NSO Group a vendu à des gouvernements un logiciel espion « zéro-clic » qui piratait des téléphones chiffrés

À la fin des années 2010, les applications de messagerie grand public chiffraient les messages de bout en bout, et la police et les services de renseignement se plaignaient que les criminels et les terroristes pouvaient « disparaître dans l'ombre ». NSO Group, une société israélienne fondée en 2010, a conçu Pegasus : un logiciel espion mis au point par d'anciens cyberespions dotés de compétences affinées au service de l'État pour prendre le contrôle silencieusement des iPhone et des téléphones Android. Le Mexique est devenu son premier client à l'étranger en 2011, moins d'un an après la fondation de l'entreprise.

Pegasus fonctionne en attaquant l'appareil plutôt que le réseau. Les attaques peuvent arriver sous la forme d'un lien malveillant dans un SMS ou un iMessage ; les versions récentes « zéro-clic » livrent le logiciel espion en envoyant un message qui ne produit aucune notification, de sorte que la cible n'a même pas besoin de toucher le téléphone. Le logiciel lit ensuite tout ce que l'utilisateur peut lire — messages, photos, enregistrements, mots de passe, journaux d'appels, localisation — et peut activer les caméras et les microphones pour une surveillance en temps réel. Les mots de passe robustes et le chiffrement n'aident guère, et les techniques rendues publiques dans un rapport de 2016 ont été modifiées en quelques heures.

NSO ne concédait Pegasus sous licence qu'à des gouvernements : environ 60 agences de renseignement, militaires et de forces de l'ordre dans 40 pays, les exportations étant approuvées par le ministère israélien de la Défense. L'entreprise affirmait vérifier le bilan des clients en matière de droits humains et ne pas exploiter elle-même le logiciel, une structure qui maintenait une distance entre le fournisseur et ce que les clients faisaient de l'outil. NSO présentait le produit comme la réponse au terrorisme et à la criminalité organisée se cachant derrière le chiffrement.

En juillet 2021, le Pegasus Project — The Washington Post, Forbidden Stories et 16 partenaires médias — a rendu compte d'une liste de plus de 50 000 numéros de téléphone. L'analyse médico-légale du Security Lab d'Amnesty International a constaté des piratages tentés ou réussis de 37 téléphones appartenant à des journalistes, des militants des droits humains, des dirigeants d'entreprise et deux femmes proches du journaliste saoudien assassiné Jamal Khashoggi ; les reporters ont identifié plus de 1 000 personnes sur la liste dans 50 pays. NSO a qualifié ces conclusions de sans fondement mais a reconnu avoir résilié deux contrats de clients pour des allégations d'abus au cours de l'année précédente.

Attaquer le téléphone lui-même, pas le réseau : une intrusion silencieuse zéro-clic ne nécessite ni clic, ni mot de passe, ni déchiffrement

Le chiffrement protège le réseau, pas l'appareil ; en compromettant le téléphone lui-même, Pegasus contournait les protections grand public les plus solides sans avoir besoin d'un mot de passe, d'un clic ou d'une clé de déchiffrement.

La livraison zéro-clic supprimait l'exigence d'erreur humaine, de sorte que même des cibles prudentes et techniquement averties, comme des journalistes et des militants, pouvaient être infectées sans rien faire du tout.

En industrialisant une ingénierie d'exploitation de premier ordre et en la concédant sous licence à des dizaines de gouvernements, NSO a pu amortir des dépenses de R&D coûteuses, transformant le piratage de téléphones au niveau étatique en un service achetable.

Les clients exploitaient eux-mêmes le logiciel, de sorte que NSO pouvait nier toute implication, contester les preuves médico-légales et continuer à vendre tandis que les abus s'accumulaient.

Lorsque le chiffrement ferme le canal d'écoute téléphonique, des adversaires capables se tournent vers le terminal : protégez l'appareil lui-même, car sécuriser les données en transit ne suffit pas.

Le Pegasus Project est devenu la chronique de référence des abus de logiciels espions commerciaux. NSO a qualifié ces conclusions d'exagérées et sans fondement mais a reconnu avoir résilié deux contrats de clients au cours de l'année précédente (cinq au total), affirmant que la vérification lui avait coûté 100 millions de dollars. La méthodologie médico-légale d'Amnesty a été évaluée par les pairs de Citizen Lab et jugée solide ; plusieurs journalistes du consortium ont découvert qu'ils avaient été infectés, eux ou des membres de leur famille. Apple, dont les iPhone étaient la principale cible, a déclaré ajouter constamment des protections, et le jeu du chat et de la souris entre les fabricants de logiciels espions et les vendeurs de téléphones s'est poursuivi.