Des emails confidentiels de l’US Army envoyés pendant des années par erreur… au Mali

L’étendue de la fuite paraît vertigineuse : listes de personnels, informations médicales, financières, photos de bases militaires, rapports d’inspections navales, enquêtes internes, contrats… Mais sa source l’est peut-être encore plus. Depuis des années, des millions d’emails internes de l’US Army sont envoyés par erreur au Mali à cause d’une simple faute de frappe. Certains expéditeurs tapent « .ml » au lieu de « .mil » à la fin des adresses email de leurs destinataires. Une seule lettre qui fait la différence entre le nom de domaine Internet du Mali et le suffixe commun aux adresses électroniques de l’armée américaine. C’est le « Financial Times » qui révèle l’existence de cette faille.

Elle n’est pourtant pas nouvelle. Johannes Zuurbier, un administrateur de domaine néerlandais, l’a découverte pour la première fois il y a dix ans. Sous contrat avec l’Etat malien pour gérer le domaine Internet du pays, il remarque dès 2013 des requêtes de domaines n’existant pas comme « army.ml » ou « navy.ml » et comprend qu’il s’agit d’emails. Il s’évertue depuis à alerter les autorités américaines sur cette vulnérabilité. Dans cette optique, il collecte depuis janvier tous les emails égarés, et en a déjà accumulé pas moins de 117.000.

Une manne pour les services de renseignement

Si la majeure partie des emails concernés sont des spams, une partie d’entre eux contiennent des informations hautement sensibles. Un message a par exemple dévoilé, en mai dernier, des données sur un déplacement du chef d’état-major de l’US Army, James McConville, en Indonésie. Non seulement son itinéraire précis a fuité, mais l’email contenait jusqu’aux numéros de chambre d’hôtel de tous les membres de la délégation.

Au-delà de ce type de cas isolés, c’est surtout l’accumulation d’informations qui peut constituer une véritable manne pour les services de renseignement. C’est du moins ce que pense Mike Rogers, ancien directeur de la NSA, cité par le « Financial Times » : « Si on dispose de ce genre d’accès de manière durable, on peut générer du renseignement même à partir d’information non classifiée. »

Jusqu’à présent, Johannes Zuurbier est le seul à avoir pu récupérer ces emails, mais son contrat touche à sa fin cette année, et le Mali pourrait à terme contrôler ces informations, voire les partager à des alliés comme la Russie. Cela représente un véritable risque, aux yeux de Mike Rogers : « C’est une chose d’avoir affaire à un administrateur de domaine qui tente, même sans succès, de faire part de ses préoccupations ; c’en est une autre quand il s’agit d’un gouvernement étranger qui y voit un avantage qu’il peut utiliser. »

Emails bloqués

L’un des porte-parole du Pentagone, Tim Gorman, a affirmé au quotidien britannique que le département de la Défense était « conscient du problème » et que les emails envoyés depuis le domaine « .mil » vers des adresses maliennes étaient désormais « bloqués » avant même de le quitter.

Une réponse qui devrait être efficace, mais pas infaillible : une partie des mails concernés émanent de domaines différents. Ils peuvent par exemple être envoyés par des prestataires de l’armée, comme des agences de voyages, ou encore par des militaires grâce à leurs adresses personnelles. Le « Financial Times » cite ainsi un agent du FBI lié à la Marine qui a fait fuiter six documents confidentiels en essayant de les envoyer à son adresse militaire. Parmi ces documents se trouvaient des briefings sur le terrorisme aux Etats-Unis ou encore sur une tentative d’espionnage iranienne à travers l’application Telegram.