Starlink : pourquoi les enchères publicitaires font craindre un suivi des utilisateurs

Pour comprendre le risque, il faut distinguer deux opérations : acheter un emplacement pour montrer une annonce et recueillir des informations en participant aux enchères. Les participants peuvent, au fil du temps, accumuler les données exposées, les classer et les croiser avec d'autres informations. Ce recoupement peut permettre de retrouver une identité réelle ou de suivre une activité sur plusieurs sites. Le point sensible n'est donc pas seulement le contenu de la publicité : c'est aussi la circulation de données autour de sa mise en vente.1

Dans le cas de Starlink, l'alerte tient à la concentration de cette activité. Les chercheurs de Trend Micro, dont Trend AI est une unité, ont analysé des données publicitaires collectées par leurs systèmes de surveillance. Ils ont relevé un acteur occupant la première place parmi les enchérisseurs sur le trafic des utilisateurs du service dans plus de 100 pays, y compris là où son utilisation est interdite ou restreinte. Ils interprètent cette présence et les schémas d'achat observés comme des indices d'un possible suivi. Une forte activité d'enchères reste toutefois une observation distincte de la démonstration de son objectif.1

L'identification de l'entreprise constitue un autre volet de l'affaire. Trend AI n'avait pas nommé Discover Tech dans sa publication. Le même jour, Citizen Lab et Confiant ont désigné cette société israélienne de technologie publicitaire et l'ont accusée d'exploiter abusivement les enchères. Les deux organisations ont aussi signalé la présence de ses annonces dans des dizaines de réseaux sensibles appartenant à des médias, à des organismes publics et à des entreprises technologiques. Cette présence documente une exposition publicitaire, pas à elle seule une compromission de ces réseaux.1

Pour un abonné Starlink, la distinction décisive est donc celle entre exposition, identification et espionnage. La participation aux enchères peut ouvrir une voie de collecte ; le croisement de données peut ensuite permettre une identification ; certaines informations peuvent enfin faciliter un ciblage par logiciel espion. Ces étapes ne sont pas interchangeables. Le mécanisme décrit rend le soupçon compréhensible, mais ne permet pas de conclure qu'un utilisateur donné a été identifié ou infecté.1

Google et d'autres entreprises ont annoncé l'exclusion de Discover Tech de leurs plateformes publicitaires. Cette mesure porte sur l'accès aux plateformes ; elle ne répond pas, à elle seule, à la question du devenir d'éventuelles données déjà collectées. Discover Tech, son dirigeant et SpaceX n'avaient pas répondu aux demandes de commentaires adressées dans le cadre de l'enquête journalistique.1