Contexte et décision
Selon une lettre présentée au sénateur Ron Wyden, le Département de la Défense a désactivé le suivi publicitaire sur les iPhone, appareils Android et ordinateurs Windows fournis aux forces armées américaines. La mesure concerne l'Armée, l'Air Force, la Marine, le Corps des Marines et le Commandement des Opérations Spéciales, et a été déployée au cours de l'année 2026, l'Air Force l’ayant appliquée en juillet.
Le sénateur Wyden a indiqué que des acteurs étrangers avaient exploité des données de localisation issues d’applications commerciales pour cibler des troupes au Moyen‑Orient. Cette révélation a motivé la demande de désactivation du « advertising ID », identifiant unique utilisé par les réseaux publicitaires pour suivre les appareils.
Mécanisme du suivi publicitaire
Sur iOS et Android, le système d’identification publicitaire (IDFA ou AAID) est attribué à chaque appareil et transmis aux SDK des applications tierces. Ces SDK collectent la position GPS ou les points d’accès Wi‑Fi, puis associent les informations à l’ID pour créer des profils de mobilité vendus aux courtiers de données. En désactivant l’ID, le système renvoie une valeur nulle ou générique, ce qui empêche les tiers de lier précisément une localisation à un appareil individuel.
Sur les postes Windows gérés via le réseau militaire fédéral, les politiques de groupe (GPO) ont été modifiées pour bloquer les appels aux API de suivi publicitaire des navigateurs et des applications. Cette configuration empêche la transmission du « Advertising ID » vers les serveurs publicitaires, tout en conservant les fonctions de base du système d’exploitation.
Analyse des impacts et limites
La suppression de l’identifiant publicitaire réduit la résolution des données de localisation disponibles pour les acteurs hostiles, rendant plus difficile la corrélation entre un point géographique et un soldat identifié. Toutefois, la mesure ne supprime pas la collecte brute de coordonnées GPS par les applications elles‑mêmes, qui peuvent encore être exploitées si les données sont extraites directement du système d’exploitation.
Wyden a souligné que les appareils personnels et les équipements des contractuels restent susceptibles de divulguer des informations de localisation, même sur les bases militaires. De plus, le FBI et d’autres agences de renseignement ont confirmé l’achat de données de localisation commerciales sans mandat, ce qui indique que la désactivation du suivi publicitaire ne suffit pas à éliminer le risque d’exploitation par les services de renseignement étrangers.
