ProtonMail : la messagerie anonyme livre les adresses IP de certains utilisateurs

ProtonMail, le célèbre service suisse de messagerie cryptée, n'est pas au-dessus des lois. Dans le cadre d'une enquête franco-suisse, la firme helvétique a été contrainte de divulguer des informations sur plusieurs utilisateurs et utilisatrices visés par l'investigation.

Dans le milieu des services de messagerie cryptée, ProtonMail fait partie des références. En effet, le service se vante d'offrir une “confidentialité suisse”, dans le sens où les données des utilisateurs seront protégées par les lois helvétiques, “parmi les plus strictes en matière de protection de vie privée”. Les échanges de courriels sont chiffrés de bout en bout, et ProtonMail assure qu'aucun log d'IP lié à votre compte n'est conservé.

Seulement, une récente affaire prouve le contraire. Mais contextualisons d'abord si vous le voulez bien. Nous voici en 2020, plusieurs collectifs et associations décident d'occuper illégalement certaines propriétés du quartier Saint-Marthe à Paris, le but étant de lutter contre la gentrification du quartier menée d'après les dires des manifestants par Nexity et Edmond Coignet, deux poids lourds de l'immobilier.

DES MEMBRES DU COLLECTIF YOUTH FOR CLIMATE IMPLIQUÉS
Comme vous vous en doutez, la police intervient, des échauffourées éclatent, et des blessés sont à déplorer dans les deux camps. Des manifestants sont arrêtés pour violence, refus d'obtempérer, dégradation et violation de domicile. Plusieurs personnes appréhendées appartiennent au collectif Youth for Climate, le mouvement des jeunes pour le climat lancé par Greta Thunberg.

Rapidement, l'enquête révèle que les manifestants ont utilisé un compte ProtonMail pour communiquer entre eux, et notamment discuter de l'organisation des différentes actions à mener au quartier Sainte-Marthe. La police souhaite donc explorer cette piste afin de découvrir l'identité du créateur du compte, les adresses IP et l'empreinte des appareils utilisés.

Seulement, ProtonMail étant un service suisse, les forces de l'ordre françaises n'ont aucune légitimité à exiger quoi ce soit de la messagerie cryptée. Voilà pourquoi les autorités françaises ont choisi de faire une requête à Europol. En sa qualité d'agence européenne de police, Europol a pu exiger des autorités suisses la pleine coopération de ProtonMail. Sans surprise, le service s'est plié aux différentes injonctions et a fourni les renseignements demandés.

PROTONMAIL SE PLIE AUX INJONCTIONS D'EUROPOL ET DES AUTORITÉS SUISSES
“En règle générale, ProtonMail ne se conforme qu'aux ordres juridiquement contraignants qui ont été approuvés par les autorités suisses […] Par conséquent, ProtonMail ne se conforme qu'à deux types d'ordres : les ordres des autorités suisses et les demandes étrangères dûment instruites et validées par les autorités suisses dans le cadre d'une procédure d'entraide judiciaire internationale et jugées conformes au droit suisse”, s'est justifié ProtonMail dans un article de blog officiel.

D'accord, ProtonMail n'a fait que se plier à la loi si l'on en croit cette déclaration. Reste que ProtonMail vante l'absence totale de collecte de journaux de connexion et d'IP sur son site (visible ci-dessus) et qu'en creusant un peu dans les conditions d'utilisation du service on peut tomber là-dessus : “Cependant, les logs d'IP peuvent être conservés temporairement pour lutter contre les abus et les fraudes, et votre adresse IP peut être conservée de manière permanente si vous êtes engagé dans des activités qui violent nos conditions d'utilisation (spamming, attaque DDOS, attaque par force brute, etc.)”.

Notez toutefois que les courriels, les pièces jointes, les fichiers, les calendriers ne peuvent être compromis par des ordres juridiques comme le rappellent les équipes de ProtonMail, puisqu'ils sont protégés par le système de chiffrement du service.