Un logiciel espion surpuissant a été déployé au profit de LVMH
Un outil israélien permettant de géolocaliser des millions de téléphones est vendu en France à des grandes entreprises en toute confidentialité, selon des documents consultés par « Mediapart ». En 2025, il a été mis au service d’une filiale du numéro un mondial du luxe, qui affirme y avoir finalement renoncé.
Yann Philippin et Antton Rouget, le 31 juillet 2026
Un système de surveillance de masse à la « Big Brother », officiellement réservé aux services de police et de renseignement, est désormais à la disposition des entreprises françaises. Baptisé Webloc, cet outil permet de géolocaliser en un temps record et sur plusieurs années des centaines de millions de téléphones portables. Il est commercialisé en France auprès des entreprises depuis 2025, révèle Mediapart, sur la base de témoignages et de documents.
Lancé en 2020, Webloc a été développé par la société israélienne Cobwebs Technologies, créée par trois anciens agents d’unités spéciales ou du renseignement de l’armée israélienne, et rachetée en 2023 par la société américaine Penlink.
Ce système surpuissant repose sur l’exploitation massive (baptisée « Advertising Intelligence » ou « Adint ») de données sur les utilisateurs et utilisatrices de téléphones mobiles, y compris la géolocalisation, qui ont été initialement recueillies à des fins publicitaires, comme l’a détaillé un rapport publié en avril 2026 par le Citizen Lab de l’université de Toronto (Canada), spécialisé dans l’étude des technologies de surveillance.
La solution Webloc permet de géolocaliser des centaines de millions de téléphones en remontant sur les trois dernières années. © Photomontage Lucie Weeger / Mediapart
Les utilisateurs de Webloc identifiés par ce rapport étaient exclusivement des services de police ou de renseignement, notamment aux États-Unis. Les dirigeants de Penlink ont d’ailleurs répondu au Citizen Lab que Webloc était uniquement vendu à des entités étatiques et n’était « pas mis à la disposition des entreprises ».
Pourtant, d’après les nouveaux éléments recueillis par Mediapart, la solution d’espionnage est proposée en France depuis 2025 à des acteurs privés. C’est notamment le cas de la société Moët Hennessy, branche « vins et spiritueux » du numéro un mondial du luxe LVMH.
La filiale de LVMH faisait alors face à une série de vols de marchandises, dans l’un de ses entrepôts de Châteaubernard, dans les environs de Cognac (Charente), sans parvenir à en identifier les auteurs, malgré une plainte déposée.
Concrètement, la prestation effectuée pour Moët Hennessy a été menée en février 2025. À cette occasion, Webloc identifie les téléphones portables qui ont borné à des heures inhabituelles aux abords de l’entrepôt où les vols ont eu lieu, puis suit leur trace. Un des mobiles identifiés quitte l’agglomération de Cognac par la nationale N141, puis remonte vers La Rochelle via l’autoroute A837 : le repérage est d’une précision chirurgicale. Un autre téléphone s’arrête dans une commune à une vingtaine de kilomètres des entrepôts de Moët Hennessy.
LVMH nous a confirmé que, « dans le cadre des suites de ce vol, une technologie nouvelle, inconnue de Moët Hennessy, a été proposée par un prestataire à l’un de [ses] consultants externes, expert en sûreté ». Selon nos informations, ce sous-traitant est la société de renseignement privée Amarante, un des principaux acteurs européens du secteur.
Contacté par Mediapart, le président d’Amarante, Alexandre Hollander, explique que son entreprise a simplement agi « dans le cadre d’échanges informels entre personnes qualifiées du même secteur », réfutant commercialiser Webloc en France. Le patron d’Amarante explique que les fameuses données collectées grâce à la solution israélienne proviendraient d’une « personne [qu’ils] connaiss[ent] et en qui [ils ont] confiance », sans en donner l’identité ni la fonction. Également sollicitée, Penlink, l’entreprise propriétaire de Webloc, n’a pas répondu à nos questions sur ses relais en France.
Une solution si puissante…
Dans une brochure commerciale de 2021, Cobwebs indiquait pouvoir retracer, pendant trois ans, les localisations de 500 millions de téléphones portables enregistrés à travers le monde. Aucun chiffrage plus récent n’a jamais été fourni.
Le logiciel ne donne pas les noms des utilisateurs et des utilisatrices, mais leur « identifiant publicitaire » unique. Selon le rapport du Citizen Lab déjà cité, il est en réalité facile de découvrir l’identité des « cibles », en croisant les données publicitaires disponibles (tranche d’âge, centres d’intérêt…) et les localisations du téléphone. Par exemple, Webloc permet en deux clics d’isoler des plages horaires, ce qui permet de repérer les lieux récurrents où les téléphones sont statiques, et donc les lieux de travail et les domiciles.
Nos données privées massivement exploitées
L’outil de surveillance Webloc fonctionne grâce à une réalité alarmante mais méconnue : la collecte et la revente de gigantesques volumes de données personnelles recueillies à des fins publicitaires, comme l’a notamment raconté une enquête de l’émission « Cash Investigation ». Ces données sont collectées par les applications installées sur nos téléphones, et parfois revendues en temps réel.
Une autre technique repose sur la mise aux enchères des espaces publicitaires visibles sur les sites web et dans les applis : lors de ces enchères, qui ont lieu plusieurs milliards de fois par jour, des données personnelles anonymisées sur la personne qui va regarder la publicité (dont souvent la localisation) sont diffusées auprès d’entreprises qui agissent pour le compte des annonceurs. Un rapport d’une ONG irlandaise indique qu’en France, des informations sur chaque individu sont ainsi diffusées en moyenne plus de 300 fois par jour.
Ces données sont achetées par des courtiers en données, les « data brokers », qui les revendent ensuite au plus offrant, le plus souvent à des fins publicitaires, mais aussi à des entreprises spécialisées dans les outils de renseignement. Malgré la réglementation européenne sur la protection des données, ce business reste mal régulé et largement hors de contrôle. Et il est difficile pour les individus de s’en préserver, même s’il est possible de configurer les applis dans son téléphone pour leur interdire de transmettre les données de localisation.
Autre fonctionnalité : le croisement des téléphones. L’outil permet de coupler jusqu’à sept appareils en simultané afin de savoir s’ils ne se sont pas retrouvés au même endroit et ainsi cartographier les relations. Sur les trois dernières années, donc…
L’interface est également très ergonomique : on peut dessiner un périmètre sur une carte pour identifier rapidement tous les appareils au même moment, mettre en place une alerte lorsque la cible entre en mouvement, superposer avec Google Street View, etc.
… que LVMH jure y avoir renoncé
Sollicité par Mediapart, LVMH indique qu’il s’agissait seulement d’un « test », auquel le groupe n’a finalement pas donné suite après « discussion » avec un « expert en sûreté ». « Moët Hennessy n’a jamais eu accès au rapport de ce test », affirme encore LVMH, qui indique aussi n’avoir « jamais utilisé, ni partagé, ni stocké de données issues de la technologie Webloc » (lire l’intégralité de la réponse dans les Annexes de cet article).
Une source interne explique que le numéro un du luxe, qui avait payé 10 millions d’euros d’amende en 2021 pour échapper à un procès dans l’espionnage du journal Fakir de François Ruffin, a préféré renoncer après avoir découvert, lors de l’expérimentation, les capacités hors norme de l’outil et les questions légales qu’elles sous-tendent en termes d’exploitation des données et de respect de la vie privée.
En effet, le recueil et la revente massive des données personnelles recueillies à des fins publicitaires commerciales ont, dans plusieurs cas, été jugés illégaux aux États-Unis. D’après plusieurs ONG, leur usage à des fins de surveillance enfreindrait le « principe de limitation des finalités », clé de voûte de la réglementation de l’Union européenne (UE) en matière de protection des données personnelles.
Webloc a pourtant été proposé à de grands groupes français pour retrouver les auteurs de vols, comme dans le cas de Moët Hennessy, mais aussi pour enquêter sur des concurrents ou identifier l’origine de fuites d’informations. Dans ce dernier cas, une simple recherche couplant les téléphones d’un·e journaliste et d’un·e salarié·e permet, par exemple, de confirmer des doutes.
Interrogé, Amarante conteste être le revendeur de la solution en France. Pour toutes les questions légales et de conservation des données, l’entreprise nous a donc renvoyés au « provider [fournisseur – ndlr] de la solution ». Sollicitée à plusieurs reprises par Mediapart, la société américaine Penlink n’a pas répondu à nos interrogations, en particulier sur la fourniture de Webloc aux entreprises.
Les chercheurs du Citizen Lab ont estimé à 219 le nombre de serveurs actifs utilisés par Cobwebs dans le monde, dont deux sont localisés en France. L’entreprise a présenté son savoir-faire en France en 2023, lors du salon Milipol (le grand rendez-vous international sur la sécurité), mais on ignore si des entités liées à l’État français utilisent Webloc. Interrogé par le Citizen Lab, le gouvernement n’avait pas répondu sur ce point.
L’entreprise avait, de son côté, répondu en avril au laboratoire canadien « respecter les lois et réglementations applicables » : « Penlink comprend la sensibilité et la complexité de la protection des données et opère dans le respect rigoureux des normes de conformité, de diligence raisonnable et d’utilisation responsable. Nos clients sont tenus de respecter leurs obligations légales et leurs procédures internes respectives, notamment en ce qui concerne le choix des services à acquérir et l’utilisation des outils. »
Avant d’investir le marché français, Cobwebs/Penlink s’est construit un solide portefeuille de clients à l’étranger, déployant un « système de renseignement » pour les autorités israéliennes ou pour l’agence fédérale de l’immigration des États-Unis, l’ICE, transformée en force paramilitaire par Donald Trump. Le service est aussi employé par l’État du Texas pour la surveillance de la frontière avec le Mexique, ou encore au Salvador et en Hongrie.
Sa commercialisation dans l’Hexagone auprès des entreprises a suscité une vague d’enthousiasme – ou d’inquiétude, selon les cas – chez les professionnel·les du secteur. « Toutes les boîtes d’intelligence regardent ce truc, c’est très puissant et ils avancent masqués », réagit un témoin auprès de Mediapart. Un second appuie : « Les capacités sont incroyables, il faut empêcher cet outil d’agir. »
Yann Philippin et Antton Rouget
Boîte noire
Sollicités par courriel, LVMH et Amarante nous ont envoyé des réponses écrites.
Nous avons envoyé des questions détaillées à Penlink mercredi 28 juillet. N’ayant pas reçu de réponse, nous avons relancé la société, qui a accusé réception de nos questions dans la nuit de mercredi à jeudi et nous a réclamé un délai supplémentaire, sans préciser jusqu’à quand. Nous avons accepté et accordé un nouveau délai jusqu’à vendredi matin. Penlink n’a pas donné suite. Nous intégrerons les réponses de l’entreprise à cet article si elles nous parviennent après publication.
![[UJFP]](local/cache-vignettes/L44xH20/siteon5-1d904.png?1781511565){kind=small}
