Des agents fédéraux américains, dont des employés de la FAA, doivent installer sur leurs téléphones de service une application financée à hauteur de 1,4 million de dollars, liée à la Maison-Blanche. Des chercheurs en cybersécurité affirment y avoir identifié du code piloté par Elfsight, éditeur fondé en Russie et dont une entité russe reste active. La Maison-Blanche assure que l’application ne collecte pas la localisation et que les composants concernés ont été revus.
Dans un contexte de tensions durables entre Washington et Moscou, la présence d’un fournisseur à racines russes dans une application imposée à des personnels publics relance une question sensible, celle de la maîtrise réelle des briques logicielles embarquées sur des terminaux gouvernementaux.
La FAA contrainte d’installer une application fédérale à 1,4 million $
Selon les informations rapportées par plusieurs acteurs du secteur, des employés fédéraux, dont des personnels de la FAA, doivent installer une application liée à la Maison-Blanche sur leurs appareils mobiles professionnels. Le montant évoqué, 1,4 million de dollars, situe l’outil dans la catégorie des projets numériques structurants, typiquement déployés à grande échelle dans l’administration. Le caractère obligatoire du déploiement renforce l’enjeu: l’application n’est pas un service optionnel, elle s’inscrit dans des usages de travail et dans un parc de terminaux contrôlés par l’employeur public.
Dans ce type de déploiement, la question n’est pas uniquement celle de la finalité fonctionnelle, communication interne, accès à des contenus, formulaires, calculatrices, ou modules vidéo. Elle porte aussi sur la chaîne complète de dépendances techniques: bibliothèques JavaScript, services d’analyse, composants web affichés dans des webviews, et infrastructures distantes qui peuvent, selon leur configuration, influencer ce qui s’exécute sur le terminal. Les administrations tentent de limiter ces risques via des audits, des règles de durcissement et des revues de code, mais la réalité des applications modernes repose sur des assemblages de modules parfois très nombreux.
Le cas présent met en lumière une difficulté récurrente: une application peut être développée sous contrat public, hébergée sur des environnements conformes, tout en intégrant des composants fournis par des tiers. Ces composants peuvent être utilisés pour des widgets, des formulaires, des calculateurs ou des intégrations multimédias. Même quand ces éléments semblent périphériques, ils créent des points de contact techniques qui doivent être cartographiés, documentés, puis surveillés dans le temps, car les scripts peuvent évoluer.
La contrainte d’installation sur des téléphones de service pose aussi un sujet de gouvernance interne. Les agents concernés disposent rarement d’une visibilité sur les choix de fournisseurs, les clauses de sécurité ou les résultats d’audit. De ce fait, l’annonce qu’une brique logicielle extérieure, possiblement administrée par un tiers, intervient dans l’exécution de code au sein de l’application alimente les interrogations, même si aucune compromission n’est établie à ce stade.
Elfsight, fondée à Toula en 2016, revendique un siège en Andorre
Le composant mis en cause est attribué à Elfsight, société fondée en 2016 dans la ville russe de Toula par son directeur général Andrey Yusupov et son directeur technique Vladimir Fedotov, selon les éléments cités par des chercheurs. L’entreprise se présente aujourd’hui comme un fournisseur européen de logiciels, avec un siège en Andorre. Dans l’économie numérique, ce type de repositionnement géographique est fréquent, notamment pour des raisons commerciales, fiscales ou de perception de marque.
Le point sensible, dans ce dossier, tient au fait que l’entité russe d’origine resterait active. Les chercheurs et documents évoqués indiquent que les opérations en Russie ne se sont pas éteintes malgré la dégradation du contexte géopolitique depuis 2022. Pour les clients, la présence d’une structure locale peut avoir des explications légitimes, support, ressources humaines, développement. Pour un environnement gouvernemental américain, elle fait naître un risque de conformité et de dépendance, car la localisation de certaines équipes et la juridiction applicable peuvent influencer la capacité d’un État tiers à exiger des accès ou des informations.
Le débat se cristallise autour d’un principe: même si une entreprise a un siège déclaré hors de Russie, l’existence d’activités substantielles sur le territoire russe, et la persistance de liens personnels ou financiers, peuvent exposer l’organisation à des pressions. Ce risque ne prouve pas un abus, mais il modifie l’analyse de menace. Les administrations, comme les entreprises critiques, ont tendance à appliquer des politiques plus strictes sur les fournisseurs à exposition élevée, en particulier quand les applications sont imposées sur des terminaux professionnels.
Autre dimension, la communication de l’entreprise et la perception externe. Afficher une identité européenne peut rassurer certains clients, mais le maintien d’une entité russe active devient un élément de contexte que les services de sécurité veulent pouvoir qualifier: quelles équipes opèrent quoi, quels accès existent, où sont hébergés les services, qui publie les mises à jour, et quelle traçabilité est disponible en cas d’incident.
Chiffres 2025 en Russie: 126,5 millions de roubles et effectifs en hausse
Les éléments avancés indiquent qu’en 2025, l’entité russe d’Elfsight aurait déclaré un chiffre d’affaires d’environ 126,5 millions de roubles, soit près de 1,6 million de dollars, avec une progression de 71% sur un an. Ces chiffres, s’ils sont exacts, décrivent une activité qui non seulement perdure, mais croît. Pour un débat de sécurité, ce n’est pas un détail: une entité en expansion suppose des équipes, des process et une capacité de développement qui peuvent rester connectés à la production logicielle globale.
Les effectifs seraient montés à 61 employés, et des offres d’emploi mentionneraient des recrutements de développeurs en Russie jusqu’en 2026. Une annonce viserait un poste de support basé à Moscou, rémunéré entre 60 000 et 100 000 roubles par mois. Ces informations, prises isolément, relèvent de la vie normale d’une entreprise. Dans un dossier impliquant une application installée sur des appareils fédéraux, elles servent de signal sur la réalité opérationnelle: la Russie resterait un bassin de production et de support.
Le cadre légal russe est également cité par les chercheurs, notamment la possibilité, pour les autorités, d’imposer des obligations de conservation locale de données et d’accès dans certains cas. Les modalités exactes varient selon les services et les catégories de données, mais l’idée générale est connue des responsables cyber: l’environnement juridique d’un pays peut créer un levier indirect sur des entreprises locales ou ayant des actifs locaux.
Un représentant du support client d’Elfsight affirme, selon les informations disponibles, que l’entreprise n’aurait jamais reçu de demande des autorités russes pour des données utilisateurs ou un accès. Cette déclaration ne permet pas, à elle seule, de conclure à l’absence de risque, mais elle constitue un élément de réponse. Pour les administrations, la question centrale reste la vérifiabilité: quelles preuves d’audit, quels journaux, quelles garanties contractuelles, et quelles mesures techniques rendent une demande externe inopérante ou détectable.
| Élément | Information rapportée | Enjeu pour un déploiement fédéral |
|---|---|---|
| Budget du projet | 1,4 million $ | Déploiement large, exigence d’audit renforcée |
| Origine d’Elfsight | Toula, 2016 | Historique et exposition géopolitique à qualifier |
| Entité russe | Active, revenus 126,5 M RUB | Risque de dépendance et de juridiction |
| Recrutements | Offres jusqu’en 2026, poste à Moscou | Capacité opérationnelle locale persistante |
Atomic Computer évoque des scripts Elfsight et des cookies publicitaires via YouTube
La controverse est partie d’analyses techniques attribuées à la société de sécurité Atomic Computer. Selon ces éléments, des serveurs d’Elfsight détermineraient quels fichiers JavaScript s’exécutent dans l’application. Dans l’architecture web moderne, ce point est crucial: si un script est chargé dynamiquement depuis une infrastructure tierce, l’entité qui contrôle cette infrastructure peut, théoriquement, modifier le contenu livré, sauf mécanismes de verrouillage comme l’intégrité de sous-ressource, le pinning, ou un empaquetage statique.
Les mêmes analyses mentionnent l’acceptation de plus de dix cookies liés à Elfsight, et la présence de domaines publicitaires comme Google DoubleClick chargés via des sections YouTube de l’application. La présence de traceurs publicitaires dans un contexte gouvernemental pose un problème de principe, même si les données collectées sont limitées. Les politiques internes des administrations cherchent souvent à éviter les dépendances à des régies publicitaires, parce qu’elles augmentent la surface d’exposition, multiplient les acteurs impliqués et peuvent générer des métadonnées de navigation.
Une porte-parole de la Maison-Blanche, Olivia Wales, a déclaré que l’application ne demande ni ne collecte la localisation des utilisateurs et que les informations y seraient sûres et sécurisées. Un responsable de la Maison-Blanche a ensuite précisé que le seul script restant d’Elfsight chargerait un calculateur fiscal dans une webview isolée, exécutée en bac à sable, sans connexion aux cookies ou aux fichiers. Sur le plan technique, ce type de cloisonnement peut réduire fortement le risque, à condition que la séparation soit réelle, vérifiée, et maintenue lors des mises à jour.
Le même responsable indique qu’Elfsight aurait passé une revue complète de sécurité et qu’il s’agit d’un fournisseur utilisé par des marques connues comme UFC, FIFA, la NBA ou Cartier. Cet argument d’adoption par de grands noms peut signaler une maturité produit, mais il ne remplace pas une évaluation adaptée au secteur public. Les tolérances au risque diffèrent: une application de marque peut accepter des cookies marketing là où un environnement fédéral cherche à les éliminer. La question, ici, porte sur la nécessité de ce composant, sur la réduction des dépendances et sur la preuve d’un contrôle total de la chaîne d’exécution.