Pegasus en Pologne : NSO avait accès aux données espionnées

Selon le parquet polonais, NSO Group a conservé la mainmise sur des éléments clés du système d'espionnage Pegasus utilisé par l'ancien gouvernement polonais. Les données collectées par l'outil auraient en outre été transférées à l'étranger via des serveurs situés hors du pays.

Ces conclusions sont tirées d'une analyse de l'Agence de sécurité intérieure (ABW), le service de contre-espionnage polonais. Le parquet national les a rendues publiques. Lundi, le Premier ministre Donald Tusk, à l'origine de l'enquête, a qualifié l'opération d'espionnage menée sous l'ancien parti au pouvoir de "l'un des plus grands scandales de l'histoire polonaise depuis la chute du communisme". Il a également accusé l'éditeur israélien de logiciels espions de collaborer avec les services de renseignement israéliens.

L'opérateur n'avait pas la main sur tout

Pegasus était exploité par le Bureau central anticorruption (CBA), un service de police polonais chargé des enquêtes sur la corruption. D'après le parquet, le CBA "ne disposait pas d'un contrôle total sur le système Pegasus".

La faille la plus importante concernait la partie du système qui sert concrètement à compromettre les téléphones. "Le module serveur chargé d'infecter les appareils mobiles restait sous le contrôle exclusif du fabricant", indique le parquet dans son communiqué.

Le CBA ne disposait pas non plus des mots de passe de nombreux comptes dotés de droits d'administrateur. Selon le parquet, cela "empêchait de vérifier pleinement le bon fonctionnement de chacun des modules du système, y compris ceux chargés de la transmission et du stockage des données".

Des données transitant par des serveurs étrangers

Les enquêteurs ont constaté que les données recueillies par le logiciel espion quittaient la Pologne par le biais d'un réseau d'anonymisation reposant sur des serveurs à l'étranger. L'enquête polonaise a permis de remonter ces transferts jusqu'à des adresses IP étrangères.

Sur cette base, le parquet a conclu que NSO disposait d'un "accès technique" aux informations collectées lors des "contrôles opérationnels", le terme employé par les autorités polonaises pour désigner les opérations de surveillance clandestine.

L'entreprise fournissait par ailleurs des mises à jour et une assistance technique aux responsables polonais via une connexion à distance. La surveillance ne s'interrompait pas pour autant. "Pendant ces interventions, les contrôles opérationnels n'étaient pas suspendus, et le fabricant disposait d'un accès complet au système, y compris la possibilité de modifier son logiciel et sa configuration", précise le communiqué.

Le parquet se montre toutefois prudent sur un point. Il n'est pas en mesure de dire si NSO "a effectivement obtenu l'accès à des éléments issus d'un contrôle opérationnel précis". L'enquête montre que cet accès était techniquement possible, pas qu'il a été utilisé dans un cas donné.

NSO Group n'a pas répondu à une demande de commentaire de The Record.

Un scandale qui couvait depuis des années

Ces nouvelles conclusions viennent s'ajouter à une affaire qui prend de l'ampleur depuis un certain temps. En février 2024, le gouvernement de Donald Tusk avait annoncé que les enquêteurs avaient confirmé l'utilisation de Pegasus contre une liste "très longue" de victimes. Donald Tusk avait affirmé que sa propre femme et sa fille avaient été espionnées, et que les appareils de plus de 500 autres personnes avaient été ciblés, certains ayant été infectés.

Plusieurs anciens responsables du renseignement et de la sécurité sont aujourd'hui poursuivis pour avoir rendu ces abus possibles. Le logiciel espion aurait été financé avec de l'argent prélevé sur un fonds public destiné aux victimes d'infractions.

Donald Tusk aurait déclaré que ces anciens responsables "ont payé pour un système qui transférait de facto toutes les données possibles sur des citoyens polonais, des dirigeants de l'opposition polonaise et des procureurs indépendants polonais... à la partie israélienne".

"Ce n'est plus [seulement] un scandale... Nous parlons d'un crime contre l'État", a-t-il ajouté.

Pour les chercheurs, les acheteurs aussi sont exposés

John Scott-Railton, chercheur au Citizen Lab, a déclaré à Recorded Future News que ces conclusions montrent que les pays qui utilisent des logiciels espions doivent se soucier de leur propre sécurité opérationnelle.

NSO assure depuis longtemps à ses clients gouvernementaux qu'elle n'a pas accès aux données collectées par Pegasus. Selon John Scott-Railton, les pièces rendues publiques dans le cadre de la plainte déposée par WhatsApp contre l'entreprise en 2019 vont dans le sens des affirmations du gouvernement polonais.

Les gouvernements qui déploient ce type d'outils, estime-t-il, doivent se demander si leurs "informations sensibles, y compris celles sur les personnes qu'ils sont susceptibles de cibler, ainsi que les informations sur leurs citoyens, sont exposées à des entités étrangères".

"Cela touche au cœur même non seulement de l'intérêt d'acquérir un logiciel espion étranger, mais aussi des risques pour le gouvernement qui l'utilise", a déclaré John Scott-Railton.

Notre analyse

L'essentiel du débat autour de Pegasus s'est concentré sur les personnes surveillées : journalistes, figures de l'opposition, militants et leurs proches. Les conclusions polonaises déplacent une partie de l'attention vers le client. Si l'éditeur gardait le contrôle exclusif des serveurs d'infection, détenait des accès administrateur que l'acheteur ne pouvait pas utiliser et déployait des mises à jour à distance pendant des opérations en cours, alors le gouvernement n'était pas le seul à avoir un regard sur la surveillance.

Cela laisse penser que les logiciels espions commerciaux posent un problème de chaîne d'approvisionnement autant qu'un problème de vie privée. Un État qui achète un tel outil offre peut-être aussi à une entreprise étrangère, et potentiellement à un État étranger, une fenêtre sur ses cibles et ses méthodes. C'est un risque que les équipes de sécurité connaissent déjà avec d'autres logiciels tiers disposant d'un accès à distance étendu.

Il faut toutefois garder à l'esprit les limites des éléments présentés. Le parquet affirme que l'accès existait, pas que NSO l'a utilisé dans des cas précis. Reste à voir si l'enquête polonaise débouchera sur des éléments plus concrets, comment NSO réagira, et si d'autres pays ayant acheté Pegasus commenceront à se poser les mêmes questions sur ceux qui pouvaient voir leurs données.