# Brief — Le mouchard « secret défense » qui a fait tomber 6 558 personnes était un fork d'un exploit public trouvé sur GitHub : le Conseil constitutionnel avait jugé, en 2022, qu'il n'y avait pas à en discuter au dossier

**Thème : procédure pénale et cybersécurité — captation de données informatiques, secret de la défense nationale, contradictoire et admissibilité de la preuve numérique**

**Mots-clés :** #cyber #encrochat #dgsi #conseil-constitutionnel #cjue #secret-defense #preuve-penale

Le **20 août 2026**, une enquête de *Computer Weekly* signée **Bill Goodwin** et **Duncan Campbell**, relayée en France par **Next**, a révélé qu'à la demande de la justice britannique, une société tchèque de cybersécurité avait **reconstitué par rétro-ingénierie** le logiciel espion qui a permis, en 2020, la compromission du réseau de cryptophones **EncroChat** — opération créditée par Europol de **6 558 arrestations** et de près de **900 millions d'euros** saisis ou gelés. L'implant, attribué au **service technique national de captation judiciaire** (STNCJ), service à compétence nationale rattaché au directeur technique de la **DGSI** et créé par l'**arrêté du 9 mai 2018**, aurait été assemblé à partir de **logiciels et d'un exploit disponibles publiquement sur GitHub**, et se serait appuyé sur une vulnérabilité **Binder** d'Android documentée dès 2019 par le Project Zero de Google comme exploitée par **Pegasus** — les terminaux saisis tournant encore sur une version d'Android de novembre 2018. Le **23 août 2026**, quatre chercheurs (Martin R. Albrecht, Sunoo Park, Michael A. Specter, Douglas Stebila) ont publié un **preprint**, « A Real-World Law-Enforcement Hack: The Case of EncroChat », présenté comme le compte rendu public le plus détaillé à ce jour de cette compromission.

L'intérêt juridique de la révélation tient à ce qu'elle vient frotter contre une décision déjà rendue. Saisi par la chambre criminelle sur renvoi d'une QPC posée dans une affaire EncroChat (pourvoi n° **21-85.148**), le Conseil constitutionnel a jugé, par la **décision n° 2022-987 QPC du 8 avril 2022**, **conforme à la Constitution** la seconde phrase du second alinéa de l'**article 706-102-1 du code de procédure pénale**, qui autorise le procureur ou le juge d'instruction à « prescrire le recours aux **moyens de l'État soumis au secret de la défense nationale** » pour réaliser une captation de données. Le Conseil admet expressément que ces dispositions « ont ainsi pour effet de **soustraire au débat contradictoire** les informations relatives à ces moyens » (§ 14), mais il y voit une conciliation équilibrée avec l'article 16 de la Déclaration de 1789 : le législateur a entendu doter les enquêteurs de moyens efficaces « **sans pour autant fragiliser l'action des services de renseignement en divulguant les techniques qu'ils utilisent** » (§ 15) ; la mesure suppose l'autorisation d'un juge pour des infractions d'une particulière gravité (§ 16) ; l'ordonnance motivée, les procès-verbaux et l'**attestation certifiant la sincérité des résultats** de l'**article 230-3 CPP** demeurent versés au dossier (§ 17) ; et la juridiction peut demander la **déclassification** dans les conditions des articles L. 2312-4 à L. 2312-8 du code de la défense (§ 18). Si l'outil ainsi protégé est un assemblage de code public exploitant une faille documentée, le prémisse factuel du § 15 mérite d'être rediscuté — devant le juge, et non par communiqué.

Le droit de l'Union a, depuis, ajouté une contrainte que le raisonnement constitutionnel ne contient pas. Dans **C-670/22, *M.N. (EncroChat)*** (grande chambre, **30 avril 2024**), la Cour de justice juge qu'une décision d'enquête européenne portant sur des preuves **déjà détenues** par l'État d'exécution peut être émise par un procureur et n'a pas à satisfaire les conditions de fond du recueil, mais qu'un **contrôle juridictionnel** du respect des droits fondamentaux doit rester ouvert ; qu'une mesure d'**infiltration de terminaux** visant une personne située sur le territoire d'un autre État membre doit lui être **notifiée** en temps utile au titre de l'**article 31** de la directive 2014/41/UE, l'autorité notifiée pouvant indiquer que l'interception ne peut être poursuivie ; et que le juge pénal national doit **écarter** les éléments de preuve lorsque la personne poursuivie n'est pas en mesure de les commenter efficacement et qu'ils sont susceptibles d'influencer de manière **prépondérante** les constatations de fait. Le débat se déplace donc du contenu du dossier vers le poids de la preuve dans la décision — et, pour qui audite, vers la seule contradiction techniquement disponible quand la preuve est produite par du logiciel : reproductibilité, versions, empreintes, journaux d'exécution et chaîne de conservation. À ce stade, aucune juridiction n'a tiré de conséquence de ces révélations sur la validité des procédures françaises, et les personnes mises en examen dans ce dossier bénéficient de la **présomption d'innocence**.

## Sources

- [Conseil constitutionnel — Décision n° 2022-987 QPC du 8 avril 2022, M. Saïd Z. (recours aux moyens de l'État soumis au secret de la défense nationale pour la captation de données informatiques)](https://www.conseil-constitutionnel.fr/decision/2022/2022987QPC.htm)
- [QPC 360° — Texte intégral et abstracts de la décision n° 2022-987 QPC du 8 avril 2022](https://qpc360.conseil-constitutionnel.fr/2022-04-08/decision-2022-987-qpc-8-avril-2022)
- [Conseil constitutionnel — Commentaire officiel de la décision n° 2022-987 QPC (PDF)](https://oos.cloudgouv-eu-west-1.outscale.com/ccqpc-drupal-prd/dqpc/commentaire/commentaire_D%C3%A9cision-n%C2%B0-2022-987-QPC-du-8-avril-2022.pdf)
- [Légifrance — Publication au JORF de la décision n° 2022-987 QPC du 8 avril 2022](https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000045536911)
- [Cour de cassation, chambre criminelle, 11 octobre 2022, pourvoi n° 21-85.148 (suite du renvoi de la QPC, moyen tiré de l'article 230-3 CPP)](https://www.legifrance.gouv.fr/juri/id/JURITEXT000046437315)
- [CJUE, grande chambre, 30 avril 2024, C-670/22, *M.N. (EncroChat)* — fiche EUR-Lex](https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX%3A62022CJ0670)
- [CJUE — Communiqué de presse n° 77/24 du 30 avril 2024 sur l'arrêt C-670/22 (PDF)](https://curia.europa.eu/site/upload/docs/application/pdf/2024-04/cp240077en.pdf)
- [CURIA — Texte de l'arrêt C-670/22, *M.N. (EncroChat)*, version française](https://curia.europa.eu/juris/document/document.jsf?text=&docid=285365&pageIndex=0&doclang=fr&mode=req&dir=&occ=first&part=1)
- [Légifrance — Arrêté du 9 mai 2018 portant création du service à compétence nationale dénommé « service technique national de captation judiciaire »](https://www.legifrance.gouv.fr/jorf/article_jo/JORFARTI000036887911)
- [Légifrance — Code de procédure pénale, section 7 « De la captation des données informatiques »](https://www.legifrance.gouv.fr/codes/section_lc/LEGITEXT000006071154/LEGISCTA000019933238/)
- [Next — « Le logiciel espion "secret défense" de la DGSI était un fork d'un exploit disponible sur GitHub », 20 août 2026 (mise à jour du 23 août)](https://next.ink/252247/le-logiciel-espion-secret-defense-de-la-dgsi-etait-un-fork-dun-exploit-disponible-sur-github/)
- [Cryptology ePrint Archive — M. R. Albrecht, S. Park, M. A. Specter, D. Stebila, « A Real-World Law-Enforcement Hack: The Case of EncroChat », preprint 2026/1319](https://eprint.iacr.org/2026/1319)
- [Europol — « Dismantling encrypted criminal EncroChat communications leads to over 6 500 arrests and close to EUR 900 million seized »](https://www.europol.europa.eu/media-press/newsroom/news/dismantling-encrypted-criminal-encrochat-communications-leads-to-over-6-500-arrests-and-close-to-eur-900-million-seized)
- [Eurojust — « Dismantling of encrypted network sends shockwaves through organised crime groups across Europe »](https://www.eurojust.europa.eu/news/dismantling-encrypted-network-sends-shockwaves-through-organised-crime-groups-across-europe)