Pour Amnesty International, le 31 mars 2016 est une date importante. L’ONG publie alors un rapport sur les droits des travailleurs construisant les stades de la Coupe du monde de football 2022, au Qatar.

La question est très sensible, et le rapport, très critique pour l’émirat du Golfe, est abondamment relayé par les médias. Fruit d’une longue enquête, il lève un coin du voile sur les effroyables conditions dans lesquelles la Coupe du monde est préparée, et force même la FIFA à réagir. Mais l’organisation ne se doute pas qu’il sera le point de départ d’une étrange affaire, dans laquelle une fausse ONG, soupçonnée d’être liée à un Etat, tentera de l’espionner.

Quelques jours auparavant, l’ONG a fait circuler son rapport, sous un strict embargo. La veille de sa publication, une employée d’Amnesty travaillant à Paris, chargée de la question des droits des travailleurs au Qatar, reçoit un courriel, écrit en français. Ce message provient d’une autre ONG et propose à Amnesty une collaboration sur cette délicate question. Le même jour, le responsable presse d’Amnesty reçoit un coup de téléphone de la même personne, au fort accent français, lui faisant une proposition similaire : ils échangent leurs coordonnées et conviennent de se rappeler plus tard.

Les employés d’Amnesty n’ont jamais entendu parler de cette ONG, nommée Voiceless Victims, mais ça n’est pas si surprenant, pensent-ils alors, compte tenu du nombre d’organisations travaillant sur ce sujet.

Cette missive sera la première d’une série de messages similaires provenant de membres de Voiceless Victims et adressés à plusieurs membres d’Amnesty. Problème : après quelques mois et une enquête approfondie, à laquelle Le Monde a eu accès en avant-première, Amnesty affirme que Voiceless Victims n’est pas une véritable ONG. Et, pire, que cette organisation fantôme située en France a tenté, par le biais de pièces jointes insérées dans ses courriels, de les espionner.

« Repérage » en amont d’une attaque informatique

Selon les éléments recueillis par Amnesty, d’autres ONG ont été contactées et visées par Voiceless Victims, notamment l’Internationale des travailleurs du bâtiment et du bois (IBB), la Confédération syndicale internationale et Anti-Slavery International. Le point commun de ces organisations ? Elles s’intéressent toutes de très près à la question des droits des travailleurs au Qatar.

C’est un message adressé plusieurs mois après ces premiers échanges qui a éveillé la méfiance d’Amnesty. Début août, l’ONG reçoit un message d’une dénommée Amélie Lefebvre. En anglais, celle-ci dénonce le gouvernement qatari, qui « piétine quotidiennement les droits de centaines de milliers de travailleurs immigrés ». En pièce jointe, deux documents : une lettre pour Amnesty et un « brouillon de pétition ».

Lorsque l’un des destinataires tente d’ouvrir les pièces jointes, le système informatique d’Amnesty l’avertit d’un danger et empêche la connexion. Et pour cause : selon les experts de l’ONG, l’ouverture de ces documents aurait conduit à un site Web configuré pour détecter, notamment, les logiciels présents sur leurs ordinateurs ou leur géolocalisation. Selon Amnesty, cela pourrait correspondre à un « travail de repérage en vue d’une attaque plus intrusive ».

Une ONG qui s’intéresse exclusivement au Qatar

Inquiètes et intriguées, les équipes d’Amnesty se penchent alors sur le cas de Voiceless Victims. « À première vue, l’organisation peut sembler crédible » écrit Amnesty, citant par exemple les 6 000 « fans » de sa page Facebook, les profils bien pourvus de ses cinq membres sur les réseaux sociaux, le communiqué de presse annonçant son nouveau site Web, ou encore une vidéo à l’apparence très professionnelle dénonçant les conditions de travail au Qatar, postée dès la fin d’octobre 2015 et vue plus de 250 000 fois.

Mais à y regarder de plus près, plusieurs indices interpellent Amnesty. D’abord, le nombre d’angles morts dans les activités de Voiceless Victims : outre le Qatar, l’ONG s’intéresse bien à d’autres sujets, mais tous extrêmement généraux, comme « l’Afrique » ou « le droit des femmes ». Pour Amnesty, les publications correspondantes sur les réseaux sociaux ne servent que d’alibis destinés à faire croire que Voiceless Victims a d’autres axes de travail que la question qatarie.

En effet, les références à leurs autres combats sont au mieux maladroites, au pire dangereuses, d’un amateurisme suspect pour une organisation se disant professionnelle. Voiceless Victims a, par exemple, publié un sondage pour savoir, selon ses abonnés, « quels sont selon eux les droits de l’homme les plus couramment bafoués ». Dans un autre « post » sur Facebook, l’ONG demande que des travailleurs situés au Qatar partagent leur expérience des abus qu’ils subissent. Une « manière dangereuse et irresponsable de mener un travail de recherche sur les droits de l’homme », car elle expose les auteurs de ces témoignages à des représailles, tacle Amnesty. « Sur toute une série de sujets, comme les réfugiés, le travail des enfants ou le droit des femmes, le contenu posté par Voiceless Victims est systématiquement générique », poursuit l’ONG.

Amnesty s’est également intéressée aux profils des membres de cette étrange ONG. Elle a ainsi découvert que certaines parties des profils des membres de Voiceless Victims sur le réseau social LinkedIn étaient copiées telles quelles à partir de sites de modèles de CV en ligne. De plus, l’organisme dans lequel Luke Hann, présenté comme le fondateur de Voiceless Victims, prétend avoir travaillé sur son compte LinkedIn, a affirmé à Amnesty n’avoir jamais employé personne de ce nom. L’université d’Oxford a indiqué au magazine Forbes, qui a également reçu l’enquête d’Amnesty en avant-première, n’avoir jamais entendu parler de lui, alors qu’il prétend, sur son compte LinkedIn, l’avoir fréquenté. L’université ne propose pas non plus le diplôme qu’il indique avoir décroché sur son profil. Quant à l’organisme au Bangladesh dans lequel il affirme avoir travaillé, on n’en trouve aucune trace sur Internet, pas de trace non plus de celui avec lequel prétend avoir collaboré Amélie Lefebvre.

Un siège lillois vide

Déterminés à avoir le fin mot de l’histoire, les équipes d’Amnesty tentent de contacter l’ONG, par téléphone et par courrier, mais n’obtiennent aucune réponse. Deux employés d’Amnesty se rendent même 209 rue Nationale, à Lille, l’adresse indiquée sur le site de l’ONG fantôme. Là, ni boîte aux lettres, ni bureau : aucune trace de l’organisation et aucun des riverains interrogés par Amnesty – notamment le facteur et le concierge du bâtiment – n’ont entendu parler de Voiceless Victims.

Aucune association du nom de Voiceless Victims n’a été enregistrée au Journal officiel, a pu constater Le Monde. Nous avons tenté à plusieurs reprises, tout comme Amnesty, de contacter par téléphone et par e-mail des responsables de l’ONG.

Sans succès, dans un premier temps. La veille de la date de publication de cet article et de l’enquête d’Amnesty, initialement prévue le 15 décembre, Voiceless Victims est sortie de son silence de plusieurs mois et a joint par courriel Le Monde et le magazine Forbes, à qui Amnesty a également donné accès à son enquête en avant-première. Dans son message au Monde, « Luke Hann » explique que son organisation a « très tôt été confrontée à toutes sortes de menaces. Nous avons été attaqués à plusieurs reprises par ceux qui veulent s’assurer que personne n’expose leurs méfaits. Nous avons donc décidé de fonctionner de manière à pouvoir promouvoir ce en quoi nous croyons tout en nous protégeant ». Il n’a pas donné suite aux nombreuses questions précises que nous lui avons adressées, et nos demandes d’entretiens téléphoniques n’ont pas abouti.

À peu près au même moment, certaines pages de Voiceless Victims et de ses membres sur les réseaux sociaux ont été supprimées, ainsi que son site. Sur ce dernier, on peut désormais lire :

« “Voiceless Victims” est attaquée. Les méchants ont gagné. »

Qui se cache derrière Voiceless Victims ?

Pour Amnesty, les ressources nécessaires à la création, de toutes pièces, d’une fausse ONG crédible au premier abord ne laissent guère de place au doute : c’est un Etat qui se cache derrière cette opération d’espionnage. Mais lequel ? Faute de preuve, l’ONG reste extrêmement prudente. Le gouvernement qatari pourrait être le principal suspect : sollicité par Amnesty, ce dernier a expliqué dans une lettre n’avoir « jamais entendu parler de cette ONG ». « Après vérifications nous pouvons affirmer que le gouvernement du Qatar n’a strictement rien à voir avec la création de cette ONG », écrit-il encore.

Amnesty émet une autre hypothèse, celle de l’implication des Emirats arabes unis (EAU), un grand rival du Qatar : ce pays est accusé de financer en sous-main une ONG qui a notamment mené une enquête humanitaire sur la question des droits des travailleurs népalais au Qatar. De plus, les EAU sont très fortement soupçonnés d’avoir tenté de surveiller un militant émirati des droits de l’homme, Ahmed Mansoor, à l’aide d’un logiciel espion extrêmement sophistiqué. Amnesty s’est également rapprochée du gouvernement émirati, qui n’a pas répondu à ces sollicitations.

L’affaire de Voiceless Victims montre une nouvelle fois que la société civile est une cible de choix pour les gouvernements capables de financer des attaques informatiques, particulièrement dans les pays du Golfe, écrit Amnesty.

« Cela fait 8 ou 9 ans que nous suivons [ce type d’attaques] », expliquait fin août au Monde Ron Deibert, qui dirige le Citizen Lab, un laboratoire de l’université de Toronto spécialisé dans l’analyse des attaques informatiques :

« On peut dire que le niveau des attaques contre les groupes de défense des droits de l’homme a augmenté, dans la mesure où ces derniers sont de plus en plus connectés, donc plus exposés, et que les gouvernements sont de mieux en mieux équipés pour les pénétrer avec du matériel d’espionnage de plus en plus sophistiqué. »