La DGST figure sur les fichiers fuités d’une firme néo-zélandaise de logiciels espions

Abdellatif Hammouchi, patron de la DGSN et de la DGST. AIC PRESS

Après les révélations sur les systèmes de surveillance acquis auprès de Amesys et de Hacking Team, la DGST, le service de renseignement intérieur marocain est de nouveau cité dans la fuite de documents d’Endace, une société néo-zélandaise qui commercialise un logiciel espion destiné à la traque sur Internet

Des dizaines de documents internes et de courriels fuités d’Endace, une entreprise néo-zélandaise méconnue dans le milieu de la surveillance et de l’espionnage et obtenus par le site d’investigation The Intercept, révèlent que la Direction générale de la surveillance du territoire (DGST) marocaine est l’un des services de renseignement dans le monde qui s’est procuré auprès d’elle un système d’aspiration de données Internet Medusa, dénommé ainsi d'après le monstre mythologique grec aux cheveux de serpents. Ce logiciel espion aide à « la récolte de grandes quantités d'informations sur les e-mails privés des particuliers, des chats en ligne, des conversations sur les réseaux sociaux, et des historiques de navigation sur Internet ».

The little-known company that enables worldwide mass surveillance https://t.co/f6xTuRsBHm by @rj_gallagher

&mdash The Intercept (@theintercept) October 23, 2016

Stuart Wilson, PDG de Endace, a refusé de répondre aux questions posées par The Intercept. Wilson a déclaré dans un communiqué que la technologie d’Endace « génère des recettes d'exportation pour la Nouvelle-Zélande et renforce la capacité technique importante pour notre pays ». Il a ajouté : « Notre technologie commerciale est utilisée par les clients à travers le monde ... qui comptent sur l'enregistrement de réseau pour protéger leurs infrastructures critiques et les données de cybercriminels, les terroristes et les menaces de cybersécurité parrainées par l'État ».

Fondée en 1994 par des professeurs et des chercheurs de l’Université de Waikato à Hamilton, Endace affirme que sa technologie permet à ses clients de « surveiller, d'intercepter et capturer 100 % du trafic sur les réseaux ». La devise de la société basée à Auckland est « Le pouvoir de tout voir », son logo étant un œil…

Un diagramme du système Medusa tel que consigné dans un document technique à l'adresse des services de renseignement britanniques. THE INTERCEPT

A l’origine, l’objectif central du projet était de trouver des façons de mesurer différents types de données sur Internet, une capacité technologique encore bourgeonnante à l’époque. En quelques années, les efforts déployés par les universitaires ont porté leurs fruits ils avaient réussi à inventer des outils de surveillance des réseaux d'avant-garde. En 2001, le groupe de recherche a démarré la commercialisation de sa technologie - et Endace a été fondée.

Une véritable industrie d'espionnage

Aujourd'hui, Endace se présente publiquement comme spécialisée dans « la fourniture de la technologie qui aide les entreprises et les gouvernements à maintenir leurs réseaux sécurisés ». Mais ses dix dernières années, explique The Intercept, l’entreprise a discrètement mis sur pied une véritable industrie d'espionnage dans un marché mondial en plein essor et qui pèse près de 5 milliards de dollars.

En 2007, les représentants d’Endace ont fait la promotion de leur technologie lors d’un imposant salon de la technologie de surveillance à Dubaï auquel ont participé des dizaines d'organismes gouvernementaux du monde entier. WikiLeaks avait en 2013 rapporté la montée en puissance de la start-up néo-zélandaise par la divulgation de certains de ses documents internes vantant ses capacités à « surveiller tout le trafic réseau à moindre coût » : Appels Skype, vidéos VoIP, e-mails et chats de messagerie instantanée.

Financé par des fonds d’aide publics néo-zélandais, le système Medusa a été pour la première fois commercialisé à large échelle par Endace en septembre 2011. Son prototype a été testé en avant première par l’agence britannique GCHQ. Les listes de clients fuitées de Endace montrent trois grandes catégories : les gouvernements, les entreprises de télécommunications et de grandes sociétés de financement. Les clients du gouvernement semblent être la plupart des agences de renseignement. Une liste de clients d’Endace datée de 2008 comprenait le GCHQ britannique, les ministères canadiens et australiens de défense, une société privée travaillant pour le compte du gouvernement américain appelé Rep-Tron Systems Group, situé à Baltimore dans le Maryland et la DGST marocaine. D’autres listes mentionnent la marine américaine, le gouvernement indien, l’agence de renseignement danoise ou encore le ministère espagnol de la Défense.

Mention spéciale pour la DGST

« Les rapports apparents d’Endace avec l'agence marocaine DGST, sont particulièrement controversés. Les autorités marocaines ont été constamment accusées sur plus de cinq décennies de commettre une série de graves violations des droits de l'homme », souligne The Intercept qui cite des rapports d’ONG internationales sur la situation des droits de l’Homme au Maroc.

La DGST marocaine figurant dans la liste des comptes stratégiques d'Endace. THE INTERCEPT

Sirine Rached, chercheur pour l’Afrique du Nord auprès d’Amnesty International, a déclaré à The Intercept que les ventes de la technologie de surveillance au Maroc ont soulevé des préoccupations majeures, faisant référence aux précédentes affaires autour des cas du français Amesys et de l'italien Hacking Team, tous deux fournisseurs des services de renseignement du royaume. « Au Maroc, la surveillance numérique est intimement liée à la répression de la dissidence pacifique - les personnes qui manifestaient pacifiquement ou critiquant les autorités font face à l'intimidation, les arrestations, les procès inéquitables, et parfois l'emprisonnement », a déclaré Rached. « Nous craignons que plus que ces outils de surveillance sont vendus [aux agences marocaines], plus nous verrons les violations des droits de l'homme, en particulier en ce qui concerne la liberté d'expression et d'information. »

Endace a refusé de commenter ses relations avec le Maroc. Son PDG, Stuart Wilson, a déclaré qu'il n’était pas en mesure « de divulguer des détails confidentiels sur les clients de l'entreprise afin de ne pas entraver leur combat contre les menaces liées à la cybercriminalité ».