Les scanners chinois embarrassent l’Estonie

Les douanes estoniennes et l’aéroport de Tallinn utilisent depuis des années des scanners à rayons X de Nuctech, groupe public chinois. Rien ne prouve un espionnage. Mais les contrats, audits de sécurité et règles d’accès logiciel restent invisibles.

La vraie question n’est donc pas de savoir si un scanner précis a été compromis. Elle est plus simple, et plus embarrassante : l’Estonie a-t-elle traité cet achat comme une décision de sécurité nationale, ou comme une acquisition technique ordinaire ?

La machine n’est pas ce que l’on imagine

Un scanner de bagages ressemble à un tunnel métallique passif. En réalité, il fonctionne comme un ordinateur connecté auquel on a ajouté une source de rayons X. Les scanners aéroportuaires modernes fondés sur la tomographie collectent des images sous plusieurs angles, puis un logiciel reconstitue des vues en trois dimensions que les opérateurs peuvent tourner et découper pour inspecter le contenu (NIST). La machine enregistre ce qu’elle scanne, signale les objets suspects et dépend de mises à jour régulières pour conserver sa précision.

C’est cette couche logicielle qui rend le fournisseur sensible. Les fabricants gardent souvent un accès à distance pour assurer la maintenance, l’équivalent numérique d’un passe-partout. Cet accès peut être nécessaire pour réparer vite, mais l’acheteur doit savoir qui le détient, quand il est utilisé et jusqu’où il va. Les recommandations de l’ENISA et du NCSC britannique rappellent que ces canaux de maintenance peuvent devenir des voies d’accès non autorisé ou de modification discrète des paramètres.

Pour des scanners frontaliers, le risque structurel est clair : une personne disposant d’un accès profond au système pourrait, en théorie, consulter des images d’inspection ou modifier les seuils de détection afin de rendre la machine moins sensible à certains objets, sans que les opérateurs s’en aperçoivent. Ces risques sont documentés dans tout le secteur. Ils ne constituent pas une preuve qu’un équipement Nuctech particulier aurait été compromis.

Bruxelles enquête sur l’argent, pas sur l’espionnage

L’action de la Commission européenne contre Nuctech relève du droit de la concurrence, pas d’un constat de sécurité. En avril 2024, des agents de la Commission ont inspecté des locaux liés à Nuctech en Pologne et aux Pays-Bas au titre du règlement sur les subventions étrangères, qui permet depuis 2023 à Bruxelles d’examiner si le soutien financier d’un État non européen aide une entreprise à casser les prix dans les appels d’offres européens (Commission européenne). Nuctech a contesté certains aspects du traitement des données saisies lors de ces inspections ; le Tribunal de l’Union européenne a rejeté sa demande en référé en juillet 2024. Aucune décision finale n’a été publiée.

La nuance est décisive. Bruxelles cherche à savoir si des prix soutenus par l’État chinois ont faussé la concurrence. C’est une autre question que celle de la fiabilité opérationnelle des machines, et ce règlement ne permet pas de trancher le volet sécuritaire.

Un achat national, un risque partagé

Les scanners aux frontières extérieures de l’UE sont achetés par les États, via leurs douanes ou leurs aéroports. Mais une fois les marchandises dédouanées en Estonie, elles circulent librement dans le marché unique, cet espace de 27 pays où les produits passent sans nouveau contrôle frontalier. Les passagers contrôlés à Tallinn peuvent ensuite voyager dans Schengen. L’intégrité de chaque point de contrôle devient donc une hypothèse commune.

Les États membres gèrent cette hypothèse de manière très différente. Nuctech dispose d’un centre de production et de services près de Varsovie : l’exposition polonaise est donc physique, puisque les réparations et mises à jour passent par une filiale locale de la maison mère chinoise. Le cadre lituanien de protection des infrastructures stratégiques soumettrait un achat de ce type à un examen des risques liés à la propriété et à l’accès à distance. Aux Pays-Bas, les technologies chinoises sont déjà lues à travers les alertes explicites d’espionnage du service de renseignement. L’Estonie, elle, est le cas où l’usage de Nuctech est confirmé, mais où la chaîne de décision reste invisible.

Des textes européens comme la directive NIS2 poussent les opérateurs de services essentiels à gérer les risques liés à leurs fournisseurs. La Belgique a récemment bloqué une prise de contrôle liée à la Chine dans le secteur des hélicoptères pour des motifs de sécurité nationale. Mais l’achat lui-même, l’identité de ceux qui ont évalué le fournisseur et la nature des accès accordés relèvent encore du niveau national.

Bruxelles peut rendre plus difficile la concurrence subventionnée. Elle ne peut pas auditer rétroactivement chaque scanner déjà installé à une frontière. La responsabilité revient donc aux acheteurs nationaux. Tant que l’Estonie ne dira pas comment cette acquisition a été évaluée, le débat restera coincé entre soupçons d’espionnage et silence administratif, alors que le problème central est un défaut de gouvernance.