Un appel d’offres perdu avec une offre concurrente étrangement ajustée. Une clause discutée à huis clos qui revient dans la bouche d’un tiers. Un concurrent qui anticipe, une fois de trop, une décision que trois personnes seulement connaissaient.
À ce stade, vous n’avez pas de preuve. Vous avez un faisceau. Ce que vous ferez dans les quarante-huit heures qui suivent déterminera pourtant ce que vous pourrez démontrer ensuite et, parfois, la possibilité même de remonter à l’origine de la fuite.
Voici l’ordre dans lequel nous conseillons de procéder, et les erreurs qui ferment des portes définitivement.
Heure zéro : restreindre le cercle
La première décision n’est pas technique, elle est humaine. Qui doit savoir que vous avez un doute ?
La réponse tient rarement à plus de deux ou trois personnes : le dirigeant, éventuellement le conseil juridique, et la personne qui pilotera les vérifications. Pas le comité de direction au complet, pas le service informatique dans son ensemble, pas l’assistant qui gère les agendas. Non par défiance, mais parce que chaque personne informée est une personne de plus susceptible d’en parler dans la pièce concernée.
Dans une part significative des affaires que nous traitons, l’accès aux locaux a été obtenu par un familier de l’entreprise : prestataire, visiteur régulier, ancien collaborateur, parfois collaborateur en poste. Une réunion de crise organisée dans la salle du conseil pour évoquer une suspicion d’écoute reste l’une des erreurs les plus fréquentes, et les plus coûteuses.
Dans les premières heures : changer de canal
Si vous suspectez une compromission, considérez que le doute porte aussi sur les moyens que vous utilisez pour en parler. Cela vaut pour la salle de réunion, mais aussi pour la messagerie d’entreprise, le téléphone professionnel et les outils de visioconférence.
Choisissez un canal distinct pour organiser la suite : un autre lieu, un appareil qui ne séjourne pas habituellement dans les locaux concernés. Cette précaution paraît excessive tant qu’on n’a rien trouvé. Elle devient déterminante lorsqu’un dispositif est effectivement actif.
Le même jour : figer la situation
Le réflexe naturel consiste à nettoyer : réinstaller un poste suspect, changer les mots de passe partout, démonter une prise qui intrigue, supprimer un compte. C’est précisément ce qu’il ne faut pas faire dans les premières heures.
Un poste réinstallé efface les artefacts qui auraient permis d’identifier le vecteur d’intrusion. Un dispositif arraché perd sa valeur probante : sa position exacte, son mode d’alimentation et sa configuration disent souvent qui a pu l’installer, et quand. Les journaux techniques, eux, s’écrasent au bout de quelques jours sur la plupart des équipements.
La règle est simple : on documente avant d’agir. Photographies, horodatages, notes écrites, conservation des équipements en l’état. La remédiation vient après, de façon coordonnée.
Premier jour : écrire la chronologie
Prenez une heure pour poser par écrit, hors des outils de l’entreprise, les faits bruts. Pour chaque incident : la date, l’information concernée, les personnes qui la détenaient, le lieu où elle a été discutée, le support par lequel elle a circulé.
Ce document est l’outil de travail le plus utile de toute la séquence. Il fait apparaître des recoupements qu’aucune intuition ne donne. Il arrive qu’il suffise à circonscrire le problème : lorsque seules les décisions prises dans une pièce précise ont fuité, on tient un périmètre. Lorsque la fuite suit une personne plutôt qu’un lieu, l’hypothèse change de nature.
Tenez-vous-en aux faits. Les hypothèses sur l’identité d’un responsable n’ont pas leur place dans ce document, et peuvent se retourner contre vous si une procédure s’engage.
Deuxième jour : définir le périmètre à vérifier
L’espionnage industriel emprunte aujourd’hui trois voies qui se combinent : la captation physique dans les locaux, la compromission des terminaux, l’intrusion sur les réseaux. Un examen qui n’en couvre qu’une seule laisse les deux autres ouvertes.
Votre chronologie vous indique par où commencer. Les lieux où les informations ont été discutées, les véhicules si des conversations s’y tiennent, les terminaux mobiles des personnes concernées, les accès distants et les comptes à privilèges. Il n’est pas toujours nécessaire de tout traiter d’emblée : il est en revanche nécessaire de décider consciemment de ce que l’on écarte, et pourquoi.
Ce qu’il ne faut pas faire
- Chercher soi-même avec un détecteur acheté en ligne. Ces appareils ne repèrent ni les enregistreurs qui n’émettent rien, ni les dispositifs en veille, ni les émetteurs qui transmettent par salves. Une fouille improvisée alerte surtout l’adversaire.
- Confronter la personne soupçonnée. Tant que les faits ne sont pas établis, une confrontation prématurée fait disparaître les traces et expose l’entreprise sur le terrain prud’homal.
- Élargir l’information en interne. Une note de service sur la confidentialité, diffusée le lendemain d’une suspicion, est un signal parfaitement lisible pour qui a installé un dispositif.
- Attendre d’avoir une certitude. La certitude arrive rarement seule. Dans la plupart des cas que nous traitons, elle arrive avec la perte d’un marché.
Préparer le volet juridique en parallèle
La captation de paroles prononcées à titre privé ou confidentiel, à l’insu des personnes, constitue une atteinte à l’intimité de la vie privée réprimée par l’article 226-1 du Code pénal. En cas de découverte, vous disposerez donc d’un fondement pour agir, à condition d’avoir des éléments exploitables.
C’est la raison pour laquelle la documentation prime sur la remédiation immédiate. Associez votre conseil dès le début de la séquence : il vous dira ce qui peut être utilement conservé, et sous quelle forme.
Faire intervenir un tiers
Une vérification interne pose deux problèmes. Le premier est technique : identifier un dispositif passif ou un logiciel espion suppose un matériel spécifique et une pratique régulière. Le second est plus délicat : si la fuite vient de l’intérieur, confier la recherche aux équipes internes revient à informer la personne concernée.
Une opération de contre-mesures de surveillance technique conduite par un tiers, en dehors des heures ouvrées et sans annonce préalable, règle les deux difficultés d’un coup. Elle produit en outre un document opposable, ce qu’une vérification interne ne permet presque jamais.
Questions fréquentes
Faut-il déposer plainte avant ou après les vérifications ?
Les deux démarches ne s’opposent pas, mais une plainte s’appuie sur des éléments. Beaucoup d’entreprises font d’abord constater techniquement la situation, puis déposent plainte avec un rapport documenté. Votre conseil juridique est le mieux placé pour arbitrer selon votre contexte.
Peut-on licencier un salarié soupçonné d’avoir transmis des informations ?
Cela relève du droit du travail et de la preuve, pas de la technique. Une décision prise sur la base d’un soupçon, sans élément établi, expose l’entreprise. Raison de plus pour documenter avant d’agir.
Combien de temps faut-il pour obtenir une réponse technique ?
Une intervention sur des bureaux de direction occupe généralement une équipe complète de six à neuf heures pour 200 m². Les grands sites se comptent en journées. En cas d’échéance proche, des interventions en urgence sont possibles, en France comme à l’international.
Et si l’on ne trouve rien ?
C’est le résultat le plus fréquent, et ce n’est pas un échec. Il écarte une hypothèse, documente l’état des lieux à une date donnée, et réoriente les recherches vers le vecteur humain ou numérique. Une recherche qui ne trouve rien vaut toujours mieux qu’un doute qui s’installe.
Comment éviter que cela se reproduise ?
Par des mesures simples et tenues dans la durée : contrôle des accès des prestataires, règles sur les appareils en salle de réunion, cloisonnement de l’information sensible, et vérifications régulières plutôt que ponctuelles.
En cas de doute
Depuis 1991, International ICS accompagne des entreprises, des institutions et des dirigeants exposés dans la détection et la neutralisation des dispositifs de surveillance clandestins. Contactez-nous depuis un lieu et un appareil sans lien avec les locaux concernés : c’est la première précaution, et elle ne coûte rien.
Suivez-nous sur notre page Linkedin