Le 11 février 2020, le Washington Post et la chaîne allemande ZDF publient une enquête qui rebat les cartes de l’histoire du renseignement du XXe siècle ; la SRF diffuse son volet le lendemain. Une entreprise de chiffrement basée à Zoug, qui vendait depuis les années 1950 ses machines à plus de 120 pays, appartenait en secret à la CIA et au BND, le renseignement extérieur allemand. Pendant près d’un demi-siècle, des dizaines d’États ont chiffré leurs communications diplomatiques et militaires avec du matériel dont deux services occidentaux détenaient la clé.

Cette entreprise, Crypto AG, a bel et bien existé, et son histoire est aujourd’hui reconnue par les États qui l’ont orchestrée. Elle pose une question que peu de threat models formulent : un service de renseignement étranger peut placer ou retourner des personnes à des postes de direction, de sécurité ou de recherche sans jamais percer un pare-feu. Ce risque-là, dans votre organisation, est-il accepté, atténué, ou simplement oublié ?

En brefLe risque insider, un danger qui vient de l’intérieur de l’organisation plutôt que d’un attaquant externe, dépasse largement l’employé mécontent qui copie des fichiers avant de partir. Plusieurs cas établis le montrent : Crypto AG (fait reconnu par les États eux-mêmes), les faux travailleurs IT nord-coréens (menace très active), et des soupçons plus difficiles à trancher comme Gemplus, à ne pas présenter comme des faits. Ce risque doit entrer dans le threat model au même titre que le phishing ou le ransomware, avec pour meilleures parades le filtrage à l’embauche, la séparation des accès et un signalement sans honte des doutes.

Crypto AG : le coup du siècle

Boris Hagelin installe Crypto AG à Zoug en 1952. Un accord informel avec la NSA existe dès 1951 et se formalise en 1955. En juin 1970, la CIA et le BND rachètent secrètement l’entreprise pour 5,75 millions de dollars ; le BND revendra sa part à la CIA en 1993, pour 17 millions de dollars.

Le mécanisme n’avait rien d’une porte dérobée grossière. La NSA rédigeait des manuels d’exploitation alternatifs qui réduisaient à l’insu des clients la complexité cryptographique de leurs appareils, et concevait directement les algorithmes des modèles les plus avancés, comme le H-460. Les pays clients faisaient confiance à l’image de neutralité suisse, sans soupçonner qui se cachait derrière l’actionnariat. Les conséquences remontent jusque dans les discours officiels : en 1986, après l’attentat de la discothèque La Belle à Berlin, Ronald Reagan cite publiquement des interceptions comme preuve contre le régime libyen.

Hans Bühler, vendeur en chef de Crypto AG, est arrêté à Téhéran en mars 1992 et détenu neuf mois, soupçonné d’espionnage. L’entreprise paie environ un million de dollars pour sa libération, puis le licencie peu après son retour. L’affaire éclate au grand jour en 2020, fondée sur une histoire interne classifiée de la CIA de 96 pages qui qualifie l’opération de « coup de renseignement du siècle » ; le 10 novembre 2020, le Parlement suisse publie un rapport établissant une coresponsabilité politique des autorités helvétiques, qui savaient depuis 1993.

On est loin du scénario classique de l’agent infiltré qui grimpe dans l’organigramme. L’entreprise elle-même a été capturée, par la propriété du capital et le contrôle du recrutement aux postes clés. Seule une poignée de dirigeants et d’ingénieurs était dans la confidence ; la masse des employés, Bühler compris, ignorait tout du montage.

Un risque toujours d’actualité

Le phishing et le ransomware figurent aujourd’hui dans le threat model de pratiquement toute entreprise qui en a un ; le placement ou le recrutement d’une personne à un poste stratégique par un service étranger y apparaît beaucoup plus rarement. C’est pourtant une démarche patiente et bien financée. L’accès s’y obtient légitimement, avec un badge et une signature de contrat, et la cible est une position plutôt qu’un serveur : celle qui donne les clés de chiffrement ou la roadmap produit. Les secteurs les plus exposés (cryptographie, semi-conducteurs, automatisation industrielle, IoT, énergie, défense, télécoms) placent la Suisse en bonne position, à cause de cette réputation de neutralité que Crypto AG a longtemps incarnée.

Le soupçon Gemplus

Le cas de Gemplus se situe à un tout autre niveau de preuve que Crypto AG. Rien d’établi ici : des soupçons formulés au plus haut niveau politique, jamais examinés ni prouvés. Cofondée en 1988 près de Marseille par Marc Lassus, l’entreprise devient en une décennie le premier fabricant mondial de cartes à puce. Début 2000, le fonds américain Texas Pacific Group (TPG) entre au capital à hauteur de 26%. Écarté de la présidence fin 2001, Lassus démissionne du conseil en décembre 2002, juste avant l’assemblée générale convoquée pour le révoquer. Quelques mois plus tôt, Alex Mandl, ancien numéro deux d’AT&T, avait pris la tête de l’entreprise en quittant le conseil d’In-Q-Tel, le fonds de capital-risque de la CIA. Une proposition de résolution déposée au Sénat français en 2003, jugeant ces liens avec In-Q-Tel « avérés », n’a jamais été examinée.

Aucune source ne prouve à ce jour un transfert de clés ou de données vers un service étranger. Ce qui est établi relève de la gouvernance ordinaire : entrée au capital, poids au conseil, un dirigeant bien réseauté, l’éviction du fondateur dans les formes. Rien d’illégal, à aucune étape. Et c’est bien le problème : aucun antivirus ne détectera une prise de contrôle par le capital.

Les faux travailleurs IT nord-coréens

Depuis 2022 au moins, le régime nord-coréen envoie des travailleurs se faire passer pour des candidats d’autres nationalités afin de décrocher des postes IT à distance dans des entreprises occidentales. Le Département d’État américain, le Trésor et le FBI documentent la pratique dès mai 2022 dans une alerte conjointe, en pointant déjà les sommes reversées au régime, jusque dans ses programmes d’armement. Le Département de la Justice recense aujourd’hui plus de cent entreprises touchées, dont des groupes du Fortune 500. Ces salaires détournés s’ajoutent aux vols de cryptomonnaie du régime : environ 2 milliards de dollars en 2025 selon Elliptic puis CrowdStrike, dont 1,46 milliard pour le seul piratage de la plateforme Bybit. Ce dernier relève du hacking pur, pas du schéma des travailleurs IT.

Le mécanisme est documenté par de nombreuses affaires judiciaires : identités volées ou fabriquées, CV générés par IA et, de plus en plus, entretiens vidéo falsifiés en temps réel par deepfake. En juillet 2026, le FBI et le Département d’État ont d’ailleurs signé avec dix pays partenaires une alerte qui consacre un volet entier à ces entretiens truqués. Une fois recruté, le travailleur fait envoyer son ordinateur portable à un facilitateur basé aux États-Unis, qui héberge la machine et y installe un accès distant. L’opérateur réel travaille alors « depuis » une adresse IP américaine. L’affaire tourne parfois à l’extorsion : vol du code source, puis menace de le publier si la rémunération s’arrête.

Christina Chapman, en Arizona, est condamnée en juillet 2025 à 102 mois de prison pour avoir fait tourner une telle « ferme d’ordinateurs » entre 2020 et 2023 : 17 millions de dollars générés, plus de 300 entreprises touchées. En juillet 2024, la société de sécurité KnowBe4 annonce, elle, avoir embauché par erreur un faux ingénieur nord-coréen malgré quatre entretiens vidéo ; l’accès est coupé 25 minutes après réception de l’ordinateur, sans compromission de données.

Les signaux d’alerte recensés par le FBI et son centre IC3 sont transposables à n’importe quel recrutement à distance : réticence à activer la caméra, CV quasi identiques entre candidats, changements fréquents d’adresse de livraison ou de compte bancaire, connexions VPN incohérentes avec la localisation déclarée. Reste le test de la main agitée devant le visage, en visio. Les logiciels de deepfake temps réel peinent à suivre ce mouvement brusque et l’image se déforme visiblement. Les outils les plus récents comblent toutefois peu à peu cette faiblesse.

Recrutement ou placement

Dans le vocabulaire du contre-espionnage, recrutement et placement décrivent deux opérations bien distinctes. Le recrutement consiste à retourner quelqu’un déjà en poste, via l’un des leviers que les praticiens résument par l’acronyme anglais MICE, pour Money, Ideology, Coercion, Ego : l’argent, l’idéologie, la contrainte ou l’ego. Le placement insère l’agent en amont, sur le modèle des « illegals » que les services russes ont longtemps entretenus ; le FBI en a démantelé dix d’un coup en juin 2010, dont Anna Chapman. Ces réseaux visent presque toujours des cibles politiques, diplomatiques ou militaires ; quand leurs agents passent par l’entreprise, la finance ou l’immobilier, c’est surtout comme couverture, rarement pour l’entreprise elle-même. Pour la plupart des sociétés, le scénario probable reste donc le recrutement d’un employé déjà en poste.

Ce qu’une entreprise peut faire concrètement

Le NCSC britannique constate un écart croissant entre le rythme de la menace, criminelle comme étatique, et la résilience des organisations. Un écart qu’il impute d’abord à la gouvernance : le risque cyber reste délégué aux équipes techniques au lieu d’être porté par la direction. Comme le résumait en 2025 Nicole Perlroth, ancienne journaliste cybersécurité du New York Times : « Ransomware hits the bottom line this quarter. [State espionage] hits it five years from now. » En Suisse, une étude de l’Université de Berne pour le SRC, publiée en 2020 après un sondage de 362 entreprises, estime qu’environ 15% des sociétés se disent visées par l’espionnage économique (jusqu’à 35% dans le sous-échantillon interrogé en profondeur). Pour 11% des entreprises touchées, l’incident a menacé l’existence même de la société. La directive européenne NIS2 rend désormais la direction responsable des mesures de sécurité, jusqu’à la sécurité RH et au contrôle des accès : le risque insider devient de fait un point auditable. Elle ne distingue pas pour autant l’agent d’un service étranger du risque insider générique.

Le filtrage à l’embauche est la première ligne, mais il ne suffit jamais seul. Pour tout recrutement à distance, le FBI recommande d’examiner de près les documents d’identité, au besoin via un service de vérification ou un contrôle en personne, et de contacter directement les anciens employeurs plutôt que les seules références fournies. L’entretien vidéo, caméra allumée, doit inclure le test décrit plus haut : faire agiter la main du candidat devant son visage.

Cette vérification initiale a toutefois une limite, établie par le NPSA britannique (l’ancien CPNI) : 76% des actes d’insider recensés ont été commis par des employés sans intention malveillante à l’embauche. Leur loyauté a basculé après coup, sous l’effet de dettes, d’un licenciement mal vécu ou d’un chantage. D’où l’intérêt de reconduire le filtrage dans la durée plutôt que de tout miser sur l’entretien d’embauche.

Le reste relève de l’architecture d’accès plus que du recrutement. Le moindre privilège et la séparation des tâches limitent ce qu’un seul poste, aussi haut placé soit-il, peut faire seul ; le principe des quatre yeux (aucune action critique sans validation par une seconde personne) s’applique aux opérations irréversibles : récupération d’une clé maîtresse, changement de droits admin, accès à un environnement de production.

La surveillance comportementale mérite un mot de prudence, en particulier en Suisse. L’article 26 de l’ordonnance 3 relative à la loi sur le travail, complété par la nLPD (et le RGPD côté européen), encadre strictement ce type de contrôle : exceptionnel, proportionné, annoncé aux employés, jamais utilisé pour évaluer une performance. Reste la dimension humaine du signal faible. Le modèle CPIR (« Critical Pathway to Insider Risk »), publié dans les Studies in Intelligence de la CIA, décrit le chemin type vers le passage à l’acte : des prédispositions personnelles (traits de personnalité, antécédents de violations de règles), des facteurs de stress comme des dettes, un conflit au travail ou un licenciement, puis des comportements préoccupants visibles par les collègues. Une réponse organisationnelle adaptée peut casser cette progression à temps ; une réponse maladroite l’accélère. Un signal isolé ne prouve rien. Plusieurs signaux récurrents sur la durée, en revanche, méritent un signalement à l’équipe sécurité, selon le principe déjà décrit pour signaler un cyberincident.

Pour une PME ou une jeune entreprise suisse, l’ensemble tient dans un noyau abordable : un entretien vidéo systématique, une vérification d’identité externalisée pour quelques dizaines de francs, des accès cloisonnés dès le premier jour. Le Service de renseignement de la Confédération propose depuis 2004 un programme de prévention dans cet esprit, Prophylax : des entretiens bilatéraux confidentiels avec des entreprises et hautes écoles exposées, accompagnés d’un film de sensibilisation, En ligne de mire. Son directeur a toutefois démissionné en 2025 en fustigeant, dans sa lettre de départ, le manque de moyens et de personnel du service ; le Parlement venait de balayer sa demande de 150 postes supplémentaires.

Garder la mesure

L’immense majorité des recrutements internationaux sont exactement ce qu’ils semblent être. Personne ne gagne à soupçonner chaque nouvel administrateur ou chaque candidat étranger sur la seule base de son passeport. Les exemples de cet article pointent vers Washington, Berlin, Moscou ou Pyongyang parce que ces cas-là sont documentés par des procès, des rapports parlementaires ou des enquêtes de presse ; cela ne dit rien de ceux qui ne se sont pas fait prendre. N’importe quel État doté d’un service de renseignement peut tirer avantage d’un insider, adversaire déclaré comme partenaire de longue date.

Crypto AG et la vague actuelle de faux travailleurs nord-coréens montrent surtout qu’un service de renseignement a le temps et les moyens de jouer sur des décennies, sans la pression d’un ransomware qui doit encaisser vite. Crypto AG a mis près de cinquante ans à être découverte ; les fermes d’ordinateurs tournaient depuis des années avant que la plupart des entreprises concernées n’en entendent parler. Autant repérer ce genre de montage pendant qu’un ajustement de processus suffit encore, plutôt que d’attendre qu’un procureur s’en charge.

Sources