Un député s’interroge sur la sécurité des données liées à l’usage privé d’internet en opération extérieure

Pour que les militaires engagés dans une opération extérieure [OPEX] puissent avoir un accès à Internet pour communiquer avec leurs proches pendant leur temps libre, l’État-major des armées [EMA] s’est tourné vers l’Économat des armées [EdA], qui a le statut d’établissement public à caractère commercial [EPIC].

Puis, en 2017, l’EdA a sous-traité ce marché à l’entreprise Wifirst, filiale du groupe Bolloré, dans le cadre du contrat ILOPEX2 [Internet de loisir en OPEX]. Jusqu’à alors, ces services étaient fournis par Airbus DS.

Sur son site Internet, cette entrepise assure avoir « réussi à mettre en place une solution performante qui répond aux standards de sécurité élevés relatifs à la fourniture de ce service dans un contexte militaire, en zone de guerre. […] Wifirst a su intégrer à sa solution des fonctionnalités spécifiques pour répondre à des besoins militaires ad hoc. Le modèle hybride retenu pour ILOPEX2 se compose d’une dotation mensuelle garantie qui peut être complétée par l’achat en ligne de coupons. »

Et d’ajouter qu’il lui a fallu équiper « 14 bases en Afrique et au Moyen-Orient » en déployant « 650 bornes Wifi outdoor Rickus T300 » ainsi que « 80 km de fibre ».

« 6.500 soldats soldats profitent quotidiennement du service Wifirst en OPEX », avec « 7 Go de volume de données échangées par mois par utilisateur », précise la filiale du groupe Bolloré.

Si, son rapport sur l’externalisation du soutien aux forces déployées en OPEX souligne les interrogations que posent les contrats relatifs au transport aérien inter-théâtre, le député François Cornut-Gentille évoque aussi ce marché ILOPEX 2. Et de s’inquiéter de la sécurité des données concernant les utilisateurs, même après avoir auditionné le directeur des opérations de Wifirst.

« Afin de déployer le WiFi et l’internet de loisir dans les campements français au Sahel, l’entreprise Wifirst, sous-traitant unique de l’Économat, est en contact avec des données sensibles telles que la configuration des bases, les effectifs présents, les noms et prénoms des personnels souscrivant des coupons supplémentaires », constate le parlementaire.

Or, poursuit-il, si les vulnérabilités potentielles liées aux connexions à Internet dans les bases militaires « font l’objet de recommandations de prudence d’usage par les États-majors auprès des militaires », il a en va autrement pour le personnel civil chargé de mettre en oeuvre l’accès aux réseaux.

« Paradoxalement, le suivi des personnels déployés par Wifirst ainsi que de ses sous-traitants [opérateurs internet et satellitaires] se révèle très sommaire », juge en effet M. Cornut-Gentille. Et, insiste-t-il, « la vigilance des dirigeants de la filiale de Bolloré de ne pas recourir à des prestataires locaux pour le déploiement technologique ainsi que leur souci de soumettre le profil de leur personnel déployé à l’Économat ne peuvent suffire. » Et de souligner ainsi qu' »aucune habilitation confidentiel défense n’est ainsi exigée » alors qu’elle « serait ici particulièrement justifiée. »

Par ailleurs, et sans remettre en cause la qualité de services livrés par Wifirst, qui a assure également des prestations analogues dans le cadre du marché ILOSCA [Internet Loisirs du Service du commissariat des armées, ndlr], le député s’interroge sur le mode d’attribution de tels contrat.

Ainsi, pour l’accès Internet pour l’appel d’offres N@vybox, qui, ouvert en mars 2019, porte sur « l’expérimentation d’une solution duale permettant de recevoir la TV et l’internet Welfare [destiné à un usage personnel ou de loisir] en IP sur les bâtiments de la Marine à la mer à et à quai », ce n’est pas l’EdA qui a été désigné mais la Direction interarmées des réseaux d’infrastructure et des systèmes d’information de la défense [DIRISI].

« On peut s’interroger sur des choix divergents de procédures pour des marchés particulièrement proches : au milieu de l’océan ou au milieu du désert, la difficulté technologique est similaire et les candidats au marché N@vybox ont, pour certains d’entre eux, participé aux compétitions ILOPEX et ILOSCA », estime M. Cornut-Gentille, à qui les « différentes autorités du ministère des armées [qu’il a] auditionnées […] n’ont pas été en mesure de détailler les critères qui gouvernent la décision d’attribuer à l’Économat ou aux services du ministère [SCA, DIRISI, SID,…] le pilotage de tel ou tel marché.