Les services secrets français ont-ils un accès illimité aux données sensibles des banques et des fiscs suisses? Après Le Matin Dimanche, qui révélait la sous-traitance de données fiscales genevoises à une société française, la RTS a exhumé lundi une alerte du même acabit, qui remonte à 2008. Cette année-là, la société Ilion Security, spécialisée dans le ethical hacking et autres tests de sécurité informatique, est rachetée par le français Lexsi. A sa tête, Joël Rivière, ex-chef du département informatique à l’Institut de recherche criminelle de la gendarmerie française. Et, affirme la RTS, ancien de la DGSE, les services secrets français.

Ilion Security marchait alors à plein. Sa spécialité: trouver la faille dans la sécurité informatique de ses clients. Ses clients? «Nous avions 80% du marché bancaire romand, nous travaillions avec plusieurs administrations, à Genève et dans d’autres cantons», explique au Temps Lorin Voutat, ancien patron de l’entreprise.

Beaucoup de clients, et un accès privilégié à des données très sensibles. «C’est simple, nous avions près de 100% de réussite sur nos tests d’intrusion, se souvient Lorin Voutat. Pour une banque privée, cela voulait dire l’accès aux noms des clients, la prise de contrôle du système informatique, la possibilité de faire des transferts… tout!» Et d’en plaisanter aujourd’hui: «Quand je vois ce que les pays étrangers paient pour des données volées, on aurait pu être tenté de les garder!»

Dans ce contexte, la prise de contrôle d’Ilion par une société française, en mains d’un supposé barbouze, inquiète les services de renseignement fédéraux. Lesquels, affirme la RTS, préviennent la police genevoise, courant 2009, de ce qu’ils considèrent comme un risque d’espionnage. Alors en charge de la Direction générale des systèmes d’information (DGSI), le conseiller d’Etat Mark Muller est averti en personne, et invité à ne plus travailler avec Ilion. Les banques, quant à elles, sont alertées via leur propre canal d’information, baptisé «e-alert».

Contacté par Le Temps, Mark Muller ne tient pas à s’exprimer. Quant aux services de Pierre Maudet, aujourd’hui en charge de la DGSI, il ne leur «est pas possible de confirmer l’information selon laquelle les services secrets nous auraient alertés de risques encourus en faisant appel à cette société». Mais le département promet que «le dernier contrat avec Ilion remonte à 2008, dans le cadre d’un audit de sécurité informatique. Depuis, aucun contrat n’a été donné à cette société.» De son côté, le Service de renseignement de la Confédération ne souhaite pas communiquer le «résultat de son travail».

Reste une question: le risque de voir des données s’envoler vers Paris était-il réel? Selon plusieurs sources, il l’était. «On a beaucoup spéculé, dans le milieu, sur les liens entre Lexsi et les services français, confie un spécialiste de l’intelligence économique. Dans la place financière, l’arrivée de cet acteur a inquiété. Il y a beaucoup de sociétés comme celles-ci, créées par des anciens des services. Cela représente toujours un risque. Si l’on considère en plus que la France avait déjà intérêt à infiltrer certaines banques pour des raisons fiscales, alors les services suisses ont bien fait de donner l’alerte.»

Un avis que partage Lorin Voutat. «Oui, sur le papier, le risque était réel, les données étaient sensibles et disponibles. Mais on n’a quasiment jamais vu Joël Rivière et je crois qu’il a vraiment voulu faire une opération financière en nous rachetant, c’est tout. De toute façon, certaines administrations sont tellement mal protégées que celui qui veut les pirater n’a pas besoin de racheter Ilion… il lui suffit d’un bon cheval de Troie.»

Attention pourtant à ne pas verser dans la paranoïa, estime la source citée plus haut: «Des sociétés comme Lexsi peuvent collaborer avec des services de renseignement simplement parce qu’elles ont des compétences techniques qu’ils n’ont pas, sans pour autant être leur bras armé. Il me paraît un peu gros qu’une société française prenne le contrôle d’une société genevoise dans le seul but d’infiltrer des banques. Ce ne serait pas très discret…»

Aujourd’hui installé dans le sud de la France, Joël Rivière tombe des nues quand on l’interroge sur ses intentions de l’époque. «C’est du grand n’importe quoi! D’abord, je ne suis pas un ancien de la DGSE, mais de la gendarmerie. Ensuite, ce sont les gens d’Ilion qui faisaient les audits, pas moi. Avais-je accès à des données sensibles? Oui, peut-être, et alors? J’aurais pu les revendre à d’autres pays aussi, tant que vous y êtes… C’est du délire! Mais, maintenant que j’y réfléchis, il est bien possible que vous ayez raison et que les services suisses aient donné l’alerte. Parce qu’on n’a plus jamais eu de boulot et la boîte a coulé…»

Avant qu’elle ne coule, Joël Rivière a trouvé le moyen de la revendre, quelques mois après l’avoir achetée, à un grand fonds d’investissement qui a mis la main sur l’entier de Lexsi. L’ancien gendarme s’occupe désormais d’automobile en Provence.

«Des sociétés créées par des anciens des services représentent toujours un risque»