Jonathan Rozen/Chercheur principal au CPJ
En mai 2019, des hauts responsables des forces de l’ordre ghanéennes ont posé pour des photos avec l’Ambassadeur des États-Unis au Ghana lors d’une cérémonie dans la capitale Accra. Ils tenaient tous des boites et sacs comme cadeaux offerts par les États-Unis au Ghana, lesquels contenaient, selon l’une des récipiendaires, de la technologie israélienne de piratage de téléphone.
La récipiendaire en question était Maame Yaa Tiwaa Addo-Danquah, alors directrice générale du département des enquêtes criminelles de la police ghanéenne. En mai 2020, elle a parlé au CPJ de la manière dont les gouvernements des États-Unis et du Royaume-Uni, ainsi qu’Interpol, fournissaient aux forces de sécurité ghanéennes des formations et des technologies en matière d’enquêtes numériques. Elle a cité des outils fabriqués par la société Cellebrite, basée en Israël – dont le site Web indique que sa technologie est capable de casser les verrous et les cryptages – et deux sociétés basées aux États-Unis, IBM et Digital Intelligence.
Les journalistes au Ghana déclarent être inquiets quant à l’éventualité que de telles technologies puissent être employées contre eux ou leurs sources.
L’année dernière, le CPJ a documenté l’utilisation par les forces de sécurité nigérianes du dispositif UFED (Universal Forensic Extraction Device) de Cellebrite et la manière dont les forces armées ciblaient les téléphones et ordinateurs des journalistes à l’aide d’une « fouille criminalistique » pour essayer de révéler leurs sources. Six jours avant que les États-Unis n’aient fourni les mêmes outils au Ghana, le Washington Post rendait compte de la manière dont la police utilisait l’UFED pour extraire des documents des téléphones des journalistes au Myanmar. Au cours de la pandémie de coronavirus, Cellebrite a adapté sa technologie de façon à aider les autorités à accéder aux appareils des personnes infectées pour retrouver leurs contacts, a rapporté Reuters en avril.
« Si un organisme d’État est capable de décoder mon système sans avoir accès à mon mot de passe, cela fait peur », a affirmé au CPJ, début juillet, Emmanuel Dogbevi, rédacteur en chef du site d’actualités Ghana Business News.
Dogbevi, qui est membre du Consortium international des journalistes d’investigation, a fait des reportages sur des sujets délicats, notamment les opérations financières offshore et l’achat par le Ghana de matériel informatique provenant du Groupe NSO, une société de logiciels espions basée en Israël. Il a précisé au CPJ que beaucoup de sources hésitaient déjà à parler, de peur d’être identifiées, et la longue histoire d’intimidation des journalistes par les autorités ghanéennes le laissait craindre qu’il ne soit lui aussi ciblé. « Les sources m’envoient des informations, des documents. Je ne tiens pas à ce que n’importe qui y ait accès », a ajouté Dogbevi.
Avant d’être mutée en janvier 2020 du département des enquêtes criminelles au poste de chef des services sociaux de la police, Tiwaa Addo-Danquah a annoncé qu’elle cherchait à renforcer les poursuites en consolidant les capacités de la police en matière d’extraction et d’analyse d’informations recelées sur les téléphones et les ordinateurs. « Dans le contexte [numérique] actuelle, la plupart des preuves se trouvent sur les appareils électroniques… Vous arrêtez une personne et elle vous dit ‘Je ne vais pas vous révéler l’identité de mon complice’. Il s’agit d’outils qui peuvent vous aider à savoir avec qui cette personne est en contact », a-t-elle précisé au CPJ.
Un an plus tôt, en juin 2019, des agents du ministère de la Sécurité nationale du Ghana ont arrêté le rédacteur Emmanuel Ajarfor Abugri et le journaliste Emmanuel Yeboah Britwum, tous deux du site Web d’informations Modern Ghana, les ont détenus pendant des jours et ont fouillé leurs téléphones et ordinateurs en cherchant à révéler leurs sources pour un reportage sur le ministre de la Sécurité nationale Albert Kan Dapaah, a rapporté le CPJ à l’époque. Abugri a déclaré au CPJ que ses appareils avaient été emmenés dans une « salle informatique » et qu’il avait été contraint de donner ses mots de passe aux policiers. « Ils étaient en train d’entrer dans mes gadgets », a-t-il affirmé.
Le commandement de la police de la région du Grand Accra détient toujours les téléphones et les tablettes d’Abugri, tandis que le ministère de la Sécurité nationale détient son ordinateur, a déclaré Abugri. (Une porte-parole de la police, Afia Tengey, a déclaré qu’elle n’était pas en mesure de commenter car elle ne pouvait pas localiser les dossiers). L’expérience a changé l’opinion d’Abugri quant à la sécurité des informations : « Parfois, dans le journalisme, il y a des informations qui sont très confidentielles pour vous et dont vous ne voulez pas qu’une autre personne connaisse la source … avoir ces informations sur vos gadgets et savoir que ces mêmes gadgets sont entre les mains de certaines personnes [forces de sécurité], je me sens menacé. »
Abugri a intenté un procès au coordonnateur de la Sécurité nationale, à l’inspecteur général de la police et au procureur général ghanéens, en soutenant que son arrestation et sa détention, y compris des actes de torture qu’il aurait subis, violaient ses droits garantis par la Constitution ; l’affaire doit être portée devant les tribunaux le 15 juillet, a-t-il déclaré au CPJ.
Les appels du CPJ à Kan Dapaah après les arrestations de juin 2019 et de juin 2020 sont restés sans réponse. Mais Tiwaa Addo-Danquah a déclaré au CPJ qu’elle s’était parfois appuyée sur les capacités de criminalistique numérique et de surveillance du ministère de la Sécurité nationale pour aider aux enquêtes policières. « Si le téléphone était allumé, on pouvait voir [à partir d’un numéro de téléphone] où se trouvait la personne en question à tel moment et où elle s’était déplacée à tout autre moment », a-t-elle précisé.
Manasseh Azure Awuni, journaliste d’investigation indépendant, a déclaré au CPJ que les arrestations des journalistes de Modern Ghana et la saisie de leurs appareils montrent que les journalistes et les sources sont vulnérables. « Si cela est arrivé à d’autres journalistes, il est possible que cela puisse m’arriver », a affirmé Awuni. Awuni a précisé qu’il avait reçu des menaces de mort et avait été contraint de se cacher en 2019 en raison d’un documentaire qui alléguait que le parti au pouvoir au Ghana exploitait un groupe de milice secret. Le parti a nié tout lien avec le groupe, a-t-il déclaré.
« Cela peut avoir un effet paralysant sur la liberté de la presse », a déclaré au CPJ Roland Affail Monney, président de l’Association des journalistes du Ghana, en évoquant la capacité des forces de sécurité à s’introduire dans les téléphones et les ordinateurs des journalistes.
La police ghanéenne a reçu pour la première fois la technologie UFED de Cellebrite par l’intermédiaire d’Interpol en 2017 lors d’une formation organisée à l’intention des services de répression ouest-africains en Côte d’Ivoire, a déclaré Tiwaa Addo-Danquah au CPJ. L’année précédente, Cellebrite avait signé un accord pour fournir à Interpol « des équipements de criminalistique numérique [y compris UFED] et des services de formation sur une période de trois ans », selon leurs sites Web. Le bureau de presse d’Interpol a reconnu dans un courriel avoir fourni des outils Cellebrite à certaines polices nationales, mais n’a pas identifié les pays concernés ni précisé d’autres détails.[WNS1]
Tiwaa Addo-Danquah a déclaré qu’en 2019, le Royaume-Uni avait fourni IBM i2 Analyze à la police ghanéenne et assurée une formation permettant d’organiser et d’évaluer les informations extraites d’appareils électroniques. IBM i2 Analyze « facilite l’analyse de gros volumes de données » et « révèle les connexions cachées », selon son site Web.
Le CPJ a envoyé un courrier électronique au Haut-commissariat britannique à Accra pour lui demander un entretien concernant le soutien du Royaume-Uni aux services répressifs ghanéens en matière de criminalistique numérique, mais aucun entretien n’était fixé au moment de passer sous presse.
Le responsable des communications d’IBM pour le Moyen-Orient et l’Afrique, Mark Fox, a déclaré au CPJ dans un courriel qu’IBM n’avait « aucun dossier attestant la vente ou la fourniture » d’IBM i2 Analyze au gouvernement du Ghana, mais s’est refusé à commenter la question de savoir si la police ghanéenne avait utilisé cette technologie. « Nous examinons attentivement les opportunités commerciales potentielles pour nous assurer qu’elles n’entrent pas en conflit » avec les principes de confiance et de transparence d’IBM, a déclaré Fox.
Par ailleurs, un document d’application de la loi britannique sur l’immigration (British Immigration Enforcement) de 2019 semble montrer que l’agence a fourni au Service d’immigration du Ghana des équipements de criminalistique numérique Detego fabriqués par MCM Solutions, basée au Royaume-Uni (le document a mal orthographié le produit « Detago »). Detego peut « extraire et analyser en toute transparence des données d’appareils multiples », selon le site Web de MCM. En mars 2019, MCM a publié sur Twitter que son personnel se trouvait au Ghana où il « organisait un stage de formation [Detego] avancée pour un certain nombre d’unités spécialisées ».
John-Paul Backwell, directeur mondial des ventes et du marketing de MCM Solutions, a déclaré au CPJ que la société comptait plusieurs clients au Ghana. Toutefois, il n’avait pas répondu, au moment de mettre sous presse, à la question de savoir quelles agences de sécurité disposaient de la technologie. Backwell a affirmé que MCM Solutions avait pour ambition que sa technologie soit « utilisée pour le bien » et « pour résoudre les problèmes de sécurité », mais a reconnu que la société « ne peut pas toujours contrôler la façon dont un client utilise les logiciels ». Il a ajouté que MCM Solutions enquêterait sur les cas où ses outils pourraient avoir été utilisés contre des journalistes.
Tiwaa Addo-Danquah a déclaré au CPJ que lors d’une cérémonie en présence de l’Ambassadeur des États-Unis Stephanie Sullivan en mai 2019, l’ambassade américaine a fourni au Ghana l’UFED de Cellebrite et UltraBlock, un autre outil de criminalistique numérique fabriqué par la société Digital Intelligence. UltraBlock est utilisé pour faciliter l’extraction d’informations à partir des disques durs, mais n’a pas de capacité de déchiffrement, a précisé fin juin par téléphone au CPJ Chris Stippich, président de Digital Intelligence. Il a affirmé que la politique de l’entreprise ne lui permettait pas de faire des commentaires sur les clients de Digital Intelligence.
Des documents d’approvisionnement examinés par le CPJ et un reportage du site Web d’actualités Nextgov indiquent qu’en décembre 2018, l’ambassade des États-Unis au Ghana a fait une demande d’achat de la technologie UFED et UltraBlock. La demande spécifiait qu’il fallait que la capacité d’« extraction » et de « décodage » de l’UFED soit applicable aux principaux modèles de téléphones portables, notamment Android, Blackberry, Nokia et Huawei, ainsi qu’aux systèmes GPS comme TomTom.
Selon une base de données du gouvernement américain, des contrats du Département d’État ont été attribués à deux sociétés basées aux États-Unis – BIT DIRECT INC et Lyme Computer Systems, Inc – pour du matériel de cyber-enquête destiné au Ghana. D’autres listes de contrats indiquent que ces dernières années, les ambassades américaines dans le monde ont commandé du matériel directement à Cellebrite.
Les appels du CPJ et un courriel à Josh Longacre, PDG et président de Lyme Computer Systems, ainsi que des appels et un message vocal envoyés au numéro officiel de BIT DIRECT INC, sont restés sans réponse. Les questions du CPJ envoyées par courrier électronique au bureau de presse de Cellebrite et à Masao Koda, un représentant de la société mère de Cellebrite au Japon, Sun Corporation, n’ont pas reçu de réponse au moment de mettre sous presse.
L’ambassade des États-Unis au Ghana a affirmé au CPJ dans une déclaration par courrier électronique qu’elle avait fourni à la police du pays et au Bureau de lutte contre la criminalité économique et la criminalité organisée (EOCO) « de l’aide pour renforcer leur capacité à enquêter sur les délits liés à la cybercriminalité » par le biais de la technologie et de la formation. Elle a déclaré que ceux qui suivaient la formation se soumettaient à un « contrôle Leahy », référence aux lois américaines qui interdisent toute dépense liée aux forces de sécurité étrangères impliquées dans des violations des droits de l’homme. L’ambassade n’a pas répondu directement aux questions du CPJ concernant l’UFED et UltraBlock.
Le CPJ a contacté Frank Adu-Poku, directeur exécutif de l’EOCO du Ghana, par téléphone en mai 2020, mais il a refusé de commenter. Le porte-parole des services d’immigration du Ghana Michael Amoako-Atta a déclaré au CPJ par téléphone qu’il chercherait à se renseigner sur le soutien britannique fourni en 2019, mais les appels et les SMS ultérieurs du CPJ à Amoako-Atta sont restés sans réponse.
« Tout accès aux données par la police s’effectuerait conformément à la loi », a déclaré par téléphone au CPJ Sheila Kessie Abayie-Buckman, porte-parole de la police ghanéenne. Elle a affirmé qu’un « cadre pour les relations entre la police et les médias et la sécurité des journalistes », lancé le 1er juillet, aiderait à réduire le nombre de cas où des policiers saisissent les appareils des journalistes ou interrogent ceux-ci sur leurs sources. Abayie-Buckman n’a pas répondu aux questions qui lui avaient été envoyées par courriel concernant l’utilisation par la police de Cellebrite et de la technologie IBM.
« Parfois, je pense que c’est une bonne chose que les gouvernements possèdent ce genre d’outils [de criminalistique numérique] », a déclaré Abugri au CPJ, admettant qu’il existe des raisons de sécurité publique pour que des appareils soient fouillés. « Mais dans une situation où des gens comme nous [les journalistes] sont impliqués … ces outils ne sont pas utilisés aux fins prévues … c’est là que cela devient inquiétant. »
- Pour davantage d’informations sur la sécurité numérique, consulter le Kit de sécurité numérique du CPJ.