En juin 2020, la gendarmerie française a réussi à intercepter les communications de près de 60 000 utilisateurs du réseau chiffré EncroChat. Environ 120 millions de messages et images, presque tous liés à la criminalité organisée, ont été captés en temps réel sans que les utilisateurs ne détectent l’opération. Cette affaire a redéfini la manière dont les autorités abordent le chiffrement des communications mobiles, et ses conséquences juridiques touchent désormais tout détenteur d’un téléphone équipé d’un moyen de cryptologie.
PGP téléphone et cryptophones : un marché né dans l’angle mort du droit
Avant l’affaire EncroChat, les téléphones PGP occupaient une zone grise juridique. Des appareils Android ou BlackBerry modifiés, vendus autour de 1 200 euros pièce selon les données du Sénat belge, permettaient des communications chiffrées de bout en bout. Leur commercialisation n’était pas interdite en soi.
A lire en complément : L'IA72 et la sécurité de votre webmail : ce que vous devez savoir
Le problème résidait dans la clientèle. Les forces de l’ordre néerlandaises arrêtaient régulièrement des fournisseurs de smartphones PGP, tandis que des revendeurs étaient identifiés en Belgique et en France. Ces appareils supprimaient caméra, microphone, GPS, et ne conservaient aucune donnée exploitable en cas de saisie.
A lire aussi : Sécurité en ligne : les risques d'enregistrer vos mots de passe dans votre navigateur
Le réseau EncroChat, créé vers 2016 aux Pays-Bas, fonctionnait sur ce modèle avec une infrastructure dédiée : serveurs propres basés en France, mises à jour automatiques, fonction d’effacement à distance (panic wipe). L’abonnement incluait l’appareil et le service, créant un écosystème fermé destiné, dans les faits, quasi exclusivement au crime organisé.
Interception d’EncroChat : comment la gendarmerie a contourné le chiffrement PGP
L’opération a été menée sous la direction de la Juridiction inter-régionale spécialisée (JIRS) de Lille. Les gendarmes du C3N (Centre de lutte contre les criminalités numériques), du Département sciences de la donnée du SCRC et du laboratoire informatique de l’IRCGN ont obtenu l’autorisation judiciaire de déployer un dispositif d’interception à large échelle.
La particularité technique de l’opération tenait à l’exploitation des serveurs situés sur le territoire français. Plutôt que de tenter de casser le chiffrement PGP lui-même, les enquêteurs ont implanté un dispositif de captation directement au niveau de l’infrastructure. Les messages étaient ainsi récupérés avant ou après chiffrement, rendant la protection cryptographique inopérante.
Les résultats ont été partagés via Europol avec de nombreux pays européens. Les retours terrain font état de près d’un millier d’arrestations et de saisies décrites comme spectaculaires par la gendarmerie. Plusieurs centaines de projets d’assassinats auraient été déjoués grâce aux renseignements extraits.
Article 434-15-2 du Code pénal : le refus de donner son code comme infraction
L’onde de choc juridique la plus directe pour les particuliers concerne le refus de communiquer une convention de déchiffrement. L’article 434-15-2 du Code pénal sanctionne ce refus lorsqu’il est opposé aux autorités judiciaires dans le cadre d’une enquête pour crime ou délit.
La Cour de cassation a précisé cette disposition par plusieurs arrêts récents. Elle a jugé que le code de verrouillage d’un smartphone peut constituer une clé de déchiffrement dès lors que l’appareil est équipé d’un moyen de cryptologie. Ce qui couvre la quasi-totalité des téléphones modernes, qu’ils soient chiffrés par PGP ou par le chiffrement natif d’Android ou iOS.
Les juges doivent toutefois vérifier deux conditions cumulatives :
- Le téléphone est effectivement doté d’un chiffrement actif au moment de la saisie, ce qui ne se présume pas
- Le code demandé permet réellement de mettre au clair les données chiffrées, et pas seulement de déverrouiller un écran sans lien avec le chiffrement des fichiers
Cette jurisprudence, commentée notamment par Kohen Avocats entre 2022 et 2026, transforme un geste banal (refuser de donner son code PIN lors d’une garde à vue) en infraction autonome passible de poursuites pénales. L’application est de plus en plus systématique dans les dossiers de criminalité grave.
Chiffrement des téléphones en Europe : entre protection et traçabilité
L’affaire EncroChat a relancé un débat européen plus large sur l’accès des autorités aux données chiffrées. Le Parlement européen a voté sur des propositions relatives au contrôle des communications (parfois désignées sous le nom de « chat control »), tout en maintenant une exemption pour le chiffrement de bout en bout.
La tension reste vive entre deux logiques :
- La protection de la vie privée, défendue par la CNIL en France et par les autorités de protection des données dans chaque État membre, qui considèrent le chiffrement comme un outil de sécurité légitime
- Les besoins opérationnels des services d’enquête, qui constatent que les réseaux criminels migrent systématiquement vers de nouvelles plateformes chiffrées après chaque démantèlement
- Le cadre réglementaire en évolution, avec des textes comme MiCA pour les cryptomonnaies qui imposent une traçabilité accrue sur les flux financiers numériques, sans pour autant toucher directement au chiffrement des communications
Les données disponibles ne permettent pas de conclure que le démantèlement d’EncroChat a réduit durablement l’usage des cryptophones. En revanche, il a démontré qu’aucune infrastructure chiffrée n’est techniquement invulnérable dès lors que ses serveurs sont physiquement accessibles à une juridiction.
Sécurité mobile après EncroChat : ce qui a changé pour les utilisateurs ordinaires
Pour un utilisateur lambda, l’héritage d’EncroChat se manifeste sur deux plans. Le premier est juridique : tout téléphone chiffré expose son propriétaire à l’obligation de fournir sa clé en cas de procédure pénale. Le second est technique : le chiffrement natif des smartphones (FileVault sur iOS, chiffrement par défaut sur Android) offre un niveau de protection que la plupart des experts considèrent comme suffisant pour un usage civil, sans nécessiter de recourir à un cryptophone dédié.
Les alternatives comme GrapheneOS, système Android durci et open source, permettent de renforcer la confidentialité sans tomber dans l’illégalité ni attirer l’attention des services d’enquête. La CNIL recommande par ailleurs de sécuriser l’informatique mobile par des mesures simples : mise à jour régulière, chiffrement activé, verrouillage biométrique ou par code robuste.
L’affaire EncroChat a montré que le chiffrement protège les données, pas les métadonnées ni l’infrastructure. Pour la majorité des utilisateurs, un téléphone à jour avec chiffrement natif reste la meilleure option pratique, à condition de connaître les obligations légales qui l’accompagnent en cas de contrôle judiciaire.
