Dans le cadre d'une enquête sur des personnes impliquées dans le mouvement indépendantiste en Catalogne, la police espagnole a obtenu des informations des services cryptés Wire et Proton, ce qui a aidé les autorités à identifier un activiste sous pseudonyme, selon des documents judiciaires obtenus par TechCrunch.

Plus tôt cette année, la Guardia Civil espagnole a envoyé des demandes légales par l'intermédiaire de la police suisse à Wire et Proton, qui sont tous deux basés en Suisse. La Guardia Civil a demandé toute information d'identification liée aux comptes sur les plateformes respectives des deux sociétés. Wire a répondu en fournissant l'adresse e-mail utilisée pour enregistrer le compte Wire, qui était une adresse Protonmail. Proton a répondu en fournissant l'adresse e-mail de récupération pour ce compte Protonmail, qui était une adresse e-mail iCloud, selon les documents.

Dans la demande, qui indiquait "crime organisé" et "terrorisme" comme nature de l'enquête, la police espagnole a écrit qu'elle voulait "découvrir qui étaient les auteurs des faits se déroulant lors des émeutes dans les rues de Catalogne en 2019".

Une fois que la Guardia Civil a obtenu l'adresse e-mail iCloud, les documents montrent qu'elle a demandé des informations à Apple, qui a fourni un nom complet, deux adresses domiciliaires et un compte Gmail lié.

TechCrunch ne révèle pas le nom complet allégué de l'activiste, étant donné qu'il n'est pas clair si cette personne est réellement derrière ces activités, ni si elle a commis des crimes.

Apple n'a pas répondu à une demande de commentaire.

Les services en ligne cryptés visent généralement à réduire la quantité de données utilisateur auxquelles ils peuvent accéder en les chiffrant avec des clés que seul l'utilisateur possède, empêchant ainsi efficacement les entreprises de fournir des données utilisateur soumises à une ordonnance judiciaire. Au lieu de cela, la police sollicite les entreprises pour leurs métadonnées, telles que des informations identifiables sur l'utilisateur, y compris les adresses e-mail.

Les porte-parole de Wire et Proton ont confirmé à TechCrunch qu'ils avaient reçu des demandes légales de la police suisse, et qu'ils avaient répondu favorablement aux demandes.

"À la suite d'une demande formellement correcte des autorités suisses, Wire a fourni des informations de base sur le compte d'un utilisateur. Wire n'est pas en mesure de voir ou de divulguer le contenu des données transmises via son service", a déclaré le porte-parole de Wire, Hauke Gierow, à TechCrunch dans un e-mail.

Le porte-parole de Proton, Edward Shone, a déclaré à TechCrunch que, "Proton détient un minimum d'informations utilisateur, comme en témoigne le fait que, dans ce cas-ci, ce sont des données obtenues auprès d'Apple qui auraient été utilisées pour identifier le suspect de terrorisme."

"Proton n'exige pas d'adresse de récupération, mais dans ce cas, le suspect de terrorisme en aurait ajouté une lui-même. Nous ne pouvons pas chiffrer ces données car nous devons être en mesure d'envoyer un e-mail à cette adresse si le suspect de terrorisme souhaite initier le processus de récupération", a déclaré le porte-parole de Proton dans l'e-mail. "Ces informations peuvent en théorie être demandées par les autorités suisses dans les cas de terrorisme, et cette détermination est généralement prise par l'Office fédéral de la Justice suisse. Proton garantit la confidentialité par défaut et non l'anonymat par défaut, car l'anonymat nécessite certaines actions de l'utilisateur pour assurer une sécurité opérationnelle appropriée, comme ne pas ajouter votre compte Apple comme méthode de récupération facultative, ce qui semble avoir été fait par le présumé suspect de terrorisme."

Ni la Guardia Civil, ni le tribunal espagnol où l'affaire est en cours, n'ont répondu aux demandes de commentaire de TechCrunch. Un porte-parole de la Police fédérale suisse a déclaré qu'il n'était "pas autorisé à partager de détails sur d'éventuelles enquêtes en cours et sur l'échange d'informations avec nos partenaires".

Les demandes légales envoyées à Wire, Proton et Apple sont liées à une affaire où les autorités espagnoles estiment qu'un membre pseudonyme du mouvement indépendantiste catalan Tsunami démocratique aidait le groupe à planifier des actions ou des manifestations lors de la visite prévue du roi Felipe VI dans la région en 2020.

"Expliquez ce que vous voulez faire et je vous dirai si cela en vaut la peine ou si vous perdrez votre temps comme au Camp Nou", a déclaré l'activiste, qui se fait appeler Xuxu Rondinaire, à un autre activiste dans une discussion sur Wire, qui est incluse dans les documents judiciaires.

D'après les autorités espagnoles, Xuxu Rondinaire faisait référence à une manifestation ratée avec des drones censée se produire lors du match de football de 2019 entre le FC Barcelone, dont le stade est appelé Camp Nou, et le Real Madrid.

Conformément aux documents judiciaires, dans ces discussions sur Wire, Xuxu Rondinaire "a expliqué en détail" plusieurs éléments des protocoles de sécurité potentiels d'"une personnalité publique", faisant clairement référence au roi Felipe VI.

Le cas de Xuxu Rodinaire avait déjà été rapporté par les médias espagnols et catalans.

Le journal catalan El Nacional a rapporté le 23 avril que les autorités espagnoles estimaient que Xuxu Rondinaire était un agent de la police catalane Mossos d'Esquadra.

Un porte-parole des Mossos d'Esquadra a déclaré à TechCrunch qu'il n'avait aucune information sur l'affaire et a renvoyé les questions à la Guardia Civil et au tribunal espagnol compétent.

TechCrunch a contacté Xuxu Rondinaire via Wire, via son adresse e-mail Protonmail et son adresse e-mail iCloud, mais n'a reçu aucune réponse. Nous avons également contacté un numéro de téléphone portable figurant dans les documents judiciaires comme étant lié à l'adresse domiciliaire où Xuxu Rondinaire habite présumément, fournie par Apple à la police espagnole.

Lorsque TechCrunch a contacté le numéro de téléphone portable et a demandé si l'utilisateur derrière celui-ci était la personne dont le nom complet avait été identifié dans les documents judiciaires, la personne a répondu "non", et a ajouté qu'elle signalerait le message comme spam.