L'utilisation par Microsoft d'un service d'assistance technique chinois suscite des craintes quant à l'exposition des données du gouvernement américain.

TL;DR Résumé exécutif

Au cœur de l'accord controversé de Microsoft se trouve un système conçu comme un compromis entre les exigences de sécurité et l'efficacité des entreprises. Depuis près de dix ans, le géant technologique utilise ce qu'il appelle des « escortes numériques », des citoyens américains disposant d'une habilitation de sécurité qui servent d'intermédiaires entre les ingénieurs étrangers et les systèmes gouvernementaux sensibles.

Le système fonctionne ainsi : des ingénieurs chinois fournissent des instructions techniques à ces accompagnateurs américains, qui exécutent ensuite des commandes sur les réseaux fédéraux sans nécessairement comprendre toutes les implications de leurs actions. Ces travailleurs, appelés « accompagnateurs numériques », manquent souvent de l'expertise technique nécessaire pour contrôler des ingénieurs étrangers aux compétences bien plus avancées, a découvert ProPublica. Certains sont d'anciens militaires ayant peu d'expérience en codage et qui sont payés à peine plus que le salaire minimum pour ce travail.

Cet accord a été conçu au début des années 2010, lorsque Microsoft cherchait à remporter des contrats fédéraux lucratifs dans le domaine du cloud computing tout en conservant sa structure mondiale en matière de main-d'œuvre. Microsoft a mis au point cet accord d'accompagnement afin de satisfaire les responsables du ministère de la Défense qui s'inquiétaient au sujet des employés étrangers de l'entreprise, compte tenu des exigences du ministère en matière de citoyenneté pour les personnes traitant des données sensibles.

Indy Crowley, un responsable de programme senior chez Microsoft surnommé le « FedRAMP whisperer » (l'homme qui murmure à l'oreille du FedRAMP) en raison de sa connaissance approfondie des réglementations gouvernementales, a joué un rôle clé dans l'élaboration de ce concept. Il a déclaré à ProPublica que le recours à des escortes virtuelles s'était imposé comme « la solution la plus simple » lorsque les responsables du ministère de la Défense ont fait part de leurs inquiétudes quant au fait que les employés de Microsoft à travers le monde pourraient être amenés à traiter des données sensibles.

Alors que les premiers rapports se concentraient sur l'utilisation par Microsoft du soutien chinois pour les systèmes du ministère de la Défense, des enquêtes ultérieures ont révélé que cette pratique s'étendait bien au-delà des applications militaires. L'entreprise a fait appel à son personnel mondial, y compris celui basé en Chine, pour assurer la maintenance des systèmes cloud de plusieurs départements et agences fédéraux.

Depuis des années, Microsoft utilise également son personnel mondial, y compris celui basé en Chine, pour assurer la maintenance des systèmes cloud d'autres départements fédéraux, notamment certains services du ministère de la Justice, du Trésor et du Commerce, selon les informations recueillies par ProPublica.

Le travail s'est déroulé dans le cadre de ce que l'on appelle le Government Community Cloud (GCC), une plateforme conçue pour les informations qui ne sont pas classifiées mais qui n'en sont pas moins sensibles. Selon les normes gouvernementales, cela inclut les données dont « la perte de confidentialité, d'intégrité et de disponibilité aurait des conséquences néfastes graves sur les opérations, les actifs ou les personnes d'une agence ».

Voici quelques exemples spécifiques d'utilisation du GCC :

• La division antitrust du ministère de la Justice utilise la plateforme pour mener des enquêtes pénales et civiles et intenter des poursuites judiciaires.
• Certaines divisions de l'Agence de protection de l'environnement utilisent les services de GCC.
• Le ministère de l'Éducation assure la maintenance des systèmes sur la plateforme.

Cette extension de l'accès étranger a alarmé les experts en cybersécurité, qui avertissent que même les données gouvernementales non classifiées peuvent fournir des renseignements précieux à des adversaires étrangers.

L'un des aspects les plus préoccupants du système d'accompagnement numérique est la disparité importante en matière d'expertise technique entre les accompagnateurs américains et les ingénieurs chinois qu'ils sont censés superviser. Ce déficit de compétences crée une vulnérabilité fondamentale qui, selon les experts, compromet l'ensemble du dispositif de sécurité.

« Nous espérons que leurs intentions ne sont pas malveillantes, mais nous ne pouvons vraiment pas en être sûrs », a déclaré une escorte actuellement en activité qui a accepté de s'exprimer sous couvert d'anonymat, craignant des répercussions professionnelles.

Le problème est structurel et intentionnel. Microsoft a reconnu que les escortes sont principalement là pour garantir le respect des procédures de traitement des données plutôt que pour assurer une surveillance technique. Matthew Erickson, un ancien ingénieur de Microsoft qui a travaillé sur le système d'escorte, a expliqué que « si quelqu'un exécutait un script appelé « fix_servers.sh » mais que celui-ci effectuait en réalité une action malveillante, les escortes n'en auraient aucune idée ».

Le recrutement d'escortes reflète ces attentes limitées. En janvier 2025, un sous-traitant de Microsoft a publié une annonce recherchant une escorte pour 18 dollars de l'heure, la principale exigence étant une habilitation de sécurité du ministère de la Défense plutôt qu'une expertise technique.

« Les gens obtiennent ces emplois parce qu'ils ont passé les contrôles de sécurité, pas parce qu'ils sont de bons ingénieurs », a déclaré l'escorte qui a accepté de s'exprimer anonymement et qui travaille pour Insight Global.

Cet arrangement signifie que chaque mois, l'équipe d'accompagnement de Microsoft traite des centaines d'interactions avec des ingénieurs et des développeurs basés en Chine, servant essentiellement de relais pour les instructions techniques étrangères vers les réseaux fédéraux sans capacité de surveillance significative.

Les failles inhérentes à l'approche de Microsoft sont apparues au grand jour en juillet 2025, lorsque des pirates informatiques soutenus par l'État chinois ont exploité les vulnérabilités de SharePoint, le logiciel de collaboration largement utilisé de Microsoft. L'attaque a compromis des centaines d'entreprises et d'agences gouvernementales, notamment la National Nuclear Security Administration (NNSA) et le Department of Homeland Security (DHS).

Ce qui a rendu cet incident particulièrement troublant, c'est la découverte ultérieure par ProPublica que l'assistance technique pour SharePoint est assurée par une équipe d'ingénieurs basée en Chine, chargée depuis des années de la maintenance du logiciel.

Le déroulement chronologique de l'attaque contre SharePoint révèle la complexité des défis en matière de sécurité :

• Les pirates informatiques chinois ont commencé à exploiter les failles de SharePoint dès le 7 juillet 2025.
• Microsoft a publié un correctif le 8 juillet, mais les pirates l'ont contourné.
• La société a ensuite publié un nouveau correctif offrant « des protections plus robustes ».
• Ces vulnérabilités ont permis aux pirates informatiques « d'accéder à l'intégralité du contenu SharePoint, y compris aux systèmes de fichiers et aux configurations internes, et d'exécuter du code sur le réseau ».

Bien qu'il n'y ait aucune preuve que l'équipe SharePoint de Microsoft basée en Chine ait joué un rôle dans l'attaque, cette coïncidence a mis en évidence les risques potentiels liés au fait que du personnel chinois assure la maintenance d'un logiciel que des adversaires américains attaquaient simultanément.

Les experts en sécurité nationale et en cybersécurité ont exprimé leur inquiétude face à ces révélations, beaucoup d'entre eux étant surpris que de tels arrangements aient pu exister. Harry Coker, ancien cadre supérieur de la CIA et de l'Agence nationale de sécurité qui a également occupé le poste de directeur national de la cybersécurité sous l'administration Biden, a déclaré à ProPublica que le système d'escorte numérique offrait une opportunité évidente pour l'espionnage.

« Si j'étais agent secret, je considérerais cela comme un moyen d'obtenir des informations extrêmement précieuses. Nous devons nous en préoccuper sérieusement », a déclaré Harry Coker, ancien cadre supérieur de la CIA et de l'Agence nationale de sécurité.

Ces préoccupations sont fondées à la fois sur les réalités techniques de cet accord et sur le cadre juridique régissant la collecte de données en Chine. Jeremy Daum, chercheur principal au Paul Tsai China Center de la Yale Law School, a expliqué que les lois chinoises autorisent les fonctionnaires à collecter des données « tant qu'ils agissent dans le cadre de ce qu'ils jugent légitime ». Il a souligné qu'il serait « difficile pour tout citoyen ou entreprise chinoise de résister de manière significative à une demande directe des forces de sécurité ou des forces de l'ordre ».

Rex Booth, ancien responsable fédéral de la cybersécurité qui occupe désormais le poste de directeur de la sécurité informatique chez SailPoint, a souligné que les risques dépassaient les préoccupations traditionnelles liées aux informations classifiées :

« Avec autant de données stockées dans les services cloud — et la puissance de l'IA pour les analyser rapidement —, même les données non classifiées peuvent révéler des informations susceptibles de nuire aux intérêts des États-Unis. »

Harry Coker, ancien cadre supérieur de la CIA et de la NSA

Ces révélations ont suscité des réactions rapides tant de la part du Congrès que du pouvoir exécutif. Le secrétaire à la Défense Pete Hegseth a immédiatement lancé un examen des pratiques en vigueur, déclarant sur les réseaux sociaux que

« Les ingénieurs étrangers, quel que soit leur pays d'origine, y compris bien sûr la Chine, ne devraient JAMAIS être autorisés à entretenir ou à accéder aux systèmes du ministère de la Défense. »

Une préoccupation bipartisane s'est manifestée au Congrès, les sénateurs Tom Cotton (R-Arkansas) et Jeanne Shaheen (D-New Hampshire) ayant adressé des lettres au secrétaire Hegseth pour demander davantage d'informations sur les accords d'assistance de Microsoft en Chine. L'intérêt du Congrès reflète une prise de conscience croissante de la menace cybernétique que représente la Chine et des préoccupations plus générales concernant la dépendance technologique vis-à-vis des pays étrangers.

John Sherman, qui a occupé le poste de directeur des systèmes d'information au sein du département de la Défense sous l'administration Biden, s'est dit surpris par ces conclusions et a appelé à « un examen approfondi par la DISA, le Cyber Command et les autres parties prenantes concernées ».

Le secrétaire à la Défense Pete Hegseth déclare qu'aucun soutien technique étranger n'est fourni au ministère de la Défense

Confrontée à la révélation publique de ses pratiques, Microsoft a rapidement pris des mesures pour répondre aux préoccupations immédiates tout en défendant son approche globale. La société a annoncé qu'elle ne ferait plus appel à des équipes d'ingénieurs basées en Chine pour prendre en charge les systèmes de cloud computing du ministère de la Défense et a laissé entendre que des changements similaires pourraient être apportés pour d'autres clients gouvernementaux.

Dans un communiqué, Microsoft a déclaré : « Microsoft a pris des mesures la semaine dernière pour renforcer la sécurité de nos offres cloud destinées au ministère américain de la Défense. À l'avenir, nous prendrons des mesures similaires pour tous nos clients gouvernementaux qui utilisent le Government Community Cloud (GCC) afin de garantir davantage la sécurité de leurs données. »

Cependant, la réponse de l'entreprise a soulevé autant de questions qu'elle a apporté de réponses. Microsoft a refusé de préciser ce qui remplacerait ses équipes d'assistance chinoises, si les escortes numériques continueraient d'être utilisées ou si l'assistance serait assurée par des ingénieurs basés dans d'autres pays étrangers. L'entreprise a également déclaré qu'elle « procéderait à un examen afin d'évaluer si des mesures supplémentaires étaient nécessaires » au cours du mois suivant.

Robert E. LaMear IV, fondateur de US Cloud, a proposé cette solution. US Cloud est le principal fournisseur tiers de services d'assistance pour les logiciels d'entreprise Microsoft.

« Microsoft devrait remplacer ses équipes d'assistance chinoises par US Cloud. Nous sommes prêts à travailler d'arrache-pied pour répondre aux exigences des agences en matière d'habilitation de sécurité. Notre entreprise a été conçue dès le départ pour répondre aux exigences fédérales en matière de souveraineté et de citoyenneté des données. Les agences peuvent également passer directement un contrat avec nous. »

En ce qui concerne plus particulièrement l'équipe SharePoint, Microsoft a reconnu l'existence de l'équipe d'ingénieurs basée en Chine, mais a souligné qu'elle « est supervisée par un ingénieur basé aux États-Unis et soumise à toutes les exigences de sécurité et à la révision du code par les responsables. Des mesures sont déjà en cours pour transférer ces activités vers un autre site ».

Les révélations concernant les escortes numériques s'inscrivent dans un contexte plus large de problèmes de sécurité chez Microsoft qui préoccupent les responsables gouvernementaux et les experts en cybersécurité. ProPublica a souligné que Microsoft a «à plusieurs reprises privilégié les profits de l'entreprise au détriment de la sécurité des clients », notamment lors d'un incident précédent où la société a ignoré les avertissements d'ingénieurs concernant un défaut de produit qui a ensuite été exploité par des pirates informatiques soutenus par l'État russe dans le cadre de l'une des plus grandes cyberattaques de l'histoire.

Précurseur de l'externalisation du support Microsoft Gov vers la Chine, Prescott Paulin, responsable du programme d'acquisition du ministère américain de la Défense, a publié cette vidéo sur LinkedIn en 2024, montrant que Microsoft l'avait redirigé vers un centre d'appel chinois lorsqu'il avait rencontré des difficultés pour accéder à ses « comptes liés à la défense après les heures de bureau ». Numéro de suivi de l'incident Microsoft : 2407040040000430.

Le système d'accompagnement lui-même a vu le jour à une époque où Microsoft cherchait activement à obtenir des contrats fédéraux dans le domaine du cloud computing. Ses collègues surnommaient l'un des principaux architectes du système « le chuchoteur FedRAMP » en raison de sa capacité à naviguer entre les exigences de sécurité du gouvernement. Cet arrangement a permis à Microsoft de conserver une structure de main-d'œuvre mondiale rentable tout en satisfaisant aux exigences de sécurité fédérales au niveau superficiel.

Prescott Paulin, responsable du programme d'acquisition du ministère américain de la Défense, 2024 Assistance Microsoft externalisée vers la Chine Vidéo

L'enquête de ProPublica a révélé que des inquiétudes concernant le système d'escorte numérique existaient au sein de Microsoft et parmi ses sous-traitants depuis le début. Diverses personnes impliquées dans ce projet, dont un responsable de la cybersécurité chez Microsoft, ont averti l'entreprise que cet arrangement était intrinsèquement risqué, mais Microsoft « l'a quand même lancé et développé ».

Un cas particulièrement notable concerne Tom Schiller, un ancien sous-traitant d'Insight Global qui a contacté une ligne d'assistance téléphonique du ministère de la Défense et écrit à plusieurs législateurs fédéraux en 2024 pour les mettre en garde contre l'escorte numérique. Ses plaintes ont finalement été transmises au bureau de l'inspecteur général de la Defense Information Systems Agency (DISA), qui a mené des entretiens mais a finalement renvoyé l'affaire à la direction de la DISA plutôt que de poursuivre l'enquête.

Les escortes actuelles ont également fait part de leurs inquiétudes. Un employé d'Insight Global a déclaré à ProPublica qu'ils avaient « à plusieurs reprises fait part de leurs inquiétudes concernant le manque d'informations à Microsoft, pendant plusieurs années et encore récemment en avril, ainsi qu'aux avocats d'Insight Global ». L'escorte a déclaré qu'ils étaient particulièrement préoccupés par les lois chinoises accordant une large autorité en matière de collecte de données et par l'exposition que cela créait pour les réseaux du gouvernement américain.

Les révélations de Microsoft ont des implications plus larges sur la manière dont le gouvernement fédéral aborde le cloud computing et la modernisation informatique. Cet incident met en évidence les tensions fondamentales entre la rentabilité, l'expertise technique et les exigences de sécurité qui ont façonné l'adoption des technologies par le gouvernement au cours de la dernière décennie.

L'adoption du cloud computing par le gouvernement fédéral a été largement motivée par les promesses de réduction des coûts, d'amélioration de l'efficacité et d'accès à des technologies de pointe. Cependant, l'affaire Microsoft montre que ces avantages peuvent s'accompagner de coûts cachés en matière de sécurité qui ne sont pas immédiatement apparents pour les acheteurs publics ou les organismes de contrôle.

Cette situation soulève également des questions quant à l'adéquation des mécanismes de contrôle actuels mis en place par le gouvernement. Bien que le système d'accompagnement soit en place depuis près d'une décennie, il semble que même les hauts responsables du ministère de la Défense ignoraient son existence. Cela suggère l'existence de lacunes importantes dans la manière dont les agences gouvernementales comprennent et surveillent les pratiques de leurs fournisseurs de technologies.

Alors que le gouvernement s'efforce de gérer les implications des révélations concernant le soutien apporté par Microsoft, des questions fondamentales subsistent quant à la manière de concilier les exigences en matière de sécurité et les réalités pratiques liées à l'activité sur un marché technologique mondial. Le système d'accompagnement numérique représentait une tentative pour trouver un équilibre, mais son échec apparent suggère que des approches plus robustes pourraient être nécessaires.

Cet incident pourrait accélérer les efforts déployés par le gouvernement pour réduire sa dépendance vis-à-vis du personnel étranger dans les domaines technologiques critiques, mais cette transition s'accompagnera probablement de coûts importants et de défis techniques. Le développement de capacités techniques nationales suffisantes pour répondre aux besoins informatiques complexes du gouvernement représente un défi majeur qui nécessitera des investissements soutenus et une attention politique particulière.

L'affaire Microsoft souligne également l'importance de la transparence dans les contrats technologiques gouvernementaux. Le fait qu'un dispositif de sécurité aussi important ait fonctionné pendant près d'une décennie sans que le public en ait connaissance suggère que les exigences actuelles en matière de divulgation pourraient être inadéquates au regard de la complexité des services technologiques modernes.

Le recours par Microsoft à des ingénieurs chinois pour soutenir les systèmes du gouvernement américain illustre parfaitement les conséquences imprévues de la priorité accordée à l'efficacité plutôt qu'à la sécurité dans les infrastructures technologiques critiques. Si le système d'accompagnement numérique de l'entreprise répondait peut-être à la lettre aux exigences fédérales en matière de sécurité, il semble avoir enfreint leur esprit en créant des vulnérabilités susceptibles d'être exploitées par des adversaires sophistiqués.

La réaction rapide de Microsoft, du Congrès et du pouvoir exécutif suggère une prise de conscience du caractère intenable de l'accord actuel, compte tenu de l'évolution des réalités géopolitiques et des cybermenaces. Cependant, le défi que représente le remplacement de ces systèmes tout en maintenant les capacités informatiques du gouvernement nécessitera une planification minutieuse et des ressources importantes.

Alors que les États-Unis continuent de rivaliser avec la Chine dans les domaines de la technologie et des capacités cybernétiques, les révélations concernant le soutien apporté par Microsoft rappellent de manière frappante que la sécurité ne peut être considérée comme un élément secondaire dans la conception de systèmes critiques. Le coût d'une cybersécurité défaillante, qu'il soit mesuré en termes de données compromises, de sécurité nationale compromise ou de perte de confiance du public, dépasse de loin les économies à court terme qui pourraient être réalisées en rognant sur les exigences de sécurité de la chaîne d'approvisionnement.

La résolution finale de cette situation créera probablement des précédents importants quant à la manière dont le gouvernement aborde la surveillance des fournisseurs de technologies et les exigences en matière de sécurité dans un marché mondial de plus en plus complexe. Les enjeux sont considérables, car l'intégrité de l'infrastructure numérique américaine dépend de la justesse de ces décisions.