Enquête RSF : quand un géant de la cybersécurité indienne impose la loi du silence aux médias

L’entrepreneur indien Rajat Khare est prêt à déplacer des montagnes pour éviter que son nom ne soit associé à Appin, un centre de formation en cybersécurité. Et pour cause, cette entreprise basée à New Delhi, qu’il a co-fondée en 2003, est accusée d’avoir vendu des services de “hacking” loin d'être éthiques, selon plusieurs enquêtes journalistiques très documentées, dont celles du magazine américain The New Yorker et de l’agence de presse britannique Reuters.

Depuis 2022, au moins quinze publications, podcasts et newsletters abordant ce sujet ont été modifiées ou retirées à la suite de ses plaintes ou de celles de l’Association of Appin Training Centers (“Association des centres de formation d'Appin”, AOATC), une obscure organisation qui affirme défendre les intérêts et la réputation de la marque Appin. L’envergure inédite de ces procédures-bâillons est inquiétante.  

“​​Si l'on apprend qu'une personne puissante peut utiliser un tribunal indien pour supprimer des articles dans le monde entier, tout le monde le fera. [...] Et s'ils réussissent, ils le feront partout”, résume une source ayant requis l’anonymat. Très au fait des méthodes de Rajat Khare, elle ne cache pas son inquiétude face aux conséquences potentielles des poursuites et menaces contre les médias qui s’intéressent à Appin et à son riche cofondateur.

Dans le viseur de la justice indienne

Tout en haut du tableau de chasse de l’entrepreneur et de ses soutiens : Reuters. L’agence de presse britannique aura dû patienter dix mois afin que la justice indienne annule, en appel, une première décision d’un tribunal indien lui enjoignant de retirer son enquête “Comment une start-up indienne a hacké le monde”. Sur la base de centaines d’entretiens et de milliers de documents, authentifiés et vérifiés, Reuters révèle dans son investigation comment la start-up Appin est devenue une “centrale de piratage qui a volé des secrets à des cadres, à des politiciens, à des responsables militaires et à des élites fortunées du monde entier”. Poursuivie par l’AOATC, l’agence de presse était accusée d’avoir terni la réputation de la marque Appin. 

Autre victime de ces poursuites, The New Yorker. À la suite d’une plainte également déposée par l’AOATC, le média américain a lui aussi été poursuivi pour diffamation. En cause : son enquête exclusive sur l’industrie du service de hacking en Inde. Celle-ci mentionne l’entreprise Appin et raconte comment Rajat Khare aurait proposé des services de “hacking éthique” à plusieurs sociétés de renseignement privées européennes. 

Contactée par RSF, une porte-parole du journal soutient que “The New Yorker défend pleinement l'article, qui constitue un compte rendu précis et équitable d'une question d'intérêt public légitime” et qu’ils “continueron[t] à défendre le droit de publier des informations importantes sans crainte ni favoritisme”. En attendant l’issue du procès, l’article incriminé reste disponible et accessible à tous – ce qui n’est pas toujours le cas dans les autres affaires.

Un effet domino

Interrogés par RSF, plusieurs journalistes ayant enquêté sur Appin estiment que le retrait de l’enquête de Reuters pendant de longs mois a envoyé un très mauvais signal pour le journalisme d’investigation. Au point que certains ont préféré supprimer ou largement modifier leurs reprises de l’enquête de l’agence de presse. Le média indien The Wire indique ainsi que son article a juste été “revu” le 18 décembre 2023. Mais en comparant avec une version antérieure, RSF a pu constater que ce travail avait permis de supprimer les révélations de Reuters au sujet de Rajat Khare et Appin. 

Des médias vont même jusqu’à s’autocensurer en amont, sans que cela ne soit forcément suffisant. En février 2024, le podcast américain du média Behind The Bastards s'est ainsi intéressé au personnage de Rajat Khare, à qui deux épisodes sont consacrés. Les auteurs ont pris soin de ne pas mentionner le nom de l’entrepreneur indien dans le titre du podcast. Et dès le début de l’épisode, ils s’interrogent : “Combien de temps ce podcast restera en ligne ?” Une semaine plus tard, l’épisode disparaît effectivement des plateformes. Et ce, après une lettre de menaces judiciaires, a confirmé une source proche du dossier. 

Un tableau de chasse impressionnant

Ces méthodes-baillons ont été utilisées par Rajat Khare dès novembre 2022. La chaîne publique suisse Schweizer Radio und Fernsehen (SRF) a ainsi été sommée de retirer, à titre provisoire, le nom et la photo de Rajat Khare d’une enquête, sur ordre du tribunal de première instance de Genève.

Contactée par RSF, la chaîne n’a pas souhaité faire de commentaires et a répondu que d’une manière générale, “les poursuites judiciaires et menaces de poursuites ont pour but d'empêcher la SRF de faire des reportages”. Du côté de Rajat Khare, son avocat Nicolas Capt a indiqué que “[s]on client a[vait] entrepris, en Suisse comme à l’étranger, des actions judiciaires légitimes, civiles et pénales, visant à la protection de son honneur, mis à mal par des accusations fallacieuses” et qu’il “n’entend[ait] pas commenter ces procédures judiciaires”. 

Au cours de cette enquête, RSF a constaté que Rajat Khare, infatigable, avait également tenté de porter plainte contre The New Yorker en Suisse, en plus de la procédure déjà intentée en Inde par l’AOATC.

Mystérieux “X.X.”

Quand il a commencé à s’intéresser au sujet en 2022, le média suisse Gotham City avait donc bien conscience des risques encourus. “Quand on a appris son existence, il avait déjà attaqué des médias [...] et il avait gagné contre le service public suisse, commente le rédacteur en chef François Pilet. Dans ce genre de cas, on n'a pas très envie de se mettre directement dans la file derrière. En plus, ses avocats nous avaient clairement fait comprendre en amont, que si on publiait son nom, ils attaqueraient.” Dans les deux enquêtes publiées par Gotham City, l’entrepreneur indien est donc un mystérieux “X.X”.

Cela n’a pas empêché le média d’être sommé par les défenseurs de Rajat Khare de modifier l’article. “Le contenu et le ton de votre article sont délibérément sensationnalistes et accumulent les amalgames et raccourcis factuels et erronés”, accuse Sandrine Giroud, une autre avocate suisse de Rajat Khare, dans un courrier que RSF a pu consulter. Elle ajoute que le portrait de Rajat Khare est “inexact” et que “les faits présentés le visent directement et permettent aisément son identification”. Contactée par RSF, cette dernière a répondu que “[s]on mandant a[vait] fait valoir ses droits, en Suisse et à l’étranger, afin de se défendre des accusations infondées faites à son encontre comme tout individu injustement accusé” et qu’il “ne souhait[ait] pas commenter les procédures initiées et s’en remet[tait] à la justice”. 

Malgré tout, Gotham City, comme The New Yorker, a décidé de maintenir sa publication. Selon notre enquête, au moins quatre autres médias et organisations ont également refusé de céder à ces menaces. Au Canada, Ronald Deibert, le directeur du Citizen Lab – un laboratoire  spécialisé dans l'analyse des enjeux liés à la surveillance, à la cybersécurité et aux droits humains – a clairement fait savoir qu’il ne se plierait pas aux injonctions de l’AOATC. 

La prochaine victime de ces procédures-bâillons sera peut-être française. Le média Intelligence Online, spécialisé dans l’actualité des services de renseignement, s’est régulièrement intéressé à Rajat Khare et à sa société Appin. Dans son courrier à Gotham City, l’avocate Sandrine Giroud affirme que le site français fait l’objet d’une “procédure de droit de réponse et d'une procédure pour diffamation en France”, sans donner plus de détails. Pierre Gastineau, le rédacteur en chef d’Intelligence Online, a confirmé l’existence d’une plainte contre X avec constitution de partie civile. 

La stratégie de Rajat Khare impressionne par son ampleur. Il a notamment su s’entourer du cabinet d’avocats américain Clare Locke LLP, spécialisé en diffamation. C’est cette firme qui a demandé au magazine américain Wired, notamment, au nom de Rajat Khare, de retirer son article qui revenait sur cette campagne de censure internationale. 

Nébuleuse AOATC

D’autres médias, comme The New Yorker et Reuters, ont été interpellés ou poursuivis par l’AOATC, alors que cette association n’est même pas mentionnée dans leurs enquêtes respectives. Cette structure semble systématiquement contacter, voire poursuivre les médias parlant d’Appin et de Rajat Khare, alors même qu’elle se présente comme “un organisme autonome” s'occupant du soutien et de la gestion des centres de formation opérant sous le nom de franchise Appin. 

Le 3 octobre 2024, au cours de l’affaire contre Reuters, même la justice indienne a remis en question la légitimité de l’association à porter plainte, soulignant qu’elle avait été créée seulement en 2022 et qu’elle ne semblait pas être concernée par les faits rapportés dans l’article de Reuters, datant de plusieurs années auparavant. Contactée à plusieurs reprises par RSF, notamment sur ses liens avec Rajat Khare, l’AOATC n’a pas répondu aux demandes d’interview. De son côté, l’avocat suisse de Rajat Khare affirme que son client “n’a aucun lien avec cette association”.

Un nettoyage en ligne

En parallèle, d’autres stratégies sont mises en place pour protéger la réputation de Rajat Khare sur Internet. Comme l’a révélé Gotham City, un article d’Intelligence Online a fait l’objet d’une requête abusive de retrait en vertu de la Digital Millennium Copyright Act ou DMCA, la loi américaine sur les droits d’auteurs numériques. Recopié sur un site indien et antidaté, l’article du média français a ensuite été signalé comme étant un plagiat dans le but d’être supprimé. Ce n'est pas la première fois que cette loi américaine est détournée pour censurer un journalisme fiable, comme comme l’avait dénoncé RSF.

Bien que Rajat Khare et l’AOATC semblent déterminés à supprimer toute investigation au sujet de l’entreprise Appin, le cyber-entrepreneur est pourtant loin d’être absent d’Internet. Sur Google, plusieurs publications le présentant sous un jour bien plus favorable apparaissent en première page d’une recherche sur “Rajat Khare”, comme cet article publié sur la plateforme Medium. En enquêtant, RSF a découvert pléthore de publications similaires. Certaines sont signées du nom de l’entrepreneur, sous forme de billets ou de tribunes. 

Mais la majorité d’entre elles sont écrites par des comptes aux noms génériques, accompagnés de photos créées par intelligence artificielle, chacun commentant les publications des autres. Une biographie de Rajat Khare a ainsi été commentée et likée 300 fois, par seulement six profils, dont cinq publient du contenu au sujet de l’entrepreneur.  L’un de ces comptes Medium arbore d’ailleurs la même photo de profil qu’un autre auteur sur la plateforme Vocal Media, et tous deux écrivent uniquement au sujet de l'entrepreneur indien.

RSF a retrouvé l’un des auteurs de cette série d’articles encensant Rajat Khare. Si celui-ci a reconnu avoir écrit “avec l’aide de Chat GPT”, il n’a pas voulu expliquer pourquoi il a eu recours à un pseudonyme. Interrogé sur ses motivations et ses éventuels liens avec l’entrepreneur indien, il a répondu qu’il avait agi pour “des raisons personnelles”, avant de conclure, énigmatique : “Tout ne dépend pas de moi.”

En 2022, des profils dont le nom d’utilisateur fait directement référence à l'entrepreneur comme “RajatKhareLuxembourg” ou “RajatKhareInvestor1”, diffusaient déjà sur Medium ce type d’articles valorisant le parcours du magnat de la tech et vantant ses qualités d’investisseur. Une manière d’inonder la toile et de noyer les enquêtes plus encombrantes au sujet de l’entrepreneur indien. 

Rajat Khare est-il à l’origine de ces articles flatteurs, qui, contrairement aux investigations journalistiques, ne semblent pas avoir fait l’objet du même activisme judiciaire ? Contacté via son avocat, Rajat Khare n’a pas répondu à nos demandes d’interview, ni souhaité commenter ces publications très élogieuses publiées “par des tiers” et dont il affirme “ne rien savoir”. 

Si vous avez des informations à nous partager, vous pouvez nous contacter à appin-investigation[at]rsfsecure.org.