Une analyse des liens contenus dans le message a montré que ces doutes étaient fondés. L’équipe technique d’Amnesty International a découvert qu’un clic sur ce lien aurait secrètement installé un puissant logiciel espion sur le téléphone, qui aurait permis d’obtenir un accès total aux appels, messages, photos et données de localisation GPS. Un examen plus approfondi a permis à Amnesty International de retracer l’attaque jusqu’à une société israélienne très discrète : NSO group.
NSO vend des logiciels de surveillance aux gouvernements, et des liens ont été établis entre ce groupe et des attaques numériques commises contre des défenseur.e.s des droits humains dans le monde entier. Pour Amnesty International, la tentative d’espionnage à son encontre est la goutte d’eau qui a fait déborder le vase. Aujourd’hui, j’apporte des éléments de preuve pour soutenir 30 plaignants qui ont saisi la justice en Israël, demandant au ministère de la Défense d’annuler la licence d’exportation de NSO. Comme je l’ai indiqué dans une déclaration sous serment destinée au tribunal, les logiciels de NSO constituent une menace pour les militant.e.s et les journalistes du monde entier. Le groupe de défense des droits numériques Citizen Lab a établi des liens entre cette entreprise et des attaques commises contre la société civile à Bahreïn, au Kazakhstan, au Mexique, au Maroc, en Arabie saoudite et aux Émirats arabes unis. Nous ne pouvons pas rester les bras croisés et laisser NSO devenir une source de renseignement privilégiée pour les régimes répressifs.
Comme beaucoup d’attaques précédemment constatées, le message envoyé à Amnesty International présentait toutes les caractéristiques de Pegasus, un logiciel de NSO digne d’une dystopie, capable de contrôler le clavier, la caméra et le micro d’un téléphone. Pegasus est l’outil qui a été employé pour cibler Ahmed Mansoor, un défenseur émirien des droits humains, qui purge actuellement une peine de 10 ans d’emprisonnement. Citizen Lab a également révélé le rôle joué par Pegasus dans le cyberespionnage de militant.e.s et journalistes mexicains, dont certains enquêtaient sur la corruption et les cartels de la drogue.
Il convient de rappeler ici que le groupe NSO déclare lui-même ne vendre ses produits qu’aux gouvernements. Mais ceux-ci, bien évidemment, ne sont pas toujours animés de meilleures intentions que les cybercriminels, et certains sont nettement plus dangereux. À l’heure actuelle, NSO sait indubitablement dans quel type de mains ses produits se retrouvent.
L’année dernière, l’entreprise a de nouveau été mise en cause à la suite d’allégations selon lesquelles son logiciel avait été utilisé pour surveiller le journaliste saoudien Jamal Khashoggi, qui a été assassiné - accusation que NSO a rejetée. Alors que les preuves s’accumulent, le gouvernement israélien continue à laisser carte blanche à NSO pour exporter ses produits. Il est difficile de trouver des informations précises sur la procédure qui encadre les licences d’exportation et sur le type de contrôles prévus en matière de sécurité ou de déontologie. Cette procédure est entourée de secret ; cependant, de toute évidence, elle n’est pas assez stricte pour empêcher les produits de NSO de tomber entre les mains d’auteurs de violations des droits humains. Nous ne savons pas si le gouvernement israélien recourt aux services de NSO pour surveiller des Palestiniens.
Le ministère israélien de la Défense a ignoré les nombreux appels d’Amnesty International et d’autres l’engageant à annuler la licence de cette entreprise, c’est pourquoi nous fournissons des éléments de preuve dans le cadre de cette action en justice.
Si la plus grande organisation de défense des droits humains au monde, qui compte des experts en technologie parmi son personnel, peut être prise pour cible, cela ne révèle probablement qu’une partie de l’ampleur des activités de NSO. Des attaques comme celle dont Amnesty International a fait l’objet montrent également à quel point l’industrie internationale de la surveillance s’est enhardie. Au début de l’année, selon certaines informations, des chercheurs de Citizen Lab qui enquêtaient sur NSO ont été pris pour cible par des agents privés, le but de l’opération étant manifestement de les faire taire et de les intimider.
Toutefois, cette affaire va au-delà des activités des personnes qui défendent les droits humains - elle met en évidence le danger qui menace la vie privée de tout un chacun. Aujourd’hui, il a été signalé qu’une faille de WhatsApp pourrait avoir exposé plus d’un milliard d’utilisateurs à des attaques du logiciel espion de NSO. Amnesty International n’a pas encore pu vérifier ces informations, mais si elles sont vraies, elles illustrent parfaitement ce que l’organisation a dit aux tribunaux israéliens : NSO est sortie du droit chemin et le ministère de la Défense israélien n’exerce pas de surveillance, de contrôle ou d’encadrement réglementaire appropriés.
Alors que la société NSO peut commercialiser et vendre ses produits sans surveillance appropriée, elle est en train de devenir une agence de renseignement internationale privée, guidée uniquement par le profit, et qui n’a apparemment de comptes à rendre à personne. Ses logiciels espions sont si puissants que la plupart des gens ne s’apercevraient pas que leur téléphone ou leur ordinateur a été infecté.
NSO a nié à plusieurs reprises que Pegasus avait été utilisé à mauvais escient pour cibler des défenseur.e.s des droits humains. Depuis son changement de propriétaire en février, la société a tenté d’améliorer son image en achetant des annonces liées aux recherches sur Google et en lançant un nouveau site Web sur lequel elle dit adopter une « approche novatrice en appliquant des critères éthiques stricts à tout ce que nous faisons ». Aucune précision n’est apportée, ce qui donne peu de crédibilité à ces affirmations. Pour les personnes dont la sécurité est mise en danger par les ventes inconsidérées de NSO, ces paroles creuses ne suffisent pas. Notre action de ce jour est un premier pas qui, nous l’espérons, permettra à terme de mettre fin au système de surveillance mondiale de NSO.
Cet article a initialement été publié par Newsweek.