Un logiciel espion contre un journaliste marocain qui dérange

Une enquête d’Amnesty International révèle que l’iPhone d’Omar Radi a été infiltré avec la technologie de la société israélienne NSO

Pour un journaliste ou un militant, rien n'est plus senssible qu'un téléphone portable. Ses sources, ses projets d'enquetes, ses secrets, sa vie intime... tout y est méthodi­quement consigné. Y accéder, le mettre à nu, c’est offrir la possibi­lité de le réduire au silence. Depuis une dizaine d’années, l’industrie opaque de la cybersur­veillance s’est engouffrée dans cette brèche et fait peser une me­nace grandissante sur les journa­listes et les défenseurs des droits de l’homme. Officiellement desti­nées à lutter contre le terrorisme ou la cybercriminalité, leurs tech­nologies, capables de contourner les protections informatiques les plus sophistiquées, sont sou­vent détournées par les Etats qui les achètent pour espionner leurs opposants. L’histoire du journa­liste marocain Omar Radi en est un exemple édifiant.
En avril 2019, ce journaliste d’in­vestigation marocain, très connu dans son pays et poil à gratter du régime, se fend d’un Tweet au vi­triol. Alors que la justice de son pays vient de condamner des membres du mouvement de contestation du Hirak à de lour­des peines de prison, il s’en prend frontalement au magistrat qui a prononcé les peines, le qualifiant de « bourreau ». « Ni oubli ni pardon avec ces fonctionnaires sans dignité ! », écrit­ il. Rapidement, les autorités ouvrent une enquête pour outrage à magistrat et en­tendent le journaliste. En décem­bre 2019, il est inculpé puis incar­céré, déclenchant une vague de protestations au Maroc, chez les ONG et sur les réseaux sociaux. Il a été condamné en mars à quatre mois de prison avec sursis.

Logiciel sophistiqué

Alors même qu’il était inquiété par la police, son téléphone a été discrètement infiltré par le très sophistiqué logiciel d’espionnage Pegasus, révèle aujourd’hui une enquête de l’ONG Amnesty Inter­ national. Dans un rapport très dé­taillé, fourni en avant­ première au collectif de médias Forbidden Stories, dont Le Monde, le Guardian, la Süddeutsche Zeitung, Die Zeit, Radio France, et le Washing­ ton Post, Amnesty dénonce l’im­plication de la société israélienne NSO, fabricant du logiciel Pegasus.

L’analyse de l’iPhone de M. Radi montre qu’il a été ciblé à plusieurs reprises, depuis début 2019 et jus­qu’à janvier 2020, par des pirates, qui ont laissé des traces techni­ques très proches de celles retrouvées précédemment par Am­nesty International sur les télé­ phones de militants des droits de l’homme au Maroc. Pour l’ONG, ces traces, et plus largement l’in­frastructure technique utilisée pour lancer l’attaque sur l’iPhone de M. Radi, pointent dans une seule direction : la société NSO.

NSO est loin d’être le seul mar­chand d’armes du monde numé­rique. Elle est, cependant, la tête de proue de cette nouvelle indus­trie, sans doute parce qu’elle en est un exemple parfait. Elle a été fondée en Israël, comme tant de ses homologues, là où la porosité entre les services de renseigne­ment « cyber » – parmi les meil­leurs au monde – et le milieu des start­up est totale. Elle consacre aujourd’hui de gigantesques ef­forts de recherche pour identi­fier les interstices dans les pro­duits numériques susceptibles de laisser passer ses logiciels es­pions. Ainsi est­ elle accusée par Facebook d’avoir utilisé une faille dans la messagerie Whats­ App (qui appartient au réseau so­ cial) pour « infecter » des centai­nes de victimes.

Elle est surtout régulièrement accusée de vendre ses outils à des régimes peu sensibles à la question des droits de l’homme ou de fermer les yeux lorsqu’ils sont uti­lisés contre des dissidents ou des militants. L’entreprise est aussi ac­cusée d’être impliquée dans la sur­veillance électronique du journaliste saoudien Jamal Khashoggi, que des hommes envoyés par Riyad ont assassiné et démembré dans le consulat de l’Arabie saou­dite à Istanbul (Turquie), en 2018.

Pegasus, connu pour être le produit­ phare de NSO, est réputé être le nec plus ultra des logiciels d’espionnage de téléphones por­tables. Les fonctionnalités exac­tes ne sont pas toutes connues, mais Pegasus serait capable d’as­pirer tout le contenu – messages, enregistrements sonores, photos, activité Web, etc. – du téléphone sur lequel il est installé.

Amnesty International n’a pas trouvé de trace directe de la présence de ce logiciel sur le téléphone d’Omar Radi. Comme des policiers constatant la ser­rure forcée par un cambrioleur, l’ONG est, cependant, parvenue à retrouver la porte d’entrée, révé­lant les marques de NSO, utilisée pour infecter le téléphone.

Les éléments techniques re­cueillis par l’ONG montrent qu’il s’agit de voleurs extrêmement compétents, puisque le logiciel malveillant a été installé sans aucune action de la part d’Omar Radi. Dans la vaste majorité des cas, les logiciels espions ont be­soin que la personne ciblée clique sur un lien ou un fichier pour s’installer sur leur téléphone.

Dans le cas du journaliste marocain, les assaillants ont très vraisemblablement intercepté au vol sa navigation Internet et remplacé un site Web qu’il sou­haitait consulter par une page contenant le virus. Cette techni­que, dite d’« injection réseau », «est, en un sens, plus insidieuse et plus difficile à identifier et à dé­ jouer, car elle ne laisse pas vrai­ment de traces », explique Claudio Guarnieri, qui dirige le laboratoire de sécurité d’Amnesty Internatio­nal, et a étudié l’appareil d’Omar Radi. « Tout se passe de manière quasiment invisible. »

Réaliser ce type d’attaque n’est possible que dans deux cas : soit avec la collaboration de l’opé­rateur téléphonique de la victime, soit en ayant recours à des équi­pements d’espionnage de proxi­mité conçus pour intercepter le trafic du téléphone « à la volée ». Des équipements que NSO a jus­tement déjà présentés dans cer­tains salons professionnels. Dans les deux cas, il faut disposer de moyens importants, ou de com­plices très haut placés, pour par­ venir à installer de la sorte un lo­giciel espion sur un smartphone.

Les soupçons d’Amnesty se portent sans surprise sur les ser­vices de sécurité marocains : l’en­treprise NSO ne fournit officielle­ment son service d’espionnage, très onéreux, qu’aux Etats et aux forces de sécurité. Et M. Radi, qui a publié plusieurs enquêtes sur la corruption au Maroc, couvrait no­tamment les manifestations anti­ gouvernementales dans la région du Rif. C’est d’ailleurs pour son Tweet dénonçant la condamna­tion à des peines de prison de mi­litants de ce mouvement qu’il a été condamné à la mi-­mars.

« Je m’en doutais un peu »

Les éléments techniques recueillis par Amnesty International mon­trent que son téléphone a été attaqué dans les jours suivant son in­culpation, après une première offensive en début d’année 2019. Les autorités marocaines n’ont pas donné suite aux sollicitations du consortium Forbidden Stories.

Lorsque Amnesty a expliqué à Omar Radi qu’il avait été mis sous surveillance, cela ne l’a pas véritablement surpris : « Je m’en doutais un peu. Les autorités ma­rocaines sont acheteuses de toutes les solutions possibles et imagina­bles de surveillance et d’espion­nage. Elles veulent tout savoir », a expliqué Omar Radi dans un entretien réalisé par le collectif Forbidden Stories au nom de tous les médias partenaires.

Les révélations d’Amnesty vont relancer un débat lancinant, celui d’une industrie opaque dont les productions sont régu­lièrement utilisées contre des journalistes ou des militants des droits de l’homme.

Sollicité par les membres de For­bidden Stories, un porte­parole de NSO a refusé «de confirmer ou d’infirmer le fait que les autorités en question ont utilisé [leur] tech­nologie », citant des accords de confidentialité avec ses clients. Utilisant des termes rarement employés par l’entreprise, ce por­te­parole s’est, cependant, dit « profondément troublé » par les révélations d’Amnesty Internatio­nal. « Nous étudions ces informa­tions et lancerons une enquête si nécessaire », a­ t­'il poursuivi.

« En accord avec notre politique en matière de droits de l’homme, NSO prend au sérieux notre responsabilité de protection de ces derniers. Nous nous sommes engagés à éviter de causer, de contribuer ou d’être directement liés à des impacts négatifs sur les droits de l’ homme », explique­ t­on de même source.

En 2019, après son rachat par le fonds d’investissements britan­nique Novalpina Capital, NSO s’était, en effet, engagée à mettre sur pied un «comité de la gou­vernance, des risques et du respect des règles juridiques ». Trois jours après l’annonce de ces « nouvel­ les règles pour la protection des droits de l’homme», le téléphone d’Omar Radi était pourtant visé par un logiciel espion.