Le compte WhatsApp d'un conseiller de Nétanyahou lié à un service des Émirats

Yonatan Urich, conseiller du Premier ministre Benyamin Nétanyahou, a connecté son compte WhatsApp personnel à un service de gestion opéré par une entreprise basée aux Émirats arabes unis, accordant à ce service un accès complet et non chiffré à l'ensemble de ses correspondances et fichiers multimédias. Ces données auraient ainsi pu être consultées par les autorités émiraties en raison de la législation locale, qui permet un accès étendu à ce type de contenus sans nécessiter d'ordonnance judiciaire. La semaine dernière, le quotidien Haaretz a révélé l'existence d'un outil de veille médiatique développé par Urich pour le Premier ministre et son épouse. Cet outil surveillait en temps réel les mentions du couple dans les médias et envoyait des alertes à des groupes WhatsApp dédiés. Développé à l'aide du modèle d'intelligence artificielle Claude d'Anthropic, le code source a été rendu public par inadvertance sur GitHub par M. Urich, exposant des informations confidentielles, des identifiants uniques et des jetons d'accès.

Bien que l'accès au dépôt GitHub ait été restreint après les sollicitations de Haaretz, le code avait déjà été récupéré et diffusé par des internautes. Selon un chercheur indépendant en cybersécurité interrogé par Calcalist, M. Urich a connecté son propre compte WhatsApp personnel, et non un compte secondaire dédié, à la plateforme tierce nommée ultramsg. Par conséquent, l'ensemble de ses échanges, incluant vraisemblablement des discussions sensibles avec des collaborateurs du bureau du Premier ministre, s'est retrouvé exposé. Le service ultramsg fonctionne en scannant un code QR pour lier un appareil supplémentaire, offrant des capacités de lecture, d'écriture et d'automatisation. Toutefois, les conditions d'utilisation de la plateforme indiquent que les données collectées sont stockées sur des serveurs Amazon pendant 120 jours.

Le problème le plus critique réside dans la localisation de l'entreprise. Ultramsg est domiciliée aux Émirats arabes unis, le profil LinkedIn de la structure situant ses activités à Dubaï. Contrairement aux pays occidentaux dotés de lois strictes sur la protection de la vie privée, la législation émiratie autorise les agences de sécurité à accéder aux données des utilisateurs et au contenu des messages sans mandat judiciaire, dans le cadre d'enquêtes ou pour la défense d'intérêts publics. En reliant un canal de communication hautement sensible à un prestataire étranger soumis à de telles dispositions, le conseiller s'expose à de graves failles de sécurité.