Le paradoxe de la carte de la paix

Introduction

Il y a une ironie cruelle au centre de cette histoire. Le même gouvernement colombien qui avait promis de protéger les anciens guérilleros des FARC qui rendaient leurs armes et entraient dans les camps de réintégration publiait également – ​​sans le savoir et de manière catastrophique – l’emplacement précis de ces camps sur un serveur ouvert accessible à toute personne disposant d’un navigateur Web.

Et à côté de ces coordonnées de camp : un deuxième ensemble de données. Une liste de morts qui s'allonge.

In October 2025, the United States Treasury Department sanctioned Colombian President Gustavo Petro under OFAC narcotics designations — an extraordinary action against a sitting head of state. Trump a qualifié Petro de « trafiquant de drogue illégale ». Le groupe aéronaval du porte-avions USS Gerald Ford s'est déployé dans les eaux au large des côtes colombiennes. Les relations diplomatiques entre les deux pays ont dégénéré en crise.

Mais tandis que les diplomates échangeaient des menaces et que les navires de guerre se repositionnaient, ODINT envisageait autre chose. Lors de l'énumération de routine des sous-domaines de l'infrastructure du gouvernement colombien, nous avons découvert que le Bureau présidentiel de la Colombie exploitait un portail ArcGIS – non authentifié, accessible au public – contenant des cartes de renseignement militaire, des superpositions territoriales de groupes armés et un ensemble de données qui nous ont arrêtés net : 110 attaques documentées contre des signataires du processus de paix au cours des seuls six premiers mois de 2025, dont 29 homicides.

La présidence, que Washington accusait de liens avec les stupéfiants, divulguait simultanément ses propres renseignements militaires – et l’emplacement des personnes que son processus de paix était censé protéger – à quiconque disposait d’un navigateur Web.

Le portail ouvert

Ce que nous avons trouvé chez ergit.presidencia.gov.co

L'audit de l'infrastructure colombienne de ODINT a commencé par une énumération standard des sous-domaines par rapport presidencia.gov.co — le domaine officiel du bureau exécutif de la Colombie. Le type de reconnaissance que tout chercheur en sécurité, journaliste ou service de renseignement adverse effectue régulièrement. Ce qu’il a renvoyé n’était pas courant.

Le sous-domaine ergit.presidencia.gov.co résolu sur un serveur ArcGIS Enterprise exécutant la version 11.3.0. ArcGIS est la plateforme d'informations géographiques d'entreprise d'Esri, utilisée par les gouvernements du monde entier pour la gestion de données spatiales allant de la planification urbaine au renseignement militaire classifié. Cette instance a été configurée avec une galerie publique, ce qui signifie que son contenu était visible et téléchargeable sans aucune authentification.

Aucune connexion. Pas de touche API. Aucun jeton d'accès.

La galerie répertorie des dizaines de services. Mais les noms des dossiers ont immédiatement signalé la gravité de l’exposition : CNR_SEP_2025_MIL1. CNR_julio_2025_MIL1. Mapa_AT_MIL1. Mapa_Caso_03_MIL1. Il ne s’agissait pas de cartes de transparence publique. Il s’agissait de produits de renseignement militaire colombien – nommés selon les conventions de classification opérationnelle – hébergés sur un serveur civil mal configuré appartenant à la présidence.

Le portail présidentiel ArcGIS : dossiers de renseignements militaires visibles dans la galerie publique, aucune connexion requise. ODINT, janvier 2026.

Une requête adressée au REST API du serveur a confirmé que les données n'étaient pas seulement visibles mais téléchargeables. Les outils d'extraction de ODINT, exécutés sur quatre sessions s'étalant sur environ six heures, ont extrait 322 fichiers structurés. Le volume total accessible via le portail dépassé 26 gigaoctets.

Services exposés

Qui sont les Firmantes

L’accord de paix de 2016

L’accord de paix de 2016 entre le gouvernement colombien et les FARC – les Forces armées révolutionnaires de Colombie – est le résultat de quatre années de négociations à La Havane. Il a offert aux combattants des FARC une voie pour sortir du conflit armé : démobilisation, amnistie pour les crimes non atroces, participation politique et programme de réintégration dans le camp AETCR. Environ 13 000 combattants ont accepté ces conditions. Le gouvernement colombien les a appelés firmantes — signataires.

Ils ont rendu leurs armes. Ils ont renoncé à leur anonymat – s’inscrivant auprès de l’État, recevant des cédulas, apparaissant dans les bases de données gouvernementales. Ils ont abandonné les structures armées qui les protégeaient depuis des années, voire des décennies. En échange : un camp, une allocation et une promesse de protection.

Puis ils ont commencé à mourir.

Le paysage des menaces

Les meurtres viennent de plusieurs directions. Les factions dissidentes des FARC – principalement l'EMC dirigée par « Iván Mordisco » et la Segunda Marquetalia dirigée par Iván Márquez, qui a repris les armes après l'accord – considèrent les signataires comme des traîtres. Les organisations de trafic de drogue, notamment le Clan del Golfo (AGC), les considèrent comme des concurrents ou des passifs dans les territoires producteurs de coca. Dans plusieurs départements colombiens, ceux qui ont démobilisé et ceux qui se sont réarmés se disputent la même géographie.

Le gouvernement a suivi méticuleusement ces violences. Ce qu'il n'a pas réussi à faire, c'est de sécuriser la base de données.

Les signataires du processus de paix (firmantes) qui ont été démobilisés dans le cadre de l’accord de 2016 ont été confrontés à des violences systématiques depuis leur réintégration. Source : [INSÉRER LA SOURCE].

La carte des cibles vivantes

CNR_SEP_2025_MIL1 — Carte militaire de septembre 2025

La carte militaire de septembre 2025 contenait huit couches de groupes armés distincts, chacune représentant l'évaluation actuelle de l'armée colombienne du contrôle territorial à travers le pays. Les groupes cartographiés comprenaient l'ELN, le Clan del Golfo (AGC), les dissidents EMC FARC et Segunda Marquetalia.

Couche 9, intitulée AETCR, contenait ce qui est peut-être les données les plus dangereuses sur le plan opérationnel de toute l’exposition. Les sites de l’AETCR – Espacios Territoriales de Capacitación y Reincorporación – sont les camps physiques où les anciens guérilleros des FARC qui ont accepté l’accord de paix sont allés se démobiliser.

Vingt-quatre de ces camps ont été cartographiés avec des coordonnées GPS précises :

Nord: Condores, Terre Grata

Nord-Est : Caño Indio, Philippines

Centre-Ouest : Caracolí, Llano Grande, Mutata

Central: La Planoa, Carrizal, Monterredondo, Hato Bonbón

Centre-Sud : Charras, Las Colinas

Sud-Ouest : El Ñoral, La Variante, El Estrecho, Oscar Mondragón, El Doncello 2, Agua Bonita, La Pradera

Emplacements des camps de réintégration AETCR à partir du serveur Presidential ArcGIS (couche 9). Coordonnées GPS retenues par ODINT. Source : ergit.presidencia.gov.co, septembre 2025.

Ces emplacements ne sont pas secrets au sens local : les communautés voisines savent où se trouvent les camps. Mais leur présence sur un serveur gouvernemental non authentifié, superposée à des cartes territoriales de groupes armés, crée un produit de renseignement composite qu’aucun acteur hostile ne pourrait facilement compiler de manière indépendante. L'armée colombienne a effectué le travail d'analyse. Ensuite, j'ai laissé le résultat sur un serveur Web public.

Groupes armés cartographiés

La même carte militaire présentait l’évaluation du contrôle territorial de chaque groupe armé majeur du pays :

Zones territoriales des groupes armés évaluées par les renseignements militaires colombiens, septembre 2025. Zones ELN, EMC, AGC et Segunda Marquetalia superposées sur le même serveur que les coordonnées du camp AETCR. Source : ergit.presidencia.gov.co.

Dans plusieurs départements colombiens, les emplacements des camps de l’AETCR et les zones territoriales dissidentes de l’EMC se chevauchent directement. La carte militaire indiquait précisément où.

Le gouvernement a cartographié les lieux où vivent les anciens guérilleros. Il a cartographié l'endroit où ils sont tués. Il a rendu les deux ensembles de données librement accessibles à tous, y compris aux auteurs des meurtres.

Le grand livre de la mort

Afectaciones Firmantes — Premier semestre 2025

Si la couche AETCR était la carte des endroits où les signataires de la paix en direct, La couche 0 était la carte de l'endroit où ils se trouvent en train de mourir. Titré "Afectaciones Firmantes 1er semestre 2025" — Effets sur les signataires, premier semestre 2025 — l'ensemble de données a documenté chaque acte de violence enregistré contre les anciens membres des FARC démobilisés dans le cadre de l'accord de 2016, organisé par département.

Le fichier faisait 37,7 mégaoctets. Il contenait 33 dossiers régionaux. Les nombres agrégés du propre schéma de champ de l'ensemble de données :

Un homicide par semaine, perpétré pendant six mois. Depuis la signature de l’accord de 2016, diverses organisations de surveillance ont documenté plus de 400 meurtres d’anciens membres des FARC. Le gouvernement colombien suivait ces données avec précision. Les données ont été géoréférencées par département. Les données étaient correctes.

Et les données se trouvaient sur un serveur ouvert aux côtés des coordonnées des camps où vivaient les victimes.

Afectaciones_Firmantes_2025 — 110 incidents contre les signataires de la paix, premier semestre 2025. Source : ergit.presidencia.gov.co.

Les champs de données ont exposé la taxonomie formelle de la violence du gouvernement colombien : HOMICIDIO_FIRMANTE, DESAPARICIÓN_FORZADA, TENTATIVA_DE_HOMICIDIO_FIRMANTE, AMENAZAS_A_FIRMANTES. Il ne s’agissait pas d’une estimation informelle. C'est le compte rendu de l'État sur son échec à protéger les personnes qu'il a persuadées de déposer les armes – enregistré dans la même base de données que leurs adresses.

ÉCHEC CRITIQUE DE L'OPSEC : Le même portail ArcGIS qui a cartographié les coordonnées précises GPS de 24 camps de réintégration des FARC a également cartographié les endroits où les signataires de la paix ont été attaqués et tués – y compris par les groupes armés dont les zones territoriales sont également visibles sur le même serveur. Il ne s’agit pas de deux expositions distinctes. Il s’agit d’un ensemble de données de ciblage unique et cohérent, disponible gratuitement sur l’Internet public.

C’est le paradoxe de la carte de la paix dans sa forme la plus frappante. Le gouvernement colombien a mis en place un système sophistiqué de renseignement géospatial pour surveiller le conflit et protéger les participants au processus de paix. Ce système a correctement identifié l’environnement de menace. Et puis, grâce à une seule erreur de configuration, ces renseignements ont été transmis simultanément à tous les acteurs du conflit.

L’exposition plus large des infrastructures

513+ sous-domaines gouvernementaux

Le serveur ArcGIS présidentiel n’était pas une panne isolée. L'énumération élargie de ODINT a révélé une tendance systémique dans l'ensemble de l'empreinte numérique du gouvernement colombien.

Énumération du journal de transparence des certificats via crt.sh découverte 513+ sous-domaines dans l’ensemble du gouvernement colombien et des infrastructures militaires :

Les propres domaines de l'armée – armée, marine, force aérienne – étaient correctement sécurisés derrière des pare-feu d'applications Web. L’infrastructure civile était une tout autre affaire.

Plus de 513 sous-domaines du gouvernement colombien répertoriés via les journaux de transparence des certificats. ODINT audit d'infrastructure, janvier-février 2026.

Trois autres portails ArcGIS ouverts

L'analyse de suivi de ODINT réalisée en février 2026 a été identifiée trois portails ArcGIS non authentifiés supplémentaires dans les agences civiles :

IGAC (Institut Géographique National) — mapas.igac.gov.co — contenait des bases de données sur les événements liés aux mines antipersonnel avec les coordonnées de l'incident GPS, des cartes de cultures illicites par année et des données sur les conflits d'utilisation des terres.

SGC (Commission Géologique) — srvags.sgc.gov.co — 53 dossiers comprenant des cartes des risques sismiques et des menaces volcaniques.

IDEAM (Agence Environnementale) — visualizador.ideam.gov.co — 72 services couvrant les données sur le climat, l'eau et les écosystèmes.

La tendance observée dans 16 agences et 60 sous-domaines SIG supplémentaires suggère non pas une seule erreur de configuration, mais plutôt une erreur. vide politique: aucune norme gouvernementale exigeant une authentification pour la publication des données géospatiales, et aucun mécanisme d'audit pour combler les lacunes.

460 courriels gouvernementaux

Intégré aux métadonnées des fonctionnalités ArcGIS — journaux de suivi de l'éditeur et enregistrements de configuration de service — ODINT extraits 460 adresses email, dont 113 appartenaient au domaine du gouvernement colombien (.gov.co).

Noms d'utilisateur identifiés dans le système : angiemontoya, maicolvelasquez, Esri_Anonyme.

Domaines de messagerie gouvernementaux exposés :

• @presidencia.gov.co
• @mininterior.gov.co
• @cancilleria.gov.co
• @dnp.gov.co
• @policia.gov.co
• Bureaux municipaux d'Antioquia, d'Arauca et d'autres

Dans un pays où des responsables gouvernementaux travaillant à la mise en œuvre du processus de paix ont été menacés et tués – où 68 menaces formelles contre les signataires ont été documentées en six mois – la divulgation des coordonnées des fonctionnaires gérant ces données ne constitue pas un problème de conformité. C'est une question de sécurité physique.

460 adresses e-mail extraites des métadonnées ArcGIS — 113 comptes du gouvernement colombien. Détails individuels retenus par ODINT. Janvier 2026.

Le paradoxe de l’IA policière

Plateforme colombienne d'intelligence artificielle — Sur des serveurs américains

L'une des conclusions les plus frappantes de l'enquête concerne la plateforme d'IA de la police nationale colombienne et la contradiction géopolitique qu'elle représente.

Le président Gustavo Petro, sanctionné par le Trésor américain en octobre 2025, a publiquement accusé Washington de violer la souveraineté colombienne. Il a ordonné à ses forces de sécurité de mettre fin au partage de renseignements avec les agences américaines. Sa rhétorique positionnait la Colombie comme une nation affirmant son indépendance vis-à-vis de la puissance américaine.

Sa police nationale, quant à elle, gère toute son infrastructure de renseignement IA sur Amazon Web Services, région US-East-1 — Virginie du Nord, États-Unis.

NADIA — l'assistant d'IA conversationnelle de la police nationale colombienne, fonctionnant sur Amazon Bedrock (AWS us-east-1). Découvert à nadia.ia.policia.gov.co. ODINT, janvier 2026.

La plateforme à ia.policia.gov.co est un système sophistiqué de renseignement des forces de l’ordre :

• NADIE — Assistant d'IA conversationnelle optimisé par Amazon Bedrock
• ANTICIPACION — Module d'analyse prédictive
• HUNDOC — IA d'analyse de documents
• AITRANSCRIRE — Transcription audio et vidéo
• EXPERTOPOL — Système d'enquête expert
• MOTEUR DE RECHERCHE AISE — Recherche basée sur l'IA
• MAPS.ANALYTICS — Cartographie de la criminalité et analyse géospatiale
• DIJIN PANDORA — Gestion des affaires pénales (dijinpandora.policia.gov.co)

L'analyse de ODINT a révélé l'ID du compte AWS (926162397524), la convention de dénomination des compartiments S3 (pon-prod-ai-platform-926162397524.s3.amazonaws.com) et les cookies de session du point de terminaison du formulaire. Les détails de l’infrastructure exposés ont brossé un tableau clair.

La pile, de bas en haut :

1. Substrat amazonien — Fondation AI/ML, AWS us-east-1, Virginie du Nord, États-Unis
2. S3 + CloudFront CDN — Stockage et livraison, seau : pon-prod-ai-platform-926162397524
3. Next.js Couche d'application — NADIA, ANTICIPACION, HOUNDOC, AITRANSCRIBE
4. Police nationale colombienne (DIJIN / Pandora) — Utilisateurs finaux, analyse des renseignements criminels

Si Washington choisissait d'agir – un avis sur les conditions de service d'AWS, un avis OFAC à Amazon – la plateforme colombienne de police prédictive et de renseignement criminel pourrait être suspendue du jour au lendemain. L'État sanctionné a construit son appareil de surveillance sur l'infrastructure cloud de l'organisme sanctionnant.

Le cadre géopolitique

Octobre 2025 — La désignation OFAC

En octobre 2025, le OFAC du Trésor américain a placé le président Gustavo Petro, son épouse Verónica Alcocer, son fils Nicolás Petro et le ministre de l'Intérieur Armando Benedetti sur la liste du SDN sous la désignation de trafic de stupéfiants.

Le secrétaire au Trésor Bessent a déclaré que la production de cocaïne avait atteint ses niveaux les plus élevés depuis des décennies sous Petro. Trump a qualifié Petro de « trafiquant de drogue illégale » sur Truth Social. Le groupe aéronaval USS Gerald R. Ford déployé dans les Caraïbes. Petro a ordonné à ses forces de sécurité de mettre fin au partage de renseignements avec Washington et a mis le secrétaire Rubio au défi de l'arrêter :

"Si vous voulez m'arrêter, voyons si vous le pouvez. Si vous voulez me mettre en pyjama orange ? Essayez-le. Mais ce peuple ne s'agenouille pas."

Trésor américain OFAC Désignation SDN du président Petro et des membres de sa famille, octobre 2025. Une rupture diplomatique sans précédent moderne contre un chef d'État en exercice.

Personnes sanctionnées :

• Gustavo Petro — Président de la Colombie
• Verónica del Socorro Alcocer García - Épouse
• Nicolas Fernando Petro Burgos — Fils
• Armando Alberto Benedetti — Ministre de l'Intérieur, ancien chef de campagne

3 janvier 2026 – La capture de Maduro

Le 3 janvier 2026, Nicolas Maduro a été placé en garde à vue aux États-Unis. Petro a convoqué une réunion d'urgence du cabinet de sécurité à 3 heures du matin, a condamné l'opération comme une attaque contre la souveraineté régionale et a déployé des troupes colombiennes jusqu'aux 2 219 km de frontière vénézuélienne.

Les analyses du 5 janvier de ODINT, qui ont capturé l'ensemble des données complètes du serveur Presidential ArcGIS, ont eu lieu dans cette fenêtre précise. Le gouvernement colombien gérait simultanément une crise géopolitique avec les États-Unis, une urgence sécuritaire à sa frontière vénézuélienne et un déficit budgétaire de 4,2 milliards de dollars après que le Congrès ait annulé la réforme fiscale de Petro. Et ses propres données de renseignement militaire sont restées accessibles au public.

Les données territoriales des groupes armés publiées sur le portail présidentiel – zones de trafic de cocaïne du Clan del Golfo, ensembles de données sur la culture de la coca de 2017 à 2023, zones opérationnelles des dissidents des FARC – représentaient exactement le type de renseignements sur lesquels Washington prétendait que l’administration Petro ne donnait pas suite. Il se trouvait sur le propre serveur ouvert de Petro.

Le pays sanctionné par les États-Unis pour ses liens présumés avec la drogue divulguait sur Internet ses propres cartes montrant les territoires du cartel. Les accusations de Washington. Le témoignage de Bogota. Même serveur.

Zones de culture de coca du serveur présidentiel ArcGIS — ensembles de données s'étendant de 2017 à 2023, y compris les zones du programme de substitution volontaire du PNIS. Source : ergit.presidencia.gov.co.

Principales conclusions

Données brutes et téléchargements

Toutes les données collectées sont archivées sur le serveur de données de ODINT. Les ensembles de données suivants sont disponibles pour les chercheurs, les journalistes et les praticiens OSINT. Les coordonnées GPS des emplacements des camps de réintégration de l'AETCR ont été retenues dans l'attente d'un examen de divulgation responsable.