WhatsApp Contre NSO : 7 Leçons d’un Procès

Saviez-vous qu’un simple appel manqué peut transformer votre smartphone en mouchard ? En mai 2025, un procès retentissant entre WhatsApp et NSO Group a secoué le monde de la tech. Cette bataille juridique, qui a vu le géant de la messagerie remporter plus de 167 millions de dollars de dommages, a révélé des vérités troublantes sur l’univers du spyware et de la cybersécurité. Plongeons dans les sept leçons majeures de cette saga, où technologie, éthique et justice se sont entrechoquées.

Une Victoire Historique pour la Cybersécurité

Le verdict rendu en faveur de WhatsApp marque un tournant. Après plus de cinq ans de lutte, l’entreprise, propriété de Meta, a prouvé que NSO Group, fabricant du spyware Pegasus, avait exploité une faille dans sa fonction d’appel audio pour cibler 1 400 utilisateurs. Ce procès ne se limite pas à une question d’argent : il pose la question de la responsabilité des entreprises technologiques dans la protection des données. Mais quelles sont les révélations qui ont émergé ?

1. L’Attaque "Zero-Click" : Une Menace Invisible

Imaginez recevoir un appel WhatsApp qui, sans même que vous décrochiez, installe un logiciel espion sur votre téléphone. C’est exactement ce qu’a orchestré NSO Group avec une attaque dite zero-click. Selon les témoignages, NSO a créé un serveur spécial, baptisé WhatsApp Installation Server, capable d’envoyer des messages malveillants imitant ceux de l’application. Une fois reçus, ces messages forçaient le téléphone à se connecter à un autre serveur pour télécharger Pegasus.

Les messages malveillants déclenchaient l’installation de Pegasus sans aucune interaction de l’utilisateur.

– Antonio Perez, avocat de WhatsApp

Cette méthode, qualifiée de “jalon significatif” par un cadre de NSO, montre à quel point les attaques modernes sont furtives. Aucun clic, aucun téléchargement : juste un numéro de téléphone suffit.

2. NSO Group et les Numéros Américains : Une Exception

NSO Group a toujours affirmé que son spyware ne pouvait pas cibler les numéros commençant par +1, le code des États-Unis. Pourtant, une révélation surprenante a émergé : un numéro américain a bien été visé, mais dans le cadre d’un test pour le FBI. Ce test, effectué avec une version spéciale de Pegasus, visait à démontrer ses capacités à des clients gouvernementaux potentiels. Le FBI a finalement renoncé à utiliser le logiciel.

Cette exception soulève des questions sur la fiabilité des promesses de NSO. Si une dérogation a été accordée pour un test, qu’est-ce qui empêche d’autres exceptions ?

3. Pegasus : Une Interface Simplifiée pour les Clients

Comment les gouvernements utilisent-ils Pegasus ? Le PDG de NSO, Yaron Shohat, a expliqué que l’interface utilisateur est conçue pour être intuitive. Les clients n’ont pas à choisir quelle méthode d’attaque employer : le système sélectionne automatiquement l’exploit le plus adapté. Cette simplicité cache une réalité inquiétante : les clients se concentrent sur l’obtention d’informations, sans se soucier des moyens employés.

Cette automatisation rend Pegasus particulièrement dangereux, car elle réduit les barrières techniques pour les utilisateurs, souvent des agences gouvernementales.

4. Une Colocation Improbable avec Apple

Dans une anecdote presque comique, NSO Group partage son siège social à Herzliya, en Israël, avec… Apple ! Les deux entreprises occupent le même immeuble de 14 étages, NSO aux cinq derniers étages, Apple au reste. Cette proximité est ironique, car les iPhones sont parmi les principales cibles de Pegasus. Yaron Shohat a même plaisanté sur le fait de partager les ascenseurs avec les employés d’Apple.

Nous partageons le même ascenseur quand nous montons.

– Yaron Shohat, PDG de NSO Group

Cette cohabitation illustre l’audace de NSO, qui affiche ouvertement son adresse, contrairement à d’autres entreprises de spyware plus discrètes.

5. NSO a Continué ses Attaques Après la Plainte

Choc lors du procès : NSO Group n’a pas cessé de cibler les utilisateurs de WhatsApp après le dépôt de la plainte en novembre 2019. Selon Tamir Gazneli, vice-président R&D de NSO, une version de l’attaque, surnommée Erised, a été utilisée jusqu’en mai 2020. Deux autres versions, Eden et Heaven, formaient avec Erised le projet Hummingbird. Ce mépris apparent pour la procédure judiciaire a renforcé la position de WhatsApp.

Cette persistance montre que NSO n’a pas hésité à poursuivre ses activités, même sous le feu des critiques.

6. Les Finances Fragiles de NSO Group

Le procès a également levé le voile sur la situation financière de NSO. En 2023, l’entreprise a perdu 9 millions de dollars, et 12 millions en 2024. Avec seulement 5,1 millions de dollars en banque en 2024 et des dépenses mensuelles de 10 millions, NSO lutte pour survivre. Sa maison mère, Q Cyber, dispose de 3,2 millions de dollars, une somme modeste pour une entreprise de cette envergure.

Le coût de développement de Pegasus est colossal : 52 millions de dollars en 2023 et 59 millions en 2024 pour la R&D. Les clients, eux, paient entre 3 et 30 millions de dollars pour accéder au logiciel. Ces chiffres expliquent pourquoi NSO a plaidé son incapacité à payer les dommages.

Nous luttons pour garder la tête hors de l’eau.

– Yaron Shohat, PDG de NSO Group

7. Une Main-d’Œuvre Conséquente

NSO Group et Q Cyber emploient entre 350 et 380 personnes, dont 50 pour Q Cyber. Cette taille est surprenante pour une entreprise spécialisée dans un domaine aussi controversé. Ces employés, principalement dévoués à la recherche de vulnérabilités et au développement d’exploits, sont au cœur de l’activité de NSO. Mais leur nombre soulève une question : comment une entreprise en difficulté financière maintient-elle une telle équipe ?

Les Enjeux pour l’Avenir

Ce procès ne se limite pas à une victoire juridique. Il met en lumière les dangers des spywares et la nécessité d’une régulation plus stricte. Les révélations sur les méthodes de NSO, ses finances précaires et son mépris des procédures judiciaires appellent à une réflexion sur l’éthique dans la tech. Voici un résumé des leçons clés :

• Les attaques zero-click redéfinissent les menaces numériques.
• NSO a ciblé un numéro américain pour un test FBI.
• Pegasus est conçu pour une utilisation facile par les gouvernements.
• NSO partage un immeuble avec Apple, cible de ses spywares.
• Les attaques contre WhatsApp ont continué après la plainte.
• NSO est en difficulté financière malgré des contrats coûteux.
• L’entreprise emploie une main-d’œuvre importante pour son activité.

Ce procès marque un précédent. Il montre que même les entreprises les plus controversées peuvent être tenues responsables. Mais il rappelle aussi que la cybersécurité reste un champ de bataille, où chaque innovation peut devenir une arme. À l’avenir, les entreprises comme WhatsApp devront redoubler d’efforts pour protéger leurs utilisateurs, tandis que les régulateurs devront encadrer des acteurs comme NSO. Et vous, pensez-vous que ce verdict changera la donne dans la lutte contre les spywares ?