Sociétés écrans au sein du relais de confidentialité d'Apple
Une LLC anonyme du Delaware publie une application de prière biblique, un journal intime quotidien et un outil d'identification de l'appelant sur l'App Store. Cette entité exploite une infrastructure de relais chiffrée au sein du réseau de confidentialité d'Apple. Ce relais aboutit chez Taiwan Mobile Co., Ltd.
Vous pouvez confirmer qu'il est actif en ce moment même. Trois commandes.
En 2024, Apple a introduit l'Oblivious HTTP pour Live Caller ID Lookup. Votre téléphone demande qui appelle. Le relais d'Apple retire votre identité de la question. Un fournisseur tiers répond sans jamais savoir qui a demandé. Le relais voit votre adresse IP mais pas votre question. Le fournisseur voit votre question mais pas votre adresse IP. Personne ne voit les deux.
Pour participer, les fournisseurs enregistrent des points de terminaison et obtiennent l'approbation d'Apple. Leur infrastructure se situe alors à l'intérieur du relais — chiffrée, anonymisée, approuvée.
Ce qui suit est un compte rendu documenté de ce qui a été trouvé à l'intérieur de ce relais sur des iPhone de production ordinaires.
StopScam LLC est une société à responsabilité limitée du Delaware enregistrée au 254 Chapman Rd, Suite 208 #20663, Newark, DE 19702. C'est un service d'agent enregistré. Il n'y a pas de bureau. Aucun dirigeant n'est nommé. Aucun nom de personne n'apparaît nulle part dans les registres publics.
StopScam LLC publie trois applications sur l'App Store :
Apple a approuvé cette entité — Developer ID 1795482410 — pour exploiter pir.stopscam.ai et ohttp.stopscam.ai au sein de son relais OHTTP. Les journaux Certificate Transparency montrent 76 certificats émis pour les sous-domaines stopscam.ai depuis novembre 2024. Dont n8n.stopscam.ai — une plateforme open-source d'automatisation de workflows. Un service d'identification de l'appelant n'a pas besoin d'automatisation de workflows. Une pipeline de traitement de données, si.
StopScam n'est pas seul.
Les registres publics montrent que kaylees.site appartient à un développeur iOS indépendant connu pour Wipr 2 — un bloqueur de contenu pour Safari présent sur l'App Store depuis plus d'une décennie. Wipr 2 inclut une fonctionnalité appelée Filtr qui utilise l'API URL Filters d'iOS 26 d'Apple pour bloquer du contenu au niveau du réseau dans toutes les applications. Cette API utilise la même infrastructure OHTTP/PIR, ce qui explique pourquoi pir.kaylees.site apparaît dans le relais comme point de terminaison ObliviousHopFallback.
Contrairement à StopScam LLC, il s'agit d'un développeur publiquement identifiable avec un historique produit documenté. La présence de kaylees.site dans le relais est cohérente avec un enrôlement légitime de fournisseur URL Filter. Ce qui reste flou, c'est de savoir si le trafic observé sur ce canal est uniquement du blocage de contenu Filtr ou si autre chose se greffe sur la présence relais d'un fournisseur légitime.
Aura est une grande entreprise américaine de sécurité grand public — maison mère de Hotspot Shield, Identity Guard et Betternet. Son point de terminaison urlfilter.pepperai.aurasvc.io apparaît dans le relais dans la même chaîne ObliviousHopFallback que les autres fournisseurs. Le préfixe urlfilter suggère un filtrage de contenu — une fonction qui exige d'inspecter les données transitant par le relais. Présent dans 5 des 15 fichiers Persist.
AutoSec est publiée par le développeur Hieu Van (App Store Developer ID 1876492156) sous le copyright de Uney GmbH — une société enregistrée au 25 Baarerstrasse, 6300 Zoug, en Suisse, avec des bureaux supplémentaires sur la Sheikh Zayed Road à Dubaï et des activités à Hô Chi Minh-Ville, au Viêt Nam. Uney produit également ShieldNet 360 (cybersécurité d'entreprise) et SkyTrack (plateforme de mission pour véhicules autonomes).
La politique de confidentialité d'AutoSec elle-même indique que l'application est exploitée par « l'entité juridique à confirmer ». Elle collecte des identifiants d'appareil, des données de localisation, des adresses IP, des métadonnées d'appels et de messages, des listes de contacts et le comportement de navigation. Les données sont partagées avec des « clients, agences et réseaux tiers » et transférées vers des pays « y compris, mais sans s'y limiter, l'Inde ». Les entrées de saut OHTTP — principale et de secours — apparaissent toutes deux dans le relais.
Carrément est une petite entreprise située au 18 rue Bailey, 14000 Caen, France. Son produit public est DialogPro (dialogpro.ai) — un « service de réponse intelligent ». Aucun membre d'équipe nommé. Présence web minimale. Hébergé sur AWS Canada. Le sous-domaine antispam est cohérent avec des services de gestion d'appels ou de filtrage anti-spam. Apparition unique dans le relais.
Yandex — le plus grand moteur de recherche et entreprise technologique de Russie — exploite un service d'identification de l'appelant pour iOS. Les entrées principale (ObliviousHop) et de secours (ObliviousHopFallback) apparaissent toutes deux dans le relais avec deux UUID distincts et des clés de session. Yandex est soumis aux lois d'accès aux données de la Fédération de Russie.
Taiwan Mobile Co., Ltd. — l'un des trois grands opérateurs de télécommunications de Taïwan. Le nœud terminal. L'UUID C56B1AED-20FE-4B7D-B1EA-D791DA57A549 est persistant à travers les captures. Le préfixe osbstage suggère un backend de préproduction (Oracle Service Bus ou similaire). Présent dans 4 des 15 fichiers Persist et identique entre les captures du 19 mars et du 21 mars.
Voici ce que promet l'architecture de confidentialité d'Apple :
Your iPhone ──> Apple Relay ──> Caller ID Provider
(sees IP, (sees query,
not query) not IP)
Nobody sees both. Privacy preserved.
Voici ce qui se trouve réellement à l'intérieur de ce relais :
Apple Relay
│
┌────────┬───────┼───────┬────────┐
v v v v v
kaylees StopScam Pepper Yandex AutoSec
.site .ai AI (Russia) (Zug/
(Wipr) (Bible (Aura) Dubai/
app) Vietnam)
│ │ │ │ │
└────────┴───────┼───────┴────────┘
v
Taiwan Mobile
Co., Ltd.
Quatorze points de terminaison. Six pays. Un bloqueur de contenu indépendant, une LLC anonyme du Delaware, des marques de sécurité grand public, un moteur de recherche russe, une entreprise de cybersécurité basée entre la Suisse, Dubaï et le Viêt Nam, des points de terminaison de l'API Google et un opérateur télécom d'État taïwanais — tous opérant comme fournisseurs approuvés au sein de la couche de confidentialité d'Apple.
C'est important parce que le relais OHTTP d'Apple est une infrastructure partagée. Chaque iPhone utilisant Live Caller ID Lookup se connecte via le même relais aux mêmes fournisseurs approuvés. La question n'est pas de savoir si cela a touché un téléphone. C'est de savoir combien.