Fuites de Données, Grand banditisme ? Christophe Boutry [EN DIRECT]

Christophe Goutri, ancien enquêteur à la DGSI, partage son parcours et ses réflexions sur la sécurité numérique, la fuite de données et la surveillance de masse. Il explique comment sa situation financière difficile l'a conduit à revendre des informations issues des fichiers de la police nationale, une erreur qu'il regrette profondément et pour laquelle il a été condamné en 2021. **Le parcours et la chute :** Goutri, âgé de 40 ans, est consultant et YouTubeur. Il a fondé Fuite Info, un site d'agrégation de fuites de données. Il a travaillé à la DGSI en tant qu'enquêteur dans la section judiciaire. Il admet avoir fait des "grosses conneries", notamment revendre des informations issues des fichiers de la police nationale. Il explique ce glissement personnel par une situation financière difficile et un sentiment d'être "cerné de toute part". L'opportunité s'est présentée alors qu'il travaillait sur une enquête mêlant cybercriminalité et Darknet. Il est tombé sur des forums où des données étaient revendues et a fini par solliciter ses contacts pour obtenir des fichiers de la police nationale. Il a été condamné à 30 000 à 40 000 euros au total, pour environ 300 fichiers. Les conséquences de ces fuites ont été importantes : fabrication de faux documents, interférence dans des procédures judiciaires, et même l'inculpation d'un détective privé pour complicité. Goutri gagnait 2100 € net par mois à la DGSI, sans avantages particuliers. Il est entré dans la police par défi, souhaitant prouver à son père, commandant de gendarmerie, qu'il pouvait réussir le concours. Il a finalement adhéré à l'esprit de corps et a passé quatre ans en gendarmerie avant de basculer dans la police nationale. **La fuite de données et ses risques pour la sécurité :** Goutri souligne les dangers de la fuite de données personnelles, qui ouvrent la voie à des risques de sécurité majeurs pour un pays. Des données sensibles issues d'hôpitaux, d'administrations publiques, de collectivités territoriales et d'entreprises stratégiques peuvent tomber entre les mains de pirates, y compris de services de renseignement étrangers. Ces données nourrissent non seulement la délinquance du quotidien (phishing, escroquerie, usurpation d'identité), mais peuvent aussi servir d'armes géopolitiques et commerciales. Il met en garde contre le manque de mesures pour boucher les failles de sécurité. Il illustre cela par une expérience de pensée : un État hostile pourrait exploiter les données personnelles pour repérer des individus clés, comme un ingénieur nucléaire responsable d'un sous-marin, et les manipuler par le biais du "social engineering" (ingénierie sociale). L'attaque par identifiants compromis est la méthode la plus courante. Un exemple concret est la fuite de données fiscales de la DGFiP, causée par un identifiant compromis. **Le fonctionnement des attaques et les failles :** Goutri explique que les pirates testent les identifiants de personnes ayant des responsabilités, souvent identifiables publiquement (LinkedIn, journal officiel). La réutilisation des mêmes mots de passe sur différents services rend ces identifiants vulnérables. Il mentionne l'exemple de l'hôpital privé de la Loire, condamné pour une fuite de données, où les informations des patients ont été compromises. **La surveillance de masse et les dérives :** Goutri, qui a utilisé des outils de surveillance de masse à la DGSI, met en garde contre leur puissance. Il a utilisé le logiciel Palantir, qui permet d'agréger des bases de données diverses pour en extraire des informations. Il dénonce le manque de débat public sur ces technologies et le risque de dérive. Il critique l'usage de la reconnaissance faciale couplée au fichier TAJ (Traitement des Antécédents Judiciaires) par des policiers sur le terrain, pratique pourtant interdite dans le cadre de contrôles d'identité. Bien que la France n'autorise pas légalement la reconnaissance faciale généralisée, des dérives existent. Il souligne que ces outils, même encadrés, peuvent être utilisés à des fins de fichage généralisé. **La technologie et la vie privée :** Goutri insiste sur l'importance de comprendre les outils technologiques que nous utilisons quotidiennement. Les téléphones portables, les voitures connectées, les téléviseurs intelligents collectent en permanence des données qui peuvent être exploitées. Il dénonce le modèle économique basé sur le "tout gratuit" des applications et réseaux sociaux, où l'utilisateur devient le produit. Il recommande l'utilisation de messageries chiffrées comme Signal et Simplex, qui offrent une meilleure protection de la vie privée que WhatsApp ou Telegram (pour les conversations non secrètes). Il explique que le chiffrement de bout en bout, lorsqu'il est correctement implémenté, protège les messages même si le téléphone est compromis. **La souveraineté numérique et les entreprises privées :** Il aborde le rôle d'entreprises comme Palantir, qui fournissent des logiciels d'agrégation de données aux services de renseignement et aux entreprises privées. Il critique le manque de souveraineté numérique de la France, qui dépend d'entreprises américaines dont l'idéologie peut être problématique pour le droit à la vie privée. Il mentionne que la DGSI a mis fin à son partenariat avec Palantir, mais souligne que des alternatives existent, comme Chap Vision. **Les lois et leur application :** Goutri critique la manière dont les lois sur le numérique sont votées, souvent sans débat public suffisant et avec peu de contrôle sur leur application. Il donne l'exemple de la loi "anti-rodéos urbains" qui a introduit la lecture automatisée des plaques d'immatriculation (LAPI), permettant de constituer des bases de données massives sur les trajets des citoyens. Il dénonce la disproportion entre les moyens employés et les objectifs annoncés, ainsi que la lenteur de la mise en place de mesures de sécurité efficaces. **La protection des enfants et la surveillance :** Il aborde la question de la protection des mineurs en ligne, critiquant la proposition d'interdire les réseaux sociaux aux moins de 15 ans sans garanties de sécurité et d'anonymat suffisantes. Il estime que le véritable objectif est le contrôle de l'information plutôt que la protection des enfants. Il souligne que les mineurs peuvent contourner ces interdictions et que des solutions alternatives existent pour détecter les mineurs en ligne sans compromettre la vie privée de tous. **La colère sociale et la surveillance :** Goutri analyse comment les mouvements sociaux, comme les Gilets Jaunes, sont surveillés et réprimés grâce aux techniques d'enquête spécialisées, notamment la cartographie des manifestants via leurs téléphones portables et l'utilisation de dispositifs comme les IMSI catchers. Il dénonce la dérive de ces techniques, initialement conçues pour lutter contre le terrorisme, vers la répression des mouvements sociaux. **Le rôle de l'ancien "ripou" dans le débat public :** Malgré son passé, Goutri estime avoir une légitimité pour débattre de ces sujets, car il connaît les enjeux techniques et les méthodes utilisées. Il souhaite alerter les consciences et encourager les citoyens à reprendre le contrôle de leurs données personnelles. Il insiste sur l'importance de l'hygiène numérique, de l'utilisation d'outils open source et de la séparation entre identité réelle et identité numérique. **Conseils pratiques pour l'hygiène numérique :** Il recommande de ne pas fournir systématiquement ses données personnelles, d'utiliser des adresses e-mail et des numéros de téléphone dédiés pour les inscriptions en ligne, de recourir à des gestionnaires de mots de passe robustes, et de privilégier les logiciels et services qui ne collectent pas de données. **Recommandations culturelles :** Il recommande trois ouvrages : "Wired to Disappear" de Michael Bazzell, pour comprendre comment disparaître à l'ère numérique ; le livre de Bruno Lemire ; et "Match du Kremlin" pour un regard sur les coulisses du pouvoir et le contrôle permanent. Pour les jeunes générations, il conseille d'apprendre à démonter et à comprendre les outils numériques qu'ils utilisent.