Stalkerwares : Conjointes sous surveillance

Ne restez pas sur une intuition. Découvrez la vérité. » La phrase, élevée au rang de mantra, trône fièrement sur le site d’un stalkerware – un logiciel espion à installer sur smartphone. Regarder les avis de consommateurs bidonnés d’un autre site permet de savoir à qui s’adresse ce genre de produit. Des hommes blancs, bien sapés et bien peignés défilent pour vanter les vertus de l’espionnage sans consentement. « Cela pourrait sembler maladroit », débute le commentaire de Tim, avant d’enchaîner sur une histoire rocambolesque où il explique mettre sous surveillance sa femme à la suite d’un comportement inhabituel. Son épouse faisait l’objet d’intimidation en ligne et elle ne pouvait pas le partager avec lui. Quel flair ! Grâce à son logiciel d’espionnage, Tim a pu sauver sa femme, et tout cela sans qu’elle le sache. Tim n’est pas une personne à la moralité douteuse, c’est un protecteur, voire un héros.

Le marketing de ces sites est léché, rassurant, déculpabilisant. Souvent, les mouchards qu’ils proposent se vendent comme des outils de contrôle parental. Après tout, s’il s’agit de protéger ses enfants, rien de grave non ? À condition de trouver légitime de surveiller ses enfants… Il suffit parfois de gratter un peu pour voir s’effriter le vernis. Derrière le sourire et la chemise d’un blanc immaculé du bon père de famille se cache le mari violent. Dans une autre section des commentaires choisis par l’éditeur du site, un homme se félicite d’avoir enfin trouvé l’application pour « contrôler l’appareil de son épouse ». Le site Internet semble même suggérer le mode opératoire : si la solution promet une surveillance « sans qu’ils le sachent », l’éditeur précise qu’il faut un accès physique au téléphone de la cible. Une fois entré dans le téléphone, c’est le Graal. Géolocalisation, geofencing (1), keylogger (2), recherche de mots-clés, accès aux contacts et au journal d’appels… Comptez une cinquantaine d’euros pour un abonnement de trois mois avec l’accès à toutes les fonctionnalités proposées.

Des hommes arrivent à retrouver les lieux où ont été mises à l’abri leurs ex-compagnes.

La disponibilité de ces outils s’accompagne d’une acceptation de la surveillance par une partie non négligeable de la population. Selon une étude menée en septembre 2021 par Sapio Research (3) pour l’entreprise de sécurité informatique Kaspersky, 27 % des Français interrogés estimaient acceptable d’espionner son ou sa partenaire. La surveillance s’est banalisée au point de pousser les associations d’accueil de femmes victimes de violences conjugales à adapter leurs stratégies. Des smartphones pistés par un conjoint ou ex-conjoint, Brigitte Chabert en voit tous les jours. « Quand une femme arrive chez nous, nous lui demandons de nous remettre son téléphone », rapporte la directrice de l’association Du côté des femmes, spécialisée dans la mise à l’abri dans le Val-d’Oise. « Une fois le téléphone récupéré, nous l’éteignons ailleurs, pour ne pas trahir l’adresse de nos lieux refuges », explique-t-elle. Son organisation fait partie du réseau Solidarité femmes en Île-de-France, qui regroupe 14 structures similaires, dont le Centre Hubertine-Auclert, organisme francilien à la pointe dans la lutte contre les cyberviolences sexistes et sexuelles, qui avait mené en 2018 une recherche-action auprès de femmes victimes de violences conjugales : 19 % des répondantes pensaient avoir déjà été surveillées par leur partenaire au moyen d’un logiciel espion. Avec les formatrices du centre, les 67 salariées de l’association Du côté des femmes ont été sensibilisées aux stalkerwares en janvier. « Nous n’étions pas formées, ni habituées à ça », pointe Brigitte Chabert, désormais effarée par l’ampleur du phénomène. Elle l’affirme, près de huit femmes sur dix suivies par l’association font l’objet d’une cybersurveillance par leur agresseur. « Et leurs enfants aussi, précise-t-elle. Les pères peuvent leur offrir des téléphones portables avec un logiciel espion préalablement installé pour traquer leur déplacement et donc celui de leur mère quand elles en ont la garde. » S’il n’est pas illégal d’installer un traqueur sur le téléphone de son enfant, la loi française prévoit désormais qu’il faut l’accord des deux parents pour pouvoir le faire.

Très régulièrement, des hommes arrivent à retrouver les adresses des lieux où ont été mises à l’abri leurs ex-compagnes. « Nous avons tellement l’habitude de voir ça », rapporte aussi Léa Arguel, coordinatrice du réseau Solidarité femmes en Île-de-France depuis trois ans mais déjà blasée par le phénomène. Cependant, « ils arrivent toujours à nous surprendre », ajoute-t-elle. La surprise, en plus d’être de mauvais goût, peut être effrayante. Une de ses collègues allait régulièrement voir une femme chez elle pour l’aider à préparer son départ en refuge. Le mari violent devait être à son travail pendant ses visites. « L’homme a débarqué pendant un rendez-vous et a appelé ma collègue par son prénom et son nom, et lui a déclaré être heureux de la rencontrer enfin. Or jamais sa femme ne lui avait parlé d’elle », se souvient-elle.

Circonstance aggravante

Très souvent, les femmes victimes de ces actes ne les perçoivent pas comme une violence au même titre que des coups ou des insultes. « Il faut du temps pour le conscientiser », atteste Brigitte Chabert, qui compare les victimes de cybersurveillance aux femmes séquestrées par leur conjoint. « Le mari violent fait toujours croire que c’est normal, que c’est pour son bien », explique-t-elle. Une vision toxique de l’amour vient renforcer cette rhétorique. Donner un accès à son téléphone deviendrait une preuve d’amour, sinon de loyauté. Aimer, en plus de partager l’intimité de l’autre, ça serait aussi anéantir la sienne. Selon l’étude menée par Kaspersky, plus de six Français interrogés sur dix auraient partagé leur mot de passe de téléphone avec leur partenaire et connaîtraient dans une proportion similaire celui de leur conjoint.

Si les codes de l’amour traditionnel tendent à relativiser la notion de vie privée, la loi française, elle, se montre plus sévère contre ces atteintes. Depuis une loi du 20 juillet 2020, il est désormais reconnu comme circonstance aggravante de surveiller une femme dans le cadre conjugal. Si un homme géolocalise sa femme sans son consentement, en temps réel ou en différé, l’article 226-1 du code pénal prévoit une peine de deux ans de prison et de 60 000 euros d’amende. Contacté par Politis, le ministère de la Justice dénombre 13 poursuites et 6 condamnations en 2020 pour « géolocalisation sans consentement d’une personne avec la circonstance aggravante que la surveillance émane d’un conjoint/concubin ». En 2021, il y a eu 72 poursuites pour 44 condamnations de première instance. L’installation de stalker-ware peut également être sanctionnée, via l’article 226-15 du code pénal, qui condamne l’interception des correspondances entre deux personnes.

Le problème des stalkerwares, contrairement aux applications de contrôle parental classiques et visibles sur le téléphone, c’est leur discrétion. Quelques signes peuvent cependant alerter, comme une batterie qui se décharge anormalement vite ou un forfait Internet épuisé rapidement. La disparition anormale du téléphone et sa réapparition suspecte aussi. Si ces mouchards n’apparaissent pas sur le téléphone la plupart du temps, ils peuvent parfois prendre la forme d’une application classique, comme une calculette. En cas de découverte d’une application suspecte, il est conseillé de ne pas la désinstaller seule. Mieux vaut se diriger vers des associations de soutien aux femmes victimes de violences conjugales. Supprimer l’application pourrait alerter l’agresseur et entraînerait une déperdition de preuves. Se procurer un autre téléphone en parallèle peut en revanche permettre d’échapper à la surveillance d’un partenaire violent. Des sites d’associations comme Echap ou celui du Centre Hubertine-Auclert proposent également de nombreuses ressources pour protéger ses appareils et sa vie numérique.

Notice de compromission

Félix Aimé, anciennement développeur à Kaspersky et désormais chercheur en sécurité pour l’entreprise de cybersécurité Sekoia.io, a participé à la création de TinyCheck, un outil de détection de stalkerware. « Le Centre Hubertine-Auclert avait demandé à mon entreprise de l’époque de voir ce qu’il était possible de faire techniquement contre les violences numériques, et comment s’en protéger », raconte-t-il. Pendant la rencontre entre le jeune développeur et les membres du centre, un problème se pose rapidement : il est difficile pour une victime d’avoir la certitude d’être visée par un stalkerware. Le développeur le justifie : « Il faut faire une analyse Forensic. » Cette méthode d’analyse vise à investiguer un système informatique après une intrusion, c’est en quelque sorte reconstituer une scène de crime, par où est passé l’assaillant, s’il a laissé ou pris quelque chose, etc. « Pour une analyse complète, ça peut prendre du temps et coûter cher. C’est difficile de demander cette expertise à tout le monde », explique l’expert en sécurité informatique.

La jalousie est individuellement et socialement considérée comme une marque d’amour.

TinyCheck se compose d’un Raspberry Pi, un ordinateur low cost de la taille d’une carte de crédit. Malgré sa petite taille, il peut faire tourner un système d’exploitation. Le logiciel – disponible librement sur la plateforme d’hébergement de logiciel GitHub – peut s’installer dessus et il fonctionne ensuite comme une borne wifi. Le téléphone se connecte et son trafic sortant va être analysé. Toutes les requêtes DNS (4) dirigées vers des serveurs identifiés comme ceux d’éditeurs de stalkerware – TinyCheck en répertorie plus de 200 – renverront une notice de compromission du téléphone. « Cet outil veut volontairement faire simple, quand l’écran est vert, c’est bon, quand il est rouge, le téléphone est surveillé. » Surtout, la détection est passive. L’agresseur ne pourra jamais se douter que le logiciel a été repéré. L’outil serait en test ou en cours d’utilisation au sein de plusieurs ONG de défense des femmes en Espagne, aux États-Unis, en Australie, au Royaume-Uni et en France.

« Il ne faut pas tomber dans la facilité et déclarer systématiquement “j’ai un stalkerware installé sur mon téléphone”, avertit Olivia Soave, employée chez Kaspersky. Nous n’avons pas déconnecté notre boîte mail ou nos comptes de réseaux sociaux de l’ordinateur familial, les données stockées sur les objets connectés de la maison, un accès à notre compte Cloud ou à une webcam dans une pièce, ou un traqueur GPS a été placé sur notre voiture ou dans notre sac… Il y a malheureusement énormément d’autres outils à la disposition des personnes malveillantes qui leur permettent d’obtenir des informations sur leur partenaire. » Tous ces outils ont en commun d’être accessibles au grand public. Mais s’ils sont accessibles, c’est aussi parce que les hommes s’entraident, selon Brigitte Chabert, de l’association Du côté des femmes. « Si un homme venait me voir pour obtenir une aide technique, parce qu’il s’inquiète pour sa femme et qu’il veut savoir où elle se trouve pour la protéger… J’entendrais ça, en tant que femme, je me méfierais. » Elle précise : « Pourquoi autant d’hommes, de tous milieux sociaux, sans compétences informatiques, arriveraient-ils à installer ce genre de logiciels ? »

La solidarité masculine ne suffit pas à elle seule à expliquer l’ampleur du phénomène. Marion Tillous, enseignante-chercheuse en géographie et études de genre, a signé un mémoire sur « L’usage des outils de géolocalisation au sein du couple : contrôle spatial et violences conjugales ». Elle pointe du doigt la jalousie comme moteur du contrôle et l’analyse ainsi : « Il serait réducteur de considérer la jalousie uniquement comme un réflexe de propriétaire qui veut conserver sa toute-puissance sur son objet. Elle est cela, mais elle est en même temps individuellement et socialement considérée comme une marque d’amour. C’est ainsi que la jalousie est rendue acceptable aux yeux de la victime qui n’accepterait pas d’être considérée comme une chose, mais qui se sent au contraire renforcée dans son identité de sujet par le fait d’être aimée. » La lutte contre la surveillance doit passer par une réflexion sur les règles de l’amour romantique. La fidélité garantie par la transparence absolue pourrait ainsi ressembler à la promesse douce-amère du risque zéro sécuritaire de l’État. Un confort finalement sans saveur parce que sans confiance. Ni liberté.

(1) Délimitation d’un périmètre. Dès que cet espace est franchi, le logiciel espion envoie une alerte.

(2) Fonctionnalité pour enregistrer la moindre lettre tapée sur un clavier. Elle permet notamment de récupérer des identifiants et des mots de passe.

(3) Entretiens réalisés en ligne avec 1 002 Français·es.

(4) Domain Name System, élément essentiel de l’infrastructure d’Internet. C’est un service qui permet d’associer un nom de domaine à une adresse IP (numéro d’identification attribué à un appareil connecté à Internet). C’est grâce à ce système que nous pouvons trouver facilement une page Internet, par exemple.