SPY GIRL

une Française dans le cyberespace
En quelques années, Camille François, 32 ans, est devenue l’une des meilleures expertes françaises de la cyber-sécurité mondiale. Depuis les États-Unis, où elle officie au sein d’une start-up, elle développe de nouvelles stratégies pour permettre aux États de se protéger à l’heure de la cyber-guerre et des conflits hybrides. Une démarche très complexe pour une jeune femme très simple (en apparence).

Elle aimerait bien qu’on la prenne pour une fille toute simple. La girl next door des séries américaines, affichant un large et blanc sourire, une blondeur californienne et un appartement cosy à Brooklyn, la banlieue chic et cool de New York. Une fille toute simple, mais qui, avant de répondre à notre demande de portrait pour Bastille, a aussi mené sa petite enquête (via un avocat français bien introduit dans le monde de la tech) pour savoir si nous n’étions pas un espion au service de Moscou. Fallait-il y voir une déformation professionnelle ou un signe de défiance ? L’enquêteur enquêté, ce n’est pas si courant, mais peut-on vraiment s’en étonner de la part d’un cerveau qui connaît mieux les algorithmes de Google que le code de la route. Et pour cause : elle ne sait pas conduire.

Camille François ne se laisse pas facilement décoder, prenant un soin méticuleux à masquer son milieu d’origine lorsqu’on lui demande d’égrener son curriculum vitae. Oui, elle a toujours été « bonne élève » : bac mention très bien, Sciences Po Paris, université de Columbia à New York et aujourd’hui doctorante en géopolitique à Paris 8. Mais non, elle ne dira pas qu’elle a fréquenté l’École alsacienne – « un bon lycée du 6e arrondissement » –, que sa mère, ­Natalie Rastoin, fut présidente d’Ogilvy France – « elle travaille dans la publicité » – et que son père, Édouard François – « il est architecte, un peu artiste » –, est l'un des maîtres à penser de l'architecture verte. Bref, qu'elle est née sous les meilleurs auspices, ceux d'une vieille famille marseillaise ayant fait fortune dès le xixe siècle dans le commerce des huiles. Son grand-père, Gilbert Rastoin, fut un pilier de la droite marseillaise, tendance gaulliste sociale, maire de Cassis pendant vingt-quatre ans. Elle ne le dit pas, mais est-ce par humilité ou par orgueil ? Ou, tout simplement, parce qu’elle est en droit de penser que son propre parcours parle de lui-même ? À 32 ans, Camille François est l’une des meilleures expertes françaises en sécurité numérique, version réseaux sociaux et cyberespace, expatriée aux États-Unis depuis une petite dizaine d’années.

« Elle est à un niveau de connaissance qui est assez unique, s’enthousiasme Frédérick Douzet, directrice de l’Institut français de géopolitique qui a supervisé sa thèse, avec une expérience très large, puisqu’elle a travaillé à la fois pour les plateformes, pour l’État et dans des start-up. » C'est aussi une fille sympa, d’après son ancienne coloc’, dessinatrice : « Elle est drôle, très gaie... solaire ! » « Elle est géniale, renchérit Frédérick Douzet. Elle a une force de travail exceptionnelle, elle comprend très vite. C’est quelqu’un qui passe facilement d’un milieu à l’autre, avec beaucoup d’humilité et un vrai sens de l’intérêt général. » Difficile de ne pas être fan.

Sa seule confidence personnelle renvoie à l’ancien monde, quand son grand-père l’emmenait parfois au marché du dimanche pour lui apprendre à bichonner l’électeur. Une recette qu’elle n’oublie pas lorsqu’elle décide de plonger dans le bain de l’Assemblée nationale comme collaboratrice parlementaire alors qu’elle vient tout juste d’avoir son bac. Avec le culot de ses 18 ans, elle écrit à Arnaud Montebourg, qui l’embauche après entretien. « Quand on entre à Sciences Po, on veut tous être président de la République ; au bout de six mois à l’Assemblée, j’ai changé d’idée. J’ai aussi eu la chance, à l’Assemblée, de ne pas travailler avec les plus cyniques ou les plus sexistes. » Avec le député de Saône-et-Loire, elle rédige des notes sur le choc toxique des abeilles et le digital. Elle apprend aussi à faire campagne chez les éleveurs de poulets de Bresse, juste après avoir joué les petites mains pour Ségolène Royal dans la course à la présidentielle. Normal, car sa maman est l’une des conseillères en communication de la candidate socialiste, les deux femmes étant amies de longue date. « L’Assemblée a été un super laboratoire, qui m’a appris à réfléchir de façon plus tactique : comment faire arriver les sujets dans l’agenda, comment créer des alliances, comment bâtir un consensus autour d’un projet... des trucs qu’on n’apprend pas en salle de classe. »

« Avec le recul, j’ai eu beaucoup de chance, car je suis au bon endroit et au bon moment pour comprendre les enjeux de l’affaire Edward Snowden. »

Mais cela ne suffit pas à assouvir sa curiosité. Elle entame une série d’allers-retours entre Paris et New York : d’abord une année à Princeton, car l’université du New Jersey a monté le Center for Information Technology Policy (CITP), l’un des endroits où l’on réfléchit de près aux développements d’Internet. « Là-bas, explique-t-elle, je découvre une démarche sérieuse qui consiste à prendre les conséquences sociétales d’Internet et des nouvelles technologies comme une vraie discipline de recherche. Même si, pour être honnête, j’ai aussi fait beaucoup de théâtre... » L'éparpillement, l’un des défauts tranquillement revendiqués par l’intéressée, comme une boussole aléatoire qui lui ouvre des chemins de traverse inattendus. Mais toujours dans le contrôle : « C’est peut-être vrai dans le travail, mais pas spécialement dans la vie de tous les jours, pointe Anne Calandre, sa meilleure amie dessinatrice, elle est plutôt professeur Tournesol, à oublier ses clés dans le frigo. » De retour à Paris, elle travaille pour le service marketing de Google France, qui mesure l'efficacité de la publicité en ligne. « Là, je découvre la rigueur des statistiques dans l’analyse des données » et la réalité d'un système bien résumé par l'adage : « Si le service est gratuit, c’est que le produit, c’est vous. » Puis elle retourne à New York, d'abord à l'université de Columbia et, sur la recommandation du philosophe Bruno Latour, à Harvard, dans le temple universitaire du cyberespace, le Centre Berkman pour l’Internet et la société, dirigé par Yochaï Benkler. Le destin va alors pencher en sa faveur.

Elle ne l’a pas fait exprès, mais lorsqu’elle intègre le Centre Berkman comme fellow en 2013, la première crise mondiale révélant les coulisses d’Internet éclate avec fracas via l’affaire Edward Snowden. Cet ancien analyste de la CIA et de la National Security Agency (NSA) dévoile à la presse internationale l’immensité des moyens de l’espionnage américain pour surveiller 24h sur 24 l’activité des internautes et la coopération des GAFAM, qui livrent en temps réel aux espions américains leurs précieuses données. Or, dans le groupe des fellows de Berkman se trouve l’activiste Bruce Schneier, qui revient tout juste du Brésil, où il a pu examiner à loisir le matériel livré par l’ex-agent Snowden au journaliste Glenn Greenwald. « Avec le recul, j’ai eu beaucoup de chance, analyse-t-elle, car je suis au bon endroit et au bon moment pour comprendre les enjeux de cette crise. » Si les révélations de l'espion Snowden font froid dans le dos – le programme PRISM est capable de cibler les communications de n’importe quel individu partout dans le monde –, elles donnent surtout une vision plus réaliste et cynique de la politique de Washington. En signant dès 2012 des directives top-secrètes qui autorisent les services de renseignement américains à conduire des opérations numériques offensives, le président Barack Obama entérine la possibilité de mener une cyberguerre contre les ennemis de l’Amérique. Pire : les agents de la NSA peuvent librement puiser leurs infos dans l’océan de données de tous les géants de la Silicon Valley. Google, Facebook, YouTube, Microsoft, Apple... tous coopèrent, mais sans le dire. « Pendant l’affaire Snowden, le débat se concentre sur les agences de renseignement américain, comme la NSA, et peu sur ce que font les institutions militaires sur ces sujets (comme UScybercom). Je débute mes travaux sur la cyber-paix : comment définir la cyber-paix, et non seulement la cyber-guerre, pour encadrer la conduite des États démocratiques dans le cyberespace en temps de paix ? Où sont les lignes rouges ? Et comment assurer les droits humains alors que le cyberespace se transforme progressivement en zone de conflit stratégique et militaire entre États ? Ce sont des questions un peu exotiques à l’époque. »

« Pourquoi la vision cyber-libertarienne des conflits dans le cyberespace est tant éloignée de la conception cyber-militaire ? »

L’année suivante, en 2014, nouveau coup de pouce du destin. La Frenchie remporte le Cyber 9/12, un concours international de cyber-sécurité, avec un autre étudiant de Columbia, Shawn Lonergan. Ce jeune officier « innovation » a été formé à l'Académie militaire de West Point, l'école des futurs généraux de l'armée de terre. Il fait partie des pionniers envoyés par le Pentagone pour défricher ce nouveau champ de bataille de l'information numérique. La récompense ouvre à Camille François les portes de la communauté militaire américaine. « À partir de là, précise-t-elle, je commence à comprendre ce qui se passe, en développant une obsession qui m'habite toujours : pourquoi la vision cyber libertarienne (ou “new age”) des conflits dans le cyberespace est tant éloignée de la conception cyber-militaire de ces sujets ? Et quelles sont les conséquences de ce manque de dialogue et de cadre intellectuel communs pour la protection des droits humains dans le cyberespace ? » En bonne activiste soucieuse de l’intérêt général, cette « obsession » se transforme en volonté acharnée de comprendre la mécanique des opérations d'influence qui se multiplient dans le cyberespace, au fur et à mesure que grandit la place et l’influence des réseaux sociaux dans le débat public. Avec la conviction que le civil et le militaire doivent impérativement coopérer pour résoudre les crises à venir, au lieu d’en rester à une opposition idéologique frontale. L’actualité va lui offrir l’occasion de mettre ses intuitions à l’épreuve des faits.

Parmi les influenceurs de la campagne présidentielle de 2016, qui se solda par l’improbable victoire de Donald Trump, Camille François a toujours eu un faible pour Jenna Abrams, son double inversé. Jenna est brune, environ 35 ans, une icône du web avec son compte Twitter qui rassemble jusqu’à 70 000 abonnés autour de cette devise : « Calmez-vous, je ne suis pas pro-Trump. Je suis pro-bon sens. » Actif à partir de 2014, ce compte est au début très girl next door, esprit bon enfant, mode et divertissement. Jenna adore faire des blagues bien senties sur Kim Kardashian. De mois en mois, ce personnage devient l’une des voix préférées de l’alt-right, l’extrême-droite américaine, faisant basculer le camp républicain dans l’escarcelle du candidat milliardaire à coups de formules choc du genre : « La domination masculine n’est pas un sujet, arrêtez d’en faire un argument politique ». Ou encore : « À ces gens qui détestent le drapeau confédéré, saviez-vous que le drapeau et la guerre n’étaient pas une question d’esclavage, c’était une question d’argent. » Flirtant avec le racisme, parfois complotistes, les posts de la blogueuse sont souvent repris par les médias traditionnels. Le New York Times, CNN, la BBC ou encore le Washington Post citent Jenna au même titre que les éditorialistes et les experts qui ponctuent le buzz quotidien de toute campagne électorale. Sauf que... Jenna Abrams n’existe pas. En réalité, la twittos est une pure invention de l’Internet Research Agency (IRA), une ferme à trolls installée par les services de renseignement russes à Saint-Pétersbourg.

Camille François a toujours eu un faible pour Jenna Abrams, son double inversé. Sauf que… Jenna Abrams n’existe pas.

C’est l’équipe mandatée par la commission sur le renseignement du Sénat américain qui révèle l’imposture de la fictive Jenna Abrams, un an après le scrutin, à l’automne 2017. Tout comme les dizaines de faux comptes animés par l’IRA sur les réseaux sociaux pour importer le chaos dans la campagne électorale, cliver l’opinion autour de certains thèmes bien choisis et imposer finalement le candidat Trump face à sa rivale démocrate Hillary Clinton. Camille François fait partie de cette équipe d'experts qui, pour la première fois dans l’histoire des réseaux sociaux, peut accéder aux fameuses données collectées par les plateformes. « En 2017, quand j’ai travaillé avec le Sénat américain, ils ont exigé des plateformes qu’elles fournissent les données sur cette campagne d’ingérence des Russes. Facebook nous les a fournies, puis elles ont été mises à disposition du public. Sans cela, le travail n’aurait pas été intelligent. » Sans les datas de Facebook, impossible de retracer l'historique des comptes et les phénomènes de coordination entre ces comptes. « Pourquoi n’a-t-on rien vu venir ? Une des raisons est qu’aux États-Unis et en Europe, la cyber-sécurité ne prenait pas en compte le contenu des messages. La menace sur les réseaux sociaux était uniquement perçue à travers la sécurité technique : que les réseaux ou les e-mails ne soient pas hackés, c’est une vision techno-centrée du problème. Les Russes, eux, intègrent le contenu dans leurs opérations. Il y a donc eu un mauvais calcul de la part des gens de la cyber-sécurité, y compris ceux travaillant pour les plateformes, alors que c’était assez clair finalement dans la doctrine russe. »

À partir de cette expérience fondatrice, Camille François met au point une méthode d'analyse baptisée ABC pour Author, Behaviour, Content (auteur, comportement et contenu). Son originalité est d’inclure le contenu des messages véhiculés dans les opérations de désinformation. « Parfois, sur Internet, une information est vraie, elle est publiée sur un seul compte, par une seule personne. Mais c’est de la désinformation, car l’auteur est un troll russe, iranien ou chinois et on a donc un problème d’acteurs qui sont là pour manipuler l’écosystème. » Cet aspect est en général facile à retracer par des moyens techniques classiques. « La distortive behaviour (comportement déformant), continue-t-elle, est l’ensemble des techniques utilisées par ces acteurs pour qu’une campagne ait plus de viralité que la réalité. Cela a l’air d’être un mouvement avec plein de gens, alors qu’en fait c’est une usine à trolls ou juste trois personnes avec un clavier. » Pour saisir ce type de comportement, il est nécessaire de repérer les interactions entre les différents acteurs. Par exemple, le jeu préféré des trolls russes de l'IRA est de faire semblant de s'écharper dans les fils de commentaires pour semer la zizanie sur un groupe Facebook ou sur un blog très fréquenté. « Enfin, ajoute Camille François, le contenu est ce qui a le plus évolué en 2020. Mais il est rare que les plateformes disent “ceci est faux” et prennent des mesures de rétorsion. » La pandémie de Covid-19 a largement accentué cette dernière dimension, notamment dans des pays comme le Brésil où le discours officiel des autorités est devenu le premier relais d'une sorte de complotisme d'État. « Il y a des campagnes où l’on trouve tout, conclut l’experte, un acteur manipulateur qui utilise des techniques pour faussement amplifier son message, avec du faux contenu. » Dans ce registre, les populistes de tout poil ont quelques longueurs d'avance.

Que faire ? Sans complexe, les Américains choisissent l’attaque en répliquant par une « politique d’attribution », le name and shame (nommer et faire honte) comme outil de dissuasion. « En 2017, quand ils comprennent l’ampleur de la campagne russe, il y a un vrai effort de transparence et de communication publique sur le sujet. En France, on a fait le contraire. Avec les MacronLeaks (NDLR : une fuite de 20 000 mails de l’équipe de campagne, orchestrée par des officines russes à deux jours du second tour de l’élection présidentielle de 2017), l’État aurait dû exiger des plateformes les données et les comptes suspendus pour qu’ils puissent être analysés. Cela n’a pas été fait, je ne sais pas pourquoi. » Silence et discrétion. Comme si l'état-major français refusait d'engager cette version moderne de la guerre de l’information. Ou alors, comme si Paris avait décidé de régler l’affaire avec Moscou par la discrète voie diplomatique des services de renseignement.

Quelques indices laissent penser que cette seconde option a été préférée au déballage public, parce que la Défense ne pouvait pas reconnaître des pratiques clandestines de désinformation, en contradiction flagrante avec son discours officiel. « C’est un véritable enjeu pour la démocratie, d’autant plus que les États s’en servent de plus en plus, commente Frédérick Douzet. En France, il y a eu un véritable tournant vers 2014 avec les effets de la propagande de Daech, où l’on a compris que la menace informationnelle pouvait avoir de vrais effets. Aux États-Unis, l’élection de 2016 a mis en évidence la menace externe sur la vie démocratique et celle de 2020 la menace interne avec la contestation de l’intégrité du processus électoral. Aujourd’hui, il est indispensable de surveiller pour détecter. » Mais cette analyse écarte l’autre enjeu des opérations de désinformation, celui de la diffusion de l’information et de ses relais. C’est là le point fort de la vision de Camille François, qui parie sur la « capacité de résilience » de la société civile. En clair, une opération de désinformation a besoin de la validation des relais médiatiques que sont les journalistes spécialisés et les experts d’un sujet. Sans cela, point de crédibilité. Sans crédibilité, pas d’engagement de l’opinion. Sans engagement, pas d’effet médiatique. « Par exemple, dit-elle, il faut être capable de débriefer les journalistes et les activités ayant été ciblés par ces opérations, dans le but de servir de relais. Idem pour les chercheurs qu’il faut abreuver de données. En France, le milieu académique a été privé des moyens nécessaires à la compréhension détaillée de ces opérations. Il faut donc équiper la société civile, la nourrir, pour parvenir à un travail de résilience en 2022, si la situation se représente. Il faut traiter le sujet avec calme, expertise et sans hystérie collective. L’hystérie, la surréaction sur ces sujets, c’est le piège à éviter : c’est la défaite assurée... »

Les Français sont aussi accusés par l’empire de Mark Zuckerberg d’utiliser de faux comptes.

Si les Français sont longtemps restés muets sur le sujet, l’approche de l’élection présidentielle a soudainement réveillé les esprits. Coup sur coup, le gouvernement a créé en juillet 2021 une agence, Viginum, dont l’ambition est d’être la sentinelle digitale des opérations de désinformation, puis la ministre des Armées, Florence Parly, a annoncé en octobre un « changement de doctrine ». En réalité, les deux faces d'une même médaille. Côté pile, la « nouvelle doctrine de lutte informatique d’influence (L2I) » qui autorise à diffuser des contenus pour « induire en erreur » l'adversaire. Mais attention, uniquement dans les opérations extérieures, où les forces pourront être amenées à « dénoncer, contenir, affaiblir ou discréditer, y compris par la ruse, une attaque informationnelle ». Ces nouveaux soldats numériques, dirigés par le Comcyber (commandement de la cyberdéfense), pourront aussi « dénoncer les incohérences ou mensonges de l’adversaire » et « convaincre les acteurs d’une crise d’agir dans le sens souhaité ». Côté face, le Service de vigilance et de protection contre les ingérences numériques étrangères (Viginum), prend en charge les éventuelles « ingérences étrangères » susceptibles de se manifester au cours du processus électoral. Il est désormais admis que les attaques numériques ne resteront pas impunies. Sur la table, un budget de 12 millions d’euros et soixante agents dont des experts en réseaux sociaux et sciences sociales spécialement recrutés. Sans le dire, les armées officialisent le grand retour des opérations psychologiques, en version digitale.

L’épisode qui a achevé de convaincre l’état-major des armées d’agir est ce rapport de décembre 2020, dénonçant une vaste opération d’influence menée par les Russes en Afrique contre les intérêts français, notamment au Mali et en Centrafrique. Des dizaines de faux comptes sont suspendus par Facebook pour « comportement coordonné fallacieux ». Côté russe, Facebook a pu identifier les trolls de l'Internet Research Agency, activés par l'oligarque Evgueni Prigojine, également à la tête de Wagner, la société de mercenaires présente sur tout le continent. Pour la première fois, Paris « attribue » donc officiellement cette manœuvre à Moscou. En retour, les Français sont aussi accusés par l'empire de Mark Zuckerberg d’utiliser de faux comptes. Faute de preuves, le rapport ne va pas jusqu’à mettre en cause directement l’institution militaire, mais il pointe l’implication de « personnalités ayant des liens avec les militaires français ». « Même si nous avons déjà vu des opérations d’influence viser les mêmes régions dans le passé, commente diplomatiquement Facebook dans un communiqué, c’est la première fois que notre équipe trouve deux campagnes – de France et de Russie – engagées activement l’une contre l’autre, y compris en se liant au camp opposé, en le commentant et en l’accusant d’être un faux. » Or l'analyse de ce conflit mené sur les médias sociaux (Facebook, YouTube, Instagram, Twitter) a été réalisée par l'université de Stanford et... Graphika, la start-up où officie Camille François. Dont le commentaire claque comme un uppercut : « Utiliser de bonnes fake news pour révéler les mauvaises fake news est une stratégie risquée qui peut se retourner contre vous lorsque l’opération clandestine est détectée. » À Paris, on goûte assez peu la leçon donnée depuis New York.

Un an plus tard, tout est oublié. Mercredi 10 novembre 2021, vers 20h15, la jeune femme est l’une des rares Françaises à s’asseoir autour de la table présidentielle dressée à l’Élysée, au milieu des ministres les plus techno-branchés du gouvernement, Cédric O et Frédérique Vidal. En marge du Forum de Paris pour la Paix, Emmanuel Macron a voulu réunir une vingtaine d’experts internationaux du numérique pour un Global Tech Thinkers Dinner. Opération séduction pour un Macron en pré-campagne, histoire de s’inspirer des bonnes idées en vogue chez les geeks. En quelques minutes, Camille François résume ses convictions autour de la « cyber-paix » pour régler les crises à venir. A-t-elle posé un pied en Macronie ce soir-là ? Serait-elle la prochaine Madame Numérique du gouvernement ? « Je pense qu’elle est très capable de faire de la politique, note sa meilleure amie, je ne suis pas sûre qu’elle en ait très envie. Elle est ambitieuse, mais elle a soif de connaissance plus que de pouvoir. » L'intéressée s'en sort par une pirouette : « Je le ferais si je suis capable d’apporter une contribution substantielle. » Simple, non ?...