Comment la police pirate des téléphones verrouillés et extrait des données

Un rapport récent répertorie 50 000 cas où les forces de l’ordre se sont tournées vers des entreprises tierces pour contourner le cryptage sur un smartphone.

Les mesures de sécurité dont nos smartphones sont équipés sont devenues de plus en plus sophistiquées ces dernières années, des mots de passe aux empreintes digitales, en passant par la reconnaissance faciale et le cryptage supplémentaire. Un nouveau rapport de l’organisation américaine de recherche à but non lucratif Upturn révèle comment la police a accédé aux téléphones des suspects malgré toutes les protections ci-dessus. En concluant des contrats avec des sociétés de criminalistique numérique spécialisées dans le contournement du blocage, les forces de l’ordre ont eu accès à des téraoctets de données cryptées.

Selon le rapport, les forces de l’ordre des 50 États américains ont des contrats avec des fournisseurs tels que Cellebrite et AccessData pour accéder aux données des téléphones verrouillés et les copier. La police a ensuite utilisé les preuves obtenues à partir de ces téléphones pour clore des affaires très médiatisées. Les auteurs du rapport Upturn affirment que la pratique est en grande partie secrète et risque de créer une "menace inacceptable pour la protection du quatrième amendement" par des fouilles excessives.

Entre 2015 et 2019, Upturn a trouvé près de 50 000 cas où la police a utilisé des outils médico-légaux pour appareils mobiles (MDFT ). Les auteurs du rapport soutiennent que les outils fournissent des informations sur la vie des gens bien au-delà de la portée de toute enquête, et peu de services de police limitent comment et quand ils peuvent être utilisés. L’équipe a envoyé des demandes de documents publics aux agences d’application de la loi nationales et locales à travers le pays et a constaté que plus de 2 000 agences utilisaient MDFT à un moment donné de leurs opérations.

"Nous voyons souvent l’excuse que les personnes qui vendent de la drogue ou consomment de la drogue [aussi] utilisent des téléphones", explique Logan Koepke, auteur principal du rapport. "Mais bien sûr, tout le monde utilise des téléphones."

La police peut demander à quelqu’un de déverrouiller volontairement le téléphone à des fins d’enquête. C’est ce qu’on appelle la "demande de consentement". Leur succès dépend fortement de la région. Apturn a découvert que les habitants du Texas l’acceptaient 53 % du temps, mais ce chiffre était d’environ 10 %.

Lorsque le propriétaire refuse de déverrouiller le téléphone, la police doit demander un mandat. En 2016, Apple s’est opposé à une demande du FBI de donner aux enquêteurs l’accès à un iPhone 5C verrouillé appartenant à l’un des tireurs soupçonnés d’avoir tué 16 personnes à San Bernardino, en Californie. Le FBI s’est tourné vers une entreprise tierce qui a aidé à contourner le verrouillage.

Dans son rapport, Upturn a examiné des centaines de mandats de perquisition nécessitant l’utilisation de MDFT pour des délits majeurs et mineurs, allant de la suspicion de meurtre au vol à l’étalage. Les auteurs disent que la police n’a souvent fourni qu’une faible excuse pour vouloir déverrouiller le téléphone. De plus, les mandats ne se limitent généralement pas aux informations spécifiques qui ont conduit la police au téléphone. Au lieu de cela, les mandats et le MDFT permettent à la police d’utiliser tout ce qui est trouvé au téléphone contre un suspect.

En 2017, la police de Coon Rapids, Minnesota, à environ 30 minutes de Minneapolis, a répondu aux informations faisant état de deux mineurs se disputant plus de 70 dollars devant un restaurant McDonald’s. Dans le mandat de perquisition, l’officier a déclaré que les données détermineraient "si les textes contiennent ou non des références aux 70 dollars". La police est arrivée, a arrêté les deux mineurs et a finalement obtenu des copies complètes de leurs téléphones, y compris les journaux d’appels, le contenu des SMS et des e-mails, l’historique des recherches sur le Web et les données GPS.

Le rapport Upturn n’indique pas si les données extraites entraînent des frais supplémentaires. Mais l’équipe a constaté que les données extraites des téléphones sont rarement supprimées. Les politiques du Nouveau-Mexique, de l’Utah et de la Californie exigent la suppression des données qui ne sont pas directement pertinentes pour une enquête, mais la grande majorité des États ne le font pas. Il est légal pour la police d’autres États de conserver les données reçues d’un téléphone, même si le propriétaire n’a jamais été reconnu coupable d’un crime.

"Ce que nous avons entendu de certains [avocats], c’est qu’une arrestation pourrait être effectuée afin d’avoir accès au téléphone, de sorte qu’ils pourraient potentiellement être accusés de crimes plus graves", explique l’auteur du rapport.

Il déclare également que la police dans ces cas dit qu’elle agit sur ce qu’il considère comme une mauvaise interprétation de la "doctrine de la simple vue". Cela permet à la police de rechercher des preuves d’un crime et de trouver des preuves d’autres crimes qui sont "en pleine vue" au cours d’une enquête. Imaginez que la police recherche des cartes de crédit volées dans une voiture et trouve ensuite de la cocaïne.

Mais les MDFT sont si puissants que Koepke dit qu’ils peuvent donner à la police un large accès aux données personnelles d’une personne. Ces types de mandats encouragent les forces de l’ordre à enquêter non seulement sur des crimes spécifiques, mais aussi sur la vie des personnes sous surveillance, indique le rapport d’Apturn.

"Dans le domaine numérique, le concept même de ce qui est et de ce qui n’est pas est complètement hors de contrôle, principalement parce que les outils d’investigation mobile vous permettent de trier les données comme vous le souhaitez", dit-il.

Alors que Upturn a trouvé près de 50 000 instances de 44 services de police extrayant des données à partir de téléphones, le chercheur pense que le nombre réel est beaucoup plus élevé. Certains des plus grands services de police du pays se sont opposés aux demandes du groupe. Les services de police de New York, Baltimore, DC et Boston ont refusé de fournir des détails sur l’utilisation de ces outils. Koepke dit que le procès concernant l’accès à ces enregistrements est en cours.