What you need to know about stalkerware | Eva Galperin

Traducteur: Claire Ghyselen Relecteur: eric vautier

I want you to travel back in time with me,

Voyageons dans le passé ensemble,

to the before time, to 2017.

à l'époque d'avant, en 2017.

I don't know if you can remember it,

J'ignore si vous vous en souvenez

dinosaurs were roaming the earth.

mais les dinosaures régnaient sur le monde.

I was a security researcher,

Je faisais de la recherche en sécurité

I had spent about five or six years

et je venais de passer cinq ou six ans

doing research on the ways in which APTs,

sur le sujet des moyens utilisés par les APT -

which is short for advanced persistent threats,

l'acronyme anglais pour menace persistante avancée,

which stands for nation-state actors,

qui émane des États -

spy on journalists and activists

espionnent les journalistes et les activistes,

and lawyers and scientists

les avocats et les scientifiques

et généralement tous ceux qui disent ce qu'ils peuvent aux puissants.

and just generally people who speak truth to power.

And I'd been doing this for a while

Mes recherches duraient depuis un certain temps

when I discovered that one of my fellow researchers,

quand j'ai découvert qu'un de mes collègues,

with whom I had been doing this all this time,

avec qui je travaillais depuis toujours sur ce sujet,

was allegedly a serial rapist.

était prétendument un violeur en série.

So the first thing that I did

La première chose que j'ai faite

was I read a bunch of articles about this.

fut de lire un tas d'articles sur ça.

And in January of 2018,

En janvier 2018,

I read an article with some of his alleged victims.

j'ai lu un article contenant le témoignage de certaines victimes supposées.

And one of the things that really struck me about this article

Ce qui m'a particulièrement frappée dans cet article

is how scared they were.

fut l'ampleur de leur peur.

They were really frightened,

Elles étaient vraiment effrayées.

they had, you know, tape over the cameras on their phones

Elles avaient posé des caches sur l'appareil photo de leur téléphone

and on their laptops,

et de leur ordinateur.

and what they were worried about was that he was a hacker

Elles craignaient qu'il ne soit un hacker

and he was going to hack into their stuff

et viennent espionner leurs données

and he was going to ruin their lives.

afin de détruire leur vie.

And this had kept them silent for a really long time.

C'est pour cela qu'elles s'étaient tues si longtemps.

So, I was furious.

J'étais furieuse.

And I didn't want anyone to ever feel that way again.

Je voulais que plus personne ne ressente jamais cela.

So I did what I usually do when I'm angry:

J'ai donc agi comme je le fais souvent quand je suis en colère :

I tweeted.

j'ai tweeté.

(Laughter)

(Rires)

And the thing that I tweeted

J'ai tweeté ceci :

was that if you are a woman who has been sexually abused by a hacker

Si vous êtes une femme victime d'un abus sexuel par un hacker,

and that hacker has threatened to break into your devices,

et que ce hacker vous a menacée d'espionner vos machines,

that you could contact me

contactez-moi

and I would try to make sure

et je veillerai à vérifier votre machine de fond en comble.

that your device got a full, sort of, forensic look over.

And then I went to lunch.

Et je suis allée déjeuner.

(Laughter)

(Rires)

Ten thousand retweets later,

10 000 tweets plus tard,

(Laughter)

(Rires)

I had accidentally started a project.

j'ai compris que j'avais lancé un nouveau projet.

So every morning, I woke up and my mailbox was full.

Chaque matin, au réveil, ma messagerie était saturée

It was full of the stories of men and women

d'histoires d'hommes et de femmes

telling me the worst thing that had ever happened to them.

qui me racontaient la pire chose qui leur soit arrivée.

I was contacted by women who were being spied on by men,

J'ai été contactée par des femmes espionnées par des hommes,

by men who were being spied on by men,

par des hommes espionnés par des hommes,

by women who were being spied on by women,

par des femmes espionnées par des femmes,

but the vast majority of the people contacting me

mais la grande majorité des personnes

were women who had been sexually abused by men

étaient des femmes qui avaient été abusées sexuellement par des hommes

who were now spying on them.

et qui les espionnaient.

The one particularly interesting case

Un cas particulièrement intéressant

involved a man who came to me,

concerne un homme qui m'a contactée

because his boyfriend had outed him as gay

car son compagnon avait dénoncé son homosexualité

to his extremely conservative Korean family.

à sa famille coréenne extrêmement conservatrice.

So this is not just men-spying-on-women issue.

Il n'y a donc pas que le seul scénario d'hommes qui espionnent des femmes.

And I'm here to share

Je souhaite vous faire part de ce que j'ai appris de cette expérience.

what I learned from this experience.

What I learned is that data leaks.

J'ai appris que les données fuitent.

It's like water.

Comme de l'eau.

It gets in places you don't want it.

Dans des endroits indésirables.

Human leaks.

Les humains fuitent.

Your friends give away information about you.

Vos amis lâchent des informations sur vous.

Your family gives away information about you.

Votre famille lâche des informations sur vous.

You go to a party,

Vous allez à une réception,

somebody tags you as having been there.

quelqu'un vous tague présent à cette fête.

And this is one of the ways

C'est un des moyens utilisés par les agresseurs

in which abusers pick up information about you

pour obtenir des informations

that you don't otherwise want them to know.

que vous ne souhaitez pas qu'ils sachent.

It is not uncommon for abusers to go to friends and family

Il n'est pas rare que des agresseurs approchent des amis ou la famille

and ask for information about their victims

en demandant des infos sur leur victime

under the guise of being concerned about their "mental health."

sous prétexte qu'ils sont inquiets pour leur « santé mentale ».

A form of leak that I saw

Une forme de fuite que j'ai rencontrée

was actually what we call account compromise.

est appelée : « compte compromis »

So your Gmail account,

Vous avez un compte Gmail,

your Twitter account,

un compte Twitter,

your Instagram account,

un compte Instagram,

your iCloud,

un compte iCloud,

your Apple ID,

un identifiant Apple,

your Netflix, your TikTok --

un compte Netflix, Tiktok --

I had to figure out what a TikTok was.

j'ai dû chercher ce qu'était Tiktok.

If it had a login,

S'il y a un login,

I saw it compromised.

il était toujours compromis

And the reason for that is because your abuser is not always your abuser.

parce que votre agresseur n'est pas toujours votre agresseur.

It is really common for people in relationships to share passwords.

C'est très habituel pour des couples de partager leurs mots de passe.

Furthermore, people who are intimate,

De plus, dans une relation intime,

who know a lot about each other,

on se connaît en profondeur

can guess each other's security questions.

et on peut deviner les questions de sécurité.

Or they can look over each other's shoulders

On peut lire par-dessus l'épaule

to see what code they're using in order to lock their phones.

et déchiffrer le code de déverrouillage du téléphone.

They frequently have physical access to the phone,

On a un accès physique au téléphone

or they have physical access to the laptop.

ou à l'ordinateur.

And this gives them a lot of opportunity

Cela crée autant d'occasions

to do things to people's accounts,

pour bidouiller les comptes des autres,

which is very dangerous.

ce qui est très dangereux.

The good news is that we have advice

La bonne nouvelle est que nous avons des conseils

for people to lock down their accounts.

pour verrouiller les comptes.

This advice already exists, and it comes down to this:

C'est un conseil qui existe déjà et qui recommande ceci :

Use strong, unique passwords for all of your accounts.

utilisez des mots de passe complexes uniques pour chacun de vos comptes.

Use more strong, unique passwords

Utilisez des mots de passe plus robustes et uniques

as the answers to your security questions,

comme réponse aux questions de sécurité

so that somebody who knows the name of your childhood pet

afin d'empêcher quiconque connaissant le nom du chien de votre enfance

can't reset your password.

de changer votre mot de passe.

And finally, turn on the highest level of two-factor authentication

Enfin, réglez le système d'authentification à double facteur

à son niveau le plus haut - si vous le trouvez pratique.

that you're comfortable using.

So that even if an abuser manages to steal your password,

Ainsi, même si un agresseur parvient à mettre la main sur vos mots de passe,

because they don't have the second factor,

il n'aura pas le second facteur

they will not be able to log into your account.

et ne pourra donc pas entrer dans votre compte.

The other thing that you should do

Vous devez aussi

is you should take a look at the security and privacy tabs

vérifier les paramètres de sécurité et protection de la vie privée

for most of your accounts.

de tous vos comptes.

Most accounts have a security or privacy tab

La plupart des comptes ont ce paramètre

that tells you what devices are logging in,

qui vous indique quelles machines sont actives sur le compte

and it tells you where they're logging in from.

et depuis où.

For example, here I am,

Par exemple, je suis ici,

logging in to Facebook from the La Quinta,

sur mon compte Facebook depuis La Quinta,

where we are having this meeting,

où nous avons cette conférence,

and if for example,

et si, par exemple,

I took a look at my Facebook logins

je regarde mes logins Facebook,

and I saw somebody logging in from Dubai,

et je vois que quelqu'un a accédé à mon compte depuis Dubai,

I would find that suspicious,

je trouverais cela suspect

because I have not been to Dubai in some time.

car je n'ai pas visité Dubaï récemment.

But sometimes, it really is a RAT.

Mais parfois, il peut s'agir d'un RAT [Remote Access Tool],

If by RAT you mean remote access tool.

c'est-à-dire un outil d'administration à distance.

And remote access tool

C'est le terme que nous utilisons pour parler de logiciel espion.

is essentially what we mean when we say stalkerware.

So one of the reasons why getting full access to your device

Une des raisons qui rendent tentant l'accès à vos machines

is really tempting for governments

pour les gouvernements

is the same reason why getting full access to your device

est la même que celle qui rend tentant l'accès à vos machines

is tempting for abusive partners and former partners.

par des partenaires malintentionnés ou des anciens partenaires.

We carry tracking devices around in our pockets all day long.

Nous portons sur nous des traceurs toute la journée.

We carry devices that contain all of our passwords,

Nous portons des machines qui contiennent tous nos mots de passe

all of our communications,

pour tous nos moyens de communication

including our end-to-end encrypted communications.

y compris les communications chiffrées de bout en bout.

All of our emails, all of our contacts,

Tous nos courriels, tous nos contacts,

all of our selfies are all in one place,

tous nos selfies sont réunis dans un seul endroit,

often our financial information is also in this place.

et souvent avec nos informations financières.

And so, full access to a person’s phone

Dès lors, avoir un accès total à un téléphone,

is the next best thing to full access to a person's mind.

c'est quasiment comme accéder à l'esprit de son propriétaire.

And what stalkerware does is it gives you this access.

Les logiciels espions mettent cet accès à disposition.

So, you may ask, how does it work?

Comment cela fonctionne-t-il ?

The way stalkerware works

Les logiciels espions

is that it's a commercially available program,

sont des programmes conçus par des sociétés,

which an abuser purchases,

achetés par des agresseurs.

installs on the device that they want to spy on,

Ceux-ci installent le programme sur la machine qu'ils veulent espionner

usually because they have physical access

souvent car ils ont un accès physique

or they can trick their target into installing it themselves,

ou en poussant leur cible à l'installer à leur insu

by saying, you know,

en disant, par exemple :

"This is a very important program you should install on your device."

« C'est un programme très important à installer sur votre machine. »

And then they pay the stalkerware company

Ensuite, ils paient la société qui leur a vendu le programme d'espionnage

for access to a portal,

pour accéder à un portail

which gives them all of the information from that device.

qui leur donne accès à toutes les informations de la machine.

And you're usually paying something like 40 bucks a month.

Cela coûte environ 40 dollars par mois.

So this kind of spying is remarkably cheap.

Ce genre d'espionnage est vraiment bon marché.

Do these companies know

Les sociétés savent-elles

that their tools

que leurs logiciels

are being used as tools of abuse?

sont utilisés pour abuser des personnes ?

Absolutely.

Absolument.

If you take a look at the marketing copy for Cocospy,

La lecture du matériel de promotion de Cocospy,

which is one of these products,

un de ces produits espions,

it says right there on the website

est explicite dès la première page de leur site :

that Cocospy allows you to spy on your wife with ease,

« Cocospy vous permet d'épier votre épouse facilement. »

"You do not have to worry about where she goes,

« Ne vous inquiétez plus de ses déplacements,

who she talks to or what websites she visits."

à qui elle parle ou des sites internet qu'elle visite. »

So that's creepy.

Ça fait froid dans le dos.

HelloSpy, which is another such product,

HelloSpy, un autre de ces produits,

had a marketing page in which they spent most of their copy

a une page marketing avec un seul message

talking about the prevalence of cheating

sur la prépondérance de l'infidélité

and how important it is to catch your partner cheating,

et sur l'importance cruciale de prendre son conjoint sur le fait,

including this fine picture of a man

avec une photo d'un homme

who has clearly just caught his partner cheating

qui vient de prendre sa partenaire la main dans le sac

and has beaten her.

et l'a frappée.

She has a black eye, there is blood on her face.

Elle a un œil au beurre noir et du sang sur le visage.

And I don't think that there is really a lot of question

Je pense que c'est assez explicite

about whose side HelloSpy is on in this particular case.

quel est le parti pris de HelloSpy dans ce cas précis.

And who they're trying to sell their product to.

Et qui sont les clients qu'ils souhaitent atteindre.

It turns out that if you have stalkerware on your computer or on your phone,

Si vous avez un logiciel espion dans votre ordinateur ou votre téléphone,

it can be really difficult to know whether or not it's there.

c'est difficile de savoir si c'est le cas ou pas.

And one of the reasons for that

Une des raisons pour cela

is because antivirus companies

est que les vendeurs d'antivirus

often don't recognize stalkerware as malicious.

ne reconnaissent pas ces logiciels comme étant malveillants.

They don't recognize it as a Trojan

Ils ne les considèrent pas comme des chevaux de Troie

or as any of the other stuff that you would normally find

ou toutes les autres choses dont on espère normalement

that they would warn you about.

une alerte de leur part.

These are some results from earlier this year from VirusTotal.

Voici des résultats de cette année de VirusTotal.

I think that for one sample that I looked at

Pour un des échantillons que j'ai examinés,

I had something like a result of seven out of 60

j'avais un résultat de 7 sur 60

of the platforms recognized the stalkerware that I was testing.

des plateformes qui détectaient le logiciel espion que je testais.

And here is another one where I managed to get 10,

Avec celui-ci, j'ai obtenu 10 détections,

10 out of 61.

10 sur 61.

So this is still some very bad results.

Ce sont des résultats vraiment mauvais.

I have managed to convince a couple of antivirus companies

J'ai réussi à convaincre quelques vendeurs d'antivirus

to start marking stalkerware as malicious.

de classer les logiciels espions comme malveillants.

So that all you have to do

Tout ce que vous avez à faire,

if you're worried about having this stuff on your computer

si vous craignez d'avoir ces logiciels sur votre ordinateur,

is you download the program,

est de télécharger le programme,

you run a scan and it tells you

scanner et regarder le résultat :

"Hey, there's some potentially unwanted program on your device."

« Il y a un logiciel potentiellement non voulu dans votre machine. »

It gives you the option of removing it,

Il vous offre la possibilité de l'enlever

but it does not remove it automatically.

mais cela ne se fait pas automatiquement.

And one of the reasons for that

Une des raisons pour cela

is because of the way that abuse works.

est la dynamique des agressions.

Frequently, victims of abuse aren't sure

Souvent, les victimes d'un abus ne sont pas convaincues

whether or not they want to tip off their abuser

de vouloir, ou pas, alerter leur agresseur

by cutting off their access.

en leur supprimant l'accès.

Or they're worried that their abuser is going to escalate to violence

Elles sont parfois inquiètes que leur partenaire devienne violent,

or perhaps even greater violence

ou encore plus violent

than they've already been engaging in.

que ce qu'il était déjà.

Kaspersky was one of the very first companies

Kaspersky est une des premières sociétés

that said that they were going to start taking this seriously.

à s'être engagées à prendre cette menace au sérieux.

And in November of this year,

En novembre 2019,

they issued a report in which they said

ils ont publié un rapport disant

that since they started tracking stalkerware among their users

que depuis qu'ils suivent les logiciels espions chez leurs utilisateurs,

that they had seen an increase of 35 percent.

ils ont constaté une augmentation de 35%.

Likewise, Lookout came out with a statement

De même, Lookout a publié un engagement

saying that they were going to take this much more seriously.

à prendre cette menace plus au sérieux.

And finally, a company called Malwarebytes also put out such a statement

Malwarebytes, enfin, a publié un engagement semblable

and said that they had found 2,500 programs

en affirmant avoir détecté 2 500 programmes

in the time that they had been looking,

la première fois qu'ils ont fait une recherche

which could be classified as stalkerware.

et qui peuvent être classifiés comme logiciel espion.

Finally, in November I helped to launch a coalition

En novembre, j'ai contribué au lancement d'une coalition

called the Coalition Against Stalkerware,

appelée coalition contre les logiciels espions,

made up of academics,

formée par des universitaires,

people who are doing this sort of thing on the ground --

des gens qui sont sur le terrain,

the practitioners of helping people to escape from intimate partner violence --

et des praticiens qui aident les victimes de violences domestiques à en échapper,

and antivirus companies.

et des vendeurs d'antivirus.

And our goal is both to educate people about these programs,

Notre objectif est de faire connaître au public l'existence de ces programmes

but also to convince the antivirus companies

et de convaincre les vendeurs d'antivirus

to change the norm

de changer leurs normes

in how they act around this very scary software,

de gestion de ces logiciels si effrayants

so that soon, if I get up in front of you

avec l'espoir que si je reviens dans un an

and I talk to you about this next year,

sur cette scène pour vous parler de ça,

I could tell you that the problem has been solved,

je pourrais vous dire que le problème est résolu,

and all you have to do is download any antivirus

que vous n'avez plus qu'à télécharger n'importe quel antivirus

and it is considered normal for it to detect stalkerware.

et qu'il fera une détection de routine des logiciels espions.

That is my hope.

C'est mon espoir.

Thank you very much.

Merci.

(Applause)

(Applaudissements)