Cybersurveillance : Yahoo confronté au défi de la transparence

La dernière réactualisation du « rapport de transparence » de Yahoo a une saveur particulière.

Tous les six mois, le groupe Internet met à jour cet ensemble de statistiques destiné à faire, entre autres, la lumière sur les demandes reçues de la part d’autorités administratives qui souhaitent obtenir la suppression de contenus ou accéder à des informations sur des comptes et des utilisateurs.

Les chiffres du 1^er semestre 2016 tombent dans un contexte singulier ; quelques semaines en l’occurrence après les révélations autour du « programme espion » que Yahoo aurait développé pour le compte du renseignement U.S., avec la capacité de scanner tous les contenus envoyés via son service de messagerie électronique.

L’existence supposée de ce logiciel n’a pas été démentie, mais rien ne permet non plus d’en attester formellement dans les différentes versions du « rapport de transparence ».

Oui, mais non

Pas d’évolution sur ce point, mais une clarification.

Yahoo explique que certaines des requêtes qui lui sont adressées se basent sur d’autres critères que le nom des comptes pour lesquelles des informations sont recherchées. Ce peut être, par exemple, un numéro de téléphone… ou un mot-clé, comme dans le cas du présumé « programme espion ».

Dans ce cas, n’est ajouté au « rapport de transparence » que le nombre de comptes pour lesquels des données sont effectivement transmises à l’autorité administrative. Ce qui explique que les compteurs n’aient jamais explosé, alors que des centaines de millions de boîtes de messagerie ont été exposées.

Illustration sur le 1^er semestre : Yahoo recense 12 666 demandes portant sur 20 511 comptes*. Un volume légèrement inférieur à celui enregistré au 2e trimestre 2015 (13 771 demandes sur 23 540 comptes), mais avec des sollicitations provenant d’un plus grand nombre de pays (la Belgique, le Danemark, les Pays-bas ou encore le Qatar s’ajoutent à la liste).

Des données ont été fournies dans 1 364 cas ; des métadonnées dans 6 415 cas. Près de 4 000 requêtes ont fait l’objet d’un rejet.

La France (toujours) à l’affût

Avec 1 043 demandes englobant 1 230 comptes, la France se classe cinquième pays le plus demandeur après les États-Unis (4 709 demandes), l’Allemagne (1 654), Taïwan (1 557) et le Royaume-Uni (1 282).

Yahoo reçoit aussi des demandes émises dans le cadre de situations d’urgence, c’est-à-dire impliquant la vie ou l’intégrité physique d’individus. Le groupe californien a tendance à dévoiler plus facilement des données dans ces cas de figure : il a accédé à 74 % des 163 requêtes qui lui ont été formulées dans ce sens.

À noter que la plate-forme de blogs Tumblr, propriété de Yahoo, publie son propre « rapport de transparence », accessible ici.

* Le nombre de comptes annoncé ne reflète pas forcément le nombre d’utilisateurs réellement affectés, pour plusieurs raisons. Notamment du fait qu’un même compte peut faire l’objet de plusieurs requêtes et qu’un utilisateur peut posséder plusieurs comptes.