La victoire de Christiane Taubira à la primaire populaire le 30 janvier 2022 n’a pas déclenché de remous politiques majeurs parmi les autres candidatures de gauche à la présidentielle, qui ne reconnaissaient pas ce scrutin. Cependant, cela n’a pas empêché ce vote en ligne, auquel ont participé 392 738 inscrits, d’être la cible de critiques, parfois virulentes.
De nombreuses voix se sont élevées pour dénoncer le manque de sécurité du scrutin, et certaine sont allées jusqu’à craindre une fraude massive. Les éléments rassemblés par Cyberguerre ne remettent pas en cause la fiabilité du résultat, mais interrogent sur la sécurité de futurs votes en ligne.
Des garanties de sécurité critiquées
Les premières inquiétudes sur les garanties de sécurité mises en place par les organisateurs n’ont pas attendu les résultats du vote. Interrogés par Cyberguerre sur le sujet avant la clôture des inscriptions, les organisateurs de la primaire populaire et Neovote, l’entreprise chargée d’organiser le scrutin, défendaient des garanties fortes de sécurité et une possibilité de fraude restreinte, notamment grâce aux contrôles par carte bancaire.
Chaque inscrit devait se munir d’une carte bancaire française pour s’inscrire, et chaque carte pouvait être utilisée seulement deux fois. Un procédé qui, du propre aveu des organisateurs, ne permet pas d’éliminer totalement la fraude, mais qui permettrait de la limiter avec des garanties jugées suffisantes.
Comme expliqué dans un précédent article sur le sujet, Cyberguerre avait réussi à s’inscrire trois fois, avec le même nom, en utilisant différentes adresses mail et des numéros de téléphone en ligne. La vérification des cartes bancaires a été contournée en utilisant des cartes de ticket-restaurant. Ces comptes n’ont pas été supprimés.
« J’ai fait trois comptes »
C’est ce qu’ont également pointé d’autres internautes, avec différentes méthodes. Parmi eux, des professionnels de l’informatique, qui pour certains suivaient avec intérêt le déroulement du vote.
Derrière son pseudo Twitter, Alex_Car12 est élu local et développeur. Il fait partie des citoyens qui ont critiqué ce qu’il considère comme des manquements de sécurité : « J’étais plutôt méfiant avant l’ouverture des inscriptions, je surveillais énormément leur communication. Leurs éléments de langages sur la [vérification par] carte bancaire évoluaient , je pense que ça a participé à me mettre la puce à l’oreille. […] J’ai fait trois comptes en tout. »
D’après ses explications, deux de ses trois comptes auraient été créés avec un générateur de cartes en ligne, qui génère des empreintes de cartes bancaires crédibles, mais factices. Cyberguerre n’a pas été en mesure de vérifier ces affirmations et les organisateurs réfutent que l’utilisation de ce type de sites soit possibles.
De son côté, « Jack Mask », un développeur qui souhaite rester anonyme, explique à Cyberguerre avoir réussi à créer une dizaine de comptes grâce à un service proposé par sa banque. De nombreuses banques en ligne permettent en effet de produire des empreintes bancaires le temps d’une transaction. « J’ai créé 5 cartes, je ne sais pas s’il y a une limite. On choisit le montant qu’on attribue à chaque numéro et une date d’expiration », explique-t-il à Cyberguerre.
Une fraude non déterminante
Cette technique, plusieurs autres personnes expliquent l’avoir utilisée. La plupart à titre démonstratif, pour dénoncer le manque de fiabilité du scrutin. Interrogée sur ce procédé, la primaire populaire rappelle que « cette pratique est une fraude, contraire aux engagements pris lors de l’inscription, nos contrôles à priori et a posteriori suite à votre sollicitation nous montrent que cela est particulièrement non significatif (mêmes prénoms/noms) (moins de 0,002 %). »
« En aucun cas la sincérité du scrutin ne saurait être remise en question, ni ne l’a été lors de l’analyse par les scrutateurs, l’huissier de justice ayant contrôlé les opérations ou l’expert CNIL indépendant avant/pendant/après le vote », tranche la primaire populaire.
Plus généralement, entre la large avance de Christiane Taubira, le nombre élevé de participants, et différents indicateurs comme la très faible utilisation de la double inscription à partir d’une seule empreinte bancaire que nous rapporte Neovote, de nombreux éléments soutiennent la fiabilité de ce scrutin. Mais la défiance dont a fait l’objet ce vote en ligne soulève des problèmes de légitimité propres à ce type d’exercice démocratique.
Ici, dans la plupart des cas, les procédés de fraude n’ont été évoqués publiquement qu’après la fermeture des inscriptions. Les deux personnes interrogées par Cyberguerre expliquent même avoir contacté les organisateurs de la primaire populaire pour les alerter sur ces vulnérabilités, dans des mails que nous avons pu consulter. Une pratique responsable qui a pu éviter une campagne de fraude massive, mais qui pourrait ne pas épargner les prochains votes en ligne sans garanties de sécurités supplémentaires.
La vérification par carte bancaire et ses limites
Cette vérification par carte bancaire a été choisie par la primaire populaire pour arbitrer entre une volonté de sécuriser le scrutin, et un impératif de sobriété dans la récolte de données faite par la structure. Pourtant, cette vérification par carte bancaire a dès le début alimenté fantasmes et soupçons, jusqu’au patron de la France insoumise Jean-Luc Mélenchon. Et cela, alors que la primaire populaire comme Neovote assure ne jamais disposer de ces informations bancaires.
Un vote qui passerait par un scan de carte d’identité ou encore par une feuille d’imposition, comme certains on pu le suggérer, exposerait des données autrement plus sensibles que de simples identifiants bancaires, et ne serait vraisemblablement pas autorisé par la Commission nationale de l’informatique et des libertés.
Mais dans le cas présent, cette vérification pose question. La vérification 3D Secure — ce procédé où votre banque vous envoie un code pour valider votre achat — a été brandie par les organisateurs comme une garantie de sécurité, un filtre exigeant. Or dans deux des trois inscriptions réalisées par Cyberguerre, cette dernière n’a pas été demandée. Tout comme la transaction (ensuite annulée) d’un euro, qui n’a été demandée que dans un cas.
Interrogé, un spécialiste d’une grande entreprise du secteur du paiement explique que ce type d’utilisation des empreintes de cartes bancaires, c’est-à-dire une vérification sans réaliser de transaction, n’est pas habituel. « Normalement, une fausse carte va effectivement être invalide. Mais pour le 3D secure, c’est du cas par cas en fonction des banques. Elles font parfois le tri en fonction de l’importance des transactions. »
Un défi pour les futurs votes en ligne
Les votes physiques ne sont pas épargnés par la fraude, et le bourrage d’urnes est au moins aussi vieux que la démocratie. Mais dans le cas des votes en ligne, la nouveauté du procédé et la surface d’attaque (exposée au monde entier), rendent fragile la légitimité de ces scrutins. Dans l’esprit des urnes physiques qui sont transparentes, pour prouver qu’aucun bulletin n’a été préalablement ajouté, les votes en lignes doivent redoubler d’efforts pour permettre aux votants de comprendre et d’adhérer à ce nouvel exercice démocratique.
Dans le cas de la primaire populaire, l’enjeu était mince malgré l’engouement médiatique : une seule candidate majeure avait accepté de participer au scrutin et a gagné, sans surprise. Ce qui n’a pas empêché ce vote d’être remis en question, sur fond de tension politique, mais pas uniquement. Pour de futurs scrutins ouverts et plus exposés, les organisateurs devront jongler entre les impératifs de sécurité et de pédagogie, pour expliquer leur démarche et rassurer sur ces risques de fraudes.
Vous voulez tout savoir sur la mobilité de demain, des voitures électriques aux VAE ? Abonnez-vous dès maintenant à notre newsletter Watt Else !
