Dans un nouveau rapport rendu public le 15 mai, Human Rights Under Surveillance : Digital Threats against Human Rights Defenders in Pakistan, Amnesty International révèle que les pirates utilisent de fausses identités numériques et de faux profils sur les réseaux sociaux pour piéger en ligne les défenseurs pakistanais des droits humains et les désigner à la surveillance et à la cybercriminalité.
« Nous avons découvert un réseau structuré qui utilise des méthodes sophistiquées et malveillantes afin de cibler les militants des droits humains. Les hackers se servent de faux profils très bien faits pour leurrer les militants et pirater leurs appareils électroniques via des logiciels espions, les exposant à la surveillance et à la fraude, et compromettant même leur sécurité physique, a déclaré Sherif Elsayed-Ali, directeur du programme Thématiques mondiales au sein d’Amnesty International.
« Nous avons découvert un réseau structuré qui utilise des méthodes sophistiquées et malveillantes afin de cibler les militants des droits humains. Les hackers se servent de faux profils très bien faits pour leurrer les militants et pirater leurs appareils électroniques via des logiciels espions. »
« Notre enquête montre comment ils se servent de fausses pages de connexion Facebook et Google pour piéger leurs victimes afin qu’elles révèlent leurs mots de passe. Il est déjà extrêmement dangereux de défendre les droits humains au Pakistan et il est alarmant de voir que les attaques contre leur travail se déplacent vers la sphère numérique. »
Le rapport présente le cas de Diep Saeeda, militante de la société civile pakistanaise originaire de Lahore. Le 2 décembre 2017, l’un de ses amis, Raza Mehmood Khan, défenseur de la paix qui s’efforçait de rapprocher les citoyens d’Inde et du Pakistan au travers d’activités comme l’écriture de lettres, a été victime d’une disparition forcée.
Diep Saeeda a alors demandé publiquement sa libération, notamment en déposant une requête auprès de la haute cour de Lahore. Peu après, elle a commencé à recevoir des messages suspects de personnes affirmant se préoccuper du bien-être de Raza Mehmood Khan.
« Il est déjà extrêmement dangereux de défendre les droits humains au Pakistan et il est alarmant de voir que les attaques contre leur travail se déplacent vers la sphère numérique. »
Sur Facebook, une utilisatrice qui s’est fait passer pour une Afghane du nom de Sana Halimi, habitant à Dubaï et travaillant pour l’ONU, l’a contactée à plusieurs reprises via Messenger, assurant qu’elle avait des informations sur Raza. La personne gérant le profil a envoyé à Diep Saeeda des liens vers des fichiers contenant un logiciel malveillant, StealthAgent. Si elle l’avait ouvert, il aurait infecté ses appareils mobiles. Le profil, qui selon Amnesty International était un faux, a aussi été utilisé pour la piéger afin qu’elle divulgue son adresse électronique, sur laquelle elle a commencé à recevoir des courriels infectés par un logiciel espion sur Windows, connu sous le nom de Crimson.
Plusieurs militants des droits humains au Pakistan ont subi ce type d’attaques, émanant parfois de personnes qui se faisaient passer elles-mêmes pour des défenseurs des droits humains.
Diep Saeeda a aussi reçu des courriels émanant soi-disant du bureau du Premier ministre de la province du Pendjab, qui contenaient de faux détails sur une réunion imminente entre le ministère provincial de l’Éducation et l’organisation de Diep, l’Institut pour la paix et les études séculières. Dans d’autres cas, les hackers se sont fait passer pour des étudiants demandant à Diep des conseils et des cours.
« Désormais, à chaque fois que j’ouvre un courriel, j’ai peur. À tel point que je ne suis même plus capable de faire mon travail – et mon travail social en souffre », a déclaré Diep Saeeda.
Sur plusieurs mois, Amnesty International a utilisé des techniques numériques de police scientifique et d’analyse de logiciels espions pour identifier l’infrastructure et les pages web liées aux cyberattaques visant les militants des droits humains au Pakistan. Son équipe Technologie et droits humains a pu remonter le fil jusqu’à un groupe d’individus basés au Pakistan. Son rapport dévoile un réseau de personnes et d’entreprises installées dans le pays, qui sont à l’initiative de la création de certains outils utilisés dans les opérations de surveillance pour cibler des citoyens.
Ces cyberattaques s’inscrivent dans le cadre d’une offensive plus générale contre la société civile pakistanaise. Depuis quelques mois, Amnesty International a noté avec une vive inquiétude que les militants sont soumis à des menaces, des actes d’intimidation, des agressions violentes et des disparitions forcées – des journalistes, des blogueurs, des manifestants pacifiques et d’autres piliers de la société civile notamment.
« Désormais, à chaque fois que j’ouvre un courriel, j’ai peur. À tel point que je ne suis même plus capable de faire mon travail – et mon travail social en souffre »
« En tant que membre élu du Conseil des droits de l’homme de l’ONU, le Pakistan est tenu de respecter les plus hautes normes internationales. Il s’est engagé à protéger les défenseurs des droits humains et à criminaliser les disparitions forcées. Or, nous constatons qu’il n’a rien fait dans ce domaine alors que la situation se dégrade, a déclaré Sherif Elsayed-Ali.
« Les autorités pakistanaises doivent ordonner une enquête indépendante et efficace sur ces attaques, et assurer la protection des défenseurs des droits humains, en ligne comme hors ligne. »