La remise de cadeaux dans le cadre de relations professionnelles ou commerciales est un phénomène courant. Il peut s’agir d’objets symboliques ou de grande valeur, d’invitations à des repas ou à des évènements, ou encore de voyages. Toutefois, la valeur de ces cadeaux doit rester proportionnée et respecter les dispositions légales relatives à la lutte contre la corruption, la prise illégale d’intérêts ou encore le blanchiment de capitaux. 

Par ailleurs, le fait de se voir offrir des cadeaux dans le cadre d’échanges professionnels peut masquer d’autres objectifs, susceptibles de constituer une ingérence ou de placer le récipiendaire en position de fragilité. 

Donner un objet de valeur, fournir gratuitement une prestation, offrir des crédits pour l’utilisation d’un logiciel ou encore inviter des dirigeants à des festivités sont autant de moyens qui pourraient permettre à un acteur étranger de déstabiliser une entité, d’obtenir des informations confidentielles ou encore de créer des situations de dépendance commerciale. Le risque d’atteinte à la réputation ne doit pas non plus être négligé. 

Ce « flash ingérence » reprend quatre exemples d’entités françaises concernées par la remise de cadeaux et ayant suscité l’attention du service. 

Dans le cadre d’une relation commerciale soutenue, la direction d’un établissement industriel exerçant ses activités dans un secteur sensible a reçu la visite de plusieurs partenaires étrangers. 

Une visite des locaux de l’établissement français a été proposée aux partenaires et aucun incident notable n’a été relevé. À la suite de cette visite, les ressortissants étrangers ont offert des cadeaux sous forme d’objets symboliques à plusieurs dirigeants de l’établissement. 

Après le départ de la délégation étrangère, les dirigeants français ont constaté que les objets offerts, qui semblaient identiques à première vue, présentaient des différences légères, certains étant plus lourds que d’autres, sans raison apparente. 

Intrigués, les dirigeants ont fait part de leurs observations à la direction sûreté de leur établissement, qui leur a conseillé de s’en séparer pour éviter tout risque en cas de présence dissimulée de dispositifs de captation de son ou d’image à l’intérieur de ces objets. Une première analyse technique a révélé une anomalie grave au sein de l’un des objets. Tous les cadeaux offerts par la délégation étrangère ont été immédiatement écartés de l’établissement. 

Au cours d’un salon international organisé en France, des salariés et dirigeants de plusieurs entreprises françaises, dont certaines évoluent dans des secteurs stratégiques, ont été approchés par le représentant d’une entreprise étrangère. 

Après avoir fait connaissance, les représentants d’entreprises françaises ont été invités à diner puis à poursuivre la soirée dans une discothèque. L’ensemble des frais de la soirée, qui s’élevaient à plusieurs dizaines de milliers d’euros, ont été payés par l’entreprise étrangère. 

Les investigations de la DGSI ont permis de révéler que l’objectif de la partie étrangère était d’une part de collecter des informations confidentielles auprès des représentants d’entreprises françaises, et d’autre part de compromettre certains participants en les incitant à consommer de l’alcool et pouvoir les photographier dans des situations potentiellement gênantes. 

De tels clichés photographiques peuvent ensuite servir de moyens de pression sur les personnes visées. 

Une société française, fournisseur de prestations techniques auprès de nombreux acteurs stratégiques français, a passé une importante commande de matériels auprès d’un fournisseur étranger. 

Sans avertir la société française, le fournisseur étranger a décidé de lui offrir plus du double du matériel commandé, dont un équipement particulièrement innovant et onéreux. Le responsable commercial de l’entreprise française a ensuite été invité à visiter, à l’étranger, le siège du fournisseur. La visite comprenait notamment une présentation de toutes les nouvelles innovations technologiques de l’entreprise. L’ensemble des frais liés à ce voyage (transport, hébergement, repas, etc.) ont été pris en charge par l’entreprise étrangère.

Estimant que les pratiques du fournisseur étranger allaient au-delà d’une relation commerciale classique, le dirigeant a sollicité la DGSI qui l’a alerté sur les risques de dépendance commerciale et de captation d’informations confidentielles, notamment au cours du déplacement à l’étranger. La société française a renvoyé le matériel offert et a refusé les propositions de visites à l’étranger. 

A l’occasion de la tenue d’un salon international, les représentants d’une société française se sont rapprochés d’une société étrangère évoluant dans la même sphère d’activité. Parmi les « goodies » échangés (petits matériels de type stylo, tapis de souris, etc.) pour entretenir une possible entente commerciale à venir, plusieurs clés USB à l’effigie de la société étrangère ont été offertes aux représentants français. 

À leur retour en France, ces derniers ont eu le réflexe de confier ces clés USB à la direction sûreté de l’entreprise pour expertise. Il s’est avéré que parmi les cinq clés USB offertes, deux contenaient en réalité un malware déguisé sous la forme d’un raccourci Windows sur le répertoire racine de la clé.

La société française ignore si ces équipements avaient été infectés à dessein. Dans le doute, elle a cessé tout contact avec la société étrangère.

• Évaluer les risques liés à l’acteur étranger à l’origine du cadeau. Il s’agira notamment de faire preuve d’une vigilance accrue lorsque l’acteur à l’origine du cadeau est lié à des acteurs étatiques, à des entreprises disposant de moyens financiers importants ou qu’il peut constituer un concurrent. Une recherche rapide en sources ouvertes permet également de s’assurer que cet acteur ne présente pas de risque particulier sur le plan de la réputation. 

• Étudier avec son responsable sûreté toute invitation à un évènement (repas dans des lieux prestigieux, évènement sportif ou culturel, voyage) par un acteur étranger. Le service sûreté de son entité peut évaluer les risques associés à la proposition, notamment en matière de réputation et de risque de captations d’informations.

• Évaluer les risques associés aux objets offerts. Il est important de procéder à une rapide analyse des objets reçus afin de déterminer s’ils peuvent contenir un dispositif de captation (son, vidéo, mouvement), de géolocalisation ou de diffusion de logiciels malveillants, avant de les conserver ou de les utiliser. 

• Ne pas exposer de cadeaux dans des lieux à risque. Éviter de conserver les cadeaux offerts dans des lieux pouvant accueillir des informations sensibles (salles de réunion, locaux hébergeant des activités de R&D, bureaux de direction, etc.). 

• Ne jamais utiliser un appareil numérique dont la sécurité n’est pas entièrement garantie. De manière générale, il est recommandé de ne pas utiliser les appareils électroniques ou numériques offerts par un acteur étranger. Un support numérique offert (clé USB, périphérique informatique, souris, etc.) ne doit jamais être utilisé avant d’avoir fait l’objet d’une analyse préalable par un service informatique. 

• Ne conserver aucun cadeau suspect. En cas de doute ou de suspicion, il convient de se débarrasser rapidement de l’objet et surtout, de ne pas le conserver dans ses locaux. Dans certains cas, la DGSI peut procéder à une analyse technique de l’objet.

• Sensibiliser régulièrement l’ensemble du personnel de sa structure aux risques associés aux cadeaux. Une campagne de sensibilisation, s’appuyant sur des exemples précis, permet d’alerter les salariés sur les risques associés à certains types de cadeaux, en insistant sur le fait que tous les salariés peuvent être visés, quel que soit leur statut ou leur positionnement dans la structure. 

• Identifier les personnels les plus à même d’être concernés et les sensibiliser en priorité. Il sera utile de porter une attention particulière aux dirigeants, aux personnels responsables des achats, à ceux ayant accès à des niveaux d’informations sensibles et à ceux qui sont en contact régulier avec des partenaires étrangers.

• Rappeler les risques liés aux approches physiques. Les voyages, loisirs ou encore dîners offerts par des ressortissants étrangers peuvent masquer des intentions malveillantes destinées à nuire à ceux qui en bénéficient ou à l’entité qui les emploie (atteinte à la réputation, compromission, captation d’informations, pressions, etc.). 

• Mettre en place une charte interne dédiée aux cadeaux. À l’image de la charte informatique, la rédaction d’une charte traitant la thématique des cadeaux peut être rédigée par la société et signée par l’ensemble des salariés. Outre le rappel sur les risques liés à l’acception de cadeaux, cette charte pourrait rendre obligatoire le fait de déclarer toute proposition gratuite provenant d’un acteur étranger, et de recenser les cadeaux reçus. 

• En cas d’évènement suspect lié à des cadeaux offerts par des entités étrangères, informer la DGSI. Tout évènement suspect peut lui être communiqué sur son adresse électronique dédiée aux sujets de protection économique : [email protected]