Comment la Chine espionne les données personnelles des touristes

Les étrangers qui traversent les frontières chinoises dans la région du Xinjiang, où les autorités mènent une campagne massive de surveillance et d’oppression contre la population musulmane locale, se voient installer un logiciel espion sur leur téléphone qui permet aux autorités d’avoir accès à leurs messages et autres données. Cette découverte est le fruit d’une collaboration entre Motherboard, le Süddeutsche Zeitung, le Guardian, le New York Times et la chaîne publique allemande NDR.

Le malware Android est installé par les douaniers lorsqu’ils saisissent le téléphone et permet de scanner un ensemble spécifique de fichiers, d’après plusieurs analyses d'experts. Cela comprend du contenu extrémiste islamique, mais aussi du matériel inoffensif, des livres académiques sur l’Islam rédigés par d’éminents chercheurs et même la musique d’un groupe de metal japonais.

Le téléchargement des messages des touristes et autres données de téléphonie mobile n’est en rien comparable au traitement réservé aux Ouïghours du Xinjiang, qui vivent sous la menace constante des systèmes de reconnaissance faciale, des caméras de surveillance et des fouilles corporelles. La semaine dernière, VICE News a publié un reportage d’infiltration détaillant les atteintes aux droits humains qui leur sont infligées. Mais cette nouvelle annonce montre que les méthodes agressives de surveillance et de contrôle du gouvernement chinois dans la région isolée du Xinjiang s’étendent également aux populations étrangères.

« Cette application prouve encore une fois que la surveillance de masse est omniprésente dans le Xinjiang. Nous savons déjà que les résidents locaux, en particulier les musulmans turcs, font l'objet d'une surveillance permanente et multidimensionnelle dans la région, déclare Maya Wang, chercheuse principale sur la Chine à Human Rights Watch. Ce que vous avez découvert va plus loin : cela suggère que même les étrangers sont soumis à une surveillance massive et illégale. »

Un touriste qui a traversé la frontière et qui s’est vu installer l’application sur son téléphone en a fourni une copie au Süddeutsche Zeitung et à Motherboard. Un membre de l'équipe du Süddeutsche Zeitung a également traversé la frontière et a fait installer le même logiciel malveillant sur son propre téléphone.

Nous avons publié une copie de l'application sur notre compte GitHub. Vous pouvez télécharger le fichier ici.

Quiconque arrive à la frontière entre le Kirghizistan et la Chine, entourée de montagnes désolées, est amené dans un environnement propre et stérile pour y être fouillé, un processus en plusieurs étapes qui prend une demi-journée, selon un voyageur. C’est à ce moment-là que les douaniers saisissent les téléphones des voyageurs pour installer l’application, qui peut s’appeler BXAQ ou Fengcai.

Nous avons fait analyser l’application par plusieurs experts. La société de détection d'intrusion Cure53 pour l'Open Technology Fund, des chercheurs du Citizen Lab de l'Université de Toronto, des chercheurs de l'université de la Ruhr à Bochum, ainsi que le Guardian lui-même ont fourni des informations sur BXAQ. Le code de l'application comprend également des noms tels que « CellHunter » et « MobileHunter ».

En se « chargeant latéralement » et en demandant certaines permissions plutôt que de passer par Google Play Store, BXAQ collecte les données du calendrier, de la liste de contacts, des journaux d'appels et des messages textes du téléphone et les télécharge sur un serveur, selon une analyse réalisée par les experts. L'application ne tente pas de se cacher. Une icône s’affiche sur l'écran d’accueil, ce qui laisse à penser qu’elle est conçue pour être retirée du téléphone après avoir été utilisée par les autorités.

« Cela montre une nouvelle fois que le régime de surveillance du Xinjiang est l'un des plus illégaux, envahissants et draconiens au monde », estime Edin Omanovic, spécialiste des programmes de surveillance gouvernementaux pour Privacy International.

« Les systèmes d'extraction modernes en profitent pour construire une image détaillée mais imparfaite de la vie des gens. Les applications, plates-formes et appareils modernes génèrent d'énormes quantités de données que les gens ne connaissent même pas, ou qu’ils pensent avoir supprimées, mais qu'on peut toujours trouver sur l'appareil. C'est très alarmant dans un pays où le téléchargement d'une mauvaise application ou d'un mauvais article d'information peut vous mener dans un camp de détention », ajoute-t-il.

Le journaliste du Süddeutsche Zeitung a déclaré avoir vu des machines qui semblaient servir rechercher des iPhones à la frontière.

« Il est assez alarmant de voir à quel point même les étrangers et les touristes seraient soumis à ce type de surveillance », dit Patrick Poon, chercheur sur la Chine à Amnesty International.

Le code de l'application comprend des hashs de plus de 73 000 fichiers différents. D'ordinaire, il est difficile de déterminer à quels fichiers spécifiques ces hashs se rapportent, mais l'équipe chargée du rapport et les chercheurs ont pu trouver les entrées pour environ 1 300 d'entre eux. Citizen Lab a identifié les hashs dans la base de données VirusTotal, et les chercheurs de l'équipe de Bochum ont ensuite téléchargé certains de ces fichiers. L'équipe chargée de faire le rapport a également trouvé d'autres copies en ligne et vérifié le type de documents que l'application recherche.

De nombreux fichiers sont scannés à la recherche de contenus clairement extrémistes, comme le magazine Rumiyah de l'organisation État islamique. Mais l'application recherche aussi des parties du Coran, des fichiers PDF relatifs au dalaï-lama et des musiques du groupe japonais Unholy Grave (le groupe a un morceau intitulé « Taiwan : Another China »).

« Le gouvernement chinois, tant en droit qu'en pratique, associe généralement les activités religieuses pacifiques au terrorisme. Le droit chinois définit le terrorisme et l'extrémisme de façon très large et vague. Par exemple, le simple fait d’avoir en sa possession des "articles qui prônent le terrorisme" peut suffire à être accusé de terrorisme, même s'il n'y a pas de définition claire quant à la nature des documents », explique Wang de Human Rights Watch.

Parmi les fichiers recherchés, on retrouve The Syrian Jihad, un livre écrit par Charles Lister, éminent spécialiste du terrorisme et directeur du programme de lutte contre le terrorisme et l'extrémisme au Middle East Institute.

« C'est nouveau pour moi ! écrit Lister dans un mail. Je n'ai jamais été critiqué pour ce livre, c'est même tout le contraire. Je crois que pour les autorités chinoises, tout ce qui comporte le mot "djihad" dans le titre est suspect. Le livre couvre, quoique de façon minimale, le rôle du Parti islamique du Turkistan en Syrie, ce qui peut aussi être considéré comme sensible pour Pékin. J'ai rencontré des responsables chinois et j'ai discuté de ces questions avec eux, donc je ne suis pas au courant d’un quelconque problème qu’ils auraient avec moi. »

Nous avions déjà publié un article sur JingWang, un logiciel malveillant que les autorités chinoises installent souvent sur les téléphones de la population musulmane ouïghoure et qui scanne également les appareils à la recherche d’un ensemble de fichiers similaires. Mais selon l'analyse des experts, si quelques fichiers se recoupent, BXAQ va beaucoup plus loin.

Les autorités chinoises n'ont pas répondu à nos demandes de commentaires. Ninjing FiberHome StarrySky Communication Development Company Ltd, l'entreprise en partie publique qui a développé l'application, n’a pas répondu non plus.

« Dans le monde entier, on a de plus en plus tendance à considérer les frontières comme des zones de non-droit où les autorités peuvent exercer toute forme scandaleuse de surveillance, dit Omanovic. Mais ce n'est pas le cas : l'intérêt des droits fondamentaux, c'est que vous en bénéficiez partout où vous allez. Les démocraties libérales occidentales qui veulent mettre en œuvre des régimes de surveillance similaires à ceux de la Chine devraient se demander si c'est vraiment le modèle de sécurité qu'elles veulent adopter. »

VICE France est aussi sur Twitter, Instagram, Facebook et sur Flipboard.