# EncroChat, le secret défense et le droit de discuter la preuve : ce que révèle la rétro-ingénierie d'un mouchard d'État

## De quoi parle-t-on

En juillet 2020, Europol et Eurojust annonçaient une opération qui allait devenir une référence dans l'histoire judiciaire européenne : la compromission d'EncroChat, un service de téléphonie chiffrée vendu autour de mille euros l'appareil, plus quinze cents euros d'abonnement semestriel, et utilisé par une soixantaine de milliers de clients. Le bilan communiqué par Europol trois ans plus tard donne la mesure de l'affaire : plus de six mille cinq cents arrestations dans le monde, dont près de deux cents cibles considérées comme de haute valeur, près de neuf cents millions d'euros saisis ou gelés, des centaines de tonnes de stupéfiants, des armes, des véhicules, des biens immobiliers. Les autorités françaises, qui ont conduit la partie technique de l'opération depuis une cellule d'enquête dédiée, n'ont jamais détaillé leur méthode. Elles ont reconnu avoir eu recours à trois dispositifs techniques, dont deux couverts par le secret de la défense nationale.

Ce silence n'est pas une posture : c'est un régime juridique. Et c'est ce régime qui vient d'être remis sous les projecteurs, le 20 août 2026, par une enquête de la publication britannique *Computer Weekly*, signée Bill Goodwin et Duncan Campbell, relayée en France par le site Next. À la demande de la justice britannique — où de nombreux dossiers reposent sur les messages EncroChat —, une société tchèque de cybersécurité a entrepris de reconstituer par rétro-ingénierie le logiciel espion utilisé en 2020. Le résultat, tel que rapporté, est saisissant par sa banalité : l'implant, attribué au service technique national de captation judiciaire, un service à compétence nationale rattaché au directeur technique de la direction générale de la sécurité intérieure et créé par un arrêté du 9 mai 2018, aurait été assemblé à partir de logiciels et d'un exploit disponibles publiquement sur GitHub, et se serait appuyé sur une vulnérabilité du composant Binder d'Android, documentée dès 2019 par l'équipe Project Zero de Google, qui l'avait identifiée comme exploitée par le logiciel espion Pegasus de la société NSO. Les téléphones EncroChat saisis en 2020 tournaient encore sur une version d'Android datant de novembre 2018 : la faille n'y avait jamais été corrigée. Trois jours plus tard, le 23 août 2026, quatre chercheurs en cryptographie et en sécurité — Martin R. Albrecht, Sunoo Park, Michael A. Specter et Douglas Stebila — ont mis en ligne un preprint intitulé « A Real-World Law-Enforcement Hack: The Case of EncroChat », présenté comme le compte rendu public le plus détaillé à ce jour de l'infrastructure du service et de la manière dont elle a été compromise.

## Le cadre juridique français : une capacité protégée par le secret

Le droit français autorise une technique spéciale d'enquête appelée captation de données informatiques. Elle figure aujourd'hui à l'article 706-102-1 du code de procédure pénale, dans sa rédaction issue de la loi du 23 mars 2019 de programmation et de réforme pour la justice. Le principe est simple à énoncer : mettre en place, sans le consentement des intéressés, un dispositif technique permettant d'accéder à des données informatiques et de les enregistrer, telles qu'elles sont stockées dans un système, telles qu'elles s'affichent à l'écran, telles que l'utilisateur les saisit au clavier, ou telles qu'elles sont émises et reçues par des périphériques. Autrement dit : contourner le chiffrement non pas en cassant les mathématiques, mais en s'installant sur le poste avant ou après le chiffrement.

Le second alinéa de cet article contient la disposition qui nous intéresse. Le procureur de la République ou le juge d'instruction peut désigner un expert inscrit sur les listes judiciaires pour réaliser les opérations techniques. Mais il peut aussi, seconde phrase, « prescrire le recours aux moyens de l'État soumis au secret de la défense nationale ». Le même mécanisme existe pour la mise au clair des données chiffrées, aux articles 230-1 à 230-5 du même code : réquisition adressée à un organisme technique désigné par décret, retour des résultats accompagnés des indications techniques utiles « sous réserve des obligations découlant du secret de la défense nationale », et surtout — article 230-3 — d'une attestation visée par le responsable de l'organisme technique « certifiant la sincérité des résultats transmis ». L'article 230-4 ajoute que les décisions prises dans ce cadre n'ont pas de caractère juridictionnel et ne sont susceptibles d'aucun recours.

Le dispositif repose donc sur une substitution : à défaut de pouvoir examiner l'outil qui a produit la preuve, la défense reçoit un document qui en garantit le résultat. C'est exactement ce point qu'un mis en cause dans une affaire EncroChat a contesté par une question prioritaire de constitutionnalité, renvoyée par la chambre criminelle de la Cour de cassation le 1er février 2022 dans le pourvoi numéro 21-85.148, avec l'intervention de l'association des avocats pénalistes, de la Ligue des droits de l'homme et de La Quadrature du Net.

## La décision du 8 avril 2022 : une conciliation jugée équilibrée

Par la décision numéro 2022-987 QPC du 8 avril 2022, le Conseil constitutionnel a déclaré la disposition conforme à la Constitution. Sa motivation mérite d'être lue de près, parce qu'elle est explicite sur ce qu'elle admet.

Le Conseil reconnaît d'abord, au paragraphe 14, que ces dispositions « ont ainsi pour effet de soustraire au débat contradictoire les informations relatives à ces moyens ». Il ne minimise pas l'atteinte : il l'énonce. Il rappelle ensuite, au titre de l'article 16 de la Déclaration des droits de l'homme et du citoyen de 1789, qu'il appartient au législateur de concilier les droits de la défense et le principe du contradictoire avec, d'une part, l'objectif de valeur constitutionnelle de recherche des auteurs d'infractions, et d'autre part les exigences constitutionnelles inhérentes à la sauvegarde des intérêts fondamentaux de la Nation, dont participe le secret de la défense nationale.

Suit un raisonnement en quatre temps. Premier temps, paragraphe 15 : le législateur a voulu permettre aux enquêteurs de disposer de moyens efficaces « sans pour autant fragiliser l'action des services de renseignement en divulguant les techniques qu'ils utilisent ». Deuxième temps, paragraphe 16 : le recours à ces moyens n'est possible que pour la mise en œuvre d'une technique spéciale d'investigation, autorisée par le juge des libertés et de la détention ou par le juge d'instruction, justifiée par des infractions d'une particulière gravité et complexité, mise en œuvre sous le contrôle du magistrat qui peut l'interrompre à tout moment, les données captées étant placées sous scellés. Troisième temps, paragraphe 17 : demeurent obligatoirement versés au dossier l'ordonnance écrite et motivée du juge — qui mentionne à peine de nullité l'infraction, la description des systèmes visés et la durée autorisée —, le procès-verbal de mise en place, le procès-verbal décrivant les données jugées utiles, et l'attestation de sincérité. Quatrième temps, paragraphe 18 : la juridiction peut demander la déclassification des informations couvertes par le secret, selon la procédure des articles L. 2312-4 à L. 2312-8 du code de la défense. Conclusion, paragraphe 19 : conciliation équilibrée.

C'est le premier temps que la révélation d'août 2026 vient interroger. L'équilibre validé en 2022 repose sur un postulat de fait : divulguer l'outil fragiliserait durablement les services parce qu'il constitue une capacité rare, coûteuse, difficile à reconstituer. Si l'implant était un assemblage de code ouvert exploitant une vulnérabilité publiquement documentée contre des terminaux non mis à jour depuis deux ans, le secret ne protégeait pas une capacité rare : il protégeait une méthode ordinaire appliquée à une cible mal maintenue. Cela ne rend pas la décision de 2022 caduque — une décision du Conseil constitutionnel s'impose aux pouvoirs publics et à toutes les autorités —, mais cela nourrit un argument nouveau, à faire valoir devant le juge du fond ou dans une nouvelle procédure, sur la proportionnalité concrète de l'atteinte.

## Ce que le droit de l'Union a ajouté depuis

Deux ans après la décision française, la Cour de justice de l'Union européenne a rendu, en grande chambre, l'arrêt du 30 avril 2024 dans l'affaire C-670/22, *M.N. (EncroChat)*, sur renvoi préjudiciel du tribunal régional de Berlin. L'affaire portait sur les décisions d'enquête européennes par lesquelles le parquet allemand avait obtenu des autorités françaises les données interceptées concernant des utilisateurs allemands.

La Cour retient trois choses. D'abord, une décision d'enquête européenne portant sur la transmission de preuves déjà détenues par l'État d'exécution n'a pas nécessairement à être émise par un juge : elle peut l'être par un procureur, s'il est compétent pour ordonner une telle transmission dans une affaire purement interne. Elle est soumise aux mêmes conditions de fond que la transmission de preuves similaires dans une situation interne, mais pas aux conditions de fond applicables au recueil de ces preuves ; il faut cependant qu'une juridiction saisie d'un recours puisse contrôler le respect des droits fondamentaux des personnes concernées. Ensuite, une mesure d'infiltration de terminaux visant à recueillir des données de trafic, de localisation et de communication doit être notifiée à l'État membre sur le territoire duquel se trouve la personne visée ; l'autorité compétente de cet État peut alors indiquer que l'interception ne peut être réalisée ou doit prendre fin si elle ne serait pas autorisée dans une affaire interne comparable — et la Cour prend soin de préciser que cette obligation protège non seulement la souveraineté de l'État notifié mais aussi les droits des personnes.

Enfin, et c'est le point qui prolonge directement le débat français : le juge pénal national est tenu d'écarter des éléments de preuve lorsque la personne poursuivie n'est pas en mesure de commenter efficacement ces éléments et qu'ils sont susceptibles d'influencer de manière prépondérante les constatations de fait. Le raisonnement n'est pas le même que celui du Conseil constitutionnel. Le juge constitutionnel français vérifie ce qui reste au dossier ; le juge de l'Union vérifie l'effet de la preuve sur la décision. Une procédure peut être formellement complète — ordonnance, procès-verbaux, attestation — et pourtant placer l'accusé dans l'impossibilité de discuter utilement l'élément qui détermine sa condamnation.

## Ce qu'un praticien de la sécurité doit en retenir

La chaîne d'attaque décrite est instructive précisément parce qu'elle n'a rien d'exotique. Un canal de mise à jour interrogé automatiquement par chaque terminal, sans que l'utilisateur en soit informé ni puisse s'y opposer ; une base logicielle figée deux ans en arrière ; une vulnérabilité publiquement documentée et non corrigée ; un implant dérivé de projets ouverts. C'est une attaque de la chaîne d'approvisionnement logicielle conduite par un canal parfaitement légitime — le même schéma que celui qui frappe régulièrement les écosystèmes de paquets. La contre-mesure élémentaire, la vérification cryptographique de la signature des mises à jour, aurait au minimum élevé le coût de l'opération.

Sur le versant juridique, la leçon est ailleurs. Quand une preuve pénale est produite par du logiciel, la contradiction ne peut plus se limiter à la discussion d'un procès-verbal. Elle suppose des artefacts : versions exactes des outils, empreintes des binaires, journaux d'exécution horodatés, chaîne de conservation vérifiable, capacité à rejouer une extraction. Un dossier qui n'en contient pas ne peut être discuté que par la parole — et une attestation de sincérité, quelle que soit la qualité de son signataire, est une assertion, non un artefact vérifiable. C'est là que se situe, pour les années à venir, la vraie ligne de fracture entre la preuve numérique et le procès équitable.

Il faut enfin rappeler ce que cette analyse ne dit pas. Aucune juridiction n'a, à ce jour, tiré de conséquence de ces révélations sur la validité des procédures françaises. Les personnes mises en examen dans le dossier EncroChat, y compris le fondateur présumé du service extradé en France en février 2024, bénéficient de la présomption d'innocence. Et le débat sur le secret défense n'oppose pas des partisans de l'impunité à des partisans de l'efficacité : il porte sur la question, très ancienne, de savoir ce qu'un accusé doit pouvoir vérifier lui-même pour que le procès mérite son nom.

## Angles de lecture pour NotebookLM (à coller dans « Personnaliser » de l'Audio Overview)

Choisissez l'angle qui correspond à votre besoin du jour et collez le paragraphe correspondant dans le champ de personnalisation de l'Audio Overview.

**Angle 1 — Audit offensif : la chaîne de mise à jour comme surface d'attaque.** Concentre-toi sur le vecteur technique décrit dans le document — un canal de mise à jour interrogé automatiquement, une base Android figée en novembre 2018, une vulnérabilité Binder publiquement documentée depuis 2019, un implant dérivé de code ouvert. Déroule les points de contrôle qu'un auditeur devrait systématiquement inspecter sur une flotte de terminaux durcis : vérification de signature des paquets, épinglage de certificat, contrôle utilisateur sur le déclenchement des mises à jour, séparation entre canal de distribution et infrastructure de gestion. Explique pourquoi une architecture « sécurisée » peut échouer sur le maillon le plus banal.

**Angle 2 — La preuve produite par du logiciel : quels artefacts rendent la contradiction possible.** Prends comme fil directeur l'attestation de sincérité de l'article 230-3 du code de procédure pénale et demande-toi ce qui, techniquement, permettrait de la contrôler. Détaille les artefacts qu'une chaîne d'expertise numérique devrait produire pour être discutable — versions et empreintes des outils, journaux d'exécution horodatés, chaîne de conservation, capacité à rejouer une extraction sur un échantillon — et oppose cette exigence de reproductibilité au régime français, où une assertion signée tient lieu de garantie et n'est susceptible d'aucun recours.

**Angle 3 — Deux juges, deux méthodes : Conseil constitutionnel 2022 contre Cour de justice 2024.** Compare pas à pas le raisonnement de la décision n° 2022-987 QPC du 8 avril 2022, qui vérifie ce qui demeure versé au dossier, et celui de l'arrêt C-670/22 *M.N. (EncroChat)* du 30 avril 2024, qui vérifie si la personne poursuivie a pu commenter efficacement une preuve susceptible d'influencer de manière prépondérante les constatations de fait. Explique pourquoi une procédure peut satisfaire le premier test et échouer au second, et ce que cela implique concrètement pour une stratégie de défense dans un dossier reposant sur une captation de données.

**Angle 4 — Veille réglementaire et jurisprudentielle automatisée sur la preuve numérique.** Décris comment un consultant en automatisation pourrait construire une veille continue sur ce contentieux : suivi des décisions de la chambre criminelle via l'API Judilibre sur les articles 230-1 à 230-5 et 706-102-1 du code de procédure pénale, alertes CURIA et EUR-Lex sur la directive 2014/41/UE et les articles 47 et 48 de la Charte, surveillance des décisions QPC touchant aux techniques spéciales d'enquête, et mise en correspondance automatique avec les autres régimes déjà documentés dans le dépôt `archive/` — notamment les modules consacrés au maintien frauduleux dans un système de traitement automatisé de données et aux pouvoirs de sanction des autorités administratives.

**Angle 5 — Prospective : secret d'État, outils offensifs commerciaux et redevabilité.** Projette la question au-delà d'EncroChat. Si les capacités techniques des services reposent de plus en plus sur du code public, des vulnérabilités documentées et des outils commerciaux acquis auprès de fournisseurs privés, discute de ce que devient la justification du secret fondée sur la préservation de la capacité opérationnelle. Explore les pistes de redevabilité envisageables — expertise contradictoire sous habilitation, avocat spécialement habilité, audit indépendant par un tiers de confiance, déclassification partielle ciblée sur la chaîne de production de la preuve — et confronte chacune à l'exigence, réelle, de ne pas brûler des méthodes encore utiles.