l’autre. Il a été conçu en 1975, quand le club des opérateurs était fermé, peu nombreux, et où chacun tenait les autres pour dignes de confiance par construction. Il ne comporte donc aucune authentification native entre réseaux : une requête présentée comme légitime est traitée comme légitime.

Ce n’est pas une faiblesse théorique. En décembre 2014, les chercheurs allemands Tobias Engel et Karsten Nohl en ont fait la démonstration publique au Chaos Communication Congress : localisation d’un abonné et interception de ses SMS à partir du seul numéro de téléphone. En 2017, l’exploitation réelle a été confirmée : l’opérateur allemand O2-Telefónica a reconnu que des clients avaient vu leurs comptes bancaires vidés, les attaquants ayant obtenu un accès au réseau d’un opérateur étranger puis mis en place un renvoi des SMS pour capter les codes de confirmation bancaires.

Le phishing en temps réel

Le troisième vecteur est le plus important, parce qu’il ne dépend d’aucune faille télécom et survit à tout ce qu’on corrigerait dans les deux précédents.

Un faux site imite parfaitement la page de connexion d’un service. Vous y saisissez votre identifiant et votre mot de passe, que le faux site relaie immédiatement au vrai, lequel déclenche l’envoi d’un SMS vers votre téléphone. Le SMS arrive bien chez vous, il est authentique. Vous saisissez le code sur le faux site, qui le relaie à son tour en quelques secondes. La session s’ouvre, et c’est l’attaquant qui la détient.

On appelle cela une attaque adversary-in-the-middle. Elle est industrialisée : des outils comme Evilginx, un proxy inverse apparu en 2017, ou des kits vendus en abonnement mensuel, la rendent accessible sans compétence particulière. Ce qui est volé n’est d’ailleurs pas seulement le code, c’est le cookie de session qui permet ensuite de rester connecté sans repasser par aucune authentification.

Le point est architectural. Le code envoyé par SMS ne contient aucune information sur le site qui l’a demandé. Il ne peut donc pas distinguer le vrai du faux : il est valide partout où on le saisit.

Ce n’est plus une opinion, c’est une position officielle

L’argument le plus solide contre le SMS ne vient pas des éditeurs de solutions, mais des institutions qui écrivent les standards.

En juillet 2025, le NIST américain a publié la version finale de la SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management. Le texte crée une catégorie explicite d’authentificateurs restreints, réservée aux mécanismes dont la capacité de résistance s’est dégradée avec l’évolution des menaces. La section 3.1.3.3 y range l’usage du réseau téléphonique commuté, c’est-à-dire les codes envoyés par SMS ou par appel vocal : « Use of the PSTN for out-of-band verification is restricted as described in this section and SHALL satisfy the requirements of Sec. 3.2.9. » Concrètement, un service qui y recourt encore doit proposer une alternative non restreinte, informer ses utilisateurs du risque et disposer d’un plan de migration.

En décembre 2024, la CISA, l’agence américaine de cybersécurité, avait publié sa Mobile Communications Best Practice Guidance, après la campagne d’espionnage Salt Typhoon qui avait vu des acteurs affiliés à l’État chinois pénétrer plusieurs opérateurs télécoms américains. La formulation ne laisse aucune place à l’interprétation : « Do not use SMS as a second factor for authentication. SMS messages are not encrypted », et plus loin, sans détour : « Only FIDO authentication is phishing-resistant. » Le document recommande explicitement les clés matérielles FIDO, en citant Yubico et Google Titan, et précise qu’une fois FIDO activé il faut désactiver le SMS, faute de quoi il subsiste comme mécanisme de repli exploitable.

Les applications d’authentification : un vrai progrès, une solution partielle

Les applications de type TOTP, pour Time-based One-Time Password, génèrent un code à six chiffres qui change toutes les trente secondes, calculé localement à partir d’un secret partagé lors de l’activation et de l’heure courante. Rien ne transite par le réseau téléphonique.

Le gain est immédiat : le SIM swap devient sans effet puisque le numéro n’intervient plus, l’interception SS7 aussi puisque aucun message n’est acheminé. La migration vers une application d’authentification vaut d’être faite sur tout compte qui ne peut pas aller plus loin.

Mais le troisième vecteur reste entier. Un code TOTP saisi sur un faux site est relayé au vrai site exactement comme un code SMS. L’application ignore où vous vous connectez : elle affiche un nombre, et ce nombre est valide chez quiconque le présente dans sa fenêtre de trente secondes. La CISA le dit dans les mêmes termes, les codes d’authentification valent mieux que le SMS mais restent vulnérables au phishing.

Le TOTP est une étape intermédiaire honnête, pas une destination.

Pourquoi une clé FIDO2 change la nature du problème

Une clé matérielle FIDO2/WebAuthn ne se contente pas de rendre l’attaque plus difficile, elle en supprime la possibilité mécanique.

Lors de l’enregistrement sur un service, la clé génère une paire de clés cryptographiques dédiée à ce service. La partie publique part chez le service, la partie privée ne quitte jamais la puce et n’est ni exportable ni lisible. Aucun secret partagé susceptible d’être recopié, aucun code à six chiffres à intercepter.

Vient ensuite le mécanisme décisif, la liaison à l’origine. Au moment de la connexion, le navigateur transmet à la clé le nom de domaine réel de la page affichée. Cette information est incluse dans les données signées, et le navigateur l’impose : le JavaScript de la page ne peut ni la modifier ni la falsifier.

Une clé FIDO2 ne rend pas le phishing plus difficile à réussir. Elle rend le résultat du phishing inutilisable.

Reprenons l’attaque adversary-in-the-middle avec une clé. Le faux site est parfait, la victime ne détecte rien et touche sa clé. Le navigateur transmet le domaine réel de la page, celui du site frauduleux. La clé constate qu’aucune paire n’existe pour ce domaine, ou signe pour lui, produisant une signature que le vrai service rejettera. Dans les deux cas, l’attaquant n’obtient rien d’exploitable.

La différence de nature est là. Avec le SMS ou le TOTP, la sécurité repose en dernier ressort sur la vigilance de l’utilisateur, sur sa capacité à repérer un domaine falsifié dans une barre d’adresse, à un moment où il est pressé et où la page semble normale. Avec FIDO2, cette vérification est faite par une machine, systématiquement, sans dépendre de l’attention de personne. C’est ce transfert de responsabilité qui compte, plus que la robustesse cryptographique.

L’effet se mesure. Google a rendu les clés obligatoires pour ses employés début 2017 et a déclaré en 2018 n’avoir enregistré aucune compromission de compte sur plus de 85 000 personnes.

Les limites réelles des clés matérielles

Les présenter comme parfaites serait malhonnête, et inutile pour préparer les vraies décisions.

Le coût existe. Comptez de 25 à 60 euros selon le modèle, davantage pour les versions biométriques, et à multiplier par deux.

La perte d’une clé est le vrai risque. Une seule clé sur un compte critique est une erreur de conception. Il en faut deux enregistrées sur chaque compte important, dont une conservée ailleurs, chez un proche ou dans un coffre. La seconde n’est pas un confort, elle est ce qui rend la première utilisable sans crainte.

La couverture est incomplète. De nombreux services, notamment bancaires en Europe, ne prennent pas encore en charge FIDO2, d’où la priorisation qui suit.

Une clé peut être volée. D’où la nécessité d’activer un code PIN sur la clé, ou de choisir un modèle à empreinte : sans cela, l’objet seul suffit à qui le ramasse.

Le repli reste le maillon faible. Activer FIDO2 sans désactiver le SMS ne protège de rien : un attaquant emprunte la voie restée ouverte. La migration n’est terminée que lorsque l’ancien mécanisme est supprimé du compte, options de récupération comprises.

Sur le matériel, la gamme YubiKey couvre le spectre de protocoles le plus large, les Google Titan sont moins chères et se limitent à FIDO, Nitrokey et SoloKeys proposent des alternatives à firmware ouvert et auditable, Token2 des modèles à pavé numérique intégré où le PIN se saisit sur la clé plutôt qu’au clavier. Il n’y a pas de mauvais choix parmi les clés certifiées FIDO2, le protocole est le même et seuls les usages annexes diffèrent.

Par où commencer quand on ne peut pas tout changer

L’ordre de migration n’est pas affaire de préférence, il découle des dépendances entre vos comptes.

La messagerie principale d’abord. Elle reçoit les liens de réinitialisation de presque tout le reste. Un attaquant qui la contrôle reprend les autres comptes un par un, sans en attaquer aucun directement. Rien ne mérite d’être sécurisé avant elle.
Le gestionnaire de mots de passe. Il concentre le premier facteur de tous vos accès, sa protection doit donc valoir celle du compte le mieux protégé qu’il contient. C’est le moment de vérifier la qualité du mot de passe maître, sujet détaillé dans notre article sur l’entropie et la science derrière votre sécurité.
Les comptes financiers et les plateformes crypto. Cibles à valeur immédiate, où une compromission devient une perte irréversible en quelques minutes.
Les réseaux sociaux à audience. L’affaire SEC illustre ce que vaut la parole d’un compte suivi, et le dommage n’est pas toujours pour son propriétaire.
Le reste peut attendre, avec une application TOTP en remplacement du SMS. Un forum ou un service de streaming ne justifie pas le même effort.

Pour les comptes qui ne supportent pas encore FIDO2 : passer au TOTP partout où c’est possible, et demander à votre opérateur le verrouillage du portage de votre numéro, une option gratuite chez la plupart.

Ce que cela dit de l’approche d’Arpokrat

Ce dossier décrit un problème qui n’existe que parce qu’un identifiant a été placé au centre du système. Le numéro de téléphone n’a jamais été conçu comme une preuve d’identité : il est devenu la colonne vertébrale de l’authentification en ligne par habitude, et les trois attaques décrites plus haut exploitent toutes ce détournement.

C’est le raisonnement qui a présidé à la conception du protocole d’Arpokrat Messenger : ni numéro de téléphone, ni adresse e-mail, ni compte. L’utilisateur existe sous la forme d’un ensemble de clés cryptographiques conservées sur son appareil, et la mise en relation passe par des liens d’invitation à usage unique. La logique est celle de FIDO2 un cran plus haut : ce qui n’est pas détenu par un tiers ne peut pas lui être soutiré, ni par ingénierie sociale contre un opérateur, ni par réquisition. Cette cohérence avec l’architecture Zero-Knowledge est développée dans notre article sur la collecte maintenant, déchiffrer plus tard.

Une clé matérielle qui signe sans jamais exposer son secret, c’est d’ailleurs aussi le fonctionnement d’un portefeuille crypto hors ligne, détaillé dans notre guide complet du cold wallet : garder la partie secrète dans un objet dédié, et ne laisser sortir qu’une signature.

Conclusion

Le 2FA par SMS n’a pas été mal conçu. Quand il s’est généralisé, au début des années 2010, il représentait un progrès considérable sur le mot de passe seul, avec pour lui la seule qualité qui compte à grande échelle : tout le monde avait déjà un téléphone.

Le problème n’est pas son invention, c’est sa survie. Les démonstrations SS7 datent de 2014, l’exploitation bancaire réelle de 2017, l’industrialisation du phishing en temps réel de la fin de la décennie. La CISA a écrit de ne plus l’utiliser en 2024, le NIST a formalisé la restriction en 2025. Une dizaine d’années séparent le moment où les failles sont devenues exploitables à grande échelle et celui où les institutions l’ont écrit. Et le SMS reste le second facteur par défaut de la majorité des services grand public.

Cet écart est la véritable information de ce dossier. Les mécanismes de sécurité ne disparaissent pas quand ils cessent de fonctionner, mais quand quelque chose d’aussi simple vient les remplacer, et cela prend bien plus de temps. La question n’est donc pas de savoir si vous devriez abandonner le SMS, ce point est tranché depuis des années. Elle est de savoir quelles autres protections que vous tenez pour acquises se trouvent déjà, sans que personne ne l’ait encore écrit, dans la même situation.

Sources

Département de la Justice américain, Alabama Man Sentenced to 14 Months in Connection with Securities and Exchange Commission X Hack that Spiked Bitcoin Prices, 16 mai 2025
Securities and Exchange Commission, SECGov X Account, déclaration officielle du 22 janvier 2024
NIST, SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management, version finale de juillet 2025
CISA, Mobile Communications Best Practice Guidance, 18 décembre 2024
FBI Internet Crime Complaint Center, 2024 Internet Crime Report
Threatpost, Cellular Privacy, SS7 Security Shattered at 31C3, démonstration de Tobias Engel et Karsten Nohl, décembre 2014
Help Net Security, Attackers exploited SS7 flaws to empty Germans’ bank accounts, mai 2017
Krebs on Security, Google: Security Keys Neutralized Employee Phishing, juillet 2018
W3C, Web Authentication: An API for accessing Public Key Credentials, spécification WebAuthn

La 5G, la localisation et l'erreur de cible du droit

Tue, 18 Aug 2026 00:00:00 +0000

En 2011, la police de Detroit a demandé à un opérateur mobile l’historique de rattachement du téléphone de Timothy Carpenter. Elle a obtenu 12 898 points de localisation étalés sur 127 jours, environ cent par jour. Sept ans plus tard, la Cour suprême des États-Unis a jugé que cette demande constituait une perquisition et exigeait un mandat.

Ces 12 898 points provenaient d’antennes de quatrième génération, dont chacune couvrait un rayon de plusieurs kilomètres. La même requête, adressée aujourd’hui à un réseau 5G urbain, ne renverrait pas cent points par jour à quelques kilomètres près. Elle renverrait un volume bien supérieur, à quelques dizaines de mètres près.

La technologie a changé d’échelle. Le raisonnement juridique, lui, est resté au même endroit de la chaîne.

Un bien juridique que les juges reconnaissent des deux côtés de l’Atlantique

Il existe un intérêt que presque tout le monde admet et que presque aucun texte ne protège efficacement : le droit de se trouver quelque part sans que ce fait soit enregistré.

La jurisprudence européenne l’a établi sans ambiguïté. Dans Digital Rights Ireland (affaires jointes C-293/12 et C-594/12, 8 avril 2014), puis dans Tele2 Sverige et Watson (affaires jointes C-203/15 et C-698/15, grande chambre, 21 décembre 2016), la Cour de justice de l’Union européenne a jugé que ces données, prises dans leur ensemble, permettent de tirer des conclusions très précises concernant la vie privée des personnes : habitudes de la vie quotidienne, lieux de séjour, déplacements, activités exercées et relations sociales.

La Cour suprême des États-Unis est parvenue à une conclusion voisine dans Carpenter v. United States, 585 U.S. 296 (2018). Elle a insisté sur un point que la doctrine américaine a beaucoup commenté : le caractère inéluctable et automatique de cette collecte. On ne consent pas à être rattaché à une antenne, on l’est parce qu’on possède un téléphone allumé.

Le bien juridique existe donc, et il est reconnu par les deux juridictions qui comptent en la matière. Le problème est ailleurs.

Ce que la 5G a réellement changé

Une confusion courante consiste à traiter la localisation comme une donnée que le téléphone transmet, au même titre qu’un message ou une photo. Ce n’est pas le cas. La localisation est une conséquence physique du fonctionnement du réseau. L’opérateur sait à quelle antenne l’appareil est rattaché parce qu’il doit le savoir pour acheminer un appel. Il n’existe aucune clé permettant de chiffrer cette information, puisqu’il ne s’agit pas d’un contenu mais d’une propriété de la connexion elle-même.

C’est précisément ce qui rend la 5G significative sur le plan juridique, et non sur le plan technique.

Les architectures antérieures reposaient sur des cellules larges. Une antenne 4G dessert couramment un rayon de plusieurs kilomètres, et la position déduite du seul rattachement se comptait en centaines de mètres en ville, parfois en dizaines de kilomètres en zone rurale. La 5G repose sur une densification massive : les cellules urbaines couvrent typiquement quelques centaines de mètres, et la littérature d’ingénierie table sur des densités de l’ordre de quarante à cinquante stations de base au kilomètre carré, contre quatre ou cinq à l’époque de la 3G.

La conséquence est mécanique. Selon le livre blanc d’Ericsson sur le positionnement 5G, l’infrastructure déployée pour la seule connectivité atteint une précision de vingt à cinquante mètres en extérieur et de un à trois mètres en intérieur, et descend sous le mètre en conditions urbaines favorables. Il ne s’agit pas d’une fonction de localisation activée quelque part, mais de ce que le réseau sait par construction, sans qu’aucune application soit installée ni aucune permission accordée. Nous avons détaillé l’ensemble de ces mécanismes, ainsi que les contre-mesures qui fonctionnent réellement, dans notre article sur la géolocalisation permanente du téléphone.

L’intrusion a donc augmenté de plusieurs ordres de grandeur. Le cadre juridique applicable, lui, reste celui pensé pour la 2G et la 3G. Aucune adaptation normative n’a accompagné ce changement d’échelle.

Le droit protège l’accès, pas la génération

Le droit européen encadre soigneusement qui peut accéder aux données de localisation, à quelles conditions et sous quel contrôle. La directive 2002/58/CE pose le principe de confidentialité des communications, et la Cour de justice a jugé, dans La Quadrature du Net (affaires jointes C-511/18, C-512/18 et C-520/18, grande chambre, 6 octobre 2020), que l’article 15, paragraphe 1, de cette directive, lu à la lumière des articles 7, 8, 11 et 52, paragraphe 1, de la Charte, s’oppose à une conservation généralisée et indifférenciée des données de trafic et de localisation à titre préventif. La Cour a toutefois admis des dérogations encadrées lorsqu’un État membre fait face à une menace grave pour la sécurité nationale qui s’avère réelle et actuelle ou prévisible, sous réserve d’un contrôle effectif.

Ce sont des protections réelles, et il serait absurde de les minorer. Mais elles interviennent toutes après coup. Elles présupposent que la donnée existe, qu’elle est conservée, et organisent ensuite les conditions de son exploitation.

Or si la localisation est un sous-produit inévitable du fonctionnement du réseau, le point d’intervention pertinent n’est pas la confidentialité. C’est la persistance.

Une position instantanée, nécessaire à l’acheminement d’une communication et effacée aussitôt après, n’est pas un instrument de surveillance. Un historique de positions conservé pendant des mois en est un, quelles que soient les garanties d’accès qui l’entourent.

La différence entre les deux n’est pas juridique, elle est architecturale. Et le calendrier européen rend la question urgente plutôt que théorique. La Commission a retiré la proposition de règlement ePrivacy en 2025, faute d’accord entre colégislateurs. Elle travaille depuis à un instrument distinct sur la conservation des données à des fins pénales, annoncé pour 2026 et destiné à harmoniser des régimes nationaux devenus disparates depuis l’annulation de la directive de 2006. Autrement dit, le texte qui fixera pour une décennie le régime des métadonnées de localisation s’écrit en ce moment, sur la base d’un raisonnement conçu à l’époque des cellules kilométriques.

Le précédent que la 5G a créé elle-même

L’aspect le plus intéressant du dossier est que la bonne réponse figure déjà dans la norme technique, mais appliquée à un autre objet.

Jusqu’à la 4G, l’identifiant permanent de l’abonné, l’IMSI, circulait en clair sur l’interface radio lors de l’attachement. C’est ce qui a rendu possibles les IMSI catchers, ces fausses stations de base qui, selon la description de référence de l’Electronic Frontier Foundation, émettent plus fort que les antennes légitimes pour attirer les terminaux et capter leur identifiant.

Depuis la Release 15 des spécifications 3GPP, publiée en 2019, la 5G apporte une réponse élégante. L’identifiant permanent, désormais appelé SUPI, peut être remplacé sur l’interface radio par le SUCI, un identifiant dissimulé obtenu en chiffrant la partie propre à l’abonné au moyen de la cryptographie sur courbes elliptiques, avec la clé publique de l’opérateur d’origine. Seul le réseau d’origine, qui détient la clé privée correspondante, peut le déchiffrer. Le résultat est unique à chaque calcul, ce qui empêche la corrélation d’une session à l’autre.

La logique retenue mérite d’être soulignée, parce qu’elle est exactement celle qui devrait guider le législateur : on ne chiffre pas la position, ce qui serait techniquement impossible, on chiffre l’identité. Une position dépourvue d’identité rattachable a une valeur très limitée à des fins de surveillance individualisée.

La faille : une protection facultative

Il existe cependant une réserve considérable, et c’est à notre sens le point d’intervention le plus concret de tout le dossier.

Le livre blanc NIST CSWP 36A, publié en mars 2026 par le National Institute of Standards and Technology, l’énonce sans détour. Les terminaux et les fonctions réseau conformes à la Release 15 ou postérieure sont tenus de prendre en charge le SUCI, mais son activation reste facultative pour l’opérateur. Trois conditions doivent être réunies : l’équipementier doit le supporter, l’opérateur doit l’activer sur son réseau, et la carte SIM doit porter les éléments nécessaires au calcul.

S’y ajoute un piège de configuration. La norme prévoit un schéma de protection nul, dans lequel le format SUCI est formellement employé mais sans chiffrement effectif, si bien que l’identifiant circule en clair. Le NIST écrit qu’il est nécessaire que l’opérateur configure son réseau avec un schéma de protection non nul, et rappelle qu’un rapport du CSRIC, l’organe consultatif de la Federal Communications Commission, recommandait dès 2021 de réserver le schéma nul aux seuls appels d’urgence émis par un terminal inconnu du réseau.

La formulation vaut d’être posée telle quelle. La meilleure protection disponible contre le suivi des terminaux mobiles existe dans la norme technique depuis 2019. Elle repose sur un choix de configuration laissé à la discrétion de l’opérateur. Une agence fédérale américaine juge utile de publier un document en 2026 pour rappeler qu’il faudrait l’activer. Et aucun instrument juridique européen ne l’impose.

Il faut ajouter que le SUCI ne clôt pas le sujet. Les travaux présentés sous le titre 5G SUCI-catchers: still catching them all? documentent des attaques de liaison permettant de recorréler des sessions malgré le chiffrement, et la protection tombe entièrement si l’attaquant force le terminal à basculer vers une génération antérieure. Une obligation juridique ne réglerait donc pas tout. Elle supprimerait néanmoins un écart qui n’a aucune justification défendable : celui entre ce que la norme permet et ce que les réseaux commerciaux font.

Trois interventions cohérentes

Si l’on prend au sérieux l’idée que la localisation doit être minimisée par conception plutôt que protégée après coup, trois mesures s’imposent logiquement.

Rendre obligatoire la dissimulation effective de l’identifiant. Imposer l’activation du SUCI et interdire les schémas de protection nuls sur les réseaux commerciaux, hors le cas résiduel des appels d’urgence. Il ne s’agit pas de prescrire une technologie nouvelle, ni de financer un déploiement, mais d’exiger l’activation d’une fonction normalisée depuis sept ans et déjà présente dans les équipements.
Traiter la conservation comme l’exception, non comme le défaut. La position nécessaire à l’acheminement d’une communication devrait être effacée dès cette fonction accomplie. La constitution d’un historique devrait appeler une justification spécifique. C’est la différence entre un réseau qui sait où vous êtes et un réseau qui se souvient où vous avez été.
Faire de la garde de la clé le facteur de rattachement pertinent. La localisation des serveurs dans l’Union ne signifie pas grand-chose si les clés permettant de rendre les données intelligibles se trouvent ailleurs. Le critère juridiquement significatif devrait être la maîtrise effective des moyens de déchiffrement, question que nous avons examinée en détail à propos du conflit entre Data Act et CLOUD Act.

L’angle que suit Arpokrat

Ce raisonnement n’est pas propre au droit des télécommunications. C’est celui que nous appliquons à nos propres choix d’architecture, et il tient en une phrase : ce qui n’a pas été produit n’a pas besoin d’être protégé.

C’est la raison pour laquelle ArpokratOS retire le GPS, le Bluetooth et le NFC au niveau du noyau plutôt que de les désactiver dans un menu. Un interrupteur est une politique : il peut être contourné par un composant privilégié, réactivé par une mise à jour, ignoré par un système compromis. Retirer le chemin de code supprime la question. C’est la transposition, à l’échelle d’un appareil, du même déplacement que nous appelons de nos vœux à l’échelle du droit : intervenir sur la génération plutôt que sur l’accès.

Il faut dire aussitôt ce que cela ne fait pas. Aucun système d’exploitation ne soustrait un terminal à la géométrie du réseau. Tant qu’une carte SIM est active, l’opérateur connaît la cellule de rattachement, et le routage intégral du trafic par Tor n’y change rien, puisqu’il protège le contenu et la destination, pas la couche radio. C’est justement pour cette raison que le sujet est juridique. Il existe une catégorie de risques qu’aucune configuration individuelle ne réduit, et pour laquelle la seule variable disponible est la règle applicable à l’opérateur.

Le même souci gouverne le reste de notre travail. Une donnée qui n’existe pas ne peut être ni réquisitionnée, ni revendue, ni exfiltrée, ni déchiffrée dans dix ans par une machine dont personne ne dispose aujourd’hui, question que nous avons traitée sous l’angle du chiffrement récolté maintenant et cassé plus tard.

Conclusion

Le débat public sur la surveillance mobile se concentre presque exclusivement sur l’accès : qui peut consulter les données, sur quel fondement, avec quelle autorisation. Ce débat est légitime, et les décisions rendues depuis 2014 par la Cour de justice ont produit des effets tangibles. Mais il intervient trop tard dans la chaîne.

La question antérieure, et plus déterminante, est de savoir si l’historique doit exister. Une base constituée aujourd’hui pour un motif légitime reste disponible demain pour un autre, et les garanties qui l’entourent dépendent de décisions politiques ultérieures que personne ne maîtrise au moment de la collecte. C’est un pari sur la stabilité des institutions, formulé pour une durée que nul ne fixe.

La 5G a multiplié la résolution de cette information sans qu’aucune adaptation normative n’intervienne. Elle a simultanément démontré, par le mécanisme du SUCI, que la voie praticable consiste à dissocier la position de l’identité plutôt qu’à tenter de chiffrer une propriété physique du réseau. La norme technique a fourni la réponse sept ans avant que le droit ne pose la question.

Le texte européen sur la conservation des données s’écrit maintenant. Il portera sur les métadonnées, donc sur la localisation, donc sur ce que la 5G produit désormais avec une finesse que ses rédacteurs n’ont pas connue. Savoir s’il se contentera d’organiser l’accès à un historique tenu pour acquis, ou s’il ose interroger la nécessité de cet historique, est probablement la question de vie privée la plus importante des prochaines années en Europe. Et c’est une question que le secteur technique, pour une fois, a déjà tranchée dans le bon sens.

Sources

Cour de justice de l’Union européenne, Digital Rights Ireland, affaires jointes C-293/12 et C-594/12, 8 avril 2014
Cour de justice de l’Union européenne, Tele2 Sverige et Watson, affaires jointes C-203/15 et C-698/15, grande chambre, 21 décembre 2016
Cour de justice de l’Union européenne, La Quadrature du Net e.a., affaires jointes C-511/18, C-512/18 et C-520/18, grande chambre, 6 octobre 2020
Supreme Court of the United States, Carpenter v. United States, 585 U.S. 296, 2018
National Institute of Standards and Technology, Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI), NIST CSWP 36A, mars 2026
Ericsson, 5G positioning: Locating devices anywhere
Merlin Chlosta et al., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
Electronic Frontier Foundation, Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
European Digital Rights, The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
heise online, Data Retention: Commission to present proposal by mid-2026

La géolocalisation permanente : comment votre téléphone vous suit même quand vous croyez l'avoir empêché

Sun, 02 Aug 2026 00:00:00 +0000

En 2024, deux chercheurs de l’université du Maryland ont interrogé de façon répétée le service de positionnement Wi-Fi d’Apple, sans privilège particulier ni matériel spécialisé, et reconstitué en un an la position précise de plus de deux milliards de points d’accès Wi-Fi dans le monde. Leur article, Surveilling the Masses with Wi-Fi-Based Positioning Systems, montre ce que cette carte permet : suivre du matériel entrant et sortant d’Ukraine, observer le déplacement des populations après les incendies de Maui, pister un individu par l’intermédiaire de sa box internet.

Aucun de ces appareils n’avait activé le GPS. La position venait d’ailleurs.

C’est le point aveugle le plus répandu en matière de vie privée mobile : la conviction qu’il existe un interrupteur de localisation, et qu’une fois coupé, le téléphone cesse de savoir où il est. Cette conviction est fausse à sept niveaux différents.

La localisation n’est pas une fonctionnalité que votre téléphone active. C’est une propriété de ce qu’il est.

Le GPS, ou le vecteur le moins problématique

Le seul mécanisme que tout le monde identifie est aussi celui qui devrait vous inquiéter le moins.

Le GNSS, terme générique qui regroupe le GPS américain, Galileo, GLONASS et BeiDou, fonctionne par écoute. Les satellites émettent en continu des signaux horodatés, le récepteur en capte plusieurs et calcule sa position à partir des différences de temps de propagation. Précision courante en extérieur dégagé : trois à cinq mètres, souvent plusieurs dizaines de mètres en ville, où les façades réfléchissent les signaux.

Le point décisif est que ce calcul est passif. Le téléphone n’émet rien vers les satellites, aucun opérateur satellitaire ne sait que vous existez. Si le GNSS était seul en jeu, couper le GPS suffirait.

Une nuance existe cependant. Pour accélérer le premier calcul, les téléphones utilisent l’A-GPS : ils téléchargent les éphémérides satellitaires depuis un serveur, via le protocole SUPL. Pour obtenir les bonnes données, le téléphone transmet à ce serveur l’identifiant de la cellule réseau à laquelle il est rattaché. Le GNSS pur ne vous trahit pas, mais l’accélérateur qu’on lui a greffé, si.

Le réseau mobile : ce que l’opérateur sait par construction

Pour qu’un appel puisse vous parvenir, le réseau doit savoir dans quelle zone vous êtes. Ce n’est pas une option activable, c’est la condition d’existence du service. Votre téléphone se signale en permanence à l’antenne la plus proche, et cet enregistrement laisse une trace côté opérateur. Aucune application installée, aucune permission accordée : une carte SIM active suffit.

La précision dépend de la méthode :

Identifiant de cellule seul : de 200 mètres en urbain dense à plus de 30 kilomètres en zone rurale, où une antenne couvre un très large rayon.
Cell ID enrichi, qui ajoute le secteur d’antenne (la plupart des sites sont divisés en trois secteurs de 120 degrés) et la puissance du signal : de 100 mètres à quelques kilomètres.
Timing advance, qui mesure le délai aller-retour entre le téléphone et l’antenne : de l’ordre de 550 mètres en GSM, autour de 78 mètres en LTE.
Multilatération sur trois antennes ou plus : 50 à 300 mètres en LTE urbain.

La 5G change l’échelle pour deux raisons cumulatives. La densité d’abord : les cellules 5G couvrent des rayons beaucoup plus courts, donc le simple rattachement est déjà une information fine. La normalisation ensuite : depuis la Release 16, le 3GPP intègre des signaux de positionnement natifs. Les objectifs commerciaux visent moins de 3 mètres en intérieur et moins de 10 mètres en extérieur pour 80 % des terminaux, et la Release 18 descend au centimètre pour certains usages industriels.

L’infrastructure qui vous connecte devient donc un système de positionnement de qualité comparable au GPS, sans que vous ayez rien activé. Cette donnée est conservée selon des règles nationales et accessible aux autorités selon des procédures variables. C’est le même débat de fond que celui traité à propos de la juridiction applicable aux données hébergées : protection technique et protection juridique ne se recouvrent pas.

Le Wi-Fi : une carte du monde faite d’adresses matérielles

Chaque point d’accès Wi-Fi diffuse en permanence un identifiant matériel unique, le BSSID. Ces identifiants sont fixes et géographiquement stables : une box internet reste des années au même endroit.

Apple, Google et quelques acteurs spécialisés maintiennent des bases associant chaque BSSID à des coordonnées, constituées par les téléphones de leurs utilisateurs, qui remontent la liste des bornes visibles en même temps qu’une position GNSS. L’opération s’inverse ensuite : un téléphone qui voit quatre bornes connues n’a plus besoin du moindre satellite. En zone urbaine dense, la précision atteint couramment quelques dizaines de mètres, et descend en dessous en intérieur.

Deux propriétés rendent ce mécanisme difficile à neutraliser. D’abord, le téléphone scanne même lorsque le Wi-Fi paraît désactivé : depuis Android 4.3, le système conserve un balayage périodique destiné à améliorer la localisation, indépendamment de l’interrupteur du panneau rapide. Ce comportement dépend d’un réglage distinct, enfoui dans les services de localisation, que la quasi-totalité des utilisateurs n’a jamais ouvert.

Ensuite, la base est interrogeable de l’extérieur. C’est la faille exploitée par Rye et Levin : les interfaces de positionnement renvoient non seulement la position demandée mais aussi celle de bornes voisines, ce qui permet de moissonner la carte sans jamais s’approcher physiquement des lieux.

Bluetooth et BLE : localisé par les téléphones des autres

Le Bluetooth Low Energy ajoute une couche de proximité, d’une portée de quelques mètres à quelques dizaines de mètres, donc d’une granularité bien plus fine que le réseau mobile. Deux usages coexistent. Les balises commerciales, déployées en magasin, en aéroport ou en centre commercial, émettent un identifiant que les applications présentes sur le téléphone reconnaissent, ce qui révèle devant quel rayon vous vous êtes arrêté et combien de temps. Et les réseaux de localisation collaboratifs, dont Find My d’Apple est le modèle, repris depuis par Google et Samsung.

Ce second mécanisme inverse une hypothèse implicite. L’analyse de référence, Who Can Find My Devices?, publiée dans les actes de PETS 2021 par des chercheurs de l’université technique de Darmstadt, a reconstitué le protocole d’Apple par rétro-ingénierie. Un appareil hors ligne émet un signal BLE, n’importe quel appareil Apple à proximité le capte, y adjoint sa propre position et la transmet chiffrée aux serveurs d’Apple, à l’insu de son porteur comme du porteur de l’appareil localisé.

La conséquence est structurelle : un appareil sans carte SIM, sans Wi-Fi, sans connexion réseau d’aucune sorte reste localisable, pourvu qu’un inconnu passe à proximité avec un téléphone dans la poche. Votre isolement ne dépend plus de vos réglages, mais de ceux des passants.

Les capteurs inertiels : localiser sans permission de localisation

Un téléphone contient un accéléromètre, un gyroscope, un magnétomètre et souvent un baromètre. Ces capteurs relèvent d’une catégorie de permissions distincte de la localisation : une application peut les lire sans avoir jamais demandé où vous êtes.

Des chercheurs de Princeton l’ont démontré avec PinMe. Leur application part de l’adresse IP et du fuseau horaire pour une position grossière, puis lit les capteurs : l’accéléromètre donne le profil d’accélération et de freinage, le gyroscope la séquence des virages, le magnétomètre le cap, le baromètre les variations d’altitude. Un réseau de neurones identifie le mode de transport, marche, voiture, train ou avion, et le trajet est recalé sur des données publiques de cartographie, d’altimétrie et de météo. Résultat : une trajectoire d’une précision comparable au GPS, sans permission de localisation. La méthode a ses limites, que les auteurs documentent, puisqu’elle échoue dans les zones sans routes et se dégrade sur les plans quadrillés uniformes, où de nombreux trajets produisent la même signature. Elle reste la démonstration qu’une permission refusée n’est pas une porte fermée.

Le baromètre apporte en outre la dimension que le GNSS traite mal, la verticale. Les exigences américaines pour les appels d’urgence imposent une précision d’étage à plus ou moins 3 mètres pour 80 % des appels en intérieur. Savoir à quel étage se trouve quelqu’un est d’une autre nature que savoir dans quel pâté de maisons il est.

Le marché de la donnée : le vecteur le plus banal

Les mécanismes précédents décrivent comment une position est calculée. Reste à savoir où elle part, et c’est là que se joue l’essentiel du risque quotidien.

Des milliers d’applications intègrent des SDK publicitaires, briques logicielles fournies par des tiers qu’un développeur ajoute pour monétiser son travail ou mesurer son audience. Ces briques héritent des permissions de l’application hôte : une application météo qui a légitimement besoin de votre position la transmet à des acteurs dont vous n’avez jamais lu le nom. S’y ajoutent les flux d’enchères publicitaires, où votre position approximative est diffusée à des dizaines d’acheteurs potentiels à chaque affichage de bannière, y compris à ceux qui n’achètent rien et se contentent d’écouter.

Cette matière alimente une industrie. L’Electronic Frontier Foundation a documenté le cas de Fog Data Science, qui revendiquait des milliards de points de données sur plus de 250 millions d’appareils, vendus à des polices locales américaines. Brian Krebs a décrit Locate X, un produit permettant de tracer un polygone sur une carte et de visualiser l’historique des appareils entrés et sortis de cette zone.

Ce vecteur n’exige aucune prouesse technique, seulement que quelqu’un accepte de payer. Le prix est modeste.

Les IMSI catchers : la localisation active

Les mécanismes vus jusqu’ici exploitent un fonctionnement normal. Il existe aussi une localisation active, menée par un tiers qui intervient sur le réseau.

Un IMSI catcher, ou simulateur de cellule, est un équipement qui se fait passer pour une antenne légitime. Les téléphones à portée s’y rattachent, révélant leur identifiant d’abonné et leur présence dans un périmètre restreint.

La 5G était censée fermer cette porte en remplaçant l’identifiant permanent en clair par un identifiant chiffré, le SUCI. La fermeture est partielle. Les travaux présentés sous le titre 5G SUCI-catchers: still catching them all? documentent des attaques de liaison permettant de recorréler des sessions malgré le chiffrement. Surtout, la protection tombe entièrement si l’attaquant force le terminal à basculer vers une génération antérieure, le 2G en particulier, dont l’authentification est unilatérale. Un téléphone 5G reste vulnérable à une attaque conçue pour un réseau des années 1990, parce qu’il accepte encore d’y descendre.

Les contre-mesures, et leur efficacité réelle

Chaque mesure ci-dessous fait quelque chose. Aucune ne fait tout, et l’écart entre ce qu’elles font et ce qu’on leur prête produit les mauvaises décisions.

Le mode avion

Le mode avion coupe l’émission du modem cellulaire, du Wi-Fi et du Bluetooth. C’est réel, et c’est le meilleur résultat pour un effort aussi faible.

Ce qu’il ne fait pas : il n’arrête pas les capteurs inertiels, ne supprime pas les positions déjà mises en cache, qui partiront à la reconnexion, et permet sur la plupart des appareils de réactiver le Wi-Fi ou le Bluetooth séparément sans le quitter. C’est enfin un état logiciel, pas une coupure d’alimentation : sa fiabilité dépend de l’intégrité du système qui l’applique.

Un détail sous-estimé : le détachement puis le rattachement au réseau sont eux-mêmes des événements horodatés côté opérateur. Un téléphone qui disparaît à 21 h dans une cellule et réapparaît à 23 h dans une autre a produit une information, pas un silence.

La randomisation d’adresse MAC

Les systèmes mobiles émettent aujourd’hui des adresses MAC aléatoires lors des balayages, pour empêcher le suivi d’un lieu à l’autre. L’intention est bonne, le résultat incomplet. Les travaux de référence, dont Why MAC Address Randomization is not Enough, montrent que le contenu des trames de découverte suffit souvent à réidentifier l’appareil : le nombre d’éléments d’information, leurs valeurs et leur ordre forment une empreinte. S’y ajoutent les numéros de séquence, incrémentaux et donc chaînables, et la signature temporelle propre à chaque modèle. Certaines études rapportent un suivi correct de la moitié des appareils sur au moins vingt minutes.

Limite conceptuelle enfin : la randomisation ne concerne que la phase de découverte. Dès que vous vous connectez à un réseau, l’adresse utilisée est stable pour ce réseau, par conception, afin que la connexion fonctionne. Le café où vous allez chaque matin vous reconnaît.

Couper vraiment les scans

C’est le réglage le plus rentable et le plus ignoré. Sur Android, la recherche Wi-Fi et la recherche Bluetooth sont deux options distinctes, situées dans les services de localisation, indépendantes des interrupteurs du panneau rapide. Tant qu’elles sont actives, éteindre le Wi-Fi depuis le panneau ne suffit pas : le balayage continue.

Les désactiver supprime une couche entière de collecte, sans autre coût qu’un premier calcul de position un peu plus lent. Pour la plupart des lecteurs, c’est le meilleur rapport entre l’effort consenti et le résultat obtenu.

Les permissions applicatives

Révoquer la permission de localisation aux applications qui n’en ont manifestement pas besoin reste utile, et les systèmes récents offrent trois graduations : l’autorisation ponctuelle, l’autorisation limitée à l’usage actif, et la localisation approximative, qui ne transmet qu’une zone de l’ordre du kilomètre.

Cela ne protège en revanche ni des SDK hébergés par une application ayant une raison légitime d’accéder à votre position, ni des capteurs inertiels, ni des couches réseau, qui ne passent par aucune permission.

Ce que le VPN ne protège pas

Point à clarifier, parce que la croyance inverse est très répandue : un VPN ne masque pas votre position. Il masque votre adresse IP publique, donc il fausse la géolocalisation par IP, qui est de toute façon le mécanisme le plus grossier de la liste.

Un VPN ne touche ni au récepteur GNSS, ni au balayage Wi-Fi, ni au Bluetooth, ni aux capteurs. Il ne change rien à ce que sait votre opérateur, puisque le tunnel chiffré transite par ses antennes et que le rattachement cellulaire lui reste visible. Il n’empêche pas une application disposant de la permission de localisation de transmettre des coordonnées exactes à l’intérieur du tunnel. Le VPN protège le contenu et la destination de vos communications sur un réseau non fiable, et c’est déjà beaucoup. La localisation n’est pas dans son périmètre.

Les limites physiques

Une pochette de Faraday fonctionne au sens propre : elle bloque émissions et réceptions. Le retrait de la batterie aussi, quand il est encore possible. L’appareil dédié, ou le fait de laisser son téléphone ailleurs, reste la mesure la plus robuste.

Ces solutions partagent un défaut qu’il faut regarder en face : elles produisent une anomalie. Un téléphone qui se tait deux heures chaque mardi soir dit quelque chose. Contre un adversaire qui analyse des schémas plutôt que des positions instantanées, l’absence est une donnée.

Trois adversaires, trois stratégies

C’est la distinction la plus importante de cet article, et celle qu’on lit le moins souvent.

Contre un annonceur ou un courtier en données, le combat est gagnable. Discipline de permissions, désactivation des balayages, système sans services de localisation propriétaires, réinitialisation de l’identifiant publicitaire : l’ensemble réduit très fortement le volume collecté. Cet adversaire cherche du volume à bas coût, pas votre cas particulier.

Contre votre opérateur, aucune configuration ne suffit. La localisation cellulaire est la condition du service. Les seules variables réelles sont juridiques, ce que la loi autorise à conserver et à transmettre, et matérielles : quel appareil, quelle carte SIM, à quel nom, allumé où.

Contre un adversaire étatique ciblé, le raisonnement change encore, puisqu’il combine l’accès légal aux données de l’opérateur, la localisation active par simulateur de cellule, la réquisition auprès des plateformes et, le cas échéant, la compromission du terminal. Les contre-mesures logicielles réduisent la surface, mais l’objectif réaliste n’est pas la disparition : c’est de savoir précisément ce qui reste exposé.

L’approche d’ArpokratOS

ArpokratOS répond à ce paysage par un choix qui découle de la distinction ci-dessus : ce qui doit être neutralisé l’est au niveau du système, pas dans un menu.

Sur le GNSS, le pilote matériel est retiré. L’appareil se comporte comme si la puce n’existait pas, pour les applications comme pour le système lui-même. La différence avec un interrupteur de réglages n’est pas cosmétique. Un interrupteur est une politique : il est appliqué par une couche qui peut être contournée par un composant suffisamment privilégié, réactivée par une mise à jour, ou ignorée par un système compromis. Retirer le chemin de code supprime la question, puisqu’il n’y a plus rien à activer.

Le Bluetooth est traité au niveau Core, avec la même logique. Un Bluetooth désactivé dans les réglages laisse en pratique la pile logicielle vivante sur beaucoup d’appareils, pour alimenter les services de proximité et les réseaux de localisation collaboratifs. Absent au niveau système, il ne peut ni dialoguer avec une balise de magasin, ni participer à un réseau de type Find My, ni servir de surface d’attaque sans interaction.

Il faut dire clairement ce que cela ne fait pas. ArpokratOS ne rend pas un téléphone indétectable. Tant qu’une carte SIM est active, l’opérateur connaît la cellule de rattachement, et aucun système d’exploitation ne change cela, pas même avec l’intégralité du trafic acheminée par Tor. Le routage protège le contenu et la destination, pas la géométrie radio. Quiconque promet l’invisibilité vend une histoire.

Ce qu’une telle architecture apporte est plus modeste : la suppression des couches applicatives et de proximité, par lesquelles passe la très grande majorité de la collecte réelle, et un modèle de menace explicite sur ce qui subsiste. C’est le raisonnement appliqué au choix d’un système de bureau, détaillé dans notre comparatif des systèmes d’exploitation : la question utile n’est pas de savoir si un outil protège, mais de quoi il protège et à quel prix.

Conclusion

Cet article ne fournit pas de méthode pour disparaître. Cette méthode n’existe pas, et les textes qui prétendent le contraire produisent surtout de la fausse confiance, plus dangereuse que l’absence de protection parce qu’elle fait prendre des risques.

L’objectif était de remplacer une question binaire, suis-je localisable ou non, par une question utile : par qui, avec quelle précision, à quel coût pour eux, et est-ce que cela m’importe. La réponse diffère pour un journaliste protégeant une source, un dirigeant en déplacement dans une juridiction sensible, un avocat dont les rendez-vous révèlent une stratégie, ou un particulier agacé qu’un annonceur connaisse ses habitudes.

Ce qui devrait retenir l’attention n’est d’ailleurs pas la performance de chacun de ces mécanismes pris isolément, mais le fait qu’ils se recoupent. Une position à cinquante mètres près n’est pas très intéressante. Une position à cinquante mètres près, tous les quarts d’heure, pendant deux ans, dessine un domicile, un lieu de travail, une confession, un état de santé, une liaison, une source. La donnée de localisation est la métadonnée qui rend toutes les autres lisibles, et c’est pour cette raison qu’elle vaut cher.

Sources

Erik Rye, Dave Levin, Surveilling the Masses with Wi-Fi-Based Positioning Systems, IEEE Symposium on Security and Privacy, 2024
Alexander Heinrich et al., Who Can Find My Devices? Security and Privacy of Apple’s Crowd-Sourced Bluetooth Location Tracking System, PoPETs, 2021
Arsalan Mosenia et al., PinMe: Tracking a Smartphone User around the World, IEEE Transactions on Multi-Scale Computing Systems
Mathy Vanhoef et al., Why MAC Address Randomization is not Enough: An Analysis of Wi-Fi Network Discovery Mechanisms, AsiaCCS, 2016
Merlin Chlosta et al., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
5G NR Positioning Enhancements in 3GPP Release-18
Electronic Frontier Foundation, Inside Fog Data Science, the Secretive Company Selling Mass Surveillance to Local Police, 2022
Krebs on Security, The Global Surveillance Free-for-All in Mobile Ad Data, 2024
Electronic Frontier Foundation, Mobile Phones: Location Tracking, Surveillance Self-Defense

Utiq : Le nouveau 'Super-Cookie' des opérateurs télécoms qui menace votre vie privée

Mon, 01 Jun 2026 00:00:00 +0000

La fin programmée des cookies tiers sur les navigateurs web a déclenché une véritable course à l’armement dans l’industrie de la publicité ciblée. Si Google tente d’imposer ses propres standards (comme la Privacy Sandbox), un autre acteur inattendu a décidé de s’emparer du gâteau : votre Fournisseur d’Accès à Internet (FAI).

C’est ainsi qu’est né Utiq (anciennement connu sous le nom de projet TrustPid), une coentreprise fondée par les géants européens des télécommunications. Vendu au grand public comme une solution “transparente et respectueuse”, Utiq est en réalité ce que les experts en cybersécurité redoutent le plus : un “supercookie” fonctionnant au niveau du réseau.

Qu’est-ce qu’Utiq et comment ça fonctionne ?

Traditionnellement, le pistage publicitaire (les cookies) est géré par votre navigateur web (Chrome, Firefox, Safari). Vous pouviez le bloquer en utilisant des extensions (comme uBlock Origin) ou un navigateur orienté vie privée (comme Brave).

Utiq déplace le problème d’un cran en arrière : au niveau de votre connexion réseau.

Voici comment le piège se referme :

L’interception réseau : Lorsque vous naviguez sur internet via votre connexion mobile (4G/5G) ou votre box fibre, Utiq utilise votre adresse IP et les données de votre abonnement télécom pour vous identifier.
Le consentement (le faux choix) : En arrivant sur un site partenaire, une fenêtre contextuelle (popup) vous demande d’accepter Utiq. Avec la fatigue liée aux bannières de cookies (Consent Fatigue), des millions d’utilisateurs cliquent sur “Accepter” sans lire.
Le “Network Signal” : Une fois le consentement donné, Utiq contacte directement votre opérateur télécom. Ce dernier génère un jeton d’identification unique et pseudonymisé (le signal réseau) qu’il transmet aux annonceurs.

Vous êtes désormais traçable de site en site, non pas par un fichier stocké sur votre ordinateur, mais par l’infrastructure même qui vous fournit internet.

Pourquoi Utiq est un cauchemar pour la vie privée (OPSEC)

L’initiative soulève de graves problèmes pour la souveraineté numérique et la confidentialité de vos données :

Le pistage à la source : Contrairement aux cookies classiques, vous ne pouvez pas simplement “effacer votre historique” ou “vider votre cache” pour vous débarrasser d’Utiq. Le jeton d’identification est généré par votre FAI.
La centralisation des profils : Les opérateurs télécoms connaissent déjà votre nom, votre adresse physique, vos données bancaires et votre localisation en temps réel. En y liant votre historique de navigation web via Utiq, ils créent un profilage comportemental d’une précision redoutable.
La faille de la pseudonymisation : Utiq se défend de partager votre nom en clair, affirmant utiliser des jetons “cryptés”. Cependant, dans le monde de la cybersécurité, il est prouvé que la pseudonymisation est réversible. Le croisement de ces jetons avec d’autres bases de données permet de réidentifier facilement les individus.

Quels sont les opérateurs qui utilisent Utiq ?

Utiq a été fondé par une alliance des quatre plus grands opérateurs européens. Si vous êtes client chez l’un d’eux (ou l’une de leurs filiales low-cost), votre connexion est potentiellement déjà “compatible” avec ce pistage.

Voici les fondateurs et les liens vers leurs politiques de confidentialité respectives traitant de la gestion de vos données :

Orange (France, Espagne, Pologne, etc.)
Vodafone (Allemagne, Espagne, Royaume-Uni, etc.)
Telefónica / O2 / Movistar (Espagne, Allemagne, etc.)
Deutsche Telekom (Allemagne, Europe centrale)

L’astuce OPSEC : Bien qu’Utiq propose un portail centralisé de gestion du consentement (consenthub.utiq.com) pour révoquer l’accès, la meilleure défense reste technologique.

L’approche Zéro Confiance (Zero-Trust) pour contrer Utiq

La philosophie de la souveraineté numérique, portée par des écosystèmes comme Arpokrat, repose sur un principe simple : ne jamais faire confiance à l’infrastructure réseau.

Pour neutraliser techniquement des systèmes comme Utiq, la solution est de masquer votre trafic à votre propre fournisseur d’accès internet :

L’utilisation d’un VPN souverain : En chiffrant votre trafic dès sa sortie de votre appareil, votre FAI ne voit qu’un flux de données illisible dirigé vers un serveur VPN. Il ne peut plus injecter ni lire les jetons Utiq.
Le réseau Tor (Orbot) : Le routage en oignon empêche toute identification de bout en bout.
Le chiffrement DNS (DoH/DoT) : Empêche votre opérateur de savoir quels sites web vous demandez à visiter.

En résumé, Utiq est la preuve que les fournisseurs d’accès internet ne se contentent plus d’être de simples “tuyaux” ; ils veulent devenir des courtiers en données. Plus que jamais, le chiffrement de votre trafic n’est plus une option de sécurité, mais une nécessité absolue pour préserver votre silence numérique.