Alertes à la bombe: pourquoi les VPN n'empêchent pas les auteurs d'être retrouvés

Comme les réseaux sociaux, les prestataires fournissant des services de VPN coopèrent généralement avec les autorités.

Un VPN permet-il d'être anonyme sur Internet? Si certains peuvent penser que oui - notamment en raison des promesses de certains services - il n'en est rien. Ce 20 octobre, Le Parisien rapportait le cas d'un lycéen de 16 ans vivant dans les Yvelines, interpellé après avoir envoyé par mail de fausses alertes à la bombe à son lycée. Afin de ne pas être identifié, il avait utilisé un VPN. Une précaution qui n'a pas été suffisante pour lui éviter une interpellation.

Camoufler son adresse IP

De plus en plus populaires, les VPN sont des services permettant d'utiliser un serveur intermédiaire pour se connecter à n'importe quel site. Une fois le VPN activé, sa box internet va donc se connecter au serveur tiers, qui va lui-même accéder à un site web, un réseau social ou une plateforme de streaming.

Ce serveur tiers peut de son côté être basé à l'étranger, ce qui rend les VPN particulièrement populaires pour accéder aux catalogues Netflix d'un autre pays (par exemple en passant par un serveur basé aux Etats-Unis pour profiter des films et séries disponibles sur la version américaine de Netflix).

Surtout, le VPN a pour effet de masquer l'adresse IP de l'utilisateur. Cette suite de chiffres permettant d'identifier la box internet de l'internaute est en effet camouflée derrière l'adresse IP du serveur appartenant au VPN, seul élément communiqué au site finalement consulté.

"Les fournisseurs de VPN coopèrent"

Pour remonter la piste d'une fausse alerte à la bombe, et face à une adresse IP qui est partagée par de nombreux utilisateurs d'un même VPN (qui passent par le même serveur), les autorités sont loin d'être sans solution. Tout d'abord, car les prestataires de ces VPN ont bien souvent eux-mêmes accès à l'identité de leurs clients. Et donc des moyens techniques de les identifier.

"Quand vous vous connectez à un VPN, il enregistre vos données de connexion. Donc la plupart des VPN savent à quelle adresse IP de leur réseau correspond l'adresse IP réelle d'une personne" confie une source policière spécialisée dans les enquêtes cyber, à Tech&Co.

"La plupart des fournisseurs coopèrent et répondent aux réquisitions judiciaires" ajoute une seconde source policière, auprès de Tech&Co.

Toujours selon une source policière, les VPN peuvent par ailleurs mettre en place la surveillance de l'un de leurs clients, là encore sur demande des autorités, et notamment d'un juge.

Si tous les services de VPN ne communiquent pas très largement sur leur coopération avec les autorités, notamment à des fins marketing, on retrouve régulièrement de telles mentions dans leurs conditions d'utilisation.

"Certaines activités en ligne peuvent être retracées jusqu'aux informations de votre compte" avertit NordVPN, l'un des services les plus utilisés.

"Notre objectif est de protéger votre vie privée lorsque vous naviguez sur le Web, pas de préserver votre anonymat si vous commettez des délits" prévient quant à lui le service VPN du spécialiste de la cybersécurité F-Secure.

Passage par la Suisse

Comme l'a expliqué le ministre des Transports Clément Beaune sur France Inter ce 22 octobre, la plupart des mails de fausse alerte à la bombe visant les aéroports proviennent depuis une même adresse, basée en Suisse, donc en dehors de l'Union européenne.

Mais là encore, si le passage par la Suisse peut ralentir certaines enquêtes, il ne les bloque pas. Plusieurs traités, comme la Convention sur la cybercriminalité (Convention de Budapest), ont vocation à être utilisés plus largement que dans le simple cadre de l'Union européenne. Ce dernier a notamment été signé par la Suisse, qui coopère donc avec les autorités de dizaines de pays en matière de cybercriminalité.

"Dans le cadre d'alertes à la bombe, et donc de terrorisme, on peut facilement imaginer que la Suisse soit amenée à coopérer avec la justice française" analyse la source policière spécialisée dans les enquêtes cyber, auprès de Tech&Co.

Parmi les principaux VPN basés en Suisse, on compte l'entreprise Proton, dont les clients ont parfois vu leur identité transmise à la justice. Si Proton assure à Tech&Co ne pas "enregistrer les adresses IP des utilisateurs" de son VPN, l'entreprise reconnaît recevoir "des demandes d'informations des autorités suisses de la part d'autorités étrangères" et y répondre favorablement "dans des circonstances jugées valables dans le cadre des procédures d’entraide judiciaire internationale".

https://twitter.com/GrablyR Raphaël Grably Rédacteur en chef adjoint Tech & Co