Actus

Un homme politique qui a contribué à enquêter sur les abus de logiciels espions a lui-même été piraté avec un logiciel espion. Selon TechCrunch, des chercheurs en sécurité ont confirmé que le téléphone de Stelios Kouloglou, ancien journaliste grec et membre du Parlement européen, avait été infecté par Pegasus. Cette découverte transforme un enquêteur sur les logiciels espions en victime d'un logiciel espion, et remet le détournement de ces outils sous le feu des projecteurs.

L'enquêteur est devenu la cible

Kouloglou siégeait à la commission PEGA du Parlement européen. Cette commission avait été créée pour enquêter sur la façon dont les gouvernements européens utilisaient les logiciels espions pour téléphone. Autrement dit, il faisait partie de ceux dont le travail consistait à demander des comptes sur ces abus.

C'est ce qui rend cette affaire si frappante. Selon les informations rapportées, son téléphone a été piraté alors même qu'il siégeait à la commission chargée d'examiner ces outils. Lorsqu'un enquêteur sur la surveillance est lui-même placé sous surveillance, cela pose une question difficile: qui est réellement surveillé, et par qui.

Ce qu'est réellement Pegasus

Pegasus est un logiciel espion conçu par NSO Group, une entreprise dont le siège est en Israël. Une fois installé sur un téléphone, il peut donner à son opérateur un accès profond à l'appareil: messages, appels, photos, localisation et bien plus. Il est vendu à des clients gouvernementaux, censés l'utiliser contre la grande criminalité et le terrorisme.

• Des chercheurs affirment que l'eurodéputé Stelios Kouloglou a été piraté avec le logiciel espion Pegasus, selon TechCrunch
• Il siégeait à la commission PEGA du Parlement européen qui enquêtait sur les abus de logiciels espions
• Pegasus, conçu par NSO Group, peut donner un accès profond au téléphone d'une cible
• Citizen Lab n'a nommé aucun pays, mais a relié l'attaque à une campagne européenne plus large
• L'infrastructure réutilisée laisse entendre que NSO a autorisé l'usage de Pegasus dans plusieurs États de l'UE
• Kouloglou déclare qu'il compte poursuivre NSO Group en justice

Le problème, c'est que cette même puissance est facile à retourner contre des journalistes, des militants et des responsables politiques. Cette affaire est un exemple de plus de l'écart entre la manière dont l'outil est présenté et la manière dont il semble être utilisé en pratique.

Ce que les chercheurs ont trouvé, et ce qu'ils n'ont pas trouvé

Selon TechCrunch, les chercheurs de Citizen Lab ont confirmé l'infection par Pegasus mais n'ont pas attribué le piratage à un pays précis. Ils ont relevé que le client gouvernemental avait utilisé la même adresse e-mail liée à Pegasus que celle apparue lors d'une campagne antérieure, qui avait piraté les téléphones de journalistes à travers l'Europe.

Selon les mêmes informations, cette réutilisation laisse entendre que NSO Group avait autorisé l'usage de Pegasus dans plusieurs pays européens. En clair: les chercheurs se sont abstenus de nommer les auteurs, mais la trace technique désigne un client agissant avec l'approbation du fabricant, et un schéma qui dépasse une seule cible.

Kouloglou compte poursuivre NSO Group en justice

Selon TechCrunch, Kouloglou a déclaré qu'il comptait poursuivre NSO Group en justice pour ce piratage. Un procès porterait la question devant un tribunal, où les détails sur l'identité de ceux qui ont acheté et exploité le logiciel espion pourraient être examinés plutôt que laissés à la déduction.

Pourquoi cela nous concerne tous

Vous avez peu de chances d'être personnellement une cible de Pegasus, un outil coûteux et destiné à des individus à forte valeur. Si cela compte malgré tout, c'est une question de responsabilité. Si un député en exercice qui enquête sur les logiciels espions peut être piraté avec ce même logiciel, les garde-fous censés maintenir ces outils pointés uniquement vers de grands criminels ne tiennent pas. Maintenir votre téléphone et vos applications à jour écarte de nombreuses menaces mineures, mais le vrai remède ici est politique et juridique, pas un réglage que l'on peut activer.