Lighthouse Reports a exposé First Wap à l'aide de données de traçage divulguées et d'une opération d'acheteur fictif

First Wap, une société de traçage téléphonique basée à Jakarta et dirigée par des cadres européens, vend des logiciels de surveillance depuis vingt ans. Son outil Altamides exploite le SS7, un protocole de télécommunications vieux de plusieurs décennies, pour localiser en quelques secondes n'importe quel numéro de téléphone dans le monde — sans laisser de trace sur l'appareil — et peut aussi intercepter des messages et percer des applications chiffrées. Les clients y accédaient par l'intermédiaire d'obscurs intermédiaires, et la position officielle du secteur de la surveillance était que de tels outils n'étaient destinés qu'aux gouvernements luttant contre la criminalité grave, les détournements constituant une exception rare.

Lighthouse Reports n'avait aucun moyen simple de vérifier cette affirmation. Altamides ne laisse aucune trace médico-légale sur le téléphone d'une victime, les victimes savent rarement qu'elles ont été tracées, et le fournisseur pouvait simplement nier tout abus. Les méthodes classiques de révélation de logiciels espions, comme l'analyse médico-légale des appareils, ne s'appliquaient pas à une entreprise opérant au niveau du réseau et restée vingt ans dans l'ombre.

Au printemps 2024, un journaliste de Lighthouse a trouvé une archive divulguée sur le dark web : 1,5 million de lignes d'opérations de traçage, plus de 14 000 numéros de téléphone, des cibles dans plus de 160 pays. Plus de dix journalistes ont passé les chiffres au crible à l'aide d'outils OSINT, n'acceptant une identification que lorsque plusieurs points de données indépendants concordaient, et ont nommé plus de 1 500 cibles à haute confiance. Le regroupement de cibles liées dans le temps et l'espace a mis au jour des abus coordonnés : des figures de l'opposition rwandaise tracées à quelques minutes d'intervalle, des responsables électoraux nigérians suivis avant un vote en 2011, un journaliste spécialisé dans la corruption au Vatican pisté toutes les heures.

Les journalistes ont ensuite construit de fausses identités — un « cabinet de recherche » sud-africain aux îles Vierges britanniques — et ont rencontré le directeur commercial de First Wap à l'ISS World de Prague en juin 2025, en proposant ce que l'entreprise excluait publiquement : surveiller des opposants à l'étranger, pirater WhatsApp, surveiller des manifestants écologistes pour le compte d'un magnat minier sanctionné. Caméra cachée, le commercial a déclaré que l'affaire se conclurait via Jakarta avec une société écran masquant les traces documentaires : « nous pouvons trouver un moyen ». Publiés en octobre 2025 par plus de 70 journalistes de 14 médias, les résultats ont permis à chaque partenaire de localiser l'archive.

En se faisant passer pour des acheteurs à un salon de la technologie espionne, le commercial du fournisseur a lui-même admis, caméra au poing, une évasion de sanctions

L'archive était un système d'enregistrement : 1,5 million de lignes d'opérations issues des propres systèmes du fournisseur, si bien que les conclusions ne reposaient pas sur la parole d'un informateur.

Exiger plusieurs points de données indépendants par identification a transformé 14 000 numéros anonymes en plus de 1 500 cibles nommées, et le regroupement dans le temps et l'espace a mis au jour des abus coordonnés.

L'achat infiltré a pénétré le propre service commercial du fournisseur, où son personnel a spontanément expliqué comment il contournerait les sanctions — contredisant directement l'affirmation publique de l'entreprise selon laquelle elle vérifie chaque client.

La copublication dans 14 médias a transformé une archive en dizaines d'articles locaux, chacun disposant d'une rédaction locale pour poursuivre les pistes dans son pays.

Lorsque les affirmations d'un fournisseur résistent à toute vérification externe, faites-vous passer pour un acheteur, filmez les aveux de son personnel et bâtissez le récit sur les propres archives de l'accusé.

L'enquête a été publiée le 14 octobre 2025, copubliée par 14 médias dont Der Spiegel, Le Monde et NRK. First Wap a nié toute activité illégale ou violation des droits humains, a qualifié les déclarations de Prague de « malentendus » sur la faisabilité technique et a répété que ses outils servent les forces de l'ordre. Telecom Liechtenstein a déclaré avoir suspendu sa relation commerciale avec First Wap. Les partenaires ont continué à publier des articles locaux — des cadres de Red Bull en Autriche, un ancien cadre de Telenor en Norvège — tandis que l'archive demeure le document public le plus complet sur les opérations d'une entreprise de traçage téléphonique opérant au niveau du réseau.