ShadowDragon

ShadowDragon (expression pouvant être traduite par Dragon de l'ombre, ou Dragon d'ombre, ici choisie d'après le nom d'une espèce de libellule) est le nom d'une entreprise américaine spécialisée dans la surveillance de personnes ou d'idées via l'Internet. Cette surveillance se fait principalement via son outil SocialNet, présenté comme destiné aux forces de police^[1] (qui peuvent l'utiliser sans mandat de perquisition), mais qui est aussi accessible au secteur privé, et au grand public. Selon l'entreprise (en 2021), ses techniques permettent aux « goog^{[Information douteuse]} guys » de lutter contre les « bad guys ».

En 2025, l'entreprise ShadowDragon se présente (version 02 04 2025), comme opérant dans le domaine de la « Sécurité informatique et des réseaux ». Elle dit disposer d'outils d'enquête en ligne et d'analyse des médias sociaux : y compris dans le Dark web, elle collecte des données en mode OSINT (Open source intelligence). Elle propose aussi des outils d'analyse des logiciels malveillants, d'OSINT, de PAI^[Quoi ?], de surveillance et d'alertes; des innovations, des formation ; des outils d'intégration, d'analyse de la géolocalisation, d'enquêtes, de criminalistique ; de collecte de données sur des violations, des outils d'Intelligence (au sens anglo-américain du terme), dont d'intelligence d'affaires et/ou des médias sociaux, en source ouverte, avec analyse des liens, renseignement sur les menaces.

Son créateur et PDG est Daniel Clemens^[2].

La start-up, qui est notamment sous-traitante du gouvernement américain, a été fondée en 2016 (2013 selon sa page linkedin), comme spin-off de sa société de conseil en sécurité Packet Ninjas^[3] ; elle est basée à Wilmington, dans l'État du Delaware, considéré comme le paradis fiscal des États-Unis pour les entreprises.

En 2025, il lui est reproché, par la fondation Mozilla, notamment, de ne pas respecter l'éthique de l'informatique, ni la vie privée, et de pouvoir nuire à des personnes vulnérables, à la santé de la sécurité et des droits fondamentaux de millions de personnes, en exploitant les traces visibles et invisibles laissées par les internautes dans l'internet, au profit des excès d'une « société de contrôle ».

C'est l'outil phare de ShadoDragon, lancé en 2009. C'est un logiciel qui récupère et compile des données personnelles provenant de plus de 200 sources en ligne^[4] (220 selon l'éditeur, en mars 2025), qui sont notamment "des sites de recrutement, des réseaux sociaux, des sites d'annonces de location et même des plateformes de messagerie pour créer des profils numériques, souvent même sans que les plateformes en aient connaissance ou donnent leur accord". Parmi ces sites ou plateformes en ligne figurent par exemple BabyCenter, BlackPlanet, Bodybuilding.com, FetLife, Fortnite, PornHub, Telegram et Tinder.

Selon une enquête publiée par 404 Media, il permet, aux forces de l'ordre notamment (mais aussi à des entreprises ou d'autres entités, individus...) de pratiquer le renseignement numérique ouvert, c'est à dire de trouver et compiler des renseignements dits de source ouverte (OSINT) sur des personnes ciblées. SocialNet est connecté via la « plateforme d'investigation cybernétique » et d'aggrégation Maltego (outil d'analyse de liens utilisé dans le domaine du renseignement numérique et de la cybersécurité, « pour découvrir des connexions dans de grands ensembles de données et cartographier les preuves vers les chronologies et les emplacements géographiques » pour « Tirer parti du renseignement des médias sociaux à des fins de poursuites et la sécurité publique »^[5], créé par Paterva à Pretoria en Afrique du Sud pour collecter, analyser et visualiser des informations provenant de sources ouvertes (OSINT) mettant en évidence des relations et des schémas entre des entités numériques (domaines, adresses IP, profils sur les réseaux sociaux...) en créant un graphique de réseau social. Maltego n'est pas un système d'IA capable de raisonnement indépendant ou d'apprentissage généralisé, mais une plateforme qui s'appuie sur divers outils, dont des modules dits « AI-powered » (qui par exemple automatisent des tâches analytiques et l'extraction de liens)^[6],[2],[7].

Il ne doit pas être confondu avec un autre outil du même nom, créé par le think tank français Résurgences, basé à Marseille et consacré à la recherche-action en sciences sociales. La version développée par Résurgences est un framework aussi destiné à l'exploration et à l'analyse des médias sociaux ( Facebook, Twitter ou GooglePlus), mais il est présenté comme consacré à l'étude des interactions, la formation de communautés, et la détection d'émergences dans les flux d'informations^[8] ; alors que l'outil SocialNet de ShadowDragon est présenté comme construit pour cartographier des réseaux et des profils dans un contexte d'investigation de phénomènes criminels ou de menaces de sécurité.

Cet outil, proposé par ShadowDragon, alerte les forces de l'ordre, en fonction des prédictions de comportement et de relations^[9].

• FBI
• Brigade des stupéfiants (DEA)
• Immigrations and Customs Enforcement, y compris le Bureau du renseignement des enquêtes sur la sécurité intérieure, la Division de l'analyse criminelle et de la production, la Division de la cybercriminalité et l'Unité de renseignement international^[2]
• Direction des transmissions australiennes^[10],[7]
• Ministère de l'Intérieur (Australie)^[7]
• Police de l'État du Massachusetts et services de police municipaux de l'État, financés en partie par le projet Safe Neighborhoods^[11]
• Le bureau du shérif du comté de Polk dans l'Iowa, initialement financé par l'opération Underground Railroad^[12],[13]
• Police de l'État du Michigan, via Kaseware^[9]

Ces outils sont décriés car même si les données personnelles qu'ils collectent sont accessibles publiquement, leur récupération, et le croisement d'un grand nombre de sources, et plus encore l'utilisation malveillante ou inappropriée de ces données posent des problèmes éthiques et légaux, de non-respect de la vie privée et des libertés individuelles, et ils peuvent être source d'erreurs, ou d'oppression si utilisé par un gouvernement autoritaire ou des entités malveillantes. Selon 404Media^[14] : pour lutter contre la croissance du big data accessibles à l'OSINT, un nombre croissant d'acteurs se sont tournés vers l'intelligence artificielle (IA) et de puissants logiciels d'apprentissage automatique. En réponse, les défenseurs de la vie privée et d'autres libertés individuelles ou collectives, et/ou d'une éthique de l'IA ont poussé à la création de nouvelles réglementations sur la protection des données personnelles et de la vie privée (réglementation telles que le RGPD, puis le Règlement sur l'Intelligence Artificielle (IA Act en vigueur depuis le 1ᵉʳ août 2024). Ce qui en Europe et dans certains pays s'imposent aux plateformes Internet qui pour beaucoup ont alors modifié leurs conditions d'utilisation). Ainsi, en Europe, et au vu du des conditions d'utilisation des plateformes exploitées, des outils tels que SocialNet ne devraient pas pouvoir être utilisés sans le consentement explicite, libre et éclairé des individus concernés.

Selon une enquête récente du média indépendant 404Media^[14], basée sur des courriels internes obtenus en vertu de la [[Freedom of Information Act |loi américaine sur l'accès à l'information]] (FOIA), sur des fuites audio provenant d'un événement de l'industrie et un examen des commentaires publics, ShadowDragon, est sous-traitant du gouvernement américain notamment pour lequel, notamment, il collecte, via son outil SocialNet, des données personnelles d'internautes (y compris, enfants, adolescents et personnes vulnérables), récupérées sur plus de 200 sites très utilisés par le grand public comme Facebook, E Bay, Amazon, TikTok, Substack, Twitter/X, Bluesky, Apple Music, Discord, Reddit, Etsy, Strava, GoFundMe, Substack Glassdoor, BeReal, Snapchat, Tinder, OnlyFans, Etsy, TripAdvisor, Yelp, Strava, FlightAware ou encore Duolingo et environ 200 autres. selon le média ADN, les sites forums et de jeux (ex : Fortnite, Roblox, Chess.com, Nextdoor, et même Minecraft) sont aussi « espionnés » (scrappés) en mode OSINT par SocialNet, de même que les archives de sites (tels que les archives de Reddit, 4chan ou DeviantArt), des sites pornographiques ou des sites concernant la santé (ex : BabyCenter consacré au suivi de grossesses aux Etats-Unis)^[14]. À la manière de Cambridge Analytica et d'AggregateIQ, mais avec un nombre bien plus grand et plus varié de données, ShadowDragon peut, à partir d'un nom, d'une IP, d'une adresse mail, d'un numéro de téléphone ou même d'un pseudo, via son outil de Web scraping, identifier, collecter, aggréger « les centres d'intérêt, les amis, des photos, des vidéos » d'une personne ciblée, produire une carte « d'activités suspectes », et créer un profil et graphe social montrant ses relations proches, son réseau professionnel, ses connexions en ligne...

Ces informations sont ensuite intégrées à un système de surveillance sophistiqué, par exemple utilisé par des agences gouvernementales comme l'ICE (United States Immigration and Customs Enforcement), la police des frontières aux États-Unis, la DEA (Drug Enforcement Administration) et l’armée américaine sans que ces entités aient besoin (à ce jour) d'un mandat de la Justice. Dans le contexte du recul de la liberté étudiante et académique aux Etats-Unis (et dans le monde)^[15].

Eva Galperin de l'Electronic Frontier Foundation alerte sur les risques d'atteintes à la confidentialité, citant en exemple le risque de signalement de discussions sur la grossesse, dans un contexte où l'avortements est source de dénonciations et poursuite en justice^[2].

Pour Jeramie D. Scott, du Centre d'information sur la confidentialité électronique : « Ce type de surveillance de masse, accessible au gouvernement et à d'autres entités, a un effet dissuasif sur les activités en ligne »^[2].

Pour Samantha Floreani, de Digital Rights Watch, ce système « exceptionnellement intrusif, fonctionne généralement à l'insu des personnes et est potentiellement inexact »^[7].

Selon Kade Crockford, de l'Union américaine pour les libertés civiles : « Les gens ne devraient pas avoir peur d'exprimer leurs opinions politiques ou de dénoncer la police eux-mêmes parce qu'ils craignent que la police les surveille »^[11].

Arisha Hatch, de Color of Change, souligne que ces outils, souvent faussement présentés comme des outils de sécurité publique et de responsabilisation, en réalité, mettent en danger les communautés noires et les communautés marginalisées^[9].

La Fondation Mozilla estime que « la technologie de ShadowDragon ouvre la porte à des dérives inquiétantes, incitant d'autres gouvernements à adopter des méthodes tout aussi intrusives (...) SocialNet ne se limite pas à suivre vos activités en ligne ; il croise des informations sur votre identité, l'endroit où vous vous trouvez, vos relations et vos opinions politiques ». ShadowDragon extrait du net des informations précises par exemple sur les langues parlées ou les habitudes d’apprentissage des langues, sur les antécédents personnels et professionnels, sur les pratiques sportives, de santé et de remise en forme, sur les avis en ligne ou les protestation des internautes, tout en identifiant les personnes, leurs emplacements et déplacements, leurs réseaux professionnels et personnels, ainsi que leurs affiliations, leur sexualité, etc. Bien que ces données soient techniquement publiques, Mozilla affirme qu’« une telle agrégation transforme l’activité numérique occasionnelle en surveillance invasive, affectant de manière disproportionnée les migrants, les militants et d’autres groupes vulnérables^[16] ». C'est pourquoi Mozilla, dans une campagne^[17] intitulée Tell Etsy, Reddit, Tinder & Duolingo : Stop Feeding Surveillance Tech, lancée en avril 2025, a demandé aux GAFAM et plus largement à une trentaine d'autres grandes entreprises de l'Internet (notamment Amazon, Apple, Discord, Facebook, Google, Nextdoor, OnlyFans, Youtube, Amazon, Meta, Twitter/X, TikTok, YouTube, Snapchat et GitHub, Etsy, Reddit, Tinder Duolingo et d'autres) d'immédiatement bloquer le scraper ShadowDragon^[18]. Beaucoup de ces entreprises ont d'ailleurs déclaré que le scraping violait leurs conditions de service^[19],[20].

• Podcast approfondissant l'enquête de 404 Media : Les sites Web qu'un entrepreneur de l’ICE surveille (19 mars 2025).

• Portail de l’informatique
• Portail d’Internet