Un guide interne du FBI, daté du 7 janvier 2021, répertorie les types de données que les autorités fédérales et étatiques peuvent demander à neuf des plus grandes applications de messagerie, révèle Rolling Stones. À en juger par ce document, « les applications de messagerie chiffrée les plus populaires iMessage et WhatsApp sont les plus permissives », estime Mallory Knodel, directeur de la technologie au Center for Democracy and Technology.
Confronté à un mandat de perquisition, WhatsApp remettrait en effet certaines métadonnées (mais pas le contenu du message, chiffré), dont les contacts du carnet d'adresses pour un utilisateur ciblé, ainsi que d'autres utilisateurs de WhatsApp qui ont l'individu ciblé dans leurs contacts, et donc quels utilisateurs se parlent, quand ils le font et quels autres utilisateurs ils ont dans leur carnet d'adresses.
Une porte-parole de WhatsApp a précisé que ces demandes ne s'appliquent que de manière prospective et non rétroactive. Rolling Stones n'en relève pas moins que cela avait permis d'identifier (puis de condamner) une lanceuse d'alerte qui avait échangé avec un journaliste de Buzzfeed des centaines de messages sur WhatsApp, « qu'ils pensaient être un endroit sûr pour communiquer ».
Apple peut de son côté fournir aux autorités 25 jours de données sur les requêtes effectuées dans iMessage, telles que l'apparence d'un utilisateur ciblé, ainsi que quelles autres personnes ont recherché cet utilisateur ciblé dans l'application. Si un utilisateur ciblé sauvegarde son activité iMessage sur iCloud, les forces de l'ordre peuvent également demander des sauvegardes de son appareil, y compris les messages envoyés et reçus dans iMessage s'ils sont sauvegardés dans le cloud.
« Apple a chiffré iCloud mais ils ont toujours les clés, et tant qu'ils ont la clé, le FBI peut la demander », résume Mallory Knodel.