2. No Trace Project
3. Threat Library
4. Threat Library - Interface
5. French

The case was characterized by a lack of evidence that the defendants were planning a specific attack, and relied instead on interpretation of circumstantial evidence.[^https://web.archive.org/web/20250615210912/https://soutien812.blackblogs.org/wp-content/uploads/sites/1922/2023/11/CompteRenduProces_A4.pdf] For example:

- Libre Flot gained combat experience in Rojava, which was interpreted as an attempt to gain experience in order to carry out attacks in France.
- Libre Flot stole fertilizer from a store, intending to use it to create small explosives. The theft was interpreted as an attempt to obtain fertilizer without leaving traces.
- On two occasions, some of the defendants created small explosives from household or agricultural products, and detonated them in isolated areas where the explosions would not damage anything, which was interpreted as tests for possible future attacks (despite the defendants' claims that they were just doing it for fun).
- Some of the defendants participated in airsoft games, which were intepreted as paramilitary trainings.
- Handwritten notes of one of the defendants contained terms and phrases such as "weapons", "recruitment", "cleaning DNA", "incendiary device" and "are we ready for a comrade to be wounded or killed?", which were interpreted as indicative that the defendant was preparing an attack in France (despite the defendant's claims that the notes were about either airsoft or Rojava).
- In private conversations, some of the defendants made light-hearted, boasting comments such as "I want to burn all the banks, all the cops" and "if a police officer was on ground, honestly I would finish him off", which were interpreted as indicative of violent intentions.
- The defendants used secure digital communication tools, which was interpreted as indicative of "clandestine behavior".

L'affaire a été caractérisée par une absence de preuves que les inculpé·e·s planifiaient une attaque spécifique, et s'est à la place construite autour de l'interprétation de preuves circonstancielles. Voici des exemples de cette interprétation :[^https://web.archive.org/web/20250615210912/https://soutien812.blackblogs.org/wp-content/uploads/sites/1922/2023/11/CompteRenduProces_A4.pdf] Par exemple :

- Libre Flot a acquis de l'expérience de combat au Rojava, ce qui a été interprété comme une tentative d'acquérir de l'expérience pour mener des actions en France.
- Libre Float a volé de l'engrais à un magasin, dans l'intention de l'utiliser pour fabriquer de petits explosifs. Le vol a été interprété comme une tentative d'obtenir de l'engrais sans laisser de traces.
- À deux reprises, certain·e·s des inculpé·e·s ont fabriqué des petits explosifs à partir de produits d'entretien ou agricoles, et les ont fait exploser dans des zones isolées où les explosions ne feraient pas de dégâts, ce qui a été interprété comme des tests pour de possibles futures attaques (malgré les affirmations des inculpé·e·s qu'iels faisaient ça juste pour s'amuser).
- Certain·e·s des inculpé·e·s ont fait des parties d'airsoft, qui ont été interprétées comme des entraînements paramilitaires.
- Des notes manuscrites d'un·e des inculpé·e·s contenaient des termes et phrases comme "armes", "recrutement", "nettoyage ADN", "objet incendiaire" et "est-ce qu’on est prêt à ce qu’un camarade soit blessé ou tué ?", qui ont été interprétées comme révélatrices de la volonté de l'inculpé·e de planifier une attaque en France (malgré les affirmations de l'inculpé·e que les notes parlaient soit d'airsoft soit du Rojava).
- Dans des conversations privées, certain·e·s des inculpé·e·s ont fait des commentaires légers ou des fanfaronnades comme "j'ai envie de cramer toutes les banques, tous les keufs" et "si un membre des forces de l’ordre était par terre, moi franchement je l'achève", qui ont été interprétés comme révélateurs de leurs intentions violentes.
- Les inculpé.e.s utilisaient des outils de communication numérique sécurisés, ce qui a été interprété comme révélateur de "comportements clandestins".

Investigators bypassed the authentication of five encrypted hard drives found in raids:[^Private source.]

- One hard drive by using the very simple password "stopcigeo", which they presumably guessed.
- One hard drive by using a password they found on a post-it note under the computer containing the hard drive.
- One hard drive by using a password given to them in custody by the owner of the computer containing the hard drive.
- Two hard drives by using passwords they found in a text document on a previously decrypted hard drive.

Les enquêteurs ont contourné l'authentification de cinq supports de stockagedisques dur chiffrés trouvés dans des perquisitions :[^Source non publique.]

- Un disque dur grâce au mot de passe très simple "stopcigeo", qu'ils ont peut-être deviné.
- Un disque dur grâce à un mot de passe trouvé sur un post-it sous l'ordinateur contenant le disque dur.
- Un disque dur grâce à un mot de passe qui leur a été donné par le/la propriétaire de l'ordinateur contenant le disque dur.
- Deux disques durs grâce à des mots de passe qu'ils ont trouvé dans un document texte sur un disque dur préalablement déchiffré.

Surveillance detection is the practice of detecting if you are under [physical surveillance](tl://techniques/physical-surveillance.html), that is, detecting if you are being directly observed by an adversary. There are two types of surveillance detection: passive surveillance detection and active surveillance detection. Counter-surveillance is a sophisticated form of active surveillance detection.

# Passive surveillance detection

Passive surveillance detection is when you detect surveillance without deviating from your normal routine. Examples of passive surveillance detection include:

- Regularly checking the rear and side view mirrors while in a moving vehicle to detect surveillance vehicles following you.
- Listening to the sounds around you to detect drones or helicopters flying overhead.

# Active surveillance detection

Active surveillance detection is when you detect surveillance by doing something outside of your normal routine in an attempt to force a potential surveillance operation to reveal itself. Examples of active surveillance detection include:

- Taking an illogical route to travel between two points, such as a route that isn't the shortest route. If a pedestrian or vehicle takes the same illogical route as you, they may be a surveillance operator. If possible, you should have a valid reason for taking this illogical route (such as stopping at a store along the route), so that a surveillance operation doesn't notice that you are conducting surveillance detection.
- Making an unexpected U-turn while driving. If you are being followed by an incompetent surveillance team (or a single surveillance vehicle), a surveillance vehicle may mirror your U-turn, which would be a clear sign that they are following you. If you are being followed by a competent multi-vehicle surveillance team, the surveillance vehicles will not mirror your U-turn, as this would be suspicious, but your unexpected U-turn can still elicit unnatural reactions from them, which can help you to detect them. If possible, you should have a valid reason for making the U-turn, so that a surveillance operation doesn't notice that you are conducting surveillance detection.

# Counter-surveillance

Counter-surveillance is when you detect surveillance with the help of a trusted third party (i.e., one or more people) who is presumably not under surveillance, and who attempts to detect if you are under surveillance. The following is an example of a counter-surveillance operation:

1. Select a route that you will take during the counter-surveillance operation. The route should appear logical to a potential surveillance operation, but should be illogical for anyone else to take, and should include several stops that are suitable for the third party to attempt to detect a surveillance operation. For example, you can start at your home, stop at three or four hardware stores in your city pretending to price a certain item, and return to your home. This route would appear logical to a potential surveillance operation, but it is unlikely that anyone else would take the same route, stopping at the same stores in the same order as you.
2. As you follow the selected route, the third party ensures that they are present at each stop before you, but without taking the same route as you (so they won't detected by a potential surveillance operation). To accomplish this, the third party can use a faster mode of travel than you, or leave each stop before you to get a head start, or use multiple coordinated teams.
3. At each stop, the third party takes note of pedestrians and vehicles arriving after you. If the third party notices that a pedestrian or vehicle is present at two or more stops, they may be part of a surveillance operation. The third party can also detect behaviors typical of surveillance operators, such as transmitting information through a radio hidden on their body, communicating with each other through visual signals, running unexpectedly, etc.

# Additional considerations

If an adversary notices that you are conducting surveillance detection, they may adapt and become more discreet. Therefore, when conducting surveillance detection, you should avoid revealing that you are doing so, if possible. If you successfully detect surveillance, you should avoid visibly acknowledging or evading the surveillance operation.

# See also

- [Surveillance Countermeasures](res://#surveillance-countermeasures) about the principles and techniques of surveillance detection.
- The ["Physical surveillance" topic](res://#topic=physical-surveillance).
- The related mitigation [Anti-surveillance](tl://mitigations/anti-surveillance.html).

La détection de surveillance est la pratique qui consiste à détecter si tu es sous [surveillance physique](tl://techniques/physical-surveillance.html), c'est-à-dire, détecter si tu es en train d'être directement observé·e par un adversaire. Il y a deux types de détection de surveillance : la détection passive de surveillance et la détection active de surveillance. La contre-surveillance est une forme sophistiquée de détection active de surveillance.

# Détection passive de surveillance

La détection passive de surveillance c'est quand tu détectes la surveillance sans dévier de ta routine habituelle. Voici des exemples de détection passive de surveillance :

- Vérifier régulièrement les rétroviseurs dans un véhicule en mouvement pour détecter des véhicules de surveillance en train de te suivre.
- Écouter les bruits ambiants pour détecter des drones ou hélicoptères en train de voler au-dessus de toi.

# Détection active de surveillance

La détection active de surveillance c'est quand tu détectes la surveillance en agissant en-dehors de ta routine habituelle pour tenter de forcer une potentielle opération de surveillance à se dévoiler. Voici des exemples de détection active de surveillance :

- Suivre un itinéraire illogique pour se déplacer entre deux points, par exemple un itinéraire qui n'est pas le plus court. Si un piéton ou véhicule suit le même itinéraire illogique que toi, il est peut-être un opérateur de surveillance. Si possible, tu devrais avoir une raison valide de suivre cet itinéraire illogique (par exemple t'arrêter à un magasin sur l'itinéraire), pour qu'une opération de surveillance ne remarque pas que tu fais de la détection de surveillance.
- Faire un demi-tour inattendu en conduisant. Si tu es suivi·e par une équipe de surveillance incompétente (ou un seul véhicule de surveillance), un véhicule de surveillance pourrait reproduire ton demi-tour, ce qui serait un signe clair qu'il te suit. Si tu es suivi·e par une équipe de surveillance compétente qui dispose de plusieurs véhicules, les véhicules de surveillance ne vont pas reproduire ton demi-tour, car cela serait suspect, mais ton demi-tour peut tout de même provoquer chez eux des réactions anormales, ce qui peut t'aider à les détecter. Si possible, tu devrais avoir une raison valide de faire le demi-tour, pour qu'une opération de surveillance ne remarque pas que tu fais de la détection de surveillance.

# Contre-surveillance

La contre-surveillance c'est quand tu détectes la surveillance avec l'aide d'un tiers de confiance (c'est-à-dire une ou plusieurs personnes) qui n'est a priori pas sous surveillance, et qui tente de détecter si tu es sous surveillance. Voici un exemple d'une opération de contre-surveillance :

1. Choisis l'itinéraire que tu vas prendre pendant l'opération de contre-surveillance. L'itinéraire devrait sembler logique du point de vue d'une potentielle opération de surveillance, mais cela devrait être illogique pour toute autre personne de le suivre, et il devrait inclure plusieurs arrêts permettant au tiers de tenter de détecter une opération de surveillance. Par exemple, tu peux commencer chez toi, t'arrêter à trois ou quatre magasins de bricolage dans ta ville en prétendant te renseigner sur le prix d'un objet, puis retourner chez toi. Cet itinéraire semblerait logique à une potentielle opération de surveillance, mais il est peu probable que qui que ce soit suive le même itinéraire, en s'arrêtant aux mêmes magasins dans le même ordre que toi.
2. Alors que tu suis l'itinéraire choisi, le tiers s'assure qu'il est présent à chaque arrêt avant toi, mais sans prendre le même chemin que toi (pour éviter d'être détecté par une potentielle opération de surveillance). Pour ça, le tiers peut utiliser un moyen de transport plus rapide que toi, ou partir de chaque arrêt avant toi pour prendre de l'avance, ou utiliser plusieurs équipes coordonnées.
3. À chaque arrêt, le tiers prend note des piétons et véhicules qui arrivent après toi. Si le tiers remarque qu'un piéton ou véhicule est présent à deux arrêts ou plus, il est peut-être un opérateur de surveillance. Le tiers peut aussi détecter des comportements typiques d'opérateurs de surveillance, comme le fait de transmettre des informations via une radio cachée sur eux, le fait de communiquer entre eux par signes visuels, de se mettre à courir de manière inattendue, etc.

# Considérations supplémentaires

Si un adversaire remarque que tu fais de la détection de surveillance, il pourrait s'adapter et se faire plus discret. Quand tu fais de la détection de surveillance, tu devrais donc éviter de révéler que tu le fais, si possible. Si tu détectes avec succès une opération surveillance, tu devrais éviter de le faire savoir de manière visible ou d'échapper à l'opération de surveillance.

# Voir aussi

- [Surveillance Countermeasures](res://#surveillance-countermeasures) (*Mesures contre la surveillance*) à propos des principes et techniques de détection de surveillance.
- Le [sujet "Surveillance physique"](res://#topic=physical-surveillance).
- La mesure d'atténuation connexe [Anti-surveillance](tl://mitigations/anti-surveillance.html).

In some of the raids, police seized smartphones immediately after entering and plugged them into power banks, presumably to prevent them from shutting down and reverting to an encrypted state.[^https://actforfree.noblogs.org/2022/05/13/munich-germany-about-raids-and-a-%c2%a7129-procedure-against-anarchists-and-the-theft-of-a-printing-space]

The February arrests of N. and M. took place in a public library, while N. and M. were using a computer.[^https://actforfree.noblogs.org/2025/07/03/munich-germany-update-on-the-imprisonment-of-the-two-comrades] Police officers wearing civilian clothes waited until N. and M. had unlocked the computer to reveal themselves and make the arrest, presumably to access the computer while it was unlocked.

Dans certaines des perquisitions, les policiers ont saisi des smartphones immédiatement après être entrés et les ont branchés à des batteries externes, vraisemblablement pour les empêcher de s'éteindre, ce qui aurait ré-activé leur chiffrement.[^https://sansnom.noblogs.org/archives/12094]
Les arrestations de février de N. et M. ont eu lieu dans une bibliothèque publique, alors que N. et M. utilisaient un ordinateur.[^https://sansnom.noblogs.org/archives/26261] Des agents de police en civil ont attendu que N. et M. déverrouillent l'ordinateur pour se révéler et mener l'arrestation, vraisemblablement pour accéder à l'ordinateur alors qu'il était déverrouillé.

Background checks are used to verify that a person is who they claim to be. They can help ensure that someone in your network isn't an infiltrator, informant, or otherwise lying about their identity for malicious reasons.

Performing a background check on someone may involve:

- Contacting or meeting their friends or family to ask questions about them.
- Visiting their home or place of employment.
- Reviewing their identity or administrative documents (employment or rental history, criminal record, etc.)

We recommend two different approaches to background checks:

- The consensual, mutual approach: If you already trust someone to some degree but would like to trust them more, you can do a mutual background check, where each of you checks the other.
- The non-consensual approach: If you already have strong suspicions that someone is lying about their identity, you can do a background check on them without their consent to confirm your suspicions.

See also:

- [Confidence, Courage, Connection, Trust](res://#confidence) on the use of ID checks to verify that someone is who they say they are.
- [Handbook for Exposing an Undercover Cop](res://#handbook-undercover-cop) on a method for identifying, investigating and exposing undercover cops, including through using background checks.

Les recherches sur le passé d'une personne sont utilisées pour vérifier qu'une personne est bien qui elle prétend être. Cela peut aider à s'assurer qu'une personne de ton réseau n'est pas un·e infiltré·e ou un·e indic, et ne ment pas sur son identité pour des raisons malveillantes.

Faire des recherches sur le passé d'une personne peut impliquer :

- Contacter ou rencontrer ses ami·e·s ou des membres de sa famille pour leur poser des questions sur la personne.
- Visiter sa maison ou lieu de travail.
- Vérifier ses documents d'identité ou documents administratifs (contrats de travail ou de location, casier judiciaire, etc.)

Nous conseillons deux approches différentes pour ce type de recherches :

- L'approche consensuelle, mutuelle : Si tu fais déjà confiance à quelqu'un dans une certaine mesure mais que tu aimerais plus lui faire confiance, vous pouvez faire des recherches respectives sur le passé de l'autre.
- L'approche non-consensuelle : Si tu suspectes déjà fortement qu'une personne ment à propos de son identité, tu peux faire des recherches sur son passé sans son consentement pour vérifier tes suspicions.



Voir aussi:

- [Assurance, courage, lien, confiance : Une proposition de culture de la sécurité](res://#assurance) sur l'utilisation de vérifications d'identité pour vérifier qu'une personne est bien qui elle prétend être.
- [Handbook for Exposing an Undercover Cop](res://#handbook-undercover-cop) (*Manuel pour démasquer un flic infiltré*) sur une méthode pour identifier, investiguer, et démasquer des flics infiltrés, y compris à travers des recherches sur leurs passés.

Malware is malicious software installed on a digital device such as a computer, server, or mobile phone, to compromise the device. Malware can do many different things, but against anarchists and other rebels, it typically aims to gain visibility into the compromised device through remote screen capture and remote keylogging (recording the keys pressed on a keyboard), and to track the location of the device (in the case of phones).

Malware can be installed on a device:

- Remotely, typically through phishing[^https://en.wikipedia.org/wiki/Phishing] via email or text-based messages (SMS, etc.) To be effective, phishing often requires the target to open a malicious file or link.
- By [physical accessing](tl://techniques/targeted-digital-surveillance/physical-access.html) the device.

See the ["Targeted malware" topic](res://#topic=targeted-malware).

Un malware est un logiciel malveillant installé sur un appareil numérique comme un ordinateur, serveur, ou téléphone portable, pour compromettre l'appareil. Les malware peuvent faire beaucoup de choses différentes, mais contre les anarchistes et autres rebelles ils visent typiquement à surveiller l'appareil compromis à distance en prenant des captures d'écran et en enregistrant le texte entré sur l'appareil, et à pister la position de l'appareil (dans le cas des téléphones).

Un logiciel malveillant peut être installé sur un appareil :

- À distance, typiquement grâce au phishing[^https://fr.wikipedia.org/wiki/Hameçonnage] par email ou messages (SMS, etc.) Pour être efficace, le phishing nécessite souvent que la cible ouvre un fichier ou un lien malveillant.
- En [accédant physiquement](tl://techniques/targeted-digital-surveillance/physical-access.html) à l'appareil.

Voir le [sujet "Logiciels malveillants ciblés"](res://index.html#topic=targeted-malware).

An IMSI-catcher (also known as a *Stingray*) is a device used to collect information about all mobile phones that are turned on in a limited area (from a few meters to several hundred meters) around it. A passive IMSI-catcher simply listens to the traffic, while an active IMSI-catcher acts as a "fake" cell tower between the phones and the legitimate cell towers.

An IMSI-catcher can collect the following information about the phones around it:

- Their numbers.
- Their IMSI[^An International Mobile Subscriber Identity (IMSI) number is a number that uniquely identifies a SIM card.] and IMEI[^An International Mobile Equipment Identity (IMEI) number is a number that uniquely identifies a phone.] numbers.
- Data and metadata about their activity: the content of SMS and regular calls, the list of visited websites, metadata about the use of end-to-end encrypted messaging applications (e.g. when Signal is used and the approximate size of messages sent or received through Signal).

An adversary can use an IMSI-catcher to link people and phone numbers. For example:

- At a public demonstration, to record the phone numbers of all the phones present at the demonstration and later obtain the names associated with those phone numbers through the [collaboration of mobile network operators](tl://techniques/service-provider-collaboration/mobile-network-operators.html).
- As part of a [physical surveillance](tl://techniques/physical-surveillance.html) operation to record the target's phone number or the phone numbers of people in contact with the target.

An adversary can also use an IMSI-catcher to record phone activity. For example:

- To record the activity of a target phone without requiring the collaboration of the mobile network operator (which, in some contexts, may require a warrant).
- To record the activity of a target phone when the adversary knows where the phone is being used, but doesn't know its phone number.

See the ["IMSI-catchers" topic](res://#topic=imsi-catchers).

Un IMSI-catcher (aussi connu sous le nom de *Stingray*) est un appareil utilisé pour collecter des informations à propos de tous les téléphones allumés dans une zone restreinte (de quelques mètres à plusieurs centaines de mètres) autour de lui. Un IMSI-catcher passif écoute simplement le traffic, alors qu'un IMSI-catcher actif agit comme une "fausse" antenne téléphonique entre les téléphones et les vraies antennes téléphoniques.

Un IMSI-catcher peut collecter les informations suivantes à propos des téléphones autour de lui :

- Leurs numéros.
- Leurs numéros IMSI[^Un numéro International Mobile Subscriber Identity (IMSI, *identité internationale d'abonné mobile*) est un numéro qui identifie une carte SIM de manière unique.] et IMEI.[^Un numéro International Mobile Equipment Identity (IMEI, *identité internationale d'équipement mobile*) est un numéro qui identifie un téléphone de manière unique.]
- Des données et métadonnées à propos de leur activité : le contenu des SMS et appels classiques, la liste des sites web visités, des métadonnées à propos de leur utilisation d'applications de messagerie chiffrées de bout-en-bout (par exemple, quand est-ce que Signal est utilisé et la taille approximative des messages envoyés ou reçus sur Signal).

Un adversaire peut utiliser un IMSI-catcher pour relier des personnes et des numéros de téléphone. Par exemple :

- Pendant une manifestation, pour enregistrer les numéros de téléphone de tous les téléphones présents à la manifestation et ensuite obtenir les noms associés à ces numéros de téléphone grâce à la [collaboration des opérateurs de téléphonie mobile](tl://techniques/service-provider-collaboration/mobile-network-operators.html).
- Dans le cadre d'une opération de [surveillance physique](tl://techniques/physical-surveillance.html) pour trouver le numéro de téléphone de la cible ou les numéros de téléphone des personnes en contact avec la cible.

Un adversaire peut aussi utiliser un IMSI-catcher pour enregistrer l'activité d'un téléphone. Par exemple :

- Pour enregistrer l'activité d'un téléphone cible sans avoir besoin de la collaboration de l'opérateur de téléphonie mobile (qui, dans certains contextes, peut nécessiter un mandat).
- Pour enregistrer l'activité d'un téléphone cible quand l'adversaire sait où le téléphone est utilisé, mais ne connaît pas son numéro.

Voir le [sujet "IMSI-catchers"](res://index.html#topic=imsi-catchers).