Le Citizen Lab a publié en avril 2026 un rapport qui relie pour la première fois du trafic de surveillance réel à des infrastructures d’opérateurs identifiées. Le principe est connu depuis dix ans, mais le constat reste dérangeant : des sociétés commerciales localisent n’importe quel mobile dans le monde sans jamais toucher à l’appareil. Ton iPhone n’y est pour rien, et c’est précisément le problème.

Le fait

Le rapport s’appelle « Bad Connection ». Il documente des acteurs qui traquent des téléphones à travers une vingtaine de pays, plus de 1700 attaques pour l’un d’eux, dont la quasi-totalité dédiée à la géolocalisation. La cible décrite est un « VVIP » au Moyen-Orient, mais le profil habituel de ce marché est connu : journalistes, opposants, responsables politiques.

La mécanique exploite les protocoles qui font dialoguer les opérateurs entre eux quand tu pars à l’étranger ou que tu changes d’antenne. Ils ont été conçus à une époque où une poignée d’opérateurs nationaux se faisaient mutuellement confiance. Aujourd’hui ils sont des milliers, et cette confiance implicite est devenue une porte d’entrée. Trois vecteurs cohabitent : SS7 sur la 2G et la 3G, Diameter sur la 4G, et une variante baptisée SIMjacker qui passe par un SMS silencieux exécuté sur ta carte SIM. Le Citizen Lab est catégorique : ce ne sont pas des bugs logiciels, mais des défauts inhérents à la conception même des télécoms mondiales.

Une précision qui change tout : en général, ce n’est pas ton opérateur qui vend ta position. Il faut distinguer deux marchés. Le premier existe bel et bien : aux États-Unis, les grands opérateurs ont revendu la localisation de leurs abonnés à des courtiers de données, ce qui a valu près de 200 millions de dollars d’amendes de la FCC en 2024.

Le second, le cœur de ce radar, est différent : des sociétés de surveillance comme Rayzone, Circles ou Cognyte exploitent les failles d’interconnexion en louant des points d’accès légitimes au réseau mondial, le « Global Title leasing », souvent via un petit opérateur complice. Elles interrogent à distance le réseau de ta cible, sans son consentement ni celui de son opérateur.

Pourquoi ça compte pour toi

Voilà l’angle qui dérange. Tu peux chiffrer tes messages, durcir ton Mac, fermer chaque réglage de macOS un par un, ta position physique continue de transiter par une infrastructure que tu ne maîtrises pas et sur laquelle Apple n’a aucune prise. Rien à patcher de ce côté, parce que ce n’est pas un trou dans iOS. C’est l’architecture du réseau lui-même.

Du coup, la plupart des gestes barrière auxquels tu penses ne servent à rien contre ce vecteur précis, et il vaut mieux le savoir que se rassurer à bon compte. Le mode Isolement durcit ton iPhone, il ne touche pas une requête SS7 qui se passe dans le réseau. L’eSIM change le format de la carte, pas le protocole : tant qu’il y a un numéro joignable, l’exposition est identique.

Signal protège le contenu de tes messages, pas les métadonnées de signalisation qui révèlent où tu es. Couper la data ou le GPS ne change rien non plus, la traque utilise l’identifiant de cellule, pas ta puce. La seule parade individuelle réellement efficace, c’est le mode avion ou le téléphone éteint, autant dire inapplicable au quotidien.

Deux nuances pour ne pas te vendre de faux remparts. La 2FA par application a une vraie utilité, mais contre un autre risque : l’interception de tes codes par SMS, pas la géolocalisation. Un numéro ou une eSIM dédiés réduisent le lien entre ta position et ton identité réelle, sans rendre ce numéro moins traçable.

La vraie défense, elle, est structurelle. Elle se joue chez les opérateurs et les régulateurs, avec des pare-feu de signalisation que la GSMA documente dans son guide FS.11. Ta sécurité ici ne dépend pas de toi, mais d’une infrastructure et d’un cadre légal que tu ne contrôles pas.

Soyons clairs sur le risque réel : pour un particulier lambda, la probabilité d’être ciblé reste faible. Ce sujet compte par ce qu’il révèle, pas par une menace imminente sur ta personne. La souveraineté numérique ne s’arrête pas au bord de ton appareil : tant que tu as une carte SIM, ta position circule dans un réseau mondial faiblement contraint.

Ce que tu fais maintenant

1. Recalibre tes attentes, c’est le geste le plus utile ici. Garde Signal, le mode Isolement et tes bons réflexes, ils protègent le contenu et l’appareil, mais ne crois pas qu’ils te rendent invisible sur le réseau. Confondre les deux, c’est le piège.

2. Pour les codes de connexion, abandonne le SMS et passe à la 2FA par application ou clé matérielle. Ça ne te protège pas de la géoloc, mais ça ferme l’interception des codes via le même réseau, et c’est un risque concret pour tes comptes.

3. Si tu as un profil réellement exposé, journaliste, opposant politique ou avocat sur dossier sensible, le seul levier individuel sérieux est la discipline physique : en mode avion ou téléphone éteint, ton appareil n’est plus inscrit au réseau, il n’y a rien à localiser. Tu ne redeviens traçable qu’à la réinscription. Un numéro dédié cloisonne ton identité, mais reste traçable de la même façon.

4. Pour le reste, le vrai chantier n’est pas sur ton bureau. Suis le sujet côté régulateur : NIS2 et ENISA posent un cadre, mais aucune obligation technique forte n’impose encore aux opérateurs de fermer ces failles. C’est là que la pression doit porter.

Sources

• Bad Connection, Uncovering Global Telecom Exploitation by Covert Surveillance Actors, Citizen Lab, avril 2026 (source primaire)
• Signalling Security in Telecom SS7/Diameter/5G, ENISA (protocoles jugés fondamentalement faillis, recommandations UE)
• FS.11 SS7 Interconnect Security Monitoring and Firewall Guidelines, GSMA (la référence pare-feu de signalisation, autorégulation industrielle)
• Hacking Your Phone, 60 Minutes, CBS, 2016 (écoute du représentant Ted Lieu via SS7, démonstration sur un élu)
• FCC Fines Major U.S. Wireless Carriers for Selling Customer Location Data, Krebs on Security, 2024 (le marché distinct des courtiers de données, 200M USD d’amendes)

Des termes techniques ? Consulte le glossaire.