Projet Pegasus (journalisme)

Le projet Pegasus est une enquête journalistique collaborative internationale placée sous l'égide du consortium de journalistes de Forbidden Stories associé à l'expertise informatique de l'ONG Amnesty International. Le projet révèle le 18 juillet 2021 que onze États ont espionné des journalistes, opposants politiques, militants des droits de l'homme, chefs d'État… au moyen du logiciel espion Pegasus édité par l'entreprise israélienne NSO Group.

En octobre 2021, la plate-forme collaborative Forbidden Stories reçoit le premier prix Daphne Caruana Galizia pour son enquête sur « Pegasus »^[1].

L’enquête a entraîné de multiples enquêtes judiciaires et parlementaires, et des sanctions internationales^[2].

Le « Projet Pegasus » est animé par le consortium de journalistes Forbidden Stories ; plus de 80 journalistes de dix-sept médias y participent^[3].

Les médias partenaires sont les suivants^[4],[5] :

• Aristegui Noticias (Mexique)
• Daraj (Liban)
• Die Zeit (Allemagne)
• Direkt36 (Hongrie)
• The Guardian (Royaume-Uni)
• Haaretz (Israël)
• Knack (Belgique)
• Le Monde (France)
• Le Soir (Belgique)
• Frontline, sur PBS (États-Unis)
• Proceso (Mexique)
• Organized Crime and Corruption Reporting Project
• Radio France (France)
• Süddeutsche Zeitung (Allemagne)
• The Washington Post (États-Unis)
• The Wire (en) (Inde).

L'enquête se fonde sur l'exploitation d'une liste — résultant d'une fuite d'information — qui recense 50 000 numéros de téléphone de cibles potentielles du logiciel Pegasus présélectionnées par les États clients de l'entreprise israélienne NSO ; plus d'un millier de ces cibles potentielles ont pu être identifiées nommément^[6],[7],[8]. Parmi ces numéros, 1 571 propriétaires sont identifées par le consortium à travers au moins 10 pays^[9].

L'ONG Amnesty International (dont l'expertise a été auditée par les chercheurs canadiens du Citizen Lab, rattaché à l'université de Toronto) a exploité 67 téléphones présents dans cette liste, avec l'accord de leur propriétaire : 37 d'entre eux montrent des traces d'infection ou de tentative d'infection^[10],[11]. L'association a mis en ligne le 18 juillet 2021 le détail de sa méthodologie dans un article intitulé « Forensic Methodology Report: How to catch NSO Group’s Pegasus »^[12],[13].

L'entreprise NSO Group dément que la liste des 50 000 numéros de téléphone utilisée par les journalistes recense des cibles de Pegasus et affirme que les numéros pourraient être ceux entrés par les utilisateurs d'un service « HLR Lookup ». Néanmoins, les auteurs de l'enquête soulignent que les expertises techniques sur les téléphones ont montré à plusieurs reprises que l'ajout de numéros de téléphone dans la liste était suivi, quelques minutes après, de tentatives d'infection par Pegasus ; il est d'ailleurs plausible, indiquent-ils, que le logiciel espion s'appuie sur un service HLR Lookup^{[7],[11],[14],[15]}.

Pegasus est un logiciel espion pour iOS et Android, s'installant sur les téléphones mobiles, qui a pour but de collecter des informations et de permettre un accès total aux fonctions des appareils touchés et à l'ensemble des données présentes en mémoire. Il est conçu et commercialisé par l'entreprise israélienne NSO Group dès 2013 mais les premières traces de ses intrusions ne sont découvertes qu'en 2016. L'entreprise indique qu'elle ne le vend qu'à des gouvernements, et uniquement après validation interne^[9]. Installé à distance sur un appareil, il peut contourner tous les systèmes de sécurité et accéder aux fichiers, messages, photos et mots de passe sur les smartphones. Il peut aussi écouter les appels téléphoniques, et déclencher l'enregistrement audio, la caméra ou la géolocalisation. NSO Group est placé sur liste noire par le département du commerce des États-Unis. Amnesty International, WhatsApp filiale de Facebook, Apple portent plainte contre NSO Group, fabricant du logiciel espion Pegasus.

Pegasus peut être considéré comme une « arme de guerre »^[16] et sa vente nécessite une licence d'exportation du ministère israélien de la Défense. Pour des raisons de sécurité nationale, Israël ne permet donc pas qu'il cible les pays de l’alliance « Five Eyes », qui regroupe États-Unis, le Canada, le Royaume-Uni, l’Australie et la Nouvelle-Zélande^[17].

Les Émirats arabes unis (EAU) sont le deuxième plus grand contributeur (avec le Maroc, et derrière le Mexique) de la liste des cibles potentielles de Pegasus, avec 10 000 numéros présélectionnés^[18]. Cet intérêt des services de renseignement pour l'espionnage numérique procède des investissements en la matière entrepris par le prince héritier et ministre de la Défense Mohammed ben Zayed^[18]. L'Arabie saoudite a elle sélectionné 800 numéros^[18].

Selon les informations de Forbidden Stories, les contrats de NSO avec l'Arabie saoudite et avec Dubaï (l'un des émirats des EAU) ont été rompus par l'entreprise, respectivement au printemps 2021 et à l'hiver 2020^[18].

Selon un nouveau rapport de la Citizen Lab, Ben Hubbard journaliste du The New York Times a été ciblé par Pegasus de NSO Group sur une période de trois ans de juin 2018 au juin 2021. Cette période correspond à ces travaux sur l'Arabie saoudite et à sa préparation d'un livre sur le prince Saoudien Mohammed ben Salmane. En 2018, il a été ciblé pour la première fois avec un message texte suspect. En 2020 et 2021, son téléphone a de nouveau été piraté deux fois avec des exploits «zéro clic»^[19].

Plusieurs personnes gênantes pour le pouvoir ont été présélectionnées pour un éventuel espionnage par Pegasus. Il en est ainsi du militant émirati des droits de l'homme Ahmed Mansour, dont l'infection du téléphone, dès 2012, a été découverte avant le Projet Pegasus, en 2016^[18]. La princesse Latifa Al Maktoum, fille de l'émir de Dubaï, autrice d'une tentative contrariée de fuite de l'émirat en 2018, a également vu son téléphone présélectionné par Dubaï, au moment même de sa fuite. Dans le même intervalle de temps, les numéros de plusieurs de ses proches ont été sélectionnés par les EAU, sans qu'il soit possible de vérifier si Pegasus est responsable de la localisation du voilier utilisé pour la cavale de la princesse^[20],[21]. La sixième épouse de l'émir de Dubaï, Haya bint al-Hussein, elle aussi en fuite, mais l'année suivante et avec succès (elle gagne le Royaume-Uni), a fait l'objet d'une présélection pour une éventuelle surveillance par Pegasus, de même que — après son exil — plusieurs de ses proches et son avocat britannique^[20],[22].

Au Royaume-Uni, parmi les numéros ciblés par les EAU : celui du journaliste du Wall Street Journal Bradley Hope, spécialiste du scandale 1MDB, de 2018 à 2019^[23] ; celui du chercheur britannique Matthew Hedges (emprisonné et torturé aux EAU car soupçonné d'espionner pour le compte du MI6), en mars 2018 ; et celui de la membre de la Chambre des lords Pola Uddin^[18],[22]. La rédactrice en chef du quotidien américain Financial Times, Roula Khalaf, a également été sélectionnée en 2018, probablement par les EAU^[24].

Les numéros de Gregg Carlstrom, correspondant de The Economist au Moyen-Orient^[24], et du fondateur de la messagerie chiffrée Telegram, le Russe Pavel Dourov, ont été intégrés à la liste des potentielles cibles, probablement par les EAU^[25].

L'Arabie saoudite, outre les personnes ciblées parallèlement aux EAU, est suspectée d'avoir présélectionné en 2019 Rodney Dixon, un avocat britannique spécialiste des droits de l'homme (qui a entre autres défendu Matthew Hedges et l'épouse de Jamal Khashoggi), dont le téléphone porte la trace d'attaques infructueuses par Pegasus^[22],[26].

Au Moyen-Orient, le Liban a été particulièrement ciblé par les EAU et l'Arabie saoudite en 2018 et 2019, avec approximativement 300 numéros listés, dans un contexte d'influence croissante du Hezbollah (financé par l'Iran, ennemi des monarchies du Golfe) dans le pays^[27]. Les EAU et l'Arabie ont ainsi présélectionné pour une éventuelle surveillance le Premier ministre du Liban Saad Hariri, qui s'est allié au Hezbollah, dont plusieurs proches ont également été sélectionnés, en 2019, par la monarchie saoudienne^[27]. Le président libanais, Michel Aoun, jugé trop proche du Hezbollah, a lui aussi été ciblé par l'Arabie saoudite, de même que son gendre Gibran Bassil (aussi ciblé par les EAU)^[27]. Ont aussi été présélectionnés — par l'Arabie saoudite et/ou les EAU — des dirigeants du Hezbollah (dont les députés libanais Ali Fayya et Hassan Fadlallah), des partenaires de celui-ci, tels le ministre des Finances Ali Hassan Khalil et le chef de la Sécurité générale Abbas Ibrahim (en), plusieurs journalistes (Ibrahim Al-Amin d'Al-Akhbar, Ghassan Ben Jeddo de la chaîne télévisée Al-Mayadin) et jusqu'aux ambassadeurs saoudien et émirati au Liban^[27].

Les EAU ont sélectionné le Premier ministre du Yémen Ahmed ben Dagher (de 2016 à 2019) — ainsi que de nombreux ministres yéménites — et le président de la République d'Irak, Barham Salih^{[28],[29],[30]}.

Barham Salih (Irak) a aussi été sélectionné, en parallèle des EAU, par l'Arabie saoudite, qui a par ailleurs listé comme cible potentielle Moustafa Madbouli, le Premier ministre d'Égypte^[31].

L'Iran, lui, ne compte aucune cible potentielle de Pegasus, en dépit du fait que ses adversaires sont clients de NSO, relève le média libanais Daraj, qui y voit la volonté d'Israël de conserver le monopole de la surveillance de la république islamique^[32],[33].

En Azerbaïdjan, la journaliste Khadija Ismayilova est espionnée pendant trois ans par le régime grâce à Pegasus^[34], tandis qu'une vingtaine d'autres journalistes figurent parmi les cibles présélectionnées^[35].

En 2017 et 2018, Bakytjan Saguintaïev, alors Premier ministre du Kazakhstan, Kassym-Jomart Tokaïev, qui succédera en 2019 à Noursoultan Nazarbaïev à la tête du pays, et Askar Mamine, devenu entretemps futur Premier ministre, sont listés comme cibles potentielles de Pegasus, probablement par le régime kazakh lui-même^[31],[29].

Le Maroc, indiquent les auteurs du projet Pegasus, est le second État ayant présélectionné le plus de numéros pour une éventuelle surveillance — 10 000 sur les 50 000 présents dans la liste obtenue par Forbidden Stories^[36]. Selon Le Monde, au vu des personnes ciblées, deux services de renseignement distincts sont susceptibles d'avoir utilisé Pegasus : d'une part la Direction générale des études et de la documentation (DGED), le service chargé du renseignement extérieur ; d'autre part la Direction générale de la surveillance du territoire (DGST), le service chargé de la surveillance intérieure, dirigé par le puissant Abdellatif Hammouchi, « ami de la France »^{[37],[38],[39],[40]}.

En 2019, le Maroc a sélectionné le numéro du président de la République française, Emmanuel Macron, ainsi que les numéros du Premier ministre d’alors, Édouard Philippe, de quatorze autres membres du gouvernement, ainsi que de certains proches (l'épouse du premier ministre, son assistante ou encore son conseiller Gilles Boyer) pour un éventuel espionnage de leurs smartphones avec le logiciel Pegasus^[41],[42]. Le numéro d'Emmanuel Macron est celui qu'il utilise depuis la campagne de 2017, le système sécurisé Teorem étant dans la pratique réservé aux communications secret défense^[42]. Le téléphone de François de Rugy, alors numéro 2 du gouvernement, expertisé par Amnesty International, montre quant à lui trois tentatives infructueuses d'intrusion^[43]. Alexandre Benalla, alors chargé de la sécurité du président, fait également partie des personnalités ciblées — avant l'affaire dite de la Contrescarpe^[42].

D'autres personnes sont ciblées en raison de « l’obsession » de l'État marocain pour la question du Sahara occidental (dont il ne reconnaît pas l'indépendance), relate Le Monde. Ainsi, le maire de la ville d'Ivry, Philippe Bouyssou, a été la cible d'une tentative d'infection par Pegasus le 6 juillet 2021, une semaine après l'intrusion de militants du maintien du Sahara occidental au sein du royaume lors d'un vote par le conseil municipal d'une subvention aux enfants sahraouis^[44]. Les téléphones de Claude Mangin, l'épouse du militant sahraoui Naâma Asfari — détenu depuis 2010 —, ainsi que celui de son avocat, Joseph Breham, ont également été infectés à plusieurs reprises par le Maroc^[45],[46].

Ces démarches interviennent dans un contexte d'alliance entre la France et le Maroc, notamment dans la lutte contre le terrorisme et contre l'immigration illégale ; en outre, relève Die Zeit, si « Paris poursuit toujours une politique africaine intensive » — et est le premier investisseur étranger au Maroc —, le royaume souhaite développer son influence sur le continent^[47].

Toujours en France, le logiciel a effectivement infecté, pour le compte du Maroc, le téléphone des journalistes de Mediapart Edwy Plenel et Lénaïg Bredoux, d'une journaliste (non nommée) du Monde, de Dominique Simonnot (ancienne journaliste au Canard enchaîné) et de Bruno Delport (directeur de TSF Jazz et président de l'ONG Solidarité sida), tandis qu'une trentaine d'autres journalistes et patrons de presse figurent sur la liste des cibles potentielles^[48].

Le téléphone d’Arnaud Montebourg, ancien ministre français a fait l’objet de tentatives de piratage en septembre 2019. Les « marqueurs » d'attaques ou de tentatives d'attaques seraient liés au Maroc qui dément avoir acquis le logiciel espion^[49].

Le téléphone de Florence Parly a été infecté alors qu’elle était ministre des armées. Cinq autres ministres ont vu le ciblage confirmé par les analyses des autorités françaises, Jean-Michel Blanquer, Jacqueline Gourault, Julien Denormandie, Emmanuelle Wargon et Sébastien Lecornu^[50].

En France, plusieurs personnes morales et physiques effectivement espionnées ou sélectionnées pour un espionnage potentiel déposent ou annoncent déposer plainte, parmi lesquelles : Mediapart et ses journalistes Lénaïg Bredoux et Edwy Plenel^[51], l'ONG Reporters sans frontières^[52], Le Canard enchaîné et son ancienne journaliste Dominique Simonnot aujourd'hui contrôleuse générale des lieux de privation de liberté^{[53],[54],[55]}, ainsi que les députés Cédric Villani et Adrien Quatennens^[56]. Le parquet de Paris ouvre une enquête, confiée à l'Office central de lutte contre la criminalité liée aux technologies de l'information et de la communication (OCLCTIC)^[51]. Dans ce cadre, l'analyse du téléphone d'un journaliste de France 24 par l'Agence nationale de la sécurité des systèmes d'information (Anssi) ainsi que celle, par les analystes, des smartphones d'Edwy Plenel et Lenaïg Bredoux, confirment leur infection par Pegasus^[57].

Concernant le "volet français", en juin 2022, le parquet de Paris confie à un juge d’instruction l’enquête en France sur l’utilisation du logiciel d’espionnage^[58].

Au Maroc, au-delà des cas documentés antérieurement (les journalistes Omar Radi et Taoufik Bouachrine), de nombreux journalistes de médias indépendants (Ali Amar pour Le Desk, Hamid El Mahdaoui pour Badil.info, etc.) font partie des cibles de Pegasus présélectionnées par les services marocains^[48].

Le roi du Maroc lui-même, Mohammed VI, ainsi que son entourage proche, ont vu leurs numéros de téléphone présélectionnés pour un éventuel espionnage par Pegasus, et ce à la demande du ou des services marocains clients de NSO Group (cf. supra): le chambellan du roi, son médecin personnel, son garde du corps, divers visiteurs réguliers, mais aussi plusieurs membres de sa famille, dont son épouse Salma Bennani (dont il est séparé), son cousin Hicham ben Abdallah Alaoui, critique du régime (ainsi que la femme, les deux filles et le frère de ce dernier)^[37]. Le chef du gouvernement du Maroc, Saad Dine El Otmani, figure également sur la liste des cibles potentielles^[31].

En Algérie, plus de 6 000 numéros de téléphone ont été présélectionnés par le Maroc pour être ciblés par Pegasus, témoignant de l'intérêt du régime pour son voisin et rival. Parmi les téléphones ciblés, ceux des frères et sœurs de l'ancien président algérien Abdelaziz Bouteflika (Saïd, Nacer et Zhor Bouteflika), ceux de chefs des services de renseignement de l'époque (Ali Bendaoud, Wassini Bouazza et Bachir Tartag), celui du chef de l'État-major algérien, Saïd Chengriha, et ceux des ministres successifs des Affaires étrangères (Abdelkader Messahel et Ramtane Lamamra)^[59].

Des personnalités politiques algériennes, des hommes d'affaires, des proches du pouvoir et des diplomates algériens dans de nombreux pays étrangers figurent aussi sur la liste obtenue par Forbidden Stories: Noureddine Bedoui (alors Premier ministre), Ali Haddad, Lotfi Nezzar, Khaled Nezzar^[59].

Figurent également des personnalités de la société civile, telle l'avocate et opposante Zoubida Assoul et le rédacteur en chef du média TSA, Lounes Guemache^[59].

En 2019, le Maroc a également sélectionné Charles Michel (ainsi que son père Louis Michel, élu au Parlement européen), Premier ministre de Belgique et depuis peu président du Conseil européen, pour une éventuelle surveillance^[60],[61].

Toujours en 2019, Tedros Adhanom Ghebreyesu, directeur général de l’organisation mondiale de la santé (OMS) ainsi que plusieurs diplomates des Nations unies auraient été sélectionnés^[62].

L'État hongrois, déjà critiqué pour des atteintes aux principes de l'État de droit et à la liberté de la presse, a présélectionné 300 numéros de téléphone pour être ciblés par Pegasus, indique l'enquête de Forbidden Stories. Outre les numéros de personnes liées au milieu criminel (usage officiel du logiciel), au moins cinq des numéros appartiennent à des journalistes, dix à des avocats, un à un opposant politique de Viktor Orbán^[63],[64]. Parmi eux, deux journalistes, Andras Szabo et Szabolcs Panyi — dont l'expertise technique a établi l'infection des smartphones —, du média en ligne d'investigation Direkt36, auteur de plusieurs enquêtes sur Viktor Orbán ; le patron de presse Zoltan Varga ; ou encore le fils et l'avocat de l'homme d'affaires Lajos Simicska^[63]. Le Monde relève que « la Hongrie n'est pas le seul pays de l'Union européenne à utiliser les services de NSO », mais le seul à cibler des journalistes, opposants ou militants^[63].

Selon plusieurs journalistes, la proximité politique entre le Premier ministre d'Israël, Benyamin Netanyahou, et Viktor Orbán, a joué dans l'obtention, en 2018, du logiciel Pegasus édité par l'entreprise israélienne NSO Group (qui nie choisir ses clients sur consigne de l'État israélien)^{[64],[65],[66]}.

Selon l'enquête journalistique « Projet Pegasus », Rahul Gandhi, leader de l’opposition indienne à Narendra Modi, ses conseillers et au moins cinq de ses amis ont été espionnés par le biais du logiciel espion Pegasus^[67].

Le téléphone du journaliste indien Siddharth Varadarajan, rédacteur en chef du média indépendant The Wire, a également été infecté par le logiciel espion — faisant notamment courir des risques à ses sources^[7]. Une quarantaine de journalistes figurent parmi les personnes espionnées, sans que cette liste ne puisse être considérée comme exhaustive, certains sont employés par des médias principaux du pays et chacun des principaux groupes de médias est concerné, plusieurs éléments indiquent que l'agence qui a surveillé ces journalistes seraient indienne^[9]. De nombreux journalistes d'investigation s'y trouvent, comme la journaliste Sushant Singh qui était sur la liste de numéros de téléphones de NSO trouvée par Forbidden stories depuis 2018, année durant laquelle elle a enquêté sur la vente d'avions Rafales controversées en Inde^[9].

Parmi les personnes dont les numéros présélectionnés pour une éventuelle surveillance par Pegasus — sans que les journalistes n'aient pu vérifier si le piratage était effectif — figure notamment le Premier ministre du Pakistan Imran Khan, dont deux numéros de téléphone lui appartenant ont été listés en 2019, dans le contexte de la confrontation indo-pakistanaise de 2019^[28],[68].

Dix-sept membres de l'entourage du Dalaï-lama — lui-même étant dépourvu de smartphone — ont également été visés pour un éventuel espionnage juste avant une visite de Barack Obama en décembre 2017, qui voulait le rencontrer après être allé en Chine^[69],[70].

Le gouvernement indien de Narendra Modi n'a officiellement réfuté avoir utilisé Pegasus, mais il a nié avoir mis en place une surveillance illégale en Inde^[9].

L'État mexicain — chronologiquement le premier acquéreur de Pegasus — est celui responsable du plus grand nombre de numéros de téléphone sélectionnés en 2016 et 2017 pour une éventuelle surveillance par Pegasus, avec 15 000 des 50 000 numéros présents sur la liste obtenue par les journalistes^{[71],[72],[73]}.

Le Mexique compte trois clients de NSO, durant le mandat de Enrique Peña Nieto (2012-2018) : le Centro de Investigación y Seguridad Nacional (Cisen), le Secrétariat à la Défense nationale du Mexique (Sedena) et le bureau du procureur général de la République^[71].

Parmi les personnes présélectionnées pour une éventuelle surveillance par Pegasus figure Andrés Manuel López Obrador, qui deviendra président en décembre 2018, et de nombreux membres de sa famille et de son entourage, parmi lesquels sa femme, trois de ses enfants, trois de ses frères, ses chauffeurs, les membres de son équipe, son avocat et son cardiologue^[74].

D'autres membres du parti d'Andrés Manuel López Obrador, le Mouvement de régénération nationale, ont été sélectionnés pour un éventuel espionnage, dont la future maire du Mexico Claudia Sheinbaum^[74]. Nombre de personnalités politiques, toutes formations confondues (y compris du Parti révolutionnaire institutionnel alors au pouvoir) ont été ainsi ciblées, dont 45 gouverneurs sur une période de deux ans^[74]. Au total, 700 numéros rattachés à des personnalités politiques figurent parmi les 15 000 numéros ajoutés par le Mexique^[71].

Le Mexique, pays en paix où le plus grand nombre de journalistes sont tués chaque année^[75], a en outre ciblé (essentiellement le Cisen selon les données analysées par le Projet Pegasus) 25 journalistes a minima^[35]. En juin 2017, The New York Times avait déjà publié des informations, issues du travail du Network in Defense of Digital Rights (Mexique) et du Citizen Lab (Canada), révélant l'espionnage par Pegasus de journalistes mexicains (dont la journaliste Carmen Aristegui et )^[76],[72]. Or trois semaines avant cette publication, une agence de renseignement mexicaine, probablement le Cesen, présélectionne le numéro du journaliste du New York Times Azam Ahmed, l'un des auteurs de l'article^[35],[72]. Les numéros de téléphone de plusieurs proches de la journaliste Carmen Aristegui précédemment espionnée (cf. supra) ont également été sélectionnés^[72],[77].

Cinq journalistes de Proceso, de même que Alejandra Xanic von Bertrab (en) et Ignacio Rodriguez Reyna (cofondateurs du média Quinto Element Lab), et Marcela Turati (en) (fondatrice de l'association Periodistas de a Pie (en)), font partie des journalistes ciblés pour une éventuelle infection par Pegasus^{[72],[78],[79]}.

Le numéro du journaliste Cecilio Pinéda Birto est aussi de ceux ciblés, cette fois-ci vraisemblablement par le Sedena^[35], à deux reprises début 2017. Le 2 mars suivant, quelques heures après avoir publiquement accusé des personnalités politiques locales (dont le gouverneur du Guerrero Héctor Astudillo (en)) et la police fédérale de couvrir un gang local nommé Los Tequileros, il est assassiné^[80]. Les numéros d'Héctor Astudillo et du procureur général de l'État, chargé d'enquêter sur le meurtre du journaliste, ont également été listés pour une éventuelle surveillance^[80]. L'exécution a été attribuée par les autorités aux Los Tequileros ; The Guardian relève que d'autres forces de sécurité mexicaines sont suspectées d'avoir accès à Pegasus et que le logiciel est susceptible de tomber dans les mains de groupes criminels^[72],[80].

L'enquête de Forbidden Stories indique également que le pouvoir mexicain a présélectionné de nombreuses personnes liées aux 43 étudiants d'Ayotzinapa disparus en 2014 à Iguala, dans l'État du Guerrero, après leur interpellation par la police. Ainsi, trois proches d'étudiants, les deux avocats des familles — dont l'un est le militant des droits de l'homme Abel Barrera Hernández (en) —, le procureur général du Guerrero et un enquêteur ont été ciblés^[81],[82].

Le Rwanda a notamment présélectionné pour une surveillance éventuelle le Président de la république d'Afrique du Sud, Cyril Ramaphosa, le Premier ministre de l'Ouganda Ruhakana Rugunda et Alain-Guillaume Bunyoni, qui deviendra peu après Premier ministre du Burundi^[28],[29].

L'État togolais, diplomatiquement proche d'Israël et déjà identifié comme utilisateur de Pegasus en 2020^[83],[84], a présélectionné plus de 300 numéros pour une éventuelle surveillance par Pegasus^[85],[86]. Certains appartiennent à des militants pour l'alternance politique du pays, dirigé depuis cinquante ans par Faure Gnassingbé et son père, tel le fondateur du mouvement « Togo Debout » David Ekoué Dosseh^[85]. D'autres à des journalistes, tels Carlos Ketohou et Ferdinand Ayité, respectivement fondateurs de L'Indépendant Express et de L'Alternative, deux journaux suspendus par le pouvoir^{[85],[87],[88]}. Enfin, plusieurs opposants, parmi lesquels Tipki Atchadam (PNP) et Agbéyomé Kodjo, ont été ciblés pour une éventuelle surveillance^[85].

NSO « nie fermement » les éléments apportés par cette enquête, les qualifiant de « théories non corroborées » et indiquant ne pas savoir en temps réel ce que font ses clients du logiciel^[6].

Le Rwanda nie avoir jamais utilisé Pegasus et met en cause une campagne de désinformation à son endroit^[28]. L'État marocain nie également toute utilisation du logiciel^[89] et dépose plainte en France, par le biais de son ambassadeur, représenté par l'avocat Olivier Baratelli; les médias Le Monde, Radio France, France Media Monde, Mediapart, L’Humanité, et les organisations Forbidden Stories et Amnesty International sont visés par une plainte en diffamation du Maroc mais la cour d’appel de Paris confirme l'irrecevabilité de cette procédure-bâillon^{[90],[91],[92]}. Le ministre des Affaires étrangères hongrois Péter Szijjártó indique que le logiciel n'est pas utilisé par les services de renseignement sous ses ordres et évoque l'hypothèse que le projet Pégasus soit fomenté par des services d'intelligence étrangers^{[89],[93],[14]}. En Inde, le gouvernement nie tout espionnage illégal et plusieurs membres du BJP, le parti au pouvoir, mettent en cause une conspiration étrangère^{[94],[95],[96]}.

Amazon coupe l'accès de son service de cloud computing à l’entreprise de surveillance NSO Group le 19 juillet 2021 ; les services d'Amazon ne sont pas le pilier central de l'infrastructure informatique de Pegasus, mais ils étaient utilisés par celui-ci pour mener des attaques sur les téléphones des cibles^[97].

En France, la présidence de la République indique mener des investigations pour déterminer si le téléphone d'Emmanuel Macron a effectivement été infecté ; ce dernier change en outre de téléphone et de numéro^[98],[99].

En Algérie, le procureur de la République a indiqué, le 22 juillet 2021, avoir ouvert une enquête préliminaire pour déterminer si Pegasus avait bel et bien visé les intérêts du pays^[100]. Dans la foulée, l'Algérie, via son ministère des Affaires étrangères, a condamné « vigoureusement » l'usage du logiciel Pegasus tout en se réservant le droit de « mettre en œuvre sa stratégie de riposte » en visant nommément le Maroc^[101],[102].

Selon l’organisation non gouvernementale Amnesty International, les révélations sur le logiciel d’espionnage Pegasus mettent en évidence « une crise des droits humains mondiale » qui nécessite un moratoire sur la vente et l’utilisation des technologies de surveillance, avant la mise en place d’un cadre réglementaire « respectueux des droits humains »^[103].

La Haute-Commissaire des Nations unies aux droits de l'homme, Michelle Bachelet, réclame une « meilleure réglementation » du transfert et des technologies de surveillance, à l'instar de Pegasus utilisé pour espionner journalistes et défenseurs des droits. Ces révélations journalistiques, indique-t-elle, « confirment le besoin urgent de mieux réglementer la vente, le transfert et l'utilisation » de ces technologies de surveillance « et d'en assurer un strict contrôle et autorisation »^[104],[105].

Le 12 août 2021, en attendant de fixer un cadre réglementaire garantissant les droits humains, des experts de ONU demandent un moratoire international sur la vente de technologies de surveillance^[106].

En novembre 2021, Apple annonce offrir gratuitement son aide, notamment technique, aux chercheurs du Citizen Lab de l’université de Toronto travaillant sur le logiciel espion Pegasus^[107]. Apple révèle l’existence de dizaines de nouvelles victimes dans le monde De la Thaïlande au Salvador, en passant par l’Arménie, des journalistes, artistes, militants politiques ou des droits humains ont été ciblés par le puissant logiciel espion de NSO Group^[108].

En 2021, NSO Group est placé sur liste noire par le département du commerce des Etats-Unis. La décision est motivée par des activités « contraires à la sécurité nationale ». Elle met aussi en avant que concernant les logiciels vendus par NSO group, en particulier Pegasus: « Ces outils ont également permis à des Etats étrangers d’étendre leur répression au-delà de leurs frontières, une pratique des gouvernements autoritaires visant des dissidents, des journalistes et des activistes à l’étranger pour réduire au silence toute opposition. Ces pratiques menacent l’ordre international »^[109].

En décembre 2021, 80 organisations de défense des droits de l’Homme demandent à l’Union Européenne à ses pays membres de sanctionner NSO Group et d’interdire l’utilisation de Pegasus^[110].

En février 2022, le parlement européen va créer une commission d'enquête sur l'utilisation du logiciel espion Pegasus par certains Etats de Union Européenne. Il souhaite également mettre sur liste noire NSO Group^[111].

En France, plusieurs personnes morales et physiques effectivement espionnées ou sélectionnées pour un espionnage potentiel déposent ou annoncent déposer plainte, parmi lesquelles : Mediapart et ses journalistes Lénaïg Bredoux et Edwy Plenel^[51], l'ONG Reporters sans frontières^[112], Le Canard enchaîné et son ancienne journaliste Dominique Simonnot aujourd'hui contrôleuse générale des lieux de privation de liberté^{[113],[114],[115]}, ainsi que les députés Cédric Villani et Adrien Quatennens^[56].

Le parquet de Paris ouvre une enquête, confiée à l'Office central de lutte contre la criminalité liée aux technologies de l'information et de la communication (OCLCTIC)^[51]. Dans ce cadre, l'analyse du téléphone d'un journaliste de France 24 par l'Agence nationale de la sécurité des systèmes d'information (Anssi) ainsi que celle, par les analystes, des smartphones d'Edwy Plenel et Lenaïg Bredoux, confirment leur infection par Pegasus^[116].

la Cour suprême indienne ordonne une enquête sur l'utilisation du logiciel espion Pegasus. L’ordonnance fait suite à des pétitions de particuliers qui dénoncent le ciblage de journalistes, d’opposants politiques et de militants^[117].

Amnesty International^[118], WhatsApp^[119] filiale de Meta, Apple^[107]portent plainte contre NSO Group, fabricant du logiciel espion Pegasus qui exploite les failles de sécurité des logiciels.

Parmi les plaintes, en plus des demandes de compensations, Apple, par exemple, souhaite que les terminaux de sa marque ne soient plus visés par l'entreprise israélienne^[120].

L'État d'Israël indique ne pas avoir accès aux données récupérées par les clients de NSO, ce que confirme l'entreprise^[121]. Néanmoins, plusieurs officiels américains interrogés par The Washington Post estiment que l'État, dont le ministère de la Défense accorde des licences d'exportations à NSO pour chaque État client^[122], connaît les clients de l'entreprise et entretient des liens étroits avec elle^[121]. Les relations entre NSO et l'État s'inscrivent en outre dans un contexte de liens étroits entre les entreprises israéliennes de la cybersécurité ou du cyberespionnage et les services de renseignement^[121],[123].

Les révélations du projet Pégasus sont lues par plusieurs médias comme une illustration de l'usage diplomatique fait de l'exportation de Pegasus par l'État israélien ; NSO Group apparaît ainsi comme un outil du soft power israélien^{[124],[123],[125],[126]}.

Dans un contexte de marchandisation de l'espionnage numérique — dans lequel NSO Group n'est qu'une entreprise parmi d'autres — avec un nombre croissant de clients, les constructeurs tels que Google (Android) ou Apple (iOS) sont nécessairement en retard sur les failles découvertes par les hackers, désireux de les vendre aux entreprises du secteur^[127],[128].

La monétisation des failles, notamment zero-day, est l'élément clef de la mise en œuvre d'armes numériques tel Pegasus : une fois découvertes par un hacker, les failles peuvent être achetées par des sociétés telles que NSO Group pour des montants atteignant le million de dollars sur des plateformes telles que Zerodium (en). Les logiciels tels que Pegasus ne sont pas conçus pour traquer des terroristes, peu susceptibles d'utiliser des smartphones, mais bien pour espionner la société civile (opposants, journalistes, etc.)^[129],[130].

L'exportation de biens et technologies à double usage, auxquels sont rattachés les outils de surveillance tels que Pegasus, est encadrée par l'arrangement de Wassenaar, un texte non contraignant signé en 1996 et qui réunit 42 pays en 2021^[131]. Des ONG de défense des droits de l'homme et des personnalités politiques dénoncent la faiblesse du droit international en la matière^[131],[132]. En effet, des révélations ont montré l'inefficacité du contrôle des États, dont les entreprises ont exporté des logiciels de surveillance à des États autoritaires : en Italie, Hacking Team a ainsi vendu un outil d'espionnage à l'Azerbaïdjan, au Soudan du Sud et à l'Arabie saoudite, tandis qu'en France, Amesys a vendu des outils de surveillance du trafic internet à la Libye et à l'Égypte^[131],[132].

Selon des experts de l'ONU « Il est du devoir des Etats de vérifier que des entreprises comme NSO Group ne vendent pas ou ne transfèrent pas de technologies à des Etats et des entités susceptibles de les utiliser pour violer les droits humains ou ne passent pas de contrats avec eux »^[106].

Edward Snowden, qui dénonce un marché des logiciels espions dont le seul intérêt est financier, promeut quant à lui un moratoire international sur la vente de tels logiciels : « Il y a certaines industries, certains secteurs, contre lesquels il n'y a aucune protection, et c'est pourquoi nous essayons de limiter la prolifération de ces technologies. Nous n'autorisons pas un marché commercial pour les armes nucléaires^[133],[134]. »

• Cet article est partiellement ou en totalité issu de l'article intitulé « Pegasus (logiciel espion) » (voir la liste des auteurs).

• Vulnérabilité (informatique)
• Logiciel espion
• Pegasus (logiciel espion)
• NSO Group
• Forbidden Stories
• Affaire Snowden
• Predator Files

• Anne Poirier, « Pegasus, un espion dans votre poche » [vidéo], sur arte.tv/fr, 2023 forbidden films, 93 min (consulté le 17 août 2023)

• Laurent Richard et Sandrine Rigaud, Pegasus : Démocraties sous surveillance, Éditions Robert Laffont, 2023, 368 p. (ISBN 978-2-221-26272-6)

• Site officiel
• Liste des cibles présélectionnées, sur le site web de l'OCCRP
• Damien Leloup et Martin Untersinger, « Pegasus : au cœur d’une enquête mondiale sur l’espionnage de téléphones » [audio], sur LeMonde.fr, 21 juillet 2021 (consulté le 21 juillet 2021).
• Phineas Rueckert et Karine Pfenniger (Forbidden stories) ; Benoît Collombat et Frédéric Métézeau (Cellule investigation de Radio France), « Les manœuvres d’Israël pour dissimuler ses secrets d’Etat liés à du cyberespionnage », France info,‎ 25 juillet 2024 (lire en ligne, consulté le 25 juillet 2024).

• Portail du journalisme
• Portail du logiciel
• Portail de la sécurité informatique
• Portail des télécommunications
• Portail des droits de l’homme