L’armée américaine tente de combler une vulnérabilité extraordinaire mise au jour par sa guerre contre l’Iran : des informations collectées pour vendre des publicités peuvent également aider un adversaire à localiser des soldats américains.
L’armée de l’air, l’armée de terre, la marine et le Commandement des opérations spéciales des États-Unis ont désactivé ou restreint les identifiants publicitaires sur les téléphones et ordinateurs militaires, après que le Commandement central américain (CENTCOM) a reçu des signalements selon lesquels des adversaires exploitaient des données de localisation disponibles dans le commerce pour cibler ou surveiller du personnel au Moyen-Orient. Ces changements ont été révélés dans une correspondance publiée par le sénateur Ron Wyden ainsi que dans des déclarations transmises à Reuters.
Cette révélation n’établit pas que l’Iran ait utilisé des données publicitaires pour guider un missile ou un drone précis vers une cible précise. Le CENTCOM a confirmé un élément plus restreint, mais néanmoins significatif : durant l’opération Epic Fury, il a reçu « plusieurs signalements de menace » concernant des adversaires exploitant des informations de localisation commerciales pour cibler ou surveiller du personnel américain sur le théâtre d’opérations. Le Pentagone n’a publiquement identifié ni ces adversaires, ni les attaques, le cas échéant, qui auraient bénéficié de ces données.
Cette distinction compte. Mais ce que révèle la réponse de l’armée compte tout autant. Une économie de la donnée conçue pour suivre les consommateurs est devenue un problème de protection des forces dans une zone de guerre active, et le Pentagone s’efforce encore de combler des vulnérabilités contre lesquelles les agences de sécurité américaines mettaient déjà en garde des années avant le début de la guerre en Iran.
Du profil publicitaire au renseignement militaire
Au cœur du problème se trouve l’identifiant publicitaire mobile, ou MAID. Il s’agit d’un identifiant unique et réinitialisable, associé à un appareil mobile et conçu pour permettre aux annonceurs et aux applications de reconnaître une activité sans s’appuyer directement sur le nom d’une personne. Les entreprises de publicité et de données peuvent utiliser ces identifiants, combinés à des informations sur les applications, le comportement et la localisation, pour établir des profils d’appareils et de leurs utilisateurs.
Pour un annonceur, cette information peut aider à déterminer quelle publicité une personne verra. Pour un service de renseignement, une information de localisation suffisamment détaillée peut potentiellement répondre à des questions très différentes : où un appareil passe la nuit, quel lieu à accès restreint il fréquente régulièrement, quels autres appareils apparaissent à proximité, et si son schéma de déplacement change soudainement. L’explication de l’Agence californienne de protection de la vie privée sur les MAID décrit comment ces identifiants peuvent permettre aux plateformes et aux courtiers en données de relier l’activité des applications, la localisation et le comportement.
Une fois qu’une information de localisation entre dans l’écosystème commercial des données, un adversaire peut ne pas avoir besoin de compromettre le téléphone d’un soldat ou de pénétrer un réseau militaire classifié pour obtenir des informations utiles. Des fragments de ce tableau peuvent potentiellement être obtenus par des canaux commerciaux, y compris des données circulant via les places d’échanges d’enchères en temps réel que l’industrie publicitaire utilise pour vendre des espaces publicitaires en une fraction de seconde. Cela ne signifie pas que l’achat d’un identifiant publicitaire révèle automatiquement l’identité d’un soldat ni ne produit des coordonnées de ciblage.
La valeur pour le renseignement provient plutôt de l’agrégation et des schémas récurrents. Des localisations répétées d’un même appareil peuvent révéler un schéma de vie, permettant à des observateurs d’identifier des regroupements, des routines et des associations qui deviennent de plus en plus révélateurs avec le temps. Un appareil qui apparaît à répétition sur une installation militaire, puis se déplace soudainement ailleurs, peut potentiellement livrer des informations très différentes de celles que les annonceurs entendaient initialement collecter.
En mai, un groupe bipartisan de 14 parlementaires, mené par les sénateurs Martin Heinrich et Ron Wyden ainsi que par le représentant Pat Harrigan, a révélé que le CENTCOM avait reçu plusieurs signalements de menace concernant l’exploitation par des adversaires de données de localisation commerciales pendant l’opération Epic Fury. Ils ont averti que de telles informations peuvent révéler les lieux de rassemblement des troupes et leurs schémas de vie, susceptibles de soutenir le ciblage par missile, par drone ou par engin explosif improvisé en bord de route, ainsi que des opérations de contre-espionnage. Les parlementaires ont demandé au directeur des systèmes d’information du Pentagone d’imposer des garde-fous obligatoires, plutôt que de s’en remettre à des réglages que le personnel ne pouvait pas pleinement contrôler lui-même.
La guerre en Iran a révélé deux problèmes liés aux téléphones
Le suivi commercial n’est qu’une partie de la vulnérabilité. Le conflit avec l’Iran a également montré comment des informations que des militaires créent et publient sciemment peuvent devenir du renseignement pour un adversaire. En juillet, des commandants américains ont envisagé d’exiger de certains personnels déployés au Moyen-Orient qu’ils remettent leurs téléphones, après des préoccupations selon lesquelles des images et vidéos publiées en ligne aidaient l’Iran à évaluer les résultats des attaques contre des bases américaines.
L’amiral Brad Cooper, commandant du CENTCOM, a averti que de tels contenus pourraient fournir à l’Iran des informations sur les dommages causés par les combats, utiles pour planifier de futures frappes, a rapporté Reuters. Une photographie, une vidéo ou une publication sur les réseaux sociaux constitue une information qu’un militaire diffuse délibérément, même si les conséquences militaires ne sont pas voulues. Le suivi commercial de localisation crée un problème différent, car des informations potentiellement exploitables peuvent être générées simplement en portant et en utilisant un appareil connecté.
Cette distinction rend la vulnérabilité liée aux données publicitaires particulièrement difficile à gérer. La formation à la sécurité opérationnelle peut apprendre aux soldats à ne pas photographier des dégâts ni à publier la localisation d’une unité, mais il est bien plus difficile, pour un militaire pris individuellement, de comprendre chaque flux de données commerciales généré par un smartphone moderne. Une information peut transiter entre applications, systèmes publicitaires et courtiers en données, bien au-delà de la personne qui l’a initialement générée.
L’armée comprend ce danger plus large depuis des années. En 2020, l’Agence nationale de sécurité (NSA) avait averti le personnel du département de la Défense que les smartphones, tablettes et bracelets connectés pouvaient révéler des déplacements, des routines quotidiennes et des associations entre des personnes et des lieux sensibles. La NSA recommandait de restreindre les autorisations des applications et le suivi publicitaire, tout en avertissant qu’il n’existait aucun moyen d’éliminer entièrement le risque lié à la localisation depuis un appareil mobile connecté.
Le Pentagone comble le retard tardivement
Les dernières mesures montrent que la réponse de l’armée n’a pas été uniforme. L’armée de l’air a indiqué à Wyden avoir désactivé les identifiants publicitaires sur les ordinateurs et téléphones mobiles il y a environ deux mois. Le Commandement des opérations spéciales a déclaré les avoir « récemment » désactivés sur les appareils Windows, tandis que l’armée de terre a indiqué à Reuters que les identifiants publicitaires sur les appareils mobiles avaient été désactivés plus tôt cette année.
L’armée de terre a précisé que ces identifiants étaient bloqués sur les ordinateurs Windows depuis avant 2021, mais qu’ils n’étaient désactivés par défaut sur les appareils Android et Apple que depuis février 2026 au plus tôt. Une correspondance similaire des différentes armes a confirmé des restrictions supplémentaires sans fournir de calendrier complet. Le Pentagone a indiqué à Reuters qu’il répondrait directement aux parlementaires demandant une enquête sur la question de savoir si l’armée avait suffisamment répondu à cette menace.
Ce calendrier est frappant, car la vulnérabilité sous-jacente n’a pas été découverte pendant la guerre en Iran. Les recommandations de la NSA sur la limitation de l’exposition à la localisation remontent à 2020, tandis que des parlementaires affirment que le département de la Défense comprend le danger plus large posé par les informations personnelles échangées commercialement depuis plus d’une décennie. Pourtant, en avril 2026, le CENTCOM a indiqué au Congrès que l’identifiant publicitaire n’était toujours pas désactivé sur les smartphones fournis par le gouvernement, et que l’Agence des systèmes d’information de la Défense testait cette capacité.
Le CENTCOM a également indiqué n’avoir obtenu qu’en mai la capacité de désactiver administrativement le partage de localisation sur les smartphones qu’il gérait, selon la correspondance des parlementaires avec le Pentagone. Wyden soutient que les mesures prises jusqu’à présent ne suffisent toujours pas à neutraliser le danger. Harrigan a résumé la question à un principe de sécurité simple : les adversaires des États-Unis ne devraient pas pouvoir acheter des informations qui les aident à suivre les soldats américains.
Désactiver l'identifiant ne suffit pas
Désactiver les identifiants publicitaires supprime un mécanisme important permettant de relier une information commerciale à un profil d’appareil persistant, mais des spécialistes de la vie privée avertissent que cela ne rend pas un smartphone invisible. Zach Edwards, cofondateur de l’entreprise de technologie publicitaire respectueuse de la vie privée Decryptads, a déclaré à Reuters que la désactivation des identifiants constituait une mesure positive, qui devrait contribuer à exclure les localisations des appareils militaires de certaines ventes de données en gros. Il a toutefois averti que les utilisateurs pouvaient encore potentiellement être suivis par des combinaisons plus complexes d’informations sur les applications, de caractéristiques techniques de l’appareil, de données réseau et d’informations de localisation.
Les recommandations de la NSA elle-même confirment ce constat plus large. Un téléphone mobile peut révéler des informations de localisation simplement en étant allumé et en communiquant avec des réseaux. GPS, Wi-Fi, Bluetooth, applications et autres services connectés créent des sources d’information qui se recoupent, ce qui signifie qu’il n’existe pas d’interrupteur unique de confidentialité capable d’éliminer entièrement le risque en matière de sécurité opérationnelle.
Cela crée un choix difficile pour des armées de plus en plus dépendantes de la technologie connectée. Les smartphones assurent la navigation, l’authentification, les communications et la connectivité quotidienne, tandis que les appareils personnels permettent au personnel déployé de rester en contact avec leurs familles. Les retirer entièrement entraîne des coûts opérationnels et humains, mais les autoriser dans des environnements sensibles crée une surface de collecte que les adversaires peuvent potentiellement exploiter.
L'économie de la surveillance commerciale est entrée dans l'espace de bataille
La leçon la plus large dépasse le conflit entre les États-Unis et l’Iran. Le renseignement militaire moderne ne provient plus exclusivement de satellites, d’espions, de communications interceptées ou de réseaux piratés. Des entreprises civiles génèrent en continu d’immenses ensembles de données décrivant la manière dont les personnes et les appareils se déplacent dans le monde physique.
Ces ensembles de données ont généralement été créés à des fins commerciales, mais leur valeur potentielle pour le renseignement ne disparaît pas lorsque l’acheteur change. Un historique de localisation utile pour décider où faire de la publicité pour un restaurant peut également aider à identifier une installation militaire. Un regroupement d’appareils peut révéler un point de rassemblement, tandis que des changements dans des routines établies peuvent potentiellement indiquer un déploiement, un renforcement ou une évacuation.
D’importantes limites entourent ce qui est publiquement connu dans le cas présent. Le CENTCOM a confirmé des signalements d’exploitation par des adversaires, non le fait que des données achetées commercialement aient causé une frappe iranienne précise et réussie. Les informations publiques n’établissent pas non plus que l’Iran lui-même ait acheté un ensemble de données particulier ou converti un MAID en coordonnées de ciblage, et aucun élément public ne démontre que des données publicitaires commerciales aient causé des pertes américaines pendant le conflit.
Ce qui a été établi est déjà suffisamment lourd de conséquences. Pendant une guerre active au Moyen-Orient, l’armée américaine a reçu des signalements selon lesquels des adversaires exploitaient des informations de localisation commerciales pour cibler ou surveiller son personnel. Des mois plus tard, les différentes armées modifient encore les paramètres de leurs appareils pour réduire cette exposition.
Le résultat est une collision inhabituelle entre deux systèmes qui n’étaient jamais destinés à se rencontrer : l’économie de la publicité numérique et la protection des forces militaires. Le Pentagone peut renforcer ses réseaux, dissimuler des opérations classifiées et défendre ses bases contre missiles et drones. Mais si des informations générées commercialement peuvent exposer les personnes qui opèrent au sein de ces systèmes, protéger les forces américaines exige de plus en plus de contrôler non seulement ce que l’armée révèle délibérément, mais aussi ce que les appareils ordinaires révèlent discrètement en son nom.
