« Nous ne faisons qu’un », se vantait Omri Lavie, cofondateur du groupe israélien NSO, en 2013 dans une interview consacrée à l’outil d’espionnage Pegasus, « nos objectifs sont transparents et nous ne laissons aucune trace ». Au vu des récentes révélations concernant Pegasus, il semble que cet esprit soit devenu trop arrogant.
Selon les recherches menées par un réseau de médias regroupant la *Süddeutsche Zeitung*, le *Zeit*, la NDR, la WDR et 15 autres rédactions issues de dix pays, les services secrets et les autorités policières de plusieurs États auraient abusé du logiciel d’espionnage de la société israélienne NSO Group pour mettre des téléphones portables sur écoute. Le réseau a reçu cette liste de l’association Forbidden Stories, basée à Paris, et d’Amnesty International. Selon ses propres déclarations, il a pu analyser une fuite de données contenant plus de 50 000 numéros de téléphone qui auraient fait l’objet d’une surveillance potentielle par des clients de NSO depuis 2016. La liste des « personnes d’intérêt » comporterait également un numéro appartenant au président français Emmanuel Macron. Les services secrets marocains seraient présumés être à l’origine de cette opération.
L’analyse judiciaire de plus de 60 smartphones appartenant aux victimes a révélé une tentative d’attaque via Pegasus sur 37 appareils. Ce logiciel peut facilement s’introduire dans un téléphone portable lorsque la personne ciblée clique sur un lien ou ouvre un fichier qui lui a été envoyé. Mais il suffit également que le téléphone soit simplement allumé pour que le pirate puisse envoyer le logiciel espion dans un message invisible. Une fois cela fait, Pegasus devient la perle rare des cyberarmes : il peut lire les messages de chat et les e-mails, écouter les conversations et consulter les photos.
Le groupe NSO dispose également de bureaux au Luxembourg, mais selon le ministre des Affaires étrangères Jean Asselborn (LSAP), ceux-ci ne servent qu’à la gestion des opérations financières de l’entreprise. D’après Amnesty International, le logiciel Pegasus n’a pas été développé ici. « Je ne peux dire qu’une chose. S’il s’avère que le groupe NSO a commis des violations des droits de l’homme au Luxembourg, alors le Luxembourg doit réagir et il le fera », a déclaré M. Asselborn. Des enquêtes montrent que les clients de NSO sont des organismes publics – tels que des services de renseignement – en Azerbaïdjan, en Inde, au Mexique, au Maroc, au Rwanda, en Arabie saoudite, à Bahreïn et aux Émirats arabes unis. La Hongrie serait le seul État membre de l’UE à avoir également utilisé Pegasus.
L’accusation selon laquelle Hatice Cengiz, la fiancée du journaliste saoudien Jamal Khashoggi, critique du régime et assassiné en 2018, aurait également été mise sur écoute, est particulièrement explosive. D’après une analyse de son téléphone, celui-ci aurait été piraté à l’aide de Pegasus quatre jours après le meurtre de Khashoggi.
NSO a toutefois décidé de se poser en victime dans cette affaire. L’entreprise affirme que son logiciel d’espionnage ne serait utilisé que dans le cadre de la lutte contre la criminalité et le terrorisme, et que les accusations portées à son encontre ne seraient que des « allégations mensongères » et un « mensonge éhonté ».
Le ministère israélien de la Défense a désormais annoncé l’ouverture d’une enquête. Si une violation des règles d’exportation venait à être constatée, des mesures seraient prises. Une chose est sûre : les contrats d’exportation du groupe NSO sont étroitement liés au gouvernement et à l’armée israéliens. NSO et des dizaines d’entreprises similaires, dont le siège se trouve dans la riche ville côtière d’Herzliya, s’inscrivent dans le vaste spectre du secteur high-tech israélien. Souvent, les entreprises de haute technologie recrutent leurs jeunes talents au sein de la prestigieuse unité 8200 des services de renseignement de l’armée, tristement célèbre pour ses techniques d’écoute dans les territoires palestiniens. Les trois fondateurs de NSO sont eux aussi d’anciens membres de l’unité 8200. C’est là qu’ils ont appris les bases de l’utilisation des cyberarmes.
La vente, désormais rendue publique, du cheval de Troie Pegasus à des gouvernements autoritaires du monde entier soulève des questions dérangeantes quant à la part de responsabilité d’Israël dans ce scandale d’espionnage. À la suite d’une action en justice visant à retirer à NSO sa licence d’exportation dès 2016, la présidente du tribunal, Esther Hayut, a commenté l’affaire en ces termes : « Notre économie dépend trop de ce commerce d’exportation. » Selon les chiffres du gouvernement, les exportations de produits de cyber-logiciels s’élèvent chaque année à près de sept milliards de dollars américains. On ignore toutefois quelle part de ce montant correspond à des cyberarmes. À l’échelle mondiale, les données indiquent que les produits israéliens représentent entre 10 et 20 % du marché international des cyber-logiciels.
Les exportations de logiciels espions doivent être autorisées par le ministère de la Défense. Mais l’avocat spécialisé dans les droits de l’homme Mack doute de la transparence et de la crédibilité de ces contrôles. « Ces décisions sont prises par des hauts responsables du ministère et, en cas de doute, par Netanyahou lui-même », a-t-il déclaré au journal Haaretz en 2018. En 2019, le gouvernement a par ailleurs assoupli les dispositions relatives à la vente d’armes cybernétiques.
L’ancien Premier ministre, qui a quitté ses fonctions il y a seulement quelques semaines, aurait toutefois utilisé la vente de Pegasus à des autocrates comme un atout diplomatique et l’aurait activement encouragée. C’est ce qu’a rapporté mardi le journal Haaretz, qui fait partie du groupe d’enquête international sur Pegasus. Il établit un lien entre les visites de Netanyahou dans des pays tels que l’Inde, le Rwanda, l’Arabie saoudite, l’Azerbaïdjan et la Hongrie, et l’utilisation de Pegasus par ces derniers. Netanyahou espérait apparemment tirer des avantages géopolitiques de ces bonnes relations en tant que défenseur d’Israël.
Yuval Adam travaille dans le domaine des technologies numériques et milite pour les droits civiques numériques depuis Tel-Aviv. Son objectif est de permettre aux citoyennes et citoyens d’accéder librement aux logiciels et aux codes sources dans le cadre de leurs activités politiques.
d’Land : L’utilisation abusive du logiciel d’espionnage Pegasus est-elle une surprise ?
Yuval Adam : Cela ne surprend personne qui travaille depuis longtemps dans le domaine de la cybersécurité. Pour nous, c’est vraiment une vieille histoire. Une fuite massive de numéros de téléphone provenant d’une base de données vient justement de se produire, d’où le scandale actuel. Mais le groupe NSO et les entreprises similaires, tant israéliennes qu’internationales, n’ont pas vu le jour hier. On développe depuis des années des logiciels d’espionnage comme Pegasus, pour ensuite en abuser. La semaine dernière encore, la plateforme numérique CitizenLab a révélé comment la petite entreprise israélienne Candiru vendait des logiciels espions à des gouvernements et collaborait peut-être même avec NSO. La particularité de NSO, c’est qu’il s’agit de la plus grande de ces entreprises. Elle est sans scrupules et adopte l’approche la plus agressive. C’est ainsi qu’elle ne cesse de faire parler d’elle dans les médias.
Comment se protéger contre ce genre d’attaques ?
C’est difficile avec un logiciel aussi puissant que Pegasus. J’ai moi-même fondé il y a plusieurs années la CryptoParty en Israël : il s’agit d’un mouvement mondial dont l’objectif est de se transmettre mutuellement, à titre bénévole et sans but lucratif, des techniques de chiffrement et de dissimulation. Cela permet d’apprendre à mieux se protéger contre les cyberattaques. Nous ne travaillons pas seulement avec des particuliers, mais organisons également des ateliers destinés aux militant·e·s et aux organisations de défense des droits de l’homme, qui sont particulièrement menacés dans ce domaine. Or, la NSO utilise des cyberarmes sophistiquées qui infiltrent les téléphones portables sans qu’il soit possible de s’en protéger. Les personnes et les organisations menacées par des cyberattaques peuvent certes prendre des précautions, mais il est pratiquement impossible de parer à des attaques telles que celles de la NSO. Ce serait en réalité aux gouvernements concernés de veiller à la protection de la société civile. Or, cela nécessite une réglementation et un contrôle stricts.
Les gouvernements ne font-ils pas exactement le contraire ?
Exactement. Et cela ne pose aucun problème à NSO. L’entreprise est prête à vendre son logiciel à quiconque en veut – même s’il s’agit de pays comme l’Arabie saoudite ou Bahreïn, qui bafouent les droits de l’homme. Ce qui est intéressant, et qui a fait l’objet d’un vif débat sur Twitter dimanche : pourquoi Pegasus n’est-il pas utilisé en Israël et aux États-Unis ? Cela tient peut-être simplement au fait que ce logiciel d’espionnage n’est plus nécessaire ici. On dispose déjà de suffisamment de ressources pour espionner les gens. L’unité militaire israélienne 8200 est comparable à l’agence de renseignement américaine NSA et est chargée, outre des activités d’écoute, de la cybersécurité. Il semblerait que NSO ne vende Pegasus qu’aux pays qui ne disposent pas encore de ces ressources.
Dans quelle mesure le gouvernement israélien est-il au courant de tout cela ?
En Israël, la symbiose entre le ministère de la Défense et la société NSO est un secret de polichinelle. On sait que les opérations d’écoute menées par le gouvernement et sa collaboration avec des entreprises telles que NSO se recoupent largement. Jusqu’à présent, NSO s’en est toujours tirée à bon compte malgré tous ses scandales. Ce n’est pas un hasard. Mais espérons que cette fois-ci, les choses se passeront différemment et qu’elle en subira les conséquences. À mon avis, l’attitude des autorités israéliennes dans les prochains temps sera déterminante. Nous en savons encore trop peu sur la nature des relations entre le ministère de la Défense et NSO.
