Selon une enquête du Financial Times, des groupes liés à l’Iran auraient lancé une campagne de surveillance visant les téléphones de militaires et de sous-traitants américains avant et pendant les premières semaines du conflit. Les chercheurs ont observé un grand nombre de demandes destinées à déterminer à quelles antennes cellulaires certains appareils étaient connectés. Une partie de cette activité aurait pu être reliée à un opérateur mobile iranien.

La première technique repose sur SS7, pour Signaling System 7, un ensemble de protocoles créé dans les années 1970 pour permettre aux opérateurs de gérer les appels, les textos et l’itinérance internationale. Lorsqu’un téléphone se connecte à un réseau étranger, SS7 permet notamment aux opérateurs de retrouver sa position approximative afin d’acheminer les communications.

Le problème vient du fait que SS7 a été conçu à une époque où les quelques entreprises de télécommunications connectées au système se faisaient confiance. Ses mécanismes de vérification sont insuffisants face aux usages actuels. Un acteur disposant d’un accès au réseau peut envoyer des requêtes donnant l’apparence de provenir d’un opérateur légitime et obtenir des renseignements sur la tour cellulaire utilisée par un appareil.

Les réseaux 4G utilisent principalement un protocole plus récent, appelé Diameter, mais celui-ci présente également des faiblesses. En avril 2026, le Citizen Lab de l’Université de Toronto a documenté deux campagnes internationales de surveillance utilisant SS7 et Diameter. Les chercheurs ont découvert des infrastructures passant par des opérateurs de plusieurs pays afin de masquer l’origine des demandes et d’éviter les systèmes de détection.

L’autre méthode utilisée contre les militaires américains serait beaucoup plus accessible. Les applications mobiles et les réseaux publicitaires recueillent régulièrement des identifiants publicitaires, des renseignements sur l’appareil et des données de localisation. Ces informations sont ensuite partagées ou revendues dans l’écosystème de la publicité numérique.

En combinant plusieurs ensembles de données, un acheteur peut reconstituer les habitudes de déplacement d’un appareil, identifier les endroits où son propriétaire passe la nuit ou repérer des concentrations inhabituelles de téléphones. Ce type de renseignement peut être acheté légalement auprès de courtiers en données, sans qu’il soit toujours possible de connaître l’identité ou les intentions de l’acheteur.

Le Pentagone a reconnu avoir reçu plusieurs signalements indiquant que des adversaires exploitaient des données commerciales de localisation pour surveiller ou cibler des militaires américains dans des zones de conflit. Le Commandement central américain, le CENTCOM, n’a toutefois pas précisé quels pays étaient concernés ni confirmé que ces données avaient directement servi à préparer des frappes.

Le sénateur démocrate Ron Wyden et treize autres élus républicains et démocrates ont demandé au département de la Défense de renforcer ses mesures de protection. Ils recommandent notamment de désactiver les identifiants publicitaires sur les appareils gouvernementaux, d’utiliser des navigateurs offrant davantage de protection contre le suivi et d’aider les militaires à retirer leurs informations des bases de données commerciales.

Selon Wired, les responsables américains connaissaient depuis près de dix ans les risques associés à ces données. Des chercheurs et des spécialistes militaires avaient démontré qu’il était possible d’acheter à faible coût des historiques de localisation suffisamment détaillés pour observer les déplacements de personnes travaillant dans des bases ou des installations sensibles. Plusieurs des mesures recommandées n’auraient été mises en œuvre que partiellement.

Les autorités américaines contestent toutefois l’idée que cette surveillance aurait joué un rôle déterminant dans les attaques iraniennes. Un responsable cité par le Financial Times a affirmé que cette interprétation ne correspondait pas aux faits. Il n’existe donc pas, dans les informations publiques disponibles, de preuve permettant d’établir précisément dans quelle mesure les données téléphoniques auraient contribué au choix des cibles.

L’affaire révèle surtout que les traces numériques créées pour vendre de la publicité peuvent devenir des renseignements militaires. Une application apparemment banale peut transmettre des informations qui, une fois combinées à d’autres données, dévoilent les déplacements et les habitudes de son utilisateur. Ce risque ne concerne pas seulement les forces armées. Les mêmes techniques peuvent être utilisées pour suivre des journalistes, des diplomates, des militants ou toute personne dont le numéro de téléphone ou l’identifiant publicitaire peut être obtenu.

Sources : Financial Times, We are the mighty, The Citizen Lab, Wired

+++++++

+++++++

Du lundi au vendredi, Bruno Guglielminetti vous propose un regard sur l’essentiel de l’actualité numérique avec 120 secondes de Tech.

Ou encore…

Écoutez la plus récente édition de Mon Carnet,
le magazine hebdomadaire de l’actualité numérique.