Dans l'armée norvégienne, des véhicules chinois très indiscrets

Des codes d'accès à des sites sécurisés, les allées et venues des personnels...Des voitures chinoises louées par l'armée norvégienne ont filmé des informations sensibles lors d'un récent exercice militaire, illustrant les risques posés par les véhicules connectés.

Lors d'un exercice de sécurisation de l'aéroport d'Oslo le mois dernier, des soldats qui tuaient le temps en tapotant sur l'écran de contrôle de leur véhicule ont découvert des vidéos enregistrées par les caméras embarquées, a révélé le journal Dagens Naeringsliv (DN).

Sur ces enregistrements, on pouvait voir qui montait et descendait des voitures, les itinéraires empruntés et, surtout, les codes utilisés pour ouvrir des portails ou portes d'installations militaires.

Toujours selon DN, ces enregistrements provenaient de véhicules de location --dont au moins deux Deepal, marque du constructeur Changan contrôlé par l'État chinois-- fournis à l'armée par Hertz Norge, lui-même indirectement détenu par le groupe automobile chinois Geely.

"Oui, des soldats de la Garde nationale ont trouvé des vidéos provenant des capteurs des véhicules et stockées dans leurs systèmes", a confirmé à l'AFP le lieutenant-colonel Per Gunnar Grosberghaugen, porte-parole de la Garde nationale norvégienne.

On ignore si les enregistrements ont été transmis à des tiers, notamment en Chine, mais l'officier n'a pas exclu cette hypothèse.

L'affaire révèle un paradoxe : alors que les armées européennes renforcent leur protection contre l'espionnage et les menaces hybrides, les véhicules qu'elles utilisent peuvent collecter des informations sur leurs activités les plus sensibles.

Même après la découverte de ces indiscrétions, l'armée a continué, faute d'alternatives suffisantes, à utiliser les véhicules jusqu'à la fin de l'exercice, et les soldats ont ensuite effacé les vidéos, a précisé DN.

L'armée exclut une interdiction générale des véhicules fabriqués en Chine, jugeant le gain potentiel de sécurité limité, et préfère des protections adaptées à chaque site, avec de possibles interdictions locales des véhicules équipés de caméras et capteurs, quelle que soit leur origine.

De son côté, Hertz Norge affirme respecter les réglementations norvégienne et européenne.

"Les données de nos clients sont en sécurité chez nous", a indiqué à l'AFP Hallvard Nerbøvik, son directeur du marketing et de la communication.

"Aucune donnée personnelle liée à nos locations n'est partagée avec les constructeurs automobiles, nos propriétaires ou d'autres tiers sans fondement juridique explicite", a-t-il ajouté, sans préciser si les vidéos embarquées avaient pu être transférées.

Le groupe Changan n'a pas répondu aux questions de l'AFP.

Son importateur norvégien, Motor Gruppen, a toutefois souligné que la présence d'une fonction d'enregistrement continu ne signifie pas que les véhicules filment constamment leur environnement.

Bus et applis sportives

L'an dernier, des tests menés pour Ruter, l'autorité des transports publics d'Oslo, avaient montré que le constructeur chinois Yutong pouvait théoriquement immobiliser ses bus électriques via leur système de mise à jour à distance.

Ces bus peuvent notamment servir à évacuer la population en cas de crise.

Ruter indique avoir depuis instauré des mécanismes permettant de surveiller et de retarder les signaux entrants pour contrôler les mises à jour.

Les véhicules modernes ne sont pas les seuls chevaux de Troie potentiels.

Les montres connectées et applications sportives comme Strava, populaire chez les joggeurs, peuvent aussi exposer des informations militaires sensibles.

En 2018, des données publiées par Strava avaient permis de repérer des implantations militaires et des parcours de soldats, notamment en Afghanistan et en Syrie.

En mars, le journal Le Monde a, grâce à l'utilisation de cette application par un marin, pu localiser le porte-avions français Charles-de-Gaulle quasiment en temps réel en Méditerranée orientale.

Pour l'Autorité norvégienne de sécurité nationale (NSM), les véhicules modernes sont des "ordinateurs roulants qui collectent des informations".

"On ne sait pas avec certitude où ces informations sont envoyées ni à quoi elles servent", souligne auprès de l'AFP un de ses responsables, Andreas Skjøld-Lorange.

Au-delà des données collectées, l'organisme chargé de réduire la vulnérabilité des acteurs d'importance stratégique met en garde contre une dépendance excessive à un même pays, particulièrement si celui-ci n'entretient pas de coopération avec la Norvège en matière de sécurité.

"Si nous devenons trop dépendants des services ou des produits d'un pays donné, cela nous rend vulnérables, quel que soit ce pays", avertit M. Skjøld-Lorange.