L’affaire où Proton Mail a aidé le FBI à identifier un manifestant de « Stop Cop City »

• Le service de messagerie centré sur la protection de la vie privée Proton Mail a fourni des données de paiement au gouvernement suisse dans le cadre d’une demande du FBI, ce qui a permis d’identifier un manifestant anonyme
• Selon des documents judiciaires, Proton Mail a transmis les informations de paiement d’un compte lié au mouvement « Stop Cop City » aux autorités suisses, et le gouvernement suisse les a ensuite remises au FBI
• Le compte concerné était lié au groupe Defend the Atlanta Forest (DTAF) et faisait l’objet d’une enquête pour incendie volontaire, vandalisme et divulgation d’informations personnelles (doxing)
• Le mouvement « Stop Cop City » est une mobilisation contre la construction d’un centre d’entraînement de la police à Atlanta, et certains participants ont mené diverses actions, comme camper dans la forêt ou engager des poursuites judiciaires
• Ce cas montre que Proton Mail, tout en mettant en avant le chiffrement de bout en bout et l’application du droit suisse en matière de vie privée, peut fournir des données à des tiers en cas de demande légale

---

La transmission de données par Proton Mail et sa coopération avec l’enquête du FBI

• D’après les documents judiciaires, Proton Mail a fourni au gouvernement suisse les données de paiement d’un compte e-mail lié à « Stop Cop City », puis le FBI s’en est servi pour identifier le titulaire du compte
  • Proton Mail est connu comme un service axé sur la protection de la vie privée et met en avant le fait qu’il est soumis aux lois suisses sur la vie privée
  • Toutefois, cette affaire a confirmé que des informations de paiement ont été transmises à un tiers
• Cette affaire est citée comme un exemple montrant quels types de données Proton Mail peut transmettre à des organismes externes

Enquête liée à « Stop Cop City » et au groupe DTAF

• Le compte Proton Mail en question était lié à Defend the Atlanta Forest (DTAF) et au mouvement Stop Cop City
  • Les autorités enquêtaient sur ces groupes pour incendie volontaire, vandalisme et divulgation d’informations personnelles (doxing)
• Le mouvement « Stop Cop City » est une protestation contre la construction d’un centre d’entraînement de la police près d’Intrenchment Creek Park à Atlanta,
  • certains participants protestant de différentes manières, comme camper dans la forêt ou intenter des actions en justice
  • plus de 60 personnes ont ensuite vu les charges retenues contre elles abandonnées

La politique de confidentialité de Proton Mail et ses limites

• Proton Mail met en avant le chiffrement de bout en bout et le respect du droit suisse, mais
  • cette affaire montre qu’en cas de demande légale, certaines informations, comme les données de paiement, peuvent être fournies
• L’article présente ce cas comme un exemple permettant de mieux comprendre quelles données peuvent réellement être transmises à des tiers

Contexte de l’affaire et suites

• Le FBI a utilisé les données de paiement transmises par le gouvernement suisse pour identifier le titulaire du compte anonyme
• La transmission de données par Proton Mail est décrite dans les archives comme une coopération procédurale menée en vertu d’une ordonnance judiciaire
• L’article ne mentionne ni détails juridiques supplémentaires ni position officielle de Proton Mail

Sens général

• Cette affaire montre que même un service de messagerie centré sur la vie privée peut fournir des informations sur ses utilisateurs en cas de demande légale
• Elle remet en lumière la question de l’équilibre entre la fiabilité de Proton Mail et ses obligations légales
• Elle suggère que les utilisateurs de services chiffrés doivent être conscients de la juridiction applicable et de l’étendue possible des transmissions de données

[GN⁺]

Avis sur Hacker News

• Partage un retour officiel reçu de l’équipe Proton Mail
  Ils précisent clairement qu’ils n’ont pas fourni d’informations directement au FBI
  Les données ont été obtenues par l’Office fédéral suisse de la justice via la procédure MLAT (traité d’entraide judiciaire internationale)
  Proton ne se conforme qu’au droit suisse et ne répond qu’aux injonctions légales des autorités suisses
  Comme cette affaire concernait en 2024 un crime grave impliquant des explosifs et des tirs, ils indiquent que le seuil légal était rempli
  Les informations divulguées se limitaient à l’identifiant de paiement d’un utilisateur ayant payé par carte bancaire, sans contenu d’e-mail ni métadonnées
  Ils expliquent que c’est un exemple montrant à quel point la conception avec chiffrement de bout en bout de Proton limite réellement les données qu’ils détiennent

  • Ajoute que l’article contenait déjà toutes ces informations

• Estime que cet article n’est pas parfait
  Proton a agi à la demande légitime des autorités suisses, conformément à la procédure décrite dans les CGU (conditions d’utilisation)
  Le fait d’avoir payé par carte bancaire était une erreur d’opsec de la part de l’utilisateur
  Proton fournit aussi une adresse Tor pour les utilisateurs ayant besoin d’anonymat
  Au final, le problème principal vient de l’utilisateur lui-même

• Mentionne que c’est un exemple de ce que Proton Mail peut fournir à des tiers en vertu du droit suisse
  Se souvient qu’autrefois Proton envisageait de déplacer ses serveurs hors de Suisse, estimant que le gouvernement suisse n’était pas digne de confiance
  Mais dans cette affaire, comme seules les informations de paiement étaient nécessaires, l’emplacement des serveurs n’avait pas d’importance

  • Il y avait aussi des discussions sur un déménagement en Allemagne, mais cela pourrait être encore pire du point de vue de la vie privée
  • Certains ajoutent qu’aucun gouvernement n’est totalement digne de confiance
  • Le chiffrement de bout en bout de Proton n’a de sens que si tous les destinataires utilisent Proton ; en pratique, la plupart des e-mails finissent exposés en clair. Son marketing serait donc exagéré

• Ce n’est pas surprenant, car il avait déjà été révélé en 2021 que ProtonMail avait fourni des données utilisateur aux forces de l’ordre et modifié ses CGU

  • Un mandat (warrant) n’est pas une simple demande mais une injonction légale ; si la police peut en obtenir un, il faut partir du principe qu’elle pourra récupérer les données

• Proton Mail n’a transmis que le minimum d’informations volontairement fournies par l’utilisateur, et seulement en réponse à une demande à laquelle il ne pouvait légalement pas s’opposer
  Si l’on veut rester anonyme, il ne faut ni utiliser une carte bancaire ni une connexion Internet domestique
  Le titre donne l’impression que Proton a aidé le FBI, alors qu’en réalité ce n’est pas le cas

  • Les formulations « Proton n’a pas aidé le FBI » et « Proton a dû se conformer à une exigence légale » sont évoquées en même temps

• Remercie l’équipe de 404 Media en disant qu’elle produit récemment beaucoup d’excellents reportages

• Demande combien de temps Proton conserve les informations de paiement et si elles sont stockées de la même manière pour les paiements en cryptomonnaie

• Affirme qu’il devient de plus en plus difficile de ne pas être puni en ligne pour un « crime de pensée »
  Explique que même en combinant Tor, Mullvad VPN, TutaMail et Proton, il est difficile d’obtenir un anonymat complet
  Exprime sa déception face au fait que des techniciens continuent à faire progresser les technologies de surveillance

  • Certains disent qu’utiliser le navigateur Tor et Proton avec une validation via une adresse e-mail jetable est suffisamment sûr
  • D’autres réinterrogent la responsabilité des développeurs en demandant : « Avez-vous voté pour des lois protégeant la vie privée, soutenu des normes éthiques, essayé de créer un syndicat d’ingénieurs ? »
  • Quelqu’un demande aussi des exemples concrets montrant qu’il est réellement difficile d’exprimer une opinion divergente en ligne
  • Un commentaire affirme aussi que l’abus d’Adderall réduit l’empathie et banalise les technologies de surveillance ainsi que les dark patterns
  • Une objection est également soulevée : « Existe-t-il réellement des cas, dans les sociétés occidentales, où quelqu’un a été puni pour un crime de pensée ? »

• Demande pourquoi il n’y a pas d’articles similaires sur les autres services d’e-mail, qui fournissent quotidiennement le contenu complet des messages, les métadonnées et les informations de paiement
  Souligne que Proton reste un service rare en ce qu’il autorise les paiements anonymes et ne peut pas déchiffrer les contenus chiffrés

  • Explique que si cela fait la une, c’est parce que Proton s’est fortement vendu auprès du grand public comme un « e-mail sûr et privé », alors que des données ont été transmises au gouvernement américain via les autorités suisses
  • Certains disent aussi que, même si Proton autorise les paiements anonymes, il leur semble se souvenir qu’une inscription au compte était en pratique nécessaire