Comment envoyer des documents sensibles à un média

Nothing2Hide travaille avec les journalistes et et activistes puis 2017 et est l’une des organisations fondatrices de la Maison des lanceurs d’alerte en France. C’est pourquoi nous considérons que l’article publié récemment par la Freedom of The Press foundation Here’s how to share sensitive leaks with the press est d’utilité publique. Afin de le faire bénéficier d’une plus large audience, nous le traduisons e Français et le reproduisons ici.

Lire la suite : Comment envoyer des documents sensibles à un média

Vous envisagez de divulguer des informations de manière sécurisée à des organes de presse ? Ce guide vous explique comment procéder.

Au fil des ans, nous avons été témoins d’abus et de mauvaise gestion au sein du gouvernement ou d’entreprises, parfois graves, parfois extrêmement grave, qui nécessitent d’être révélés du public. Pour ceux qui souhaitent lacer l’alerte et informer les médias, transmettre des informations aux journalistes peut être risqué et peut amener à enfreindre des accords légaux conclus avec l’organisation du lanceur d’alerte, tels qu’un accord de confidentialité ou un contrat de travail. Parfois, cela peut aussi être un moyen efficace et courageux d’attirer l’attention sur des comportements répréhensibles.

Ce guide décrit les étapes de base pour minimiser les risques potentiels lors du partage d’informations sensibles avec un média. Aucun logiciel ni aucune recommandation en matière de sécurité ne sera efficace à 100 % ; la décision de lancer l’alerte peut entraîner une surveillance accrue ou des représailles. Cela peut aussi être un choix qui amène des changements institutionnels nécessaires. Avant de contacter un média, réfléchissez ce que vous pouvez faire pour réduire ce risque et rester en sécurité autant que possible.

Note de Nothing2Hide : en France, la loi Sapin II

**Avant d’aller plus loin, avez-vous une information fiable ?**

Une bonne information nécessite des preuves claires et doit servir de base à un article que le grand public a besoin de connaître.

Ainsi, par exemple, que vous ayez ou non des preuves, le grand public n’a peut-être pas besoin de savoir qu’une voisine refuse de ramasser les excréments de son chien lors de sa promenade matinale. En revanche, les allégations de corruption ou d’illégalité parmi les fonctionnaires sont certainement dignes d’intérêt, mais ces affirmations ne feront pas l’objet d’un article publié sans preuves vérifiables.

**Qui est concerné par votre fuite et comment cette personne pourrait-elle réagir ?**

Réfléchissez à la sensibilité des informations que vous partagez et aux personnes susceptibles d’enquêter sur la source de la fuite. Quelles sont les capacités de l’organisation ? Quelles ressources (par exemple, attention, ressources juridiques, financières ou techniques) peut-elle investir pour découvrir la source ? Et selon vous, quelle est la probabilité qu’elle mène réellement une enquête ?

Si vous partagez des informations sur une grande organisation disposant de ressources importantes et exigeant la discrétion de ses employés, comme une agence gouvernementale, celle-ci peut disposer d’énormes ressources juridiques, financières et techniques pour enquêter sur une fuite. Si vous partagez des informations sur une petite organisation, comme un restaurant local qui muselle ses employés, ses ressources sont beaucoup plus limitées et elle n’aura peut-être pas la capacité ou la volonté d’enquêter. Agissez en conséquence.

**Procédez avec prudence**

Soyez prudent quant aux comportements qui pourraient vous identifier facilement comme source.

Gardez toutes vos activités de fuite hors de la vue de votre organisation. Cela signifie ne pas passer d’appels depuis votre lieu de travail, ne pas envoyer d’e-mails depuis votre adresse e-mail professionnelle et ne pas utiliser les appareils ou les réseaux sans fil de votre lieu de travail.

Il est courant que les organisations disposant de ressources importantes conservent des journaux des activités sur les appareils professionnels et les activités en ligne de leurs employés. De même, les lieux de travail disposent parfois de technologies « BYOD » (bring your own device, apportez votre propre appareil) qui leur permettent d’enregistrer votre activité sur votre appareil personnel. Ainsi, si vous travaillez dans une grande organisation et que vous lisez cet article sur un appareil professionnel ou un réseau Wi-Fi, il y a de fortes chances que votre lieu de travail dispose déjà d’un journal indiquant que vous avez accédé à cette page. De même, une visite sur la page de signalement d’un organe de presse (comme https://www.nytimes.com/tips) peut être enregistrée par votre lieu de travail. C’est pourquoi il est si important de limiter vos activités de divulgation aux appareils et réseaux qui ne sont pas contrôlés par votre lieu de travail.

Votre lieu de travail vous a-t-il déjà demandé d’installer un logiciel de surveillance (ou tout autre type de logiciel) sur votre appareil professionnel ou personnel ? Si tel est le cas, vous ne devriez probablement pas utiliser ces appareils pour des activités de dénonciation.

Soyez prudent lorsque vous donnez des informations sur des sujets que vous seul pouvez connaître ou sur des documents auxquels vous seul pouvez accéder. Demandez-vous si le risque accru d’être pris en flagrant délit de partage de ce type de documents en vaut la peine, ou si vous estimez avoir une forte obligation morale de le faire.

Si vous êtes la seule personne de votre organisation à faire état d’un grief spécifique et que des informations à ce sujet sont ensuite rapportées par la presse, cela peut donner à votre organisation un indice sérieux sur l’identité de la personne qui a divulgué ces informations.

Ne parlez à personne de vos activités de divulgation (même au journaliste ou à l’organisme de presse auquel vous divulguez des informations), sauf en cas d’absolue nécessité et si vous souhaitez obtenir l’avis juridique d’un avocat en exercice.

Les journalistes prennent généralement très au sérieux leur engagement à protéger votre identité et feront tout ce qui est en leur pouvoir pour lutter contre les demandes légales potentielles visant à obtenir des informations vous concernant. Mais souvent, il est plus sûr de ne pas révéler votre identité si vous n’y êtes pas obligé. N’oubliez pas que les journalistes préfèrent avoir des preuves de vos affirmations et que les informations permettant de démontrer votre identité en font partie.

**Stratégies pour minimiser les risques**

Il existe de nombreux moyens de minimiser le risque qu’une information soit associée à vous, par exemple en continuant à communiquer avec les journalistes.

• Envoyez vos documents par courrier postal. Vous pouvez envoyer des documents électroniques (par exemple sur une carte SD) ou des documents physiques par courrier ordinaire. Attention : le service postal américain prend des photos de l’extérieur des envois postaux. N’utilisez donc pas d’adresse de retour qui vous est associée et envoyez plutôt votre courrier depuis une boîte aux lettres publique située dans un endroit que vous ne fréquentez pas habituellement. Si vous souhaitez qu’un journaliste en particulier se penche sur votre histoire, mettez-le en copie sur l’enveloppe.
• Appelez depuis un numéro de téléphone qui n’est pas lié à vous. Par exemple, rendez-vous dans un commerce où vous n’allez pas habituellement et demandez à utiliser leur téléphone. Vous pouvez également acheter un téléphone portable bon marché et une carte téléphonique prépayée qui ne peuvent pas être tracées jusqu’à vous. Mais sachez que cela implique plusieurs étapes minutieuses : vous devez payer en espèces, et si votre organisation a accès aux enregistrements de localisation des téléphones, il est préférable de n’allumer le téléphone que dans des endroits qui ne sont pas associés à vous. Cela signifie également que vous devez utiliser le téléphone dans des endroits distincts de votre téléphone permanent. Si possible, retirez la batterie lorsque vous ne l’utilisez pas.
• Utilisez Signal pour vos messages privés. Signal est une application de messagerie sécurisée, gratuite et open source pour iPhone et Android. Signal vous offre des messages et des appels téléphoniques cryptés de bout en bout, et ne conserve que votre numéro de téléphone, votre date d’inscription et la date de votre dernière activité. Dans Signal, vous pouvez également configurer l’autodestruction automatique des messages pour tous les participants à la conversation après un certain temps. Il est ainsi beaucoup plus difficile (mais pas impossible) d’écouter vos conversations. Si vous avez besoin d’aide pour démarrer, lisez ce guide convivial pour débutants sur l’utilisation de Signal. Notez que Signal autorise les noms d’utilisateur, vous n’avez donc pas besoin de donner votre nom ou votre numéro de téléphone aux médias, sauf si vous le souhaitez. Assurez-vous que votre nom d’utilisateur est activé et comprenez que Signal n’est pas conçu pour garantir un anonymat complet.
• Avant de vous intéresser aux médias, pensez à utiliser le navigateur Tor pour une plus grande confidentialité. Tor Browser est une version modifiée de Firefox. Tor crypte et achemine votre trafic web via un réseau mondial d’ordinateurs avant de vous connecter à votre destination finale. Lorsque vous accédez à un site web via Tor (par exemple, Amazon.com), vous apparaissez comme connecté depuis un endroit éloigné, probablement un autre pays. Encore une fois, n’utilisez pas un appareil ou un réseau professionnel pour ce type de recherche.
• Utilisez un système de soumission de signalements. Des outils tels que SecureDrop peuvent vous protéger en vous permettant de partager des documents et des communications via une boîte de dépôt anonyme et cryptée.

**Plus technique, mais plus sûr : SecureDrop**

Avec SecureDrop, qui est géré par la Freedom of the Press Foundation, même les organes de presse ne savent pas qui vous êtes, à moins que vous ne choisissiez de le leur dire.

Un nombre croissant d’organismes de presse (par exemple, le New York Times, le Washington Post, The Intercept, The Guardian) utilisent SecureDrop pour permettre à leurs sources de les contacter et de partager des fichiers ou des communications de manière anonyme. Avec SecureDrop, même l’organisme de presse ne sait pas qui vous êtes, à moins que vous ne choisissiez de le lui dire.

Vous pouvez accéder à la page SecureDrop d’un organisme de presse via Tor Browser.

Les personnes de votre réseau ne peuvent pas voir ce que vous faites sur Tor, mais il est toujours possible de savoir que vous utilisez Tor. Dans cette optique, ne l’utilisez pas au travail. Pour plus de sécurité, envisagez d’utiliser le navigateur Tor uniquement sur un réseau Wi-Fi dans un endroit qui n’est pas lié à vous (par exemple, un café que vous ne fréquentez pas habituellement) et payez en espèces.

Contrairement à une adresse web « .com », vous accédez à SecureDrop via une adresse web .onion unique, accessible uniquement via Tor.

**L’utilisation de SecureDrop est assez simple**

1. Suivez les instructions pour télécharger le navigateur Tor sur torproject.org et l’installer.
2. Lancez l’application Tor Browser et cliquez sur « Connect » pour vous connecter au réseau.
3. Cliquez sur l’icône en forme de bouclier dans le coin supérieur > Paramètres de sécurité avancés… > Le plus sûr
4. Dans le navigateur Tor, accédez au répertoire SecureDrop et recherchez votre organe de presse préféré : securedrop.org/directory
5. Trouvez l’URL .onion de votre publication préférée (par exemple, The New York Times : securedrop.org/directory/new-york-times), puis copiez-collez-la dans la barre d’adresse du navigateur Tor.
6. À partir de là, vous pouvez laisser des messages et des fichiers que l’organisme de presse vérifiera de temps à autre.
7. Un « nom de code » aléatoire vous sera attribué pour poursuivre la conversation avec l’organisme de presse. Conservez cette information en lieu sûr et ne la partagez avec personne. Si vous perdez votre nom de code, ils ne pourront plus vous contacter.

(Pour les utilisateurs plus avertis sur le plan technique, envisagez d’accéder à SecureDrop via un système d’exploitation conçu pour la confidentialité et l’anonymat, tel que Tails.)

**Gérer les métadonnées des fichiers**

Le partage d’informations peut être moins risqué que le partage de documents, car ces derniers peuvent contenir des informations sur le fichier, que l’on appelle métadonnées. Par exemple, si vous créez un fichier .docx, celui-ci peut contenir des informations permettant de vous identifier. Réfléchissez bien si vous avez vraiment besoin de partager des fichiers ou simplement des informations.

Pour gérer les métadonnées cachées, plutôt que d’envoyer le fichier lui-même, pensez à prendre une photo du document avec un appareil photo traditionnel (et non un smartphone) ou à faire une capture d’écran du document. Sur la plupart des systèmes d’exploitation, les captures d’écran contiennent peu de métadonnées utiles. Pour les utilisateurs plus avertis, vous trouverez ici des outils permettant de supprimer les métadonnées.

**Où trouver les coordonnées d’un organe de presse ?**

Tout d’abord, faites attention à qui vous contactez.

La Freedom of the Press Foundation tient à jour une liste des organisations qui soutiennent les pratiques de communication sécurisée décrites ci-dessus, et indique comment les contacter. Ces pratiques sont en train de devenir la norme, et nous espérons que d’autres organes de presse à la recherche de bons conseils suivront le mouvement.

La Freedom of the Press Foundation héberge un répertoire de pages SecureDrop et de pages sécurisées pour des dizaines d’organismes de presse à travers le monde. Que vous souhaitiez contacter le New York Times, le Washington Post, le Guardian, The Intercept ou d’autres, vous trouverez leurs coordonnées ici : https://securedrop.org/directory. (Nous vous déconseillons de faire ces recherches au travail.)

**Si ce n’est pas vous, alors qui ?**

Partager des informations avec la presse n’est pas toujours une décision facile à prendre, mais vos informations peuvent contribuer à demander des comptes à des personnes et des institutions puissantes. Assurez-vous simplement de bien comprendre les capacités de votre organisation et la manière de partager des informations en toute sécurité avant de vous lancer.