Pegasus : le logiciel espion qui écoutait les smartphones

Utilisé depuis des années, il a permis à plusieurs gouvernements de surveiller les smartphones de nombreuses personnalités du monde politique et médiatique. Mais aussi de militants des droits de l’Homme, d’universitaires, de syndicalistes ou encore de chefs d’entreprise. Au total, 50 000 numéros ont été pris pour cibles. S’il « ne collecte que les données provenant des appareils mobiles de personnes soupçonnées d’être impliquées dans des activités criminelles graves et terroristes », comme l’affirme NSO Group Technologies qui commercialise ce logiciel espion, son usage est allé finalement bien au-delà de ses prérogatives, indique Forbidden Stories dans son enquête baptisée « The Project Pegasus ». « La fuite de données révèle l’écart entre la réalité d’utilisation du logiciel et les promesses de l’entreprise portant sur sa transparence {…}, indiquant qu’il ne s’agit pas d’un outil de surveillance de masse », écrit-il sur son site internet. Pendant six mois, et avec l’aide de plusieurs partenaires, les journalistes du consortium sont ainsi parvenus à analyser techniquement les données des smartphones touchés et « ont pu confirmer une infection ou tentative d’infection dans 85 % des cas ».

Si l’onde de choc a été mondiale, portée par la puissance des enquêtes des 80 journalistes internationaux qui ont travaillé sur les pratiques et les dérives de l’usage du logiciel Pegasus vendu par l’entreprise israélienne à des pays clients, pour plusieurs experts, cette affaire ne choque pas plus que cela pour autant. « À l’ouest rien de nouveau, l’affaire Pegasus n’est pas sans rappeler l’affaire Snowden et les révélations de Wikileaks qui ont porté respectivement à la connaissance du monde la capacité d’espionnage numérique de la NSA et ipso facto des États-Unis. Si Pegasus est indéniablement l’affaire de cyberespionnage la plus débridée et massive depuis, elle a ceci de particulier que la solution émane d’une société privée pourtant sous contrôle du gouvernement israélien supposé superviser ses exportations », avance Yannick Chatelain, professeur associé Digital / IT, GEMinsights Content Manager à Grenoble École de Management (GEM). « Cela ne me surprend pas. Les gens sont plutôt naïfs avec l’utilisation de leur smartphone », critique Cyril Bras, vice-président de l’Institut national pour la cybersécurité et la résilience des territoires (IN.CRT). « Dans cette affaire, ce qui diffère finalement, ce ne sont pas les causes, mais les moyens mis en œuvre », souligne Benoît Grunemwald, expert en cybersécurité pour ESET France et Afrique francophone, entreprise spécialisée dans l’industrie de la sécurité informatique et leader dans son domaine.

Installé sur le smartphone, Pegasus va alors pouvoir siphonner des milliers de données et les envoyer au commanditaire par l’intermédiaire d’une liaison 3G, 4G, ou encore via wifi s’il y a une proximité avec la victime. « C’est là où Pegasus est très performant, car il peut agir sans être détecté. Les données qu’il envoie à partir du téléphone sont chiffrées, on ne peut donc pas savoir ce qui a été envoyé. Il est ainsi très difficile de savoir, réellement, ce qui a été envoyé, une fois que l’on a été victime de l’attaque. D’autant plus qu’une fois que la mission a été remplie, Pegasus peut s’autodétruire et ne laisser aucune trace, selon son éditeur », indique Thierry Berthier.

Pour exploiter cette faille dite zero day, l’entreprise NSO va proposer son exploitation à qui le souhaite et surtout à qui peut débourser des milliers de dollars. Ce que des services de renseignement étatiques peuvent se permettre à des fins bien précises. Pour Benoît Grunemwald, « on est face à des armes numériques qui demandent des moyens considérables ». « La particularité majeure n’est pas tant la solution logicielle d’espionnage et ses performances technologiques qui sont redoutables, souligne Yannick Chatelain . À mon sens, c’est plutôt que cette solution est proposée par une société privée prête à vendre au plus offrant… ».

Le consortium de médias internationaux a dévoilé dans plusieurs enquêtes que des pays d’Europe, d’Asie, d’Afrique ou encore d’Amérique du Sud ont été clients de NSO. Ainsi, il semblerait que la Suisse, l’Arabie saoudite, l’Azerbaïdjan, Bahreïn, les Émirats arabes unis, la Hongrie, l’Inde, le Kazakhstan, le Maroc, le Mexique, le Panama, le Rwanda et le Togo auraient fait usage du logiciel Pegasus pour surveiller des personnalités dans leur pays ou à l’extérieur. Et la France dans tout ça ? Si Emmanuel Macron a été une cible potentielle, l’État assure ne pas avoir employé le logiciel après un « non » catégorique du président, comme l’a révélé Europe 1. Pourtant, six mois avant la sortie de l’affaire, des services de renseignement français s’étaient intéressés à Pegasus…

Partout dans le monde, des personnalités ont été ciblées par le logiciel Pegasus. Au total, les smartphones de 180 journalistes dans 20 pays ont été attaqués entre 2016 et juin 2021 comme celui d’Edwy Plenel, fondateur du média en ligne Mediapart. En France, 1 000 personnes ont été potentiellement victimes comme Emmanuel Macron, l’ancien Premier ministre Édouard Philippe, des membres du gouvernement (Bruno Le Maire, Nicole Belloubet, ancienne ministre…), François Bayrou, Cédric Villani, Olivier Besancenot, etc. À l’étranger, un membre d’Amnesty International a été surveillé, mais également Maati Monjib, militant de la liberté d’expression au Maroc, l’ancien premier ministre libanais Saad Hariri, l’actuel président du Conseil européen Charles Michel, le roi du Maroc Mohammed VI, le président du PSG Nasser al-Khelaifi, etc.

Si l’affaire connaît un retentissement mondial, l’espionnage n’est pourtant pas une nouveauté. Chaque service de renseignement dispose de ses propres méthodes pour surveiller ses voisins et des personnes cibles. Et malgré les affaires, les habitudes perdurent. « Tant qu’on ne le voit pas, ça continue. Avec Pegasus, cela s’est vu… », remarque Cyril Bras. « Les scandales passent, les services de renseignements demeurent et… renseignent ! Que tout le monde espionne tout le monde n’est en rien nouveau, le petit espionnage entre amis (et ennemis) n’a jamais cessé, les amis d’hier ne sont-ils pas potentiellement les ennemis de demain ?, indique Yannick Chatelain de l’école de management à Grenoble. Cela se pratiquait bien avant l’avènement d’internet et le potentiel offert aux services de renseignements par le développement de logiciels malveillants. Ces derniers sont juste dotés de nouveaux outils… » « Sous Rome, on faisait déjà de l’espionnage », ajoute Benoît Grunemwald, expert en cybersécurité. Dès lors et malgré les conséquences de l’affaire Pegasus, rien ne pourra arrêter l’espionnage. Au contraire, une nouvelle ère de l’espionnage numérique semble même s’ouvrir avec cet épisode Pegasus, aussi bien du côté attaquant que du côté des moyens pour les contrer.

Avec les objets connectés, l’avènement du cloud, de l’intelligence artificielle, du télétravail, la surface d’attaque évolue au fur et à mesure des transformations numériques. La médiatisation de certaines affaires et la réglementation européenne (RGPD) obligeant les entreprises à déclarer si elles ont été victimes, tous ces facteurs participent à mettre en lumière les pratiques obscures du cyberespionnage et ses sombres marchés qui se multiplient, au risque d’être hors de contrôle. Entre la surveillance d’État à État, la cybersurveillance des États dédiée à la surveillance de leurs citoyens, à la surveillance que la crise du Covid a mise en exergue, aux outils de cybersurveillance entre particuliers (surveillance des usages de ses enfants, de son conjoint, etc.), les atteintes aux droits fondamentaux sont flagrants, tant les législations sont disparates selon les pays, et surtout tant la manne financière est démesurée…

« Les hackers ont toujours une longueur et un coup d’avance, néanmoins avec la communauté de professionnels de la cybersécurité maîtrisant les technologies et des formations spécifiques de plus en plus nombreuses, cet écart se réduit », se félicite Benoît Grunemwald. Si tous s’accordent à dire qu’une protection à 100 % n’existe pas, les experts défendent d’abord et avant tout une bonne pratique dans l’usage d’un téléphone pour anticiper toute cyberattaque. Concrètement – et comme dans le cas de Pegasus qui a ciblé des personnalités de haut rang -, elle repose sur une combinaison humaine et technologique. « Vous ne devez pas laisser votre matériel sans surveillance ni dans le coffre-fort de l’hôtel. En réunion, vous pouvez mettre votre téléphone dans une boîte à l’entrée par exemple », prévient Benoît Grunemwald. « Tout citoyen doit appliquer des règles d’hygiène numérique élémentaires, avance de son côté Cyril Bras de l’IN.CRT. Vous ne devez pas installer des applications dont vous ne connaissez pas l’origine ou ne pas rester connecté au wifi ou au Bluetooth. Malheureusement, nous avons une confiance aveugle dans le numérique, en Google, et Apple et les autres. Pourtant, c’est autant de vulnérabilités possibles pour un attaquant. »