Voleurs et logiciels espions : Pegasus frappe à nouveau

Les armes, dépourvues de sensibilité et d’orientation morale, sont là pour être utilisées par tous. Une fois sorties, ces créations ne pourront jamais être reconditionnées. Un logiciel espion efficace, le plus malveillant des outils de surveillance, est l’une de ces créations, disponible pour les entités et les gouvernements de tous bords. Les cibles sont standards : dissidents, journalistes, législateurs, militants, voire quelques juristes.

Le logiciel espion Pegasus, la création diaboliquement efficace du groupe israélien sans scrupules NSO, est devenu un habitué des cycles d’actualités sur la cybersécurité. Créé en 2010, il est l’idée de trois ingénieurs qui avaient fait leurs premières armes au sein de l’unité cybernétique Unit 8200 des Forces de défense israéliennes : Niv Carmi, Shalev Hulio et Omri Lavie.

NSO s’est retrouvé à l’avant-garde d’une offensive de charme israélienne, accueillant régulièrement des responsables du Mossad à son siège à Herzliya en compagnie de délégations de pays africains et arabes. Les cybercapacités seraient un moyen d’entrer dans leurs bons livres.

Le bilan de l’entreprise était de nature à piquer l’intérêt du département américain du Commerce, qui a annoncé en novembre dernier qu’il ajouterait NSO Group et une autre cyberentreprise israélienne Candiru (maintenant renommée Saito Tech) à sa liste d’entités “sur la base de preuves”. que ces entités ont développé et fourni des logiciels espions à des gouvernements étrangers qui ont utilisé ces outils pour cibler de manière malveillante des responsables gouvernementaux, des journalistes, des hommes d’affaires, des militants, des universitaires et des employés d’ambassade.

En juillet 2021, le projet Pegasus, une initiative de 17 médias et groupes de la société civile, a révélé que 50 000 numéros de téléphone intéressant un certain nombre de gouvernements figuraient sur une liste de cibles piratables. Tous avaient été des cibles de Pegasus.

Les clients gouvernementaux du groupe NSO sont nombreux et couvrent le spectre démocratique autoritaire et libéral. Plus notoirement, Pegasus a trouvé son chemin dans l’arsenal de surveillance du Royaume d’Arabie saoudite, qui aurait surveillé les appels passés par le journaliste saoudien assassiné Jamal Khashoggi et un autre dissident, Omar Abdulaziz. En octobre 2018, Khashoggi, sur ordre du prince héritier saoudien Mohammed bin Salman, a été massacré sur le terrain du consulat saoudien à Istanbul par un commando. NSO a ensuite fait l’objet d’une action en justice, les avocats d’Abdulaziz faisant valoir que le piratage de son téléphone “a contribué de manière significative à la décision d’assassiner M. Khashoggi”.

Le Premier ministre espagnol Pedro Sánchez, la ministre de la Défense Margarita Robles, le ministre de l’Intérieur Fernando Grande-Marlaska et 18 séparatistes catalans sont les dernières cibles de premier plan à figurer dans le canon Pegasus. Le téléphone de Sánchez a été piraté deux fois en mai 2021, des responsables affirmant qu’il y avait au moins une fuite de données. Ceci était le résultat, selon le gouvernement, d’une opération « illicite et externe », menée par des organismes sans autorisation de l’État.

Assez ironiquement, Robles elle-même avait défendu le ciblage des 18 séparatistes catalans, affirmant que la surveillance avait été menée avec l’approbation du tribunal. “Dans ce pays”, a-t-elle insisté lors d’une conférence de presse, “personne ne fait l’objet d’enquêtes pour ses idéaux politiques”.

La toile de fond de tout le scandale est encore plus sinistre, avec Citizen Lab révélant le mois dernier que plus de 60 législateurs catalans, juristes, membres du Parlement européen, journalistes et membres de la famille ont été ciblés par le logiciel espion Pegasus entre 2015 et 2020. (Citizen Lab trouvé que 63 personnes avaient été ciblées ou infectées par Pegasus, dont quatre autres victimes du logiciel espion Candiru.) Parmi les cibles confirmées figurent Elisenda Paluzie et Sònia Urpí Garcia, qui travaillent toutes deux pour l’Assemblea Nacional Catalana, une organisation qui milite pour l’indépendance de Catalogne.

Le téléphone de la journaliste catalane Meritxell Bonet a également été piraté en juin 2019 lors des derniers jours d’une affaire devant la Cour suprême contre son mari Jordi Cuixart. Cuixart, ancien président de l’association catalane Òmnium Cultural, a été inculpé et condamné pour sédition.

L’enquête de Citizen Lab n’a pas attribué de manière concluante “les opérations à une entité spécifique, mais des preuves circonstancielles solides suggèrent un lien avec les autorités espagnoles”. Likhita Banerji, chercheuse à Amnesty International dans le domaine de la technologie et des droits de l’homme, a présenté le cas simplement. “Le gouvernement espagnol doit dire clairement s’il est ou non un client du groupe NSO. Il doit également mener une enquête approfondie et indépendante sur l’utilisation du logiciel espion Pegasus contre les Catalans identifiés dans cette enquête.

Des têtes devaient tomber et la principale victime de cette affaire était la première femme à diriger l’agence de renseignement espagnole CNI, Paz Esteban. La défense d’Esteban des piratages catalans s’est avérée identique à celle de Robles : ils avaient été faits avec l’approbation judiciaire et légale. Mais elle avait besoin d’un cuir chevelu pour une situation de plus en plus embarrassante et n’avait aucune envie de se faire répéter ses raisons. “Vous parlez de licenciement”, a-t-elle déclaré laconiquement, “je parle de remplacement.”

Alors que les implications pour le gouvernement espagnol sont nettement malodorantes, il ne faut pas oublier qui est le Victor Frankenstein ici. NSO a eu quelques égratignures en Israël même. Il a survécu à un procès d’Amnesty International en 2020 pour revoir sa licence d’exportation de sécurité. Mais il y a peu de danger que cette entreprise perde le soutien du ministère israélien de la Défense. En Israël, la cybersécurité continue d’être la tête d’affiche des prouesses technologiques, lucrative, opaque et clairement irresponsable devant les parlementaires et les tribunaux.