Contexte et découverte
L’enquête Bloomberg, s’appuyant sur les travaux de Citizen Lab, a mis en évidence l’adoption du système de surveillance publicitaire Webloc, développé par Penlink, par des agences de sécurité dans au moins douze pays. Les premiers clients identifiés – États‑Unis, El Salvador et Hongrie – ont été confirmés par des demandes d’accès à l’information et une cartographie de l’infrastructure serveur. Depuis, le ministère autrichien de l’Intérieur a été ajouté, et Bloomberg a répertorié le Royaume‑Uni, les Pays‑Bas, l’Allemagne, le Mexique, Singapour, l’Arabie Saoudite, les Émirats Arabes Unis et Israël comme utilisateurs supplémentaires.
Fonctionnement technique de Webloc
Webloc s’appuie sur le modèle économique de la publicité en ligne : il insère des balises de suivi dans les pages web et les applications mobiles, recueillant des identifiants publicitaires (IDFA, GAID) ainsi que des empreintes de navigateur (cookies, canvas fingerprinting). Ces données sont agrégées dans une base centrale où des algorithmes de corrélation relient les identifiants à des profils d’utilisateurs, même lorsqu’ils naviguent en mode incognito ou utilisent des VPN. Le système exploite les réseaux de diffusion d’annonces (DSP) pour injecter les balises à grande échelle, ce qui permet de suivre des millions d’appareils sans interaction directe de l’opérateur de surveillance.
Déploiement par les agences de sécurité
Les agences américaines utilisent Webloc pour enrichir leurs bases de données de renseignement, en croisant les identifiants publicitaires avec des dossiers criminels. En Europe, le ministère autrichien de l’Intérieur a contracté le service, probablement pour surveiller des mouvements de foule lors d’événements publics. Les pays autoritaires répertoriés – par exemple l’Arabie Saoudite et les Émirats Arabes Unis – bénéficient d’un accès direct aux flux de données publicitaires, ce qui facilite la localisation en temps réel de dissidents. La diffusion du produit depuis des serveurs situés dans plusieurs juridictions complique la traçabilité juridique, chaque serveur répond à la législation locale du pays d’hébergement.
Enjeux juridiques et limites
L’utilisation de Webloc soulève des questions de légalité, notamment dans l’Union européenne où le RGPD impose le consentement explicite pour le traitement des données de suivi. Aucun des contrats publiés ne mentionne de mécanisme de consentement, ce qui rend la collecte potentiellement illicite. De plus, la nature intrusive du suivi publicitaire – capacité à reconstituer les déplacements et les intérêts d’un individu – dépasse les critères de proportionnalité requis par la jurisprudence européenne. Enfin, la dépendance à des tiers publicitaires crée une surface d’attaque supplémentaire : une compromission du réseau de diffusion d’annonces pourrait exposer les bases de données de surveillance à des acteurs malveillants, amplifiant le risque de fuite massive d’informations sensibles.
