Affaire Pegasus : une guerre informationnelle, pour quels objectifs ?

Le 18 juillet 2021, 17 médias et 80 journalistes représentant 11 pays, coordonnés par l’association Freedom Voices Network (que nous appellerons par la suite FVN) avec le soutien technique du laboratoire Amnesty Tech d’Amnesty International, publient dans leurs pays respectifs des révélations sur de supposées activités d’espionnage de téléphones mobiles de la part de la société NSO Group depuis 2016.

Ces accusations, relayées entre autres par le portail Forbidden Stories[i], site vitrine de FVN, se fondent sur une liste de 50 000 numéros à laquelle l’association a eu accès. Parmi les 1000 numéros identifiés, le consortium a établi la présence de numéros appartenant à 180 journalistes, 600 hommes et femmes politiques dont 3 chefs d’état, 85 militants des droits de l’homme et encore 65 chefs d’entreprise. 10 pays sont incriminés : Azerbaïdjan, Bahreïn, Kazakhstan, Maroc, Hongrie, Emirats Arabes Unis, Rwanda, Mexique, Inde, Arabie Saoudite. D’autres pays sont concernés comme la France et l’Algérie, dont des numéros apparaissent au milieu de numéros marocains Au total, 21 pays seraient concernés[ii].

Les accusations portées par les membres du consortium concernent les atteintes aux droits de l’homme, les atteintes aux droits des journalistes et la protection de leurs sources. Les conditions de récupération, d’élaboration ainsi que la finalité de la liste sont inconnues. L’analyse de 67 téléphones figurant sur cette liste par le laboratoire Amnesty Tech a révélée l’infection de 37 d’entre eux par un logiciel espion, avec parfois une corrélation entre les groupes date-heure figurant sur la liste et les groupes date-heure des traces découvertes.

Le CEO de NSO Group, Shalev Hulio, réfute tout lien entre la liste et sa société. Il a déclaré avoir eu connaissance de la liste un mois avant sa publication, lorsqu’un courtier en données[iii] a tenté de la lui vendre. Ces révélations ont provoqué de multiples réactions dans les pays cités plus quelques autres dont la France, allant de l‘indignation au lancement de procédure judiciaires, de la part de médias, d’ONG, d’états comme le Maroc ou de personnes figurant sur la liste, jusqu’à la saisine de l’ONU.

Dans cet article, nous allons revenir sur cette affaire par le prisme de la guerre par l’information et éclairer les possibles motivations de cette affaire en s’interrogeant sur les certitudes et les doutes existants.

Un logiciel déjà mis en accusation par des ONG

Cette affaire constitue en réalité une énième révélation sur le logiciel Pegasus. En effet, depuis 2016, le monde des ONG analyse régulièrement les activités de NSO et son rôle présumé dans les répressions menées dans certains pays contre les opposants politiques. Cela a commencé aux EAU en 2016 avec l’opposant émirati Ahmed Mansoor et le journaliste Rori Donaghy. Il y a eu le Mexique en 2017 avec des activistes anti-soda et des opposants politiques En 2018, un membre d’Amnesty International, un activiste saoudien et des journalistes marocains sont à leur tour inquiétés. En 2019, il y a les révélations concernant l’espionnage de 1400 comptes WhatsApp.  Le laboratoire Citizen Lab, de la Munk School de l’Université de Toronto, expert mondialement reconnu du logiciel Pegasus, publie en 2018 une enquête[iv] réalisée à partir des traces laissées par NSO sur internet, pointant l’usage du logiciel par 36 opérateurs (non identifiés) dans 45 pays.

La société NSO est une société d’origine israélienne, créée en 2010 par trois ingénieurs en informatique. Elle développe des logiciels de cybersécurité dont le plus célèbre est Pégasus. Celui-ci permet de récupérer des informations sur des téléphones portables en toute discrétion. Considéré comme une arme en Israël, sa vente ne peut se faire qu’à un Etat et est soumise à l’accord du ministère de la défense.

La société est détenue par le fonds d’investissement Novalpina Capital, basé au Luxembourg et au Royaume-Uni. NSO s’appuie sur un réseau de filiales qui lui permet d’opérer principalement depuis Israël, la Bulgarie (via une filiale Q Circles Technologies) et les USA (via la société WestBridge Inc.). Les révélations de juillet 2021 interviennent sur fonds de mésentente[v] entre les 3 cofondateurs de Novalpina, mésentente qui a conduit [vi] à leur remplacement en août 2021 par la société[vii] Berkeley Research Group dans la gestion de NSO. La vente des actifs de Novalpina est aujourd’hui évoquée par les fonds d’investissement présents au capital de Novalpina. Les questions d’un nouvel acquéreur et de la valeur de la société NSO sont donc ainsi posées.

Cependant, la tempête médiatique ne semble pas perturber les activités de NSO Group puisque celle-ci préparerait son introduction à la bourse[viii] de Tel Aviv, avec une valeur potentiellement supérieure à celle estimée avant la crise.

L'accusateur : Freedom Voices Network 

Freedom Voices Network est une association créée en 2017 par Laurent Richard, ancien membre de la société de production audiovisuelle Premières lignes, bras armé de l’émission Cash investigations. Son objet est de reprendre et conduire à terme les travaux entamés par des journalistes et militants assassinés ou emprisonnés, et de proposer des solutions de stockage sécurisées pour tout journaliste travaillant sur des sujets sensibles dans leur pays. L’objectif de publication est de réaliser une à deux enquêtes majeures par an.

S’agit-il d’un énième épisode de la guerre par l’information que livre les ONG pour la défense des droits de l’homme. Sans hésiter, la réponse est oui ! En première lecture, la défense des droits de l’homme constitue le principal objet de cet épisode. Il s’agit d’un sujet consensuel. Les ONG et média qui attaquent agissent sur le registre de l’émotion avec des victimes (dont des membres de l’entourage de Jamal Kashooggi), sur le registre du sensationnel en faisant des révélations à partir d’un document que personne n’a vu. Elles agissent en meute pour obtenir une résonnance mondiale avec un calendrier. Enfin, il y a la présence de faibles avec des opposants politiques et journalistes présentés comme des combattants isolés, chevaliers des temps modernes, et des forts, la société NSO associée au gouvernement israélien.

L’absence de transparence sur les conditions de récupération et d’élaboration de la liste pose la question d’une éventuelle manipulation pouvant servir les intérêts de la cause ou d’un ou plusieurs commanditaires. Nous avons tous le souvenir de l’affaire Clearstream de 2004 à 2013, fondée sur des listes de comptes bancaires falsifiés.

Selon plusieurs médias, le travail d’exploitation de la liste a duré environ 6 mois. Il est fort probable que la date de publication ait fait l’objet d’une coordination entre les acteurs. L’une des options est que celle-ci ait été décidée en fonction des dates du procès du journaliste militant et défenseur des droits humains marocain Omar Radi. Jugé à Casablanca pour viol et d’atteinte à la sécurité intérieure de l’Etat[ix], le procès s’est déroulé après de multiples renvois en juillet 2021. Le verdict a été prononcé le 19 juillet 2021. Ce procès est d’autant plus emblématique que les accusations ont été formulées juste après la publication par Amnesty International, le 22 juin 2020, d’un rapport[x] sur l’espionnage du téléphone du journaliste via Pegasus assorti d’une mise en accusation de l’Etat marocain.

Pour assoir la crédibilité de sa démarche, FVN s’est appuyée sur l’expertise technique du laboratoire d’Amnesty International, Amnesty Tech[xi] qui a analysé quelques-uns des téléphones figurant sur la liste, le travail d’Amnesty Tech ayant été lui-même été validé[xii] par le Citizen Lab de Tonroto, qui a publié un rapport attestant de la validité de la méthode employée par Amnesty Tech le 18 juillet 2021…

Pourquoi 10 pays seulement ?

Puis il y a la liste des pays mis en cause. Dans son rapport « Hide & seek [xiii]» de 2018, le Citizen Lab faisait état de 45 pays concernés pour 36 opérateurs distincts. Le fait qu’il n’y ait que 11 pays cités interroge ! Pourquoi que 11 ? pourquoi ces 11 pays ? Y-a-t-il eu sélection ? Dans quel but ? Parmi les 11 pays cités, il en y a 6 qui sont régulièrement dénoncés pour leur non-respect des droits de ‘l’homme. Plusieurs d’entre eux ont par ailleurs déjà fait l’objet d’enquête pour l’utilisation de logiciel de cyberespionnage (Mexique, Emirats Arabes Unis, Arabie Saoudite, Kazakhstan, Bahreïn, Maroc).

Tous ont en commun de développer ou de normaliser leurs relations diplomatiques avec Israël (de manière discrète pour l’Arabie Saoudite). Trois de ces pays ont signés les accords d’Abraham avec Israël (Bahreïn, Emirats Arabes Unis et Maroc). Certains observateurs n’hésitent pas à présenter le logiciel Pegasus comme une arme diplomatique ou un outil de négociations[xiv], son déploiement suivant de près les déplacements des autorités israéliennes à l’étranger. D’ailleurs, il faut rappeler que la vente à l’étranger du logiciel ne peut se faire sans accord du ministère de la Défense israélien.

Enfin, pour deux d’entre eux, l’Azerbaïdjan et le Maroc, le fondateur de FVN, Laurent Richard, a un contentieux. Il a été interpellé puis expulsé d’Azerbaïdjan en mai 2014 [xv], et attaqué en 2017[xvi] pour diffamation par ce même pays (plainte déclarée irrecevable en 2018 par la cour d’appel de Versailles[xvii]), puis deux de ses collègues de la société de production audiovisuelle « Premières Lignes », Jean-Louis Perez et Pierre Chautard[xviii][xix], ont été interpellés puis expulsés du Maroc lors du tournage d’un documentaire en février 2015 sur le roi du Maroc.

Le Togo est un onzième pays parfois cité. Il s’inscrit, comme les autres, dans la démarche de normalisation des relations diplomatiques de l’Etat d’Israël. La question d’une possible sélection est d’autant plus pertinente que les rares description de la liste existante évoque la présence de deux colonnes, l’une contenant les numéros de téléphone, l’autre un groupe date heure allant jusqu’à la seconde, ce qui laisse supposer une extraction à partir d’un système d’information, donc d’une possible sélection.

Un volume trop important de numéros pour quel usage ?

Le nombre de numéros est aussi mis en question. Le fondateur de NSO parle de 45 à 60 clients avec un nombre moyen de cibles de 100[xx] par an. Becky Peterson, dans Business Insider[xxi] parle de clients qui achètent entre 15 à 30 cibles. Un autre témoin parle[xxii] en 2018 de 15 à 30 cibles par client, avec un total mondial de 350 à 500 cibles. Ce qui nous éloignent du chiffre de 50 000. The Economics Times publie[xxiii] en 2019 un autre témoignage précisant une capacité d’espionnage de 500 numéros par an.

Le nombre important de numéros nous ramène à l’exacte nature de la liste. Comme évoqué précédemment, celle-ci est inconnue. Et dans leurs articles, les médias du consortium ne sont pas tous aussi affirmatif sur le fait que cela soit une liste cibles de NSO. La liste est d’ailleurs présentée soit comme une liste de cibles potentielles, soit comme une liste de téléphones espionnés, avec l’emploi du conditionnel par certains médias. Nous noterons qu’Amnesty International a publié en Inde[xxiv] un communiqué rappelant que l’association n’avait jamais présenté la liste comme une liste de cibles, mais comme une liste indicative des centres d’intérêts des clients de NSO.

Ce qui d’ailleurs amènent certains experts à parler non pas d’une liste de cibles, mais d’environnement de cibles.

La question de l’attribution à NSO

La question de l’attribution de la liste a NSO est centrale. Deux points sont à prendre en compte, celui de l’attribution des traces relevées au logiciel Pegasus, et celui de l’utilisation du logiciel Pegasus par les pays.

Dans le premier cas, les preuves techniques directes sont assez minces. Une adresse IP associée à NSO dans le cas de la plainte de Facebook contre NSO (selon l’acte d’accusation[xxv]) pour l’espionnage de 1 400 comptes WhatsApp, et des noms de domaines loués par NSO[xxvi] évoqués dans le rapport Hide & Seek. Comme preuves indirectes ou indice, nous pouvons citer la fermeture de serveurs après sollicitation de NSO en amont de la publication d’un rapport (rapport d’Amnesty International du 19/10/2019, un exemplaire avait été envoyé le 2 octobre 2019 à NSO) ou les éléments rapportés par deux cadres[xxvii] de la société après la correction, à l’initiative du Citizen Lab, de 3 failles de sécurité par Apple. Ces éléments sont à associer aux témoignages d’anciens employés, à la documentation disponible sur le logiciel Pegasus et à l’expérience acquise notamment par le Citizen Lab qui travaille sur Pegasus depuis 2016. Il y a également les erreurs humaines et les excès d’assurance, qui ont conduit par exemple, le prince héritier saoudien à faire savoir en 2018 à Jeff Bezos[xxviii] que son téléphone était espionné.

Pour l’implication d’un pays, il y a les concentrations de serveurs relevées dans chacun des pays incriminés, l’ensemble des éléments recueillis au travers de témoignages, de fuites de documents, comme ceux récupérés lors du hacking[xxix] de la société italienne Hacking Team (5 juillet 2015, 400Go de données), ou ceux recueillis à l’occasion de changement de gouvernement, comme au Mexique. L’excès de confiance est aussi source d’information, lorsque par exemple des représentants de la société Darkmatter[xxx], société de cybersécurité émirienne, font état de leurs dispositifs de surveillance de masse et d’infection[xxxi] de téléphones mobiles lors d’un entretien d’embauche en 2016.

Par ailleurs, pour assoir leurs accusations, les journalistes prennent également en compte les éléments relatifs au passif d’un pays en matière de droits de l’homme et les précédents achats de logiciel d’espionnage.

Enfin, il y a l’analyse des 67 téléphones, dont 37 comportaient des traces du logiciel Pegasus, offrant pour certain une corrélation entre les traces trouvées et les données de la liste.

Cependant, il faut mentionner que des spécialistes de cybersécurité conteste les attributions des traces à NSO ainsi que les méthodes utilisées par Citizen Lab et Amnesty International.

Pourquoi Freedom Voices Network ?

Le fait que l’association Freedom Voices Network soit leader sur ce dossier pose une nouvelle question. En effet, cette association n’est pas connue comme ayant une expertise particulière sur NSO, son logiciel Pegasus et d’une manière générale sur les logiciels d’espionnage, à la différence du Citizen Lab, d’Amnesty International ou encore de Reporters sans Frontières, qui ont déjà publiés des rapports approfondis sur ce type de sujet. La seule étude publiée par FVN ayant un lien avec NSO est celle datant du 22 juin 2020[xxxii] portant sur la surveillance supposée du journaliste Omar Radi par l’état marocain, réalisée à partir de travaux d’Amnesty International, du Citizen Lab ou de Privacy International.

Si l’on s’intéresse aux sources de financements, on s’aperçoit que Freedom Voices Network appartient à une sphère de financement comprenant entre autres l’Open Society Fondation et Luminate. Cette même sphère finance également l’International Consortium of Investigative Journalists (ICIJ), qui a participé au lancement de l’association en 2017.

Amnesty International, RSF qui a apporté un soutien technique lors du lancement de l’association et le Citizen Lab, appartiennent à une seconde sphère de financement qui regroupe entre autres Open Society Fondation, The Mac Arthur Fondation et The Ford Foundation. Luminate apparait dans le financement de RSF et AI.

Open Society Foundation et Luminate, sont les dénominateurs communs des deux sphères Et plus particulièrement Luminate, dont l’ombre plane autour du lancement de FVN. Si les activités philanthropiques de l’Open Society Foundation et de son créateur George Soros sont bien connues, celles du fondateur du fonds Luminate, le très discret Pierre Omidyar, milliardaire franco-iranien et fondateur d’Ebay le sont moins. Depuis plusieurs années, il consacre son temps et ses ressources à des activités philanthropiques, développant sa propre vision du monde, défenseur des droits de l’homme. Il a également participer plus directement à la défense des intérêts des Etats-Unis, notamment en Ukraine[xxxiii]. En effet, son nom apparait dans le financement de groupes d’opposition ukrainien[xxxiv] aux cotés de USAID[xxxv] en 2014.

Pierre Omidyar est également réputé être un défenseur d’Edward Snowden qui fait partie des soutiens de FVN. Pierre Omidyar a d’ailleurs mis la main sur les données d’Edward Snowden lorsqu’il a recruté pour lancer en 2014 son site d’information « First Look Media » les journalistes Glenn Greenwald et Laura Poitras (journalistes à l’origine des publications de données de Snowden). Il est par ailleurs propriétaire du site d’information « The Intercept », mis en cause en 2017 pour avoir contribuer maladroitement à l’arrestation[xxxvi] de l’une de ses sources, employée sous-traitante de la NSA[xxxvii].

Enfin, la sincérité de la démarche de Pierre Omidyar est remise en cause, notamment par d’anciens collaborateurs[xxxviii], la volonté d’exister, de faire entendre sa voix et d’élargir son influence prenant le pas sur l’idéal des droits de l’homme.

L’association FVN a été fondée à l’issue du passage de son fondateur, Laurent Richard, au sein du programme Knight Wallace Fellowship[xxxix] en 2016, 2017. Proposé par la Wallace House de l’université du Michigan, ce programme est destiné à former des journalistes engagés dans le futur de leur profession, développant de nouvelles idées et prêts à affronter les défis du journalisme de demain. Le comité consultatif de FS[xl] comprend l’actuelle directrice (également membre du board) et l’ancien directeur du programme, mais aussi les deux autres cofondateurs de « Cash Investigations » ainsi qu’un représentant du journal d’investigation « Mediapart ». Nous y retrouvons également Khadija Ismayilova, qui croisa la route de Laurent Richard en Azerbaidjan, membre de l’OCCRP (l’un des 17 médias du Pegasus Projects) et de l’ICIJ.

Parmi les soutiens à la création de FVN, nous pouvons cités l’association à but non lucratif américaine Freedom of the press foundation, dirigée [xli] par Edward Snowden, Laura Poitras et Glenn Greenwald, tous proches de Pierre Omidyar.

Pourquoi une telle opération ?

Au-delà de la première grille de lecture que constitue la défense des droits de l’homme, les enjeux de l’affaire Pegasus sont nombreux et concernent une multitude d’acteurs. Il y a la grille de lecture marocaine avec la défense du journaliste Omar Radi. La présence de numéros français et algériens dans le bloc marocain constitue autant d’opportunités pour tenter d’isoler le pays, en fragilisant notamment du lien du Maroc avec la France. Par la même occasion, c’est aussi une opportunité pour tenter de réduire l’influence française dans le pays.

Nous pouvons relever les tentatives de fragilisation d’Emmanuel Macron, avec les accusations de légèreté dans l’usage de ses téléphones. Le numéro incriminé était celui utilisé pour les relations avec les journalistes. Il est connu publiquement depuis les MacronLeaks, fuites de courriels de l’état-major d’Emmanuel Macron[xlii] dans l’entre-deux tours des élections présidentielles de 2017.

Dans chacun des pays incriminés, la tentative de déstabilisation est flagrante, avec une volonté de mise en accusation des gouvernements en place. L’affaire Pegasus apporte des éléments aux détracteurs de ces régimes en guerre contre leurs oppositions. Les cibles ne sont pas tant les pays eux-mêmes que les pays et organisations capables de faire pression sur ces mêmes gouvernements.

Pour la société NSO, les enjeux sont tout aussi important. La question de la vente de la société étant posée, y-aura-t-il un acheteur et à quel prix ? Une liquidation au terme de cette période difficile serait une victoire pour les acteurs du consortium, même s’ils ne demandent qu’un contrôle des activités de la société NSO. Cependant, depuis sa création, la société n’a cessé de croître sans être réellement affectée par les polémiques. Et nous avons déjà vu que l’entrée en bourse sur le marché de Tel Aviv ne semblait pas être remise en cause.

Sous un angle plus général, le Pegasus Project apporte des éléments supplémentaires aux associations qui souhaitent réguler le marché des logiciels de cyberespionnage. En juillet, Reporters Sans Frontières a saisi les rapporteurs spéciaux[xliii] de l’ONU sur la liberté d’expression, le droit à la vie privée, les défenseurs des droits de l’Homme et sur la protection des droits de l’Homme dans la lutte antiterroriste pour l’obtention d’explication de la part des états incriminés, pour demander une stricte régulation de la vente de ce type de logiciel au même type que les armes conventionnelles avec la convention de Waassenaar. Et avant toute chose un moratoire dans leur vente. Cette saisine a été suivie le 12 août[xliv] par un appel de ces mêmes rapporteurs à un moratoire et la mise en place d’une régulation plus stricte. En 2016, la Commission Européenne travaillait déjà sur ce sujet, mais s’était heurtée au refus de 9 membres[xlv] de l’Union conduits par la Suède. L’UE a finalement étendu le contrôle[xlvi] des exportations aux technologies de surveillance en novembre 2020.

Le projet apporte également des éléments aux associations qui s’inquiètent du développement de ce type de logiciel, non pas pour des considérations philanthropiques, mais parce qu’il donne à des compagnies privées et à des pays de moindre puissance une capacité d’acquisition de renseignement d’importance stratégique presqu’équivalente à celles des grandes puissances mondiales. Le FBI enquête sur les activités de NSO depuis 2017, cherchant à savoir si des citoyens américains ont pu être espionné (cas de Jeff Bezos…). Parallèlement au procès WhatsApp, le Départment of Justice américains enquête également sur les activités de NSO[xlvii], notamment sur demande des majeures de la technologie américaine en raison du caractère dangereux des applications développées et de la puissance que cela confère à leurs détenteurs.

Enfin, il y a Israël. Alors que l’ONU s’apprête à célébrer les 20 ans de la conférence de Durban I, qu’Israël fait toujours l’objet d’accusation d’apartheid (cf. le rapport de de l’association B’Tselem[xlviii]), que le pays est confronté à la menace d’un boycott du mouvement BDS (Boycott, Désinvestissement et Sanctions), la mise en accusation d’une société israélienne liées aux autorités israéliennes constitue peut que constituer une aubaine pour les défenseurs de la cause palestinienne.

Conséquence collatérale, le dossier Pegasus est un dossier à haut risque pour la marque Apple, qui jusque-là disposait d’une image d’inviolabilité. Les infections par le logiciel Pegasus s’appuyant sur les failles des logiciels de la marque, écornent quelque peu cette image. Pour ce qui concerne les applications de messagerie comme WhatsApp, la menace est aussi réelle. Pegasus contournant le chiffrement utilisé, il rend caduque celui-ci et vient là-aussi écorner le message de protection inviolable de la correspondance privée des utilisateurs. Ironiquement, nous pouvons relever la tentative d’achat des services de NSO par Facebook en 2017[xlix], pour déterminer les applications les plus utilisées sur les terminaux Apple.

Le Pegasus Project a fait la une de l’actualité pendant les deux dernières semaines de juillet, puis a disparu des premières pages. Jusqu’à ce que l’authenticité de la liste et les liens avec la société NSO soient confirmés ou infirmés, il aura contribué à maintenir ouvert un certain nombre de dossiers, et à en ouvrir d’autres. Cette opération de guerre par l’information, ou le Maroc et Pierre Omidyar reviennent souvent, propose de multiple grilles de lecture, qui se superposent, ramenant in fine dans l’ombre la première de celles-ci, celles concernant la défense des droits de l’homme.

Philippe Buhot
Auditeur de la 37ème promotion MSIE