Le logiciel qui transformait n'importe quel téléphone en mouchard
Prenez votre téléphone. Vous l'avez sur vous, là, maintenant. Dedans il y a vos messages, vos photos, l'historique de vos déplacements, un appareil photo et un micro. Imaginez qu'un logiciel puisse prendre tout ça à distance, sans que vous ayez rien fait. Vous ne cliquez sur rien, vous ne téléchargez rien, et votre téléphone se met à travailler contre vous.
Ce logiciel existe. Il s'appelle Pegasus.
ACTE I, ce que fait le logiciel
Pegasus est vendu par une entreprise israélienne, NSO Group. Une fois installé sur un téléphone, il lit les messages et les mails, récupère les photos et les contacts, suit la position de l'appareil. Il peut aussi allumer la caméra et le micro sans que rien ne s'affiche à l'écran.
Le pire, ce sont les attaques dites « zéro clic ». Pas de lien piégé, pas de pièce jointe à ouvrir, aucune faute à commettre. En 2019, un simple appel WhatsApp manqué suffisait. Le téléphone est infecté et son propriétaire n'en sait rien.
NSO Group répond toujours la même chose : l'outil est vendu uniquement à des États, pour traquer criminels et terroristes, et l'entreprise dit vérifier que ses clients respectent les droits humains.
ACTE II, la liste des 50 000
En 2020, Forbidden Stories, une organisation de journalistes installée à Paris, et Amnesty International récupèrent un fichier. Plus de 50 000 numéros de téléphone, désignés depuis 2016 par des clients de NSO comme cibles possibles.
Ils décident de ne pas publier seuls. Pendant des mois, plus de 80 journalistes de 17 médias dans 10 pays travaillent dessus en secret : Le Monde, The Guardian, le Washington Post, Radio France, et d'autres. Le laboratoire technique d'Amnesty examine les téléphones de personnes figurant sur la liste, quand elles acceptent. Sur la majorité des appareils analysés, les traces de Pegasus sont bien là.
ACTE III, les révélations
Juillet 2021, le Pegasus Project est publié.
Sur la liste, au moins 180 journalistes dans une vingtaine de pays. Aussi des avocats, des militants des droits humains, des opposants politiques, des chefs d'État en exercice. Parmi les clients de NSO, des régimes qui n'ont pas grand-chose à faire de l'état de droit.
Deux noms, parmi beaucoup d'autres. Cecilio Pineda Birto, journaliste mexicain : son numéro apparaît sur la liste quelques semaines avant qu'il soit abattu, en 2017. Son téléphone n'a jamais été retrouvé. Et l'entourage de Jamal Khashoggi, le journaliste saoudien tué au consulat d'Istanbul, dont sa fiancée, visée dans les jours qui ont suivi sa mort.
NSO Group conteste tout, et affirme que cette liste n'a aucun rapport avec son logiciel.
Ce qui reste
Le scandale a eu des suites. Fin 2021, les États-Unis placent NSO Group sur leur liste noire commerciale. Le Parlement européen ouvre une commission d'enquête. Des plaintes sont déposées, en France aussi.
Rien de tout ça n'a réglé le fond du problème. Les acheteurs de ces logiciels sont des États, y compris des démocraties, y compris des pays européens. Ce sont donc eux qui devraient se surveiller eux-mêmes. Et dès qu'on prononce les mots « sécurité nationale », les portes se referment.
Ce que l'affaire Pegasus a montré, c'est qu'un téléphone peut être retourné contre celui qui le porte, entièrement, sans qu'il s'en rende compte. Dans la plupart des cas, la personne visée ne l'apprend que si un laboratoire spécialisé examine son appareil. Sinon, elle ne l'apprend jamais.
