Les courtiers en données aident les ennemis à cibler les troupes américaines. Le Pentagone doit intensifier ses efforts, disent les législateurs
Des adversaires ont utilisé des données de localisation disponibles dans le commerce pour cibler les militaires américains dans les zones de guerre, a révélé jeudi un groupe bipartite de législateurs.
Dans une lettre adressée à Kirsten Davies, directrice informatique du Pentagone, 14 membres du Congrès – dirigés par le sénateur Ron Wyden, D-Ore., et le représentant Pat Harrigan, RN.C. – a averti que le ministère « n’a pas pris de mesures fondamentales pour protéger le personnel militaire américain de la grave menace de contre-espionnage et de protection des forces posée par la collecte et la vente d’informations personnelles, y compris les données de localisation des téléphones portables, par les courtiers en données ».
C’est Reuters qui a été le premier à rapporter la nouvelle.
Le mois dernier, le Commandement central américain a révélé aux législateurs qu’il « avait reçu plusieurs rapports de menaces concernant l’exploitation par des adversaires de données de localisation commerciales pour cibler ou surveiller le personnel américain sur le théâtre ». La lettre comprend les réponses du CENTCOM aux questions sur le sujet.
Ce type de données peut être acquis auprès de courtiers de données légitimes pour une somme modique, puis utilisé pour suivre la localisation d’une personne, en particulier celles qui suivent des routines établies ou sont basées dans des régions éloignées.
« Le fait que des adversaires étrangers soient toujours en mesure d’acheter des données de localisation collectées à partir des téléphones du personnel américain servant dans des points chauds militaires est le résultat direct de l’incapacité des dirigeants du ministère de la Défense à donner la priorité à cette menace et à mettre en œuvre les cyberdéfenses de bon sens recommandées par les experts fédéraux en cybersécurité », ont écrit les législateurs.
Le Pentagone est conscient depuis un certain temps déjà des failles de sécurité posées par les données de localisation accessibles au public provenant de smartphones ou d’autres appareils électroniques portables.
Lorsque l’application mobile de fitness Strava a publié une carte thermique mondiale des activités de ses utilisateurs fin 2017, elle a révélé par inadvertance l’emplacement de certains sites militaires américains au Moyen-Orient et a fourni des détails précis sur les itinéraires empruntés par le personnel lorsqu’il faisait du jogging. Des données de localisation similaires provenant de l’application Polar en cours d’exécution ont également révélé l’emplacement du personnel militaire et pourraient être utilisées dans certains cas pour les suivre jusqu’à leur domicile.
Le DOD a ensuite publié une directive en août 2018 interdisant l’utilisation d’applications et d’appareils partageant des données de géolocalisation « dans des endroits désignés comme zones opérationnelles ».
Dans leur lettre, cependant, les législateurs ont déclaré que le CENTCOM a déclaré qu’il « n’avait déployé que ce mois-ci la capacité de désactiver administrativement le partage de localisation sur les smartphones ». Le commandement des combattants a également révélé que le Pentagone n’avait pas encore pris de mesures pour désactiver les numéros de suivi des smartphones utilisés par les annonceurs et les courtiers en données.
« iOS et Android incluent également un paramètre de confidentialité opt-in pour désactiver cet identifiant publicitaire unique, recommandé par la National Security Agency et la Cybersecurity and Infrastructure Security Agency », indique la lettre. « Malheureusement, l’USCENTCOM a confirmé que l’identifiant publicitaire n’est toujours pas désactivé sur les smartphones émis par le gouvernement, mais a déclaré que la Defense Information Systems Agency teste actuellement une capacité à le faire. »
Les législateurs ont exhorté le ministère de la Défense à désactiver l’identifiant publicitaire sur tous les smartphones émis par l’agence et à émettre des directives exigeant que le personnel fasse de même sur ses appareils personnels amenés à l’étranger ou dans des installations militaires. Ils ont également appelé l’agence à supprimer les navigateurs Web « conçus pour faciliter la collecte de données par Google et d’autres sociétés de publicité » des appareils émis par le Pentagone.
« Au lieu de cela, le DoD devrait pré-installer sur les appareils du DoD et exiger l’utilisation par le personnel du DoD de navigateurs Web axés sur la confidentialité qui protègent les utilisateurs avec des cyberdéfenses anti-pistage, telles que le blocage des publicités et le Global Privacy Control (GPC), qui est déjà appliqué par la loi dans 12 États », indique la lettre.
