Un simple bug informatique peut vous transformer en criminel

Pire que Minority Report... Imaginez que vous soyez accusé des crimes et délits commis par des milliers de personnes, du jour au lendemain. Impossible ? Non. Voici deux exemples récents, aux États-Unis et en France. James et Theresa Arnold vivent dans le comté de Butler, au Kansas. Leur maison a la particularité d'être très proche du centre géographique des États-Unis, et c'est ce qui leur a causé cinq années d'enfer numérique. En effet, le logiciel de géolocalisation de la société MaxMind, utilisé, entre autres, par les forces de l'ordre, leur attribuait chaque demande d'identification d'internaute qui n'aboutissait pas : au lieu de renvoyer un message d'erreur, le logiciel ciblait le centre du pays, c'est-à-dire la maison des Arnold. Le couple estime que sa maison a ainsi été associée à plus de 600 millions d'adresses IP, ces « plaques d'immatriculation » attribuées par les opérateurs à chaque appareil connecté à Internet, et que les forces de l'ordre utilisent pour identifier les cybercriminels.

« Dès la première semaine après l'emménagement des Arnold (en 2011, NDLR), deux officiers de police du comté de Butler sont venus chez eux à la recherche d'un véhicule volé. Ce scénario s'est répété un nombre incalculable de fois durant les cinq années suivantes », précise la plainte déposée auprès d'un tribunal du Kansas, et relayée par la BBC. Le couple a continuellement été dérangé, à toute heure du jour et de la nuit, par les forces de l'ordre locales, nationales et fédérales, à la recherche d'un enfant en fugue, d'une personne disparue, d'une preuve de fraude informatique, ou à la suite d'un appel évoquant une tentative de suicide.

Un cas similaire chez Numericable

En 2013, le shérif du comté de Butler a décidé de mener une enquête poussée sur la famille, en réaction au nombre de méfaits qui leur étaient reprochés chaque semaine : vol de voiture, fraude fiscale, fraude aux bitcoins, vol de carte bancaire, faux appel pour tentative de suicide, vol d'identité, etc. « Des menaces ont été proférées contre les plaignants par des individus convaincus que des malfaiteurs vivaient dans la maison », ajoute encore la plainte, qui accuse MaxMind de comportement « inconscient et incroyablement négligent ». Les deux Américains réclament 75 000 dollars de dommages et intérêts, évoquant leur « grande détresse émotionnelle, la peur pour (leur) sécurité et l'humiliation ». Pour cinq années d'enfer, ce n'est pas cher payé...

MaxMind n'a pas fait de commentaire sur cette affaire, et s'en tient à une déclaration antérieure de son PDG : « Nous n'avons jamais prétendu pouvoir identifier un foyer précis avec une adresse IP. Nous identifions plutôt une ville ou un code postal. » Dans ce cas, il serait bon qu'ils préviennent leurs clients, dans les bureaux du FBI et de la police, qui utilisent le logiciel pour trouver des adresses très précises et qui lui font une confiance aveugle.

L'histoire de la famille Arnold rappelle celle d'un internaute français, abonné chez Numericable (aujourd'hui Numericable-SFR). En l'espace d'un an et neuf mois, il avait été « identifié 1 531 fois pour délit de contrefaçon et inculpé 7 fois », affirme la Commission nationale de l'informatique et des libertés (Cnil), dans un avertissement public de mars 2016 adressé à Numericable. L'abonné a « fait l'objet de nombreuses perquisitions à son domicile et de plusieurs saisies de ses équipements informatiques », dans le cadre de « plusieurs enquêtes pénales, dont l'une visait des faits de pédopornographie », ajoute le gendarme des données personnelles. La raison de cet acharnement ? Un simple bug chez l'opérateur de Patrick Drahi.

Big Brother est faillible

« Numericable avait développé une application informatique lui permettant de traiter de manière automatisée les demandes relatives à l'identification des adresses IP », explique la Cnil. Mais ce logiciel avait une faille : lorsqu'il « ne parvenait pas à associer une adresse IP à une personne, il ne générait pas de message d'erreur et renvoyait par défaut à un même abonné ». Comme la famille Arnold aux États-Unis, c'est un véritable enfer numérique qu'a vécu l'internaute français, qui est toutefois resté client de l'opérateur jusqu'à aujourd'hui.

Après avoir mené une mission de contrôle chez le fournisseur d'accès, la Cnil a rendu l'affaire publique afin de « sensibiliser (les opérateurs, NDLR) aux conséquences préjudiciables qu'une transmission de données inexactes peut avoir sur leurs abonnés ». C'est dit avec un vocabulaire diplomatique dont seule la Cnil a le secret, mais le message est là : une simple erreur chez un opérateur peut détruire la vie d'un abonné.

En France comme aux États-Unis, les affaires n'ont pas été résolues par le système de surveillance lui-même, qui n'envisage visiblement pas sa propre défaillance. Le cas des Arnold au Kansas a été résolu grâce à l'enquête d'une chaîne de télévision. Et ce n'est qu'avec l'insistance d'un policier zélé et surpris du nombre d'inculpations que le bug de Numericable a été découvert en France. À l'heure où les forces de l'ordre s'appuient de plus en plus sur la société de surveillance pour leurs enquêtes, notamment face au terrorisme, il est plus que temps qu'elles soient conscientes que le système est faillible. D'autant plus que certains bugs restent discrets : dans les deux cas ci-dessus, l'innocence des victimes était criante, car l'erreur était massive. Mais imaginons un bug ponctuel, accusant un innocent d'un seul crime : combien de temps mettra-t-il à prouver son innocence ? Non, décidément, les réponses de Big Brother ne sont pas parole divine.