Brief — Le mouchard « secret défense » qui a fait tomber 6 558 personnes était un fork d'un exploit public trouvé sur GitHub : le Conseil constitutionnel avait jugé, en 2022, qu'il n'y avait pas à en discuter au dossier

Thème : procédure pénale et cybersécurité — captation de données informatiques, secret de la défense nationale, contradictoire et admissibilité de la preuve numérique

Mots-clés : #cyber #encrochat #dgsi #conseil-constitutionnel #cjue #secret-defense #preuve-penale

Le 20 août 2026, une enquête de *Computer Weekly* signée Bill Goodwin et Duncan Campbell, relayée en France par Next, a révélé qu'à la demande de la justice britannique, une société tchèque de cybersécurité avait reconstitué par rétro-ingénierie le logiciel espion qui a permis, en 2020, la compromission du réseau de cryptophones EncroChat — opération créditée par Europol de 6 558 arrestations et de près de 900 millions d'euros saisis ou gelés. L'implant, attribué au service technique national de captation judiciaire (STNCJ), service à compétence nationale rattaché au directeur technique de la DGSI et créé par l'arrêté du 9 mai 2018, aurait été assemblé à partir de logiciels et d'un exploit disponibles publiquement sur GitHub, et se serait appuyé sur une vulnérabilité Binder d'Android documentée dès 2019 par le Project Zero de Google comme exploitée par Pegasus — les terminaux saisis tournant encore sur une version d'Android de novembre 2018. Le 23 août 2026, quatre chercheurs (Martin R. Albrecht, Sunoo Park, Michael A. Specter, Douglas Stebila) ont publié un preprint, « A Real-World Law-Enforcement Hack: The Case of EncroChat », présenté comme le compte rendu public le plus détaillé à ce jour de cette compromission.

L'intérêt juridique de la révélation tient à ce qu'elle vient frotter contre une décision déjà rendue. Saisi par la chambre criminelle sur renvoi d'une QPC posée dans une affaire EncroChat (pourvoi n° 21-85.148), le Conseil constitutionnel a jugé, par la décision n° 2022-987 QPC du 8 avril 2022, conforme à la Constitution la seconde phrase du second alinéa de l'article 706-102-1 du code de procédure pénale, qui autorise le procureur ou le juge d'instruction à « prescrire le recours aux moyens de l'État soumis au secret de la défense nationale » pour réaliser une captation de données. Le Conseil admet expressément que ces dispositions « ont ainsi pour effet de soustraire au débat contradictoire les informations relatives à ces moyens » (§ 14), mais il y voit une conciliation équilibrée avec l'article 16 de la Déclaration de 1789 : le législateur a entendu doter les enquêteurs de moyens efficaces « sans pour autant fragiliser l'action des services de renseignement en divulguant les techniques qu'ils utilisent » (§ 15) ; la mesure suppose l'autorisation d'un juge pour des infractions d'une particulière gravité (§ 16) ; l'ordonnance motivée, les procès-verbaux et l'attestation certifiant la sincérité des résultats de l'article 230-3 CPP demeurent versés au dossier (§ 17) ; et la juridiction peut demander la déclassification dans les conditions des articles L. 2312-4 à L. 2312-8 du code de la défense (§ 18). Si l'outil ainsi protégé est un assemblage de code public exploitant une faille documentée, le prémisse factuel du § 15 mérite d'être rediscuté — devant le juge, et non par communiqué.

Le droit de l'Union a, depuis, ajouté une contrainte que le raisonnement constitutionnel ne contient pas. Dans **C-670/22, *M.N. (EncroChat)* (grande chambre, 30 avril 2024), la Cour de justice juge qu'une décision d'enquête européenne portant sur des preuves déjà détenues par l'État d'exécution peut être émise par un procureur et n'a pas à satisfaire les conditions de fond du recueil, mais qu'un contrôle juridictionnel du respect des droits fondamentaux doit rester ouvert ; qu'une mesure d'infiltration de terminaux visant une personne située sur le territoire d'un autre État membre doit lui être notifiée en temps utile au titre de l'article 31 de la directive 2014/41/UE, l'autorité notifiée pouvant indiquer que l'interception ne peut être poursuivie ; et que le juge pénal national doit écarter les éléments de preuve lorsque la personne poursuivie n'est pas en mesure de les commenter efficacement et qu'ils sont susceptibles d'influencer de manière prépondérante les constatations de fait. Le débat se déplace donc du contenu du dossier vers le poids de la preuve dans la décision — et, pour qui audite, vers la seule contradiction techniquement disponible quand la preuve est produite par du logiciel : reproductibilité, versions, empreintes, journaux d'exécution et chaîne de conservation. À ce stade, aucune juridiction n'a tiré de conséquence de ces révélations sur la validité des procédures françaises, et les personnes mises en examen dans ce dossier bénéficient de la présomption d'innocence**.

Brief — Le mouchard « secret défense » qui a fait tomber 6 558 personnes était un fork d'un exploit public trouvé sur GitHub : le Conseil constitutionnel avait jugé, en 2022, qu'il n'y avait pas à en discuter au dossier

Sources