Le logiciel espion Pegasus de NSO Group a été utilisé contre des diplomates américains en Ouganda

Le logiciel espion avancé Pegasus, créé par la société israélienne NSO Group et utilisé par des gouvernements comme l’Arabie saoudite pour recueillir des renseignements sur ceux qu’il considère comme des terroristes ou des criminels, aurait été détecté sur au moins 11 iPhones utilisés par des responsables américains en Ouganda ou menant des activités liées au pays, ainsi que les habitants travaillant pour l’ambassade.

Cette nouvelle – rapportée pour la première fois vendredi par Reuters – exacerbera probablement les relations difficiles du groupe NSO avec le gouvernement américain ; alors que la société prétend que Pegasus ne peut pas être utilisé sur des téléphones avec des numéros américains, le récent piratage montre qu’il existe des failles qui permettent aux gouvernements étrangers d’espionner les citoyens américains et les employés du gouvernement. C’est le premier incident connu de la technologie utilisée contre des responsables américains, bien qu’on ne sache pas encore lequel des clients de NSO Group a piraté les appareils.

NSO Group affirme depuis longtemps que ses clients – qui vont des monarchies comme les Émirats arabes unis aux nations démocratiques comme l’Allemagne et le Mexique – sont étroitement contrôlés, mais il existe un long historique de sa technologie utilisée à des fins néfastes, comme espionner les dissidents. ou des conjoints séparés, comme l’aurait fait le souverain de Dubaï.

Les scandales du groupe NSO posent également un problème diplomatique ; bien que NSO soit une entreprise privée, elle est étroitement liée au gouvernement israélien, et le ministère israélien de la Défense doit signer la licence d’exportation de la technologie, s’assurant ainsi qu’elle n’est utilisée qu’à des fins « de prévention et d’enquête sur le crime et la lutte contre le terrorisme ». selon un porte-parole de la défense israélienne qui s’est entretenu avec le Washington Post en juillet.

De nombreux reportages de 17 médias et de plus de 80 journalistes prouvent cependant que cela n’a pas toujours été le cas : entre autres incidents, Pegasus aurait été utilisé pour surveiller le dissident saoudien et chroniqueur du Washington Post Jamal Khashoggi avant son assassinat en octobre 2018.

Plus récemment, les États-Unis ont commencé à prendre des mesures contre l’entreprise. En novembre, NSO Group a été placé sur la « liste d’entités » du département du Commerce, ce qui restreint sévèrement l’exportation de technologies américaines qui pourraient être utilisées par NSO Group pour soutenir Pegasus et des projets similaires.

Maintenant, compte tenu des récents rapports sur l’utilisation de Pegasus contre des employés du département d’État, des mesures de répression plus sévères contre NSO et une technologie similaire pourraient être à l’horizon. Jeudi, l’administration Biden a annoncé des plans pour une initiative dirigée par les États-Unis sur l’utilisation de la technologie de surveillance – comme Pegasus – par les régimes autoritaires. L’objectif, selon le Wall Street Journal, est de créer un cadre autour des contrôles d’exportation et de licence de cette technologie, ainsi que de créer un réseau de partage d’informations pour détecter et signaler son utilisation abusive.

Pegasus a été utilisé pour espionner des dissidents, des journalistes et des politiciens

Selon le Washington Post, 11 personnes liées à l’ambassade des États-Unis dans la capitale ougandaise Kampala – dont certains citoyens américains travaillant comme agents du service extérieur – ont été informées par Apple que leurs appareils avaient été piratés.

Alors que NSO a précédemment déclaré que Pegasus ne peut pas être utilisé contre des appareils basés aux États-Unis, les Américains travaillant à l’étranger peuvent – ​​et le font souvent – ​​acquérir des numéros de téléphone locaux, qui peuvent être vulnérables aux attaques de Pegasus.

Selon le New York Times, les cibles étaient facilement identifiables en tant qu’employés du département d’État – ils avaient utilisé leurs adresses e-mail professionnelles pour créer leurs identifiants Apple. Bien qu’il ne soit pas clair qui a perpétré l’attaque, et qu’il n’y ait aucune indication que c’était NSO Group ou l’État d’Israël, en utilisant l’exploit Pegasus, les pirates pourraient regarder et copier les fichiers des appareils des cibles, ainsi que suivre leurs mouvements et enregistrer les conversations .

NSO Group maintient que les gouvernements qui achètent Pegasus sont soigneusement contrôlés et ne doivent pas utiliser le produit à des fins spécifiques ; Cependant, la société a vendu à plusieurs reprises Pegasus à des pays connus pour utiliser la technologie de surveillance pour traquer les dissidents, les avocats, les journalistes et d’autres membres de la société civile.

De nombreux reportages en juillet ont montré que les services de sécurité et les forces de l’ordre dans des endroits comme l’Arabie saoudite, le Mexique, l’Azerbaïdjan et le Maroc semblaient avoir acheté la technologie, selon un reportage du Pegasus Project, un consortium de 17 organes de presse dont le Washington Post, The Guardian, Die Zeit et le point de vente français Forbidden Stories.

Selon le projet Pegasus, une liste de 50 000 numéros de téléphone cibles potentiels a été piratée, apparemment à partir de serveurs à Chypre, et divulguée à Forbidden Stories et Amnesty International, qui l’ont partagée avec des journalistes. Ils ont pu identifier 1 000 cibles potentielles différentes à partir des numéros de téléphone, y compris des politiciens comme le président français Emmanuel Macron, un allié clé des États-Unis, ainsi que des journalistes, des militants et des avocats du monde entier.

Pegasus est si utile – ou si dangereux, selon le point de vue – car il peut accéder au téléphone d’une cible sans être détecté. Alors que le logiciel espion peut infecter via un lien envoyé via un service de messagerie comme WhatsApp, il est également possible pour les utilisateurs d’accéder aux téléphones des cibles via un exploit dit « zero-day » – un bug que le fabricant de l’appareil n’a pas encore détecté. L’exploit peut être actif et présent sur un appareil pendant des mois avant que le fabricant ne trouve la faille et la corrige.

Selon Reuters, les appareils infectés lors des attaques contre des fonctionnaires du département d’État ont été initiés via une vulnérabilité de traitement graphique qui était ouverte à l’exploitation depuis au moins février de cette année et n’a été corrigée qu’en septembre. Parmi les autres victimes figurent des dissidents thaïlandais et un leader de l’opposition ougandaise.

Une fois qu’un appareil a été infecté, Pegasus peut accéder même à des systèmes de messagerie cryptés comme Signal, ainsi qu’à des caméras et des microphones, permettant au pirate d’enregistrer des conversations et de transformer l’appareil en un outil de surveillance secret en soi, selon l’Organized Crime and Corruption Reporting. Projet. Le rapport du Guardian à l’époque suggérait qu’en plus d’attaquer via des applications de messagerie largement utilisées, Pegasus pourrait potentiellement avoir la capacité d’attaquer via les applications Photos et Musique sur les appareils Apple.

En novembre, la société et un autre fabricant de technologie israélien, Candiru, ont été ajoutés à la liste des entités du département américain du Commerce, une décision qui interdit au groupe NSO d’acheter la technologie américaine.

Selon le département du Commerce, la décision de le faire a été prise « sur la base de preuves que ces entités ont développé et fourni des logiciels espions à des gouvernements étrangers qui ont utilisé ces outils pour cibler avec malveillance des représentants du gouvernement, des journalistes, des hommes d’affaires, des militants, des universitaires et des employés d’ambassade ». ainsi que des preuves que les logiciels espions des entreprises étaient utilisés par les gouvernements pour réprimer la dissidence à l’échelle mondiale.

Cette décision place le groupe NSO en compagnie d’entreprises comme Huawei, le fabricant chinois de technologies que de nombreux gouvernements occidentaux ont accusé d’espionnage numérique. C’est une position indésirable pour une entreprise si étroitement liée au gouvernement d’un allié des États-Unis, dont les industries militaires et de défense sont profondément liées aux États-Unis.

NSO Group est endetté et sous pression

Peu de temps après que NSO Group a été ajouté à la liste des entités le mois dernier, selon Axios, l’ancien PDG et co-fondateur de NSO Group Shalev Hulio a écrit à des responsables israéliens, dont le Premier ministre Naftali Bennett et le ministre de la Défense Benny Gantz, demandant à Israël de faire pression sur Washington sur NSO. au nom de. Hulio aurait affirmé que l’ajout de NSO Group à la liste des entités était une campagne coordonnée d’organisations anti-israéliennes visant à nuire à la réputation des entreprises israéliennes, et NSO Group a déclaré publiquement qu’il était “consterné” par la décision et avait résilié des contrats avec des agences gouvernementales. qui abusent de ses produits.

En effet, c’est une décision inhabituellement énergique pour les États-Unis d’imposer des restrictions aussi sévères aux entreprises dans un pays étroitement allié ; cependant, les rapports de vendredi sur les piratages téléphoniques de responsables américains en Ouganda ont indiqué que l’espionnage durait depuis des mois, un fait qui aurait pu influencer la décision de punir si sévèrement NSO Group.

Dans une déclaration de novembre annonçant l’ajout de NSO Group à la liste des entités, le département du Commerce a spécifiquement cité les employés de l’ambassade comme une cible potentielle pour Pegasus.

« Nous avons été vivement préoccupés par le fait que les logiciels espions commerciaux tels que les logiciels du groupe NSO représentent un risque sérieux de contre-espionnage et de sécurité pour le personnel américain, ce qui est l’une des raisons pour lesquelles l’administration Biden-Harris a placé plusieurs sociétés impliquées dans le développement et la prolifération de ces outils sur le La liste des entités du ministère du Commerce », a déclaré vendredi le Conseil de sécurité nationale dans un communiqué au Washington Post.

En réponse à l’inclusion de NSO Group sur la liste des entités, le gouvernement israélien a fortement limité le nombre de pays auxquels NSO Group et d’autres fournisseurs de logiciels espions sont autorisés à vendre, de 102 à 37.

Certains groupes, cependant, disent que ce n’est pas assez loin. Vendredi, 81 organisations de défense des droits humains du monde entier, dont Amnesty International, Human Rights Watch et Reporters sans frontières, ont appelé l’Union européenne à imposer des sanctions à l’entreprise pour avoir permis à plusieurs reprises des violations des droits humains, notamment le récent ciblage de militants palestiniens.

« Il existe des preuves accablantes que les logiciels espions Pegasus ont été utilisés à plusieurs reprises par des gouvernements abusifs pour réprimer les défenseurs pacifiques des droits humains, les militants et les critiques présumés », a déclaré Deborah Brown, chercheuse numérique senior et avocate pour Human Rights Watch. “L’UE devrait immédiatement sanctionner NSO Group et interdire toute utilisation de ses technologies.”

Cet été, après la parution du rapport du projet Pegasus, le Haut-Commissariat des Nations Unies aux droits de l’homme a également appelé à un moratoire sur la vente de cette technologie de surveillance jusqu’à ce qu’un cadre international sur la sauvegarde des droits de l’homme et l’utilisation de technologies de surveillance comme Pegasus est en place.

Le sénateur Ron Wyden (D-OR), membre de la commission sénatoriale du renseignement, a condamné à plusieurs reprises et avec force le groupe NSO, affirmant que les États-Unis devraient « »[cut] les éloigner du système financier américain et des investisseurs en imposant des sanctions en vertu du Global Magnitsky Act », qui cible la corruption et les violations des droits humains.

L’opprobre international n’est pas non plus le seul problème du groupe NSO : selon des rapports récents, l’entreprise a une dette de 500 millions de dollars et risque de faire défaut. Comme Bloomberg l’a signalé en novembre, Moody’s a abaissé la cote de crédit de l’entreprise à Caa2 – huit notes en dessous de la note d’investissement, indiquant que Moody’s pense que NSO est très susceptible de faire défaut sur ses dettes.

Le déclassement et les faibles flux de trésorerie sont dus à la baisse des revenus et au paiement de dividendes aux actionnaires, mais la mauvaise presse constante et le placement sur la liste des entités ne feront probablement que contribuer aux problèmes de NSO Group.

« Qui voudra travailler avec une entreprise qui a été si publiquement sanctionnée par le gouvernement américain ? » David Kaye, ancien rapporteur spécial des Nations Unies sur la promotion de la liberté d’expression et de la liberté d’expression, a déclaré au Washington Post en novembre. « Qui investirait dans une entreprise avec ce genre de marque noire ? »