Personne n’a eu à ouvrir la caméra

Les caméras des bateaux-drones de la Royal Navy voyageaient avec une déclaration de conformité sur laquelle tous ceux qui se trouvaient au-dessus d’elles s’appuyaient. La norme derrière cette déclaration nomme des entreprises plutôt qu’un pays, n’a aucune force juridique dans un achat britannique, et définit la diligence, dans son propre texte, comme une enquête qui n’exige jamais de quiconque qu’il regarde à l’intérieur. Le battement de cœur a trouvé son chemin jusqu’en Chine par des papiers qui n’ont peut-être jamais été faux.

Deux mots ont fait le travail ici : conforme NDAA.

Dans le commerce des caméras de sécurité, l’expression renvoie à une seule loi. La section 889 de la loi John S. McCain sur l’autorisation de la défense nationale pour l’exercice 2019 est la disposition que les États-Unis ont rédigée pour tenir les équipements de surveillance chinois hors de leurs systèmes gouvernementaux, et l’industrie s’est organisée autour d’elle : les fabricants publient des déclarations de conformité NDAA au niveau des modèles et les acheteurs inscrivent le terme dans leurs listes de contrôle d’approvisionnement. Lorsque Kraken Technology Group a décrit les caméras des K3 Scouts de la Royal Navy comme « tierces, conformes NDAA », c’est la norme que l’expression convoque. La déclaration de Kraken ne précise pas de clause, et rien de publié depuis ne l’a fait, mais sur ce marché ce raccourci n’a qu’un seul référent.

Ce que dit réellement la norme est plus étroit que ne le laisse entendre le raccourci, et plus étrange.

Cinq noms et une signature

L’interdiction se trouve dans le Federal Acquisition Regulation américain, à la clause 52.204-25. Les équipements « couverts » désignent les équipements de télécommunications produits par Huawei ou ZTE ; les équipements de vidéosurveillance et de télécommunications produits par Hytera, Hangzhou Hikvision ou Dahua, lorsqu’ils sont achetés à des fins de sécurité ; toute filiale ou société affiliée de ces cinq entreprises ; et, comme catégorie finale, les équipements provenant de toute entité que le secrétaire américain à la défense « croit raisonnablement » être détenue ou contrôlée par le gouvernement chinois, ou autrement liée à celui-ci. Cinq entreprises nommées, et un pouvoir de désignation qui doit être exercé nom par nom.

Nulle part dans cette définition le pays d’origine n’est le critère. Une caméra assemblée à Shenzhen par une entreprise qui ne figure sur aucune liste est conforme. Il en va de même pour chaque module qu’elle contient, où que les pièces aient été fabriquées, tant qu’aucune entité inscrite sur une liste ou désignée ne les a produites. La déclaration de Kraken selon laquelle ses caméras conformes à la NDAA « comportaient un petit nombre de composants provenant de l’extérieur du Royaume-Uni » se lit d’abord comme une contradiction. C’est un compte rendu exact de la manière dont la norme fonctionne.

Il existe une seconde propriété de la section 889 qu’aucune couverture de cette histoire n’a mentionnée. C’est une loi américaine sur les marchés publics fédéraux. L’interdiction lie « le chef d’une agence exécutive » du gouvernement américain ; la clause est insérée dans les contrats fédéraux américains. Rien en elle ne régit ce que le ministère britannique de la Défense peut acheter, et rien en elle n’obligeait quiconque dans cette chaîne d’approvisionnement à faire quoi que ce soit. Accolé à un achat de la Royal Navy, « conforme à la NDAA » n’est pas un statut réglementaire. C’est une description de produit, empruntée au règlement de quelqu’un d’autre.

La diligence, telle que définie

Vient ensuite la question de savoir comment une entreprise établit qu'elle se conforme aux règles, et là le règlement est explicite sur ses propres limites. La clause 52.204-25 définit la norme de diligence qu'elle attend :

Enquête raisonnable désigne une enquête conçue pour découvrir toute information en possession de l'entité concernant l'identité du producteur ou du fournisseur d'équipements ou de services de télécommunications couverts utilisés par l'entité, excluant la nécessité d'inclure un audit interne ou par un tiers.

Une enquête qui exclut la nécessité d'un audit. La règle anticipe la question de savoir si quelqu'un doit démonter l'équipement, et y répond dans la définition : non.

Le mécanisme qui produit une affirmation de conformité en découle. La clause compagne, FAR 52.204-24, est une déclaration. Le vendeur coche une case, offre par offre, indiquant s'il fournira des équipements couverts, et une deuxième case indiquant si, « après avoir mené une enquête raisonnable », il en utilise. La première case ne porte même pas l'exigence d'enquête ; la seule procédure que la clause prescrit est une recherche dans une base de données américaine des entreprises exclues. Ce qui circule le long d'une chaîne d'approvisionnement sous ce régime n'est pas un résultat de test. C'est la déclaration du vendeur sur lui-même.

Une source de la défense a déclaré au Telegraph que l'affaire était un « échec majeur dans la vérification de l'origine des composants ». Selon la norme dont le nom figurait sur les caméras, vérifier les origines n'a jamais été le travail de personne. Le certificat est la diligence.

Comment une caméra conforme téléphone à la maison

Aucun des récits publiés n’explique le mécanisme par lequel une caméra aux papiers en règle finit par contacter la Chine. Il en existe un documenté, et il a sept ans.

En avril 2019, le chercheur en sécurité Paul Marrapese a publié une analyse d’iLnkP2P, un logiciel pair-à-pair écrit par l’entreprise chinoise Shenzhen Yunni Technology et intégré à des millions de caméras connectées à internet, d’enregistreurs vidéo et de babyphones. Son balayage a identifié plus de deux millions de ces appareils en ligne. Le comportement qu’il décrit épouse l’histoire de la Royal Navy presque mot pour mot : « Dès qu’ils sont connectés à un réseau, les appareils iLnkP2P envoient régulièrement un battement de cœur, ou message “me voici”, à leurs serveurs P2P préconfigurés et attendent de nouvelles instructions. »

Trois propriétés de cet arrangement se retrouvent ici. La signalisation est délibérée : le keepalive existe pour qu’un client puisse regarder une caméra depuis un téléphone sans configurer un routeur, un argument de vente inscrit exprès dans le firmware. Elle est invisible à la marque : un fournisseur chinois, HiChip, représentait près de la moitié des appareils touchés, vendus sous une liste d’autres noms, et Marrapese décrivait Shenzhen Yunni comme « un fournisseur en amont doté d’un nombre inestimable de sous-fournisseurs du fait de la pratique de la marque blanche et de la revente ». Et elle résiste à la désactivation : il n’existe aucun moyen pratique de la neutraliser, le logiciel se glisse au-delà des contrôles du routeur par UDP hole punching, et la mesure d’atténuation que Marrapese avait identifiée pour les appareils déjà installés était une règle de pare-feu bloquant le trafic à la périphérie du réseau. Retirer le réseau à la caméra, en substance, ce qui est ce qu’a fait le ministère de la Défense.

Ni Shenzhen Yunni ni HiChip ne sont nommés dans l’article 889.

La nôtre n’est pas la seule lecture. Écrivant dans le Telegraph le 10 août, l’ancien officier de la Royal Navy Tom Sharpe a posé la question à Lee Hannaford, directeur défense, sécurité nationale et renseignement au sein du cabinet de conseil Larkspur International. Hannaford a déclaré que de nombreux appareils et sous-systèmes chinois, parmi lesquels des caméras, des batteries et des modules cellulaires d’internet des objets, « sont conçus pour nécessiter une connectivité numérique continue avec leurs organisations mères ». Une fois ces canaux en place, a-t-il dit, ils « peuvent être exploités » pour « la collecte de données, le commandement et le contrôle, ou le prépositionnement en vue de perturbations », et « le chiffrement des données utiles n’élimine pas le risque ».

C’est le même mécanisme décrit depuis l’autre bout. Marrapese l’a trouvé dans le firmware de caméras grand public en 2019 ; Hannaford le décrit en 2026 comme une propriété de conception d’une catégorie de composants qui inclut celui qui se trouve sur ce mât. Aucun des deux ne parle d’un piratage. Ils parlent d’une fonctionnalité.

Rien de cela n’identifie les caméras du K3. Aucun fabricant n’a été nommé dans aucun récit publié, et cet article n’en nommera pas : Pollar détient des photographies de l’unité, une caméra électro-optique marine blanche dotée d’ouvertures jumelées diurne et thermique, une catégorie d’appareil vendue par de nombreuses entreprises, et identifier un produit commercial à partir d’une ressemblance visuelle, dans une histoire portant sur un équipement signalant vers la Chine, serait diffamatoire si c’était faux et invérifiable si c’était vrai. Ce que la recherche de 2019 établit, ce n’est pas le coupable mais l’itinéraire : une manière ordinaire, grand public, entièrement légale, pour une caméra portant une allégation de conformité véridique de dire à un serveur en Chine, à intervalles réguliers, qu’elle est en vie.

Deux lectures, une même racine

Le fournisseur étant inconnu, le dossier publié permet deux récits du certificat, et rien en lui ne permet de choisir entre eux.

Dans le premier, le certificat était exact. Les caméras contenaient des pièces de fabricants chinois que l’article 889 ne nomme pas, l’attestation était vraie au moment où elle a été faite, et les bateaux signalaient quand même la Chine, parce que la norme n’a jamais été conçue pour empêcher cela.

Dans le second, le certificat était faux. Les caméras étaient du matériel en marque blanche provenant d’une entité listée, et personne ne l’a remarqué, parce que la norme de diligence exclut l’étape qui l’aurait permis. Les recommandations de conformité du secteur traitent cela comme une routine : « Une caméra vendue sous une marque à consonance américaine ou européenne peut toujours être du Hikvision ou du Dahua au niveau de la couche matérielle », note une note de conformité de mai 2026 d’IntelliSee, qui recense les audits d’inventaire en marque blanche comme la source la plus courante de constats liés à l’article 889 en 2025 et 2026. L’instrument qui établit le constat dans ces cas-là est un audit, l’étape dont la définition de l’enquête raisonnable dispense.

Les deux récits partagent une racine. Dans l’un, la paperasse était vraie et insuffisante. Dans l’autre, elle était fausse et non examinée. Dans les deux cas, l’assurance sur laquelle reposait la chaîne d’approvisionnement de la Royal Navy était une déclaration que personne n’était tenu de vérifier, et dans les deux cas la déclaration tient toujours : personne ne l’a retirée, et rien de publié ne la contredit.

Les instruments britanniques sont aussi des déclarations

Il serait commode de lire cela comme une norme américaine qui aurait fait défaut à un acheteur britannique. Les propres instruments de la Grande-Bretagne suivent le même dessin.

Le ministère de la Défense intègre la cybersécurité dans sa chaîne d’approvisionnement au moyen du Cyber Security Model, imposé contractuellement par la Defence Condition 658. Une équipe de livraison évalue une activité et fixe un profil de risque ; puis, selon les termes publiés par le ministère, « les fournisseurs s’autoévaluent au regard des exigences du CSM à l’aide d’un questionnaire d’assurance fournisseur ». Le questionnaire est noté automatiquement et le fournisseur est informé aussitôt s’il a réussi. Les maîtres d’œuvre appliquent le même processus à leurs sous-traitants, et ceux-ci aux leurs, « en descendant ainsi les niveaux de sous-traitance jusqu’au bout de la chaîne d’approvisionnement ». Ce régime encadre la posture cyber d’un fournisseur plutôt que la provenance du matériel à l’intérieur d’un produit livré, et les orientations publiées n’établissent pas qu’il atteigne cette caméra. Le motif est là : à chaque niveau d’une chaîne d’approvisionnement de la défense britannique, l’instrument de l’assurance est un questionnaire que le fournisseur remplit à propos de lui-même.

La Grande-Bretagne a aussi sa propre règle concernant les équipements de surveillance chinois, plus ancienne que cette histoire et plus large que la Section 889. En novembre 2022, Oliver Dowden a déclaré au Parlement que les ministères avaient reçu instruction « de cesser le déploiement de tels équipements sur des sites sensibles, lorsqu’ils sont produits par des entreprises soumises à la loi sur le renseignement national de la République populaire de Chine ». C’est un critère de juridiction plutôt qu’une liste de noms et, de prime abord, il attrape des entreprises que la clause américaine manque. La même déclaration conseillait qu’aucun équipement de ce type « ne devrait être connecté aux réseaux centraux des ministères ». Le vecteur que cette caméra a utilisé avait été nommé à Whitehall il y a quatre ans. Mais l’instruction s’attache aux sites. Il a également été demandé aux ministères d’envisager de retirer et de remplacer ces équipements là où ils étaient déjà déployés. Rien de ce qui a été publié ne dit que quiconque en ait appliqué une partie aux bateaux.

Ce que le dossier ne contient pas

Au 11 août 2026, aucun compte rendu publié n'indique à quelle fréquence les caméras émettaient un signal, quelle entreprise les a fabriquées, quel tiers les a vendues à Kraken, combien des vingt coques ont été touchées, quand l'évaluation de vulnérabilité a eu lieu ou ce qui l'a déclenchée, si les caméras ont été remplacées ou seulement coupées, si les mêmes unités se trouvent sur d'autres équipements du ministère de la Défense, ni ce qu'il y avait à l'autre bout de la connexion.

La position du ministère n'a pas bougé : une évaluation de routine a découvert le problème, et une enquête approfondie « n'a trouvé aucune preuve que des données ou systèmes du ministère de la Défense aient été consultés, compromis ou transmis à l'extérieur ». Rien de publié ne donne de raison d'en douter, et l'argument ici n'en a pas besoin.

Prenez le démenti entièrement au mot, et la question lui survit. Un signal qui ne transporte aucun contenu dit tout de même à qui le reçoit qu'un appareil existe, qu'il est alimenté, qu'il dispose d'une voie de sortie, et qu'au moment où il cesse, quelque chose à son sujet a changé. Sharpe va chercher l'affaire qui a rendu cela public : en 2018, écrit-il, les cartes thermiques d'activité physique de Strava « ont révélé des bases occidentales supposément secrètes en publiant les itinéraires de footing de soldats ». Là non plus, rien n'avait été piraté. Ce qui avait été publié, c'était où les gens avaient été et quand, sous forme agrégée, et c'était la base. Sa propre comparaison porte sur les poignées de main des téléphones, qui ne trahissent presque rien une par une et, par millions, « révèlent des positions, des schémas de vie et le tempo ».

C'est pourquoi il ne l'écarte pas. « Savoir quand et éventuellement où une caméra sur un navire des forces spéciales se réveille, écrit-il, ce n'est pas rien. »

La géographie est le seul endroit où le dossier se contredit lui-même, et cela vaut la peine de l'exposer plutôt que de l'aplanir. Le Telegraph a photographié un K3 dans le port de Portsmouth, et l'avis du capitaine du port du roi lui-même indique que des essais de K3 se poursuivent dans le Solent jusqu'en décembre. Mais le 10 août, le Telegraph a également écrit que la flotte est « exploitée depuis le quartier général du Special Boat Service à Poole depuis mars », tandis que l'annonce de la Royal Navy en mars affectait les bateaux au Coastal Forces Squadron et au 47 Commando Royal Marines, formations basées à Portsmouth et à RM Tamar, à Devonport. Les deux versions sont publiées, aucune n'a été retirée, et elles ne peuvent pas toutes deux être tout le tableau. Ce que le reportage initial affirme de façon plus restreinte, c'est que les forces spéciales ont utilisé les drones et que du personnel habilité au secret à leur quartier général a pu apparaître à l'image.

En mai, le ministère de la Défense a déclaré que les drones feraient partie d'un déploiement possible destiné à protéger la navigation dans le détroit d'Ormuz, en cas de cessez-le-feu durable. Aucun K3 n'y a été signalé. Les enjeux attachés au champ de vision d'une caméra n'étaient pas hypothétiques.

L’audit est arrivé tard

Aucun de ces équipements n’a été acheté à la légère, et c’est ce qui donne sa forme à l’histoire. Le contrat est passé par un appel d’offres concurrentiel avec douze soumissionnaires, parmi lesquels BAE Systems, Kongsberg et L3Harris. Il a été décidé le 5 mars et annoncé le 11, à 10,25 millions de livres hors TVA, et remporté par une entreprise fondée en 2020 dont les investisseurs comprennent le Fonds d’innovation de l’OTAN et le propre Fonds d’investissement stratégique pour la sécurité nationale du Royaume-Uni, dont les clients incluent le Commandement des opérations spéciales américain, et qui construit aux côtés de la division navale de Rheinmetall. Le gouvernement avait promis 5 milliards de livres pour la technologie des drones et juré que les achats seraient « sans complexe pro-britanniques ». C’était la chaîne la mieux dotée en références que la technologie de défense britannique pouvait assembler, et sa garantie consistait encore en déclarations.

La réponse de Kraken à l’histoire mérite d’être citée intégralement : « Nous savons que certaines caméras de tiers, conformes à la NDAA, comportaient un petit nombre de composants provenant de l’extérieur du Royaume-Uni. Après un audit complet mené à la fois par Kraken et par la Royal Navy, nous sommes convaincus qu’aucune information sensible n’a jamais été partagée en dehors des canaux prévus et que toutes les vulnérabilités potentielles ont été identifiées et fermées. » Le communiqué ne nomme aucun pays. Il nomme bien un audit, mené conjointement par le constructeur et la Navy, qui est la seule forme de diligence dont la définition même de la norme de conformité dispense. Il a eu lieu après que le battement de cœur a été trouvé.

La réponse politique pointe dans la même direction. Alicia Kearns, la ministre fantôme de la sécurité : « Si nous ne pouvons pas dire avec confiance ce qu’il y a à l’intérieur de notre propre équipement militaire, nous ne pouvons pas dire qu’il est à nous, ni que nous sommes souverains. » Son parti a appelé le gouvernement à « auditer d’urgence » ses équipements à la recherche de composants chinois. Un audit répondrait à la question. C’est aussi précisément l’étape que la norme contre laquelle on audite dit que personne n’a jamais eu à franchir.

Internet a été retiré des caméras. Le dossier publié ne dit pas que les caméras ont été retirées des bateaux. Et les deux mots qui ont voyagé avec elles, d’un tiers non nommé au constructeur puis à la Navy, restent, pour autant que montre tout ce qui a été publié, vrais.

---

Sources : The Telegraph, 9 et 10 août 2026 (le second par Tom Sharpe, avec les éléments Hannaford et Strava) ; The Register, 10 août 2026 ; The Wall Street Journal, 10 août 2026 ; The Independent, 10 août 2026 ; Navy Lookout, 11 mars 2026, pour l’appel d’offres, les soumissionnaires, la fondation de Kraken, ses investisseurs, son travail avec le Commandement des opérations spéciales américain et la coentreprise Rheinmetall ; la propre annonce d’attribution de la Royal Navy, 11 mars 2026 ; l’avis d’attribution du MoD sur Find a Tender, 2026/S 000-021405, pour la date de décision du 5 mars et les deux montants du contrat ; Kraken Technology Group ; FAR 52.204-24 et 52.204-25, acquisition.gov ; KrebsOnSecurity, 2 avril 2019, sur les recherches de Paul Marrapese ; note de conformité IntelliSee, mai 2026 ; gov.uk, Cyber Security Model ; déclaration ministérielle écrite HCWS386, 24 novembre 2022. Pollar n’a pas sollicité de commentaire auprès du ministère de la Défense ni de Kraken Technology Group avant publication.