Le fait nouveau ne vient ni d’une fuite ni d’un rapport privé. Le 4 septembre 2026, le sénateur Ron Wyden et le représentant Pat Harrigan ont rendu publics des mémos de plusieurs composantes des forces armées américaines, à l’appui d’une demande d’enquête adressée au Pentagone sur la protection des militaires face au commerce des données de localisation. Le constat officiel : des adversaires ont utilisé des données de localisation issues de téléphones et vendues commercialement pour suivre ou cibler du personnel américain au Moyen-Orient. En réponse, l’Army, l’Air Force, la Navy, les Marines et le Special Operations Command ont, à des degrés divers, désactivé les identifiants publicitaires mobiles, les MAID, sur leurs appareils professionnels. Le vrai sujet n’est pas une faille technique. C’est qu’une donnée collectée pour optimiser une campagne marketing peut devenir un renseignement exploitable militairement.
La chaîne de risque, rendue publique
La séquence est désormais documentée : une application mobile, un identifiant publicitaire, des données de localisation, un agrégateur ou courtier de données, un achat commercial, puis la surveillance ou le ciblage d’un militaire. Autrement dit, l’adversaire n’a pas nécessairement besoin de pirater le téléphone, le réseau militaire ou l’opérateur télécom : il peut exploiter un marché de données conçu au départ pour la publicité. Les contre-mesures révèlent l’ampleur de la prise de conscience. L’Air Force indique avoir désactivé les identifiants environ 2 mois plus tôt, l’Army précise que le blocage par défaut sur ses appareils Apple et Android remonte au moins à février 2026, et le Special Operations Command l’a récemment appliqué à ses postes Windows. Reuters, qui a examiné les lettres et obtenu des confirmations séparées, rapporte que le CENTCOM a reçu plusieurs signalements concernant l’exploitation par des adversaires de données commerciales de localisation pour surveiller ou cibler du personnel américain sur théâtre d’opérations. TechCrunch a confirmé le contenu général des documents.
Le mécanisme : quand la publicité devient du renseignement
Nous opposons traditionnellement le renseignement de sources ouvertes, l’OSINT, au renseignement spécialisé, technique ou humain. Une troisième catégorie s’impose, que nous décrivons comme label d’analyse et non comme concept déposé : le renseignement commercial, du renseignement acheté sur étagère. Transactions publicitaires, géolocalisation, courtiers en données, applications mobiles, métadonnées et historiques comportementaux produisent un gisement accessible légalement ou de façon semi-ouverte à des acteurs étrangers. Cela déplace la frontière de l’espionnage. Un service hostile peut potentiellement obtenir une information sensible sans intrusion informatique, sans agent clandestin et parfois sans franchir directement une barrière technique. La sécurité nationale se heurte alors à quelque chose de beaucoup plus banal qu’une cyberattaque : le modèle économique de la publicité numérique. C’est, selon Reuters, la première reconnaissance publique par l’armée américaine de contre-mesures prises après des signalements d’exploitation de ces données contre ses troupes.
La conséquence européenne et française
Le signal dépasse largement le Pentagone. Les mêmes infrastructures technologiques équipent les téléphones des militaires européens, des diplomates, des hauts fonctionnaires, des industriels de défense, des dirigeants, des chercheurs et des journalistes. La question stratégique, pour la France, est donc lisible : quelles données commerciales permettent aujourd’hui de reconstituer les déplacements de personnels ou d’actifs sensibles ? Elle ne s’instruit évidemment pas en tentant une telle reconstruction sur des individus, ce que nous ne faisons pas et ne recommandons pas. Elle s’instruit par le droit et les institutions : le règlement sur les services numériques, le RGPD, l’encadrement des courtiers de données, le rôle de la CNIL et de l’ANSSI, et les règles applicables aux terminaux professionnels sensibles. Le sujet est réglementaire et organisationnel avant d’être opérationnel, et c’est à ce niveau qu’une souveraineté se joue.
Ce qu’il ne faut pas conclure
La contre-mesure a ses limites. Désactiver les identifiants publicitaires ne rend pas un terminal invisible : des applications dotées d’autres permissions, les données réseau ou diverses techniques de corrélation peuvent continuer à produire des signaux de localisation. La discipline d’analyse impose de tenir 4 distinctions. Une donnée commercialement disponible n’est pas une donnée publique. L’achat d’une donnée n’est pas une intrusion informatique. Une géolocalisation possible n’est pas un ciblage militaire démontré dans chaque cas. Et un adversaire étranger n’est pas un État précisément identifié, comme le rappelle notre Doctrine d’Attribution Stricte. La désactivation des MAID est nécessaire, elle n’est pas suffisante.
Ce qu’ELMARQ retient
Pour une institution, une direction de sécurité, un industriel de défense ou un dirigeant, la leçon est un déplacement de la menace, pas une panique. La prochaine opération de renseignement n’a peut-être besoin ni d’un pirate ni d’un espion : une carte bancaire peut parfois suffire pour acheter les traces numériques laissées par une cible. Le cyberespionnage ne consiste donc plus seulement à voler des données protégées ; il faut désormais protéger celles que nos propres économies mettent légalement en vente. 3 réflexes en découlent. D’abord, traiter les terminaux professionnels sensibles comme une surface d’exposition commerciale, et pas seulement comme une surface d’attaque technique. Ensuite, porter le sujet là où il se règle, dans le droit des données et l’encadrement des courtiers, pas dans la seule configuration des appareils. Enfin, tenir l’attribution : documenter le risque sans nommer un État sans preuve. Le Pentagone vient d’admettre, par ses contre-mesures, que le marché de la donnée publicitaire est devenu une surface de renseignement. C’est un avertissement, pas une fatalité.
Correction du 25 septembre 2026. Les mémos ont été rendus publics à l’appui d’une demande d’enquête adressée au Pentagone, et non au terme d’une enquête parlementaire ; la « première reconnaissance officielle » est ramenée à ce que rapporte Reuters (première reconnaissance publique des contre-mesures) ; il est précisé que les autorités n’ont pas affirmé que ces données avaient permis une attaque réussie.
