Fin d’année : la DGSI alerte sur les cadeaux "piégés", trop beaux pour être vrais…

"Plaisir d’offrir… joie de recevoir". En principe, un cadeau fait plaisir à tout le monde : celui qui le fait, celui qui l’accepte. Une bonne bouteille pour des clients fidèles. Des chocolats ou des fleurs. Un dîner dans un restaurant à la mode… sont ainsi des classiques des cadeaux d’affaires. Sauf que, parfois, l’intention de celui qui offre n’est pas aussi noble qu’elle en a l’air. Et peut cacher, au mieux, l’espoir de s’attirer les bonnes grâces du destinateur pour obtenir une faveur en retour, au pire, servir de cheval de Troie, au sens propre comme au figuré, à des fins d’espionnage. C’est en tout cas ce qu’affirme la DGSI dans une note publiée récemment. En effet, comme nous l’écrivions en juin dernier (lire ici), la Sous-direction de la protection économique de la Direction générale du renseignement intérieur (DGSI) est chargée de défendre le versant économique, technologique et scientifique de la souveraineté française et, à ce titre, publie régulièrement des recommandations à destination des entreprises, grandes ou petites.

La loi Sapin au pied du sapin…

Rappelons d’abord le cadre qui entoure les cadeaux d’affaires. La Loi Sapin 2, qui vise à lutter contre la corruption, ne les interdit pas, mais les encadre strictement. Un cadeau est toujours désintéressé : il doit être fait sans en attendre une quelconque contrepartie, comme une faveur, un contrat ou pour influencer une décision, pour ne pas créer une situation de conflit d’intérêts. Il doit également être proportionné, raisonnable et ponctuel. La loi ne fixe pas de seuil à ce qui est raisonnable, mais la plupart des grandes entreprises suivent les recommandations de L’Agence Française Anticorruption (AFA), qui impose aux entreprises de formaliser une politique claire à ce sujet (un code de "bonne conduite", incluant une politique sur les cadeaux est obligatoire pour les entreprises de plus de 500 salariés dont le chiffre d’affaires dépasse 100 millions d’euros). En général, un cadeau de moins de 50 euros peut être accepté, entre 50 et 150 euros il nécessite une déclaration et au-dessus de 150 euros une validation hiérarchique. Le manquement à ces règles expose la société et ses dirigeants à des sanctions de l’AFA (amendes pouvant aller jusqu’à un million d’euros pour les personnes morales et 200 000 euros pour les personnes physiques), ainsi qu’à des poursuites pénales pour corruption.

Malgré ce cadre, précis et contraignant, certaines entreprises et certains dirigeants peuvent parfois être tentés d’accepter de plus gros cadeaux. Mais, plus la valeur du présent est élevée, plus le risque que ce cadeau masque en réalité d’autres objectifs, susceptibles de constituer une ingérence ou de placer le récipiendaire en position de fragilité, augmente.

Ingérence, pression et espionnage

La DGSI avertit donc dans sa note que "donner un objet de valeur, fournir gratuitement une prestation, offrir des crédits pour l’utilisation d’un logiciel ou encore inviter des dirigeants à des festivités sont autant de moyens qui pourraient permettre à un acteur étranger de déstabiliser une entité, d’obtenir des informations confidentielles ou encore de créer des situations de dépendance commerciale. Le risque d’atteinte à la réputation ne doit pas non plus être négligé". Avant de donner plusieurs exemples, anonymisés, de cas récents de cadeaux reçus par des entreprises françaises qui ont suscité l’attention des agents de la DGSI.

La première histoire est celle d’une entreprise industrielle exerçant ses activités dans un secteur sensible, ayant reçu la visite de partenaires commerciaux étrangers. À l’issue d’une visite des locaux de l’entreprise, les visiteurs étrangers ont offert différents cadeaux, sous forme d’objets symboliques, à plusieurs cadres et dirigeants. "Après le départ de la délégation étrangère, les dirigeants français ont constaté que les objets offerts, qui semblaient identiques à première vue, présentaient des différences légères, certains étant plus lourds que d’autres, sans raison apparente", raconte la note de la DGSI.

Caméras cachées

Dans le doute, ces objets ont donc été soumis à la direction sûreté de l’entreprise qui, soupçonnant la présence de dispositifs de captation de son ou d’image dissimulés dans ces cadeaux, a décidé de procéder à une analyse technique. Bingo : l’analyse a révélé "une anomalie grave au sein de l’un des objets". Tous ont été immédiatement retirés de l’entreprise concernée.

Autre exemple : au cours d’un salon international organisé en France, des salariés et dirigeants de plusieurs entreprises françaises, dont certaines évoluent dans des secteurs stratégiques, ont été approchés par le représentant d’une entreprise étrangère. Après cette première approche ayant permis de faire connaissance, "les représentants d’entreprises françaises ont été invités à dîner… puis à poursuivre la soirée dans une discothèque. L’ensemble des frais de la soirée, qui s’élevaient à plusieurs dizaines de milliers d’euros, ont été payés par l’entreprise étrangère", raconte la note de la DGSI, dont les investigations ont ensuite permis de révéler que, loin d’être désintéressée, l’invitation avait comme objectif de tenter d’obtenir des informations confidentielles. En effet, des cadres en soirée, dans un contexte convivial et festif, surtout après quelques verres d’alcool, peuvent plus facilement se laisser aller à des confidences, sans nécessairement réaliser qu’ils sont trop bavards.

Mais ce n’est pas tout : les agents du renseignement soupçonnent aussi la "partie étrangère" d’avoir voulu "compromettre certains participants en les incitant à consommer de l’alcool" et en les photographiant dans des situations potentiellement gênantes. Pudiquement, la note ne donne pas plus de détails, mais on peut supposer que, dans ce type d’opération, le recours à des agents du sexe opposé, voire à des escort-girls ou escort-boys, puisse venir compléter le tableau afin de produire des clichés pouvant ensuite servir de "moyens de pression" sur les personnes invitées.

Cadeaux anodins… conséquences graves

Le danger peut toutefois venir de cadeaux anodins en apparence. Ainsi, lors d’un salon international, des commerciaux d’une entreprise française ont échangé quelques "goodies" au logos des deux sociétés, avec des collègues d’une entreprise étrangère évoluant dans le même secteur. Des stylos notamment et plusieurs clés USB. Par prudence, les Français ont eu le réflexe de confier ces clés à la direction sûreté de leur entreprise, pour expertise. "Il s’est avéré que parmi les cinq clés USB offertes, deux contenaient en réalité un malware déguisé sous la forme d’un raccourci Windows sur le répertoire racine de la clé", raconte la DGSI. Un cheval de Troie numérique, dont il n’est toutefois pas possible de dire s’il avait été installé à dessein par l’entreprise étrangère. "Mais, dans le doute, l’entreprise française a cessé tout contact avec la société étrangère" à l’origine du cadeau.

Le dernier exemple sort du cadre du cadeau d’affaires personnel, mais montre à quel point il faut se méfier d’une offre "trop belle pour être vraie". L’histoire est celle d’une entreprise française, fournisseur de prestations techniques auprès de nombreux acteurs stratégiques français, qui réceptionne une commande de matériel innovant de grande valeur auprès d’un fournisseur étranger. Surprise en déballant le matériel : le fournisseur, dans un étonnant accès de générosité, a livré deux fois plus de matériel que ce qui avait été commandé. Un premier "cadeau" doublé d’un second : le responsable commercial de l’entreprise française a ensuite été invité à visiter le siège et les usines du fournisseur à l’étranger, un voyage tous frais payés.

Évaluer les risques… sans faire de cadeau !

L’entreprise française a refusé l’invitation et renvoyé le matériel offert, la DGSI, alertée par l’entreprise sur cette initiative peu commune, ayant estimé qu’il y avait des "risques de dépendance commerciale et de captation d’informations confidentielles, notamment au cours du déplacement à l’étranger".

En conclusion de sa note, la DGSI appelle donc à la prudence et rappelle que "les cadeaux offerts par des acteurs économiques étrangers doivent faire l’objet d’évaluations prudentes, à la fois sur le plan du risque sécuritaire (présence de dispositifs de captation de son ou d’image) et sur le plan de la réputation (risque de compromission)" et notamment les cadeaux de grande valeur. La vigilance doit être particulièrement renforcée lorsque la personne ou l’entreprise à l’origine du cadeau "est liée à des acteurs étatiques, à des entreprises disposant de moyens financiers importants ou qu’il peut constituer un concurrent".

Sans sombrer dans la paranoïa, la DGSI recommande également de procéder systématiquement et avant toute utilisation à une rapide analyse et observation des objets offerts, "afin de déterminer s’ils peuvent contenir un dispositif de captation (son, vidéo, mouvement), de géolocalisation ou de diffusion de logiciels malveillants". La DGSI rappelant que, le cas échéant, elle peut elle-même procéder à l’analyse des cadeaux qui sembleraient suspects. Ou alors, si ce sont des chocolats, dépêchez-vous de les manger… avant de jeter la boîte.