NSO Group : Scandale du Spyware Pegasus

Imaginez un instant que votre téléphone, cet objet que vous consultez des dizaines de fois par jour, devienne une porte dérobée pour des gouvernements étrangers. En 2019, plus de 1200 utilisateurs de WhatsApp ont vécu ce cauchemar, victimes d’un logiciel espion nommé Pegasus, conçu par l’entreprise israélienne NSO Group. Ce scandale, récemment mis en lumière lors d’un procès aux États-Unis, révèle l’implication présumée de pays comme le Mexique, l’Arabie Saoudite et l’Ouzbékistan. Comment une technologie censée protéger devient-elle une arme contre la vie privée ? Plongeons dans cette affaire qui secoue le monde de la cybersécurité.

Pegasus : une technologie au cœur du scandale

Le logiciel Pegasus n’est pas un simple programme. Développé par NSO Group, il permet d’accéder aux données d’un smartphone – messages, appels, photos – sans que l’utilisateur ne s’en rende compte. En 2019, une faille dans WhatsApp a permis à ce spyware d’infecter environ 1400 appareils, ciblant principalement des activistes, des journalistes et des membres de la société civile. Cette affaire, qui oppose aujourd’hui WhatsApp à NSO Group devant les tribunaux, soulève des questions cruciales sur l’éthique des technologies de surveillance.

Les pays accusés : Mexique, Arabie Saoudite et Ouzbékistan

Lors d’une audience en avril 2025, l’avocat de NSO Group, Joe Akrotirianakis, a brisé un tabou en nommant trois clients de l’entreprise : le Mexique, l’Arabie Saoudite et l’Ouzbékistan. Ces gouvernements auraient utilisé Pegasus pour espionner des utilisateurs de WhatsApp. Cette révélation marque un tournant, car NSO Group s’était toujours refusé à divulguer l’identité de ses clients, invoquant des contraintes contractuelles.

Nous ne pouvons pas révéler l’identité de nos clients, même sous la pression.

– Porte-parole de NSO Group, 2023

Pourtant, sous la pression judiciaire, l’entreprise a dû céder. Les accusations portées contre ces trois pays ne sont pas anodines. Le Mexique, par exemple, a déjà été épinglé par des organisations comme Citizen Lab pour avoir ciblé des journalistes et leurs familles, y compris à l’étranger. L’Arabie Saoudite, quant à elle, est soupçonnée d’avoir utilisé Pegasus dans des affaires de répression politique. L’Ouzbékistan, moins souvent mentionné, ajoute une dimension inquiétante à cette liste, suggérant une portée mondiale du problème.

Une faille WhatsApp au cœur de l’attaque

Entre avril et mai 2019, une vulnérabilité dans les systèmes de WhatsApp a permis à Pegasus de s’infiltrer. Les attaquants n’avaient besoin que d’un appel manqué pour infecter un appareil, sans aucune interaction de la victime. Cette méthode, d’une simplicité terrifiante, a permis de cibler des centaines de personnes dans 51 pays, dont l’Inde, le Maroc, l’Espagne et même les États-Unis.

WhatsApp, propriété de Meta, a rapidement réagi en portant plainte contre NSO Group. Selon l’entreprise, plus de 100 des victimes étaient des défenseurs des droits humains, un chiffre corroboré par Citizen Lab. Cette affaire met en lumière la fragilité des applications de messagerie, pourtant perçues comme sécurisées par des millions d’utilisateurs.

NSO Group : un modèle économique controversé

NSO Group se présente comme une entreprise fournissant des outils aux gouvernements pour lutter contre le terrorisme et la criminalité. Mais son modèle économique, basé sur la vente de technologies invasives, soulève des critiques. Pegasus n’est pas vendu à n’importe qui : les clients doivent être des États ou des agences gouvernementales. Cependant, l’absence de contrôle rigoureux sur l’utilisation de ces outils a conduit à des abus documentés.

• Surveillance de journalistes dans des pays comme le Mexique et la Hongrie.
• Ciblage de dissidents politiques en Arabie Saoudite et aux Émirats arabes unis.
• Espionnage d’activistes des droits humains dans plusieurs pays européens.

Ces abus ont valu à NSO Group d’être placé sur une liste noire par les États-Unis en 2021, limitant ses partenariats commerciaux. Pourtant, l’entreprise continue de défendre sa mission, affirmant que ses outils sont essentiels pour la sécurité nationale.

Les victimes : qui sont-elles ?

Les 1200 victimes recensées en 2019 ne sont pas des utilisateurs lambda. Selon WhatsApp et Citizen Lab, la majorité étaient des figures publiques engagées :

• Journalistes enquêtant sur des scandales politiques.
• Activistes défendant les droits humains.
• Membres de la société civile critiques des gouvernements.

Un cas emblématique est celui d’un journaliste mexicain dont le propre enfant, alors aux États-Unis, a été ciblé. Cette affaire montre que Pegasus peut être utilisé au-delà des frontières, rendant la surveillance globale. Ces révélations ont amplifié les appels à une régulation plus stricte des logiciels espions.

Le procès : vers une condamnation de NSO Group ?

Le procès intenté par WhatsApp contre NSO Group est entré dans une phase décisive en 2025. WhatsApp demande des dommages et intérêts ainsi qu’une injonction pour empêcher NSO Group de continuer à exploiter ses technologies de manière abusive. Lors de l’audience d’avril, l’avocat de NSO a admis que huit clients étaient impliqués dans l’affaire, mais n’en a nommé que trois. Cette demi-transparence reflète la difficulté de tracer la responsabilité dans ce type d’attaques.

Nous attendons avec impatience le procès pour protéger WhatsApp et les communications privées des utilisateurs.

– Zade Alsawah, porte-parole de WhatsApp

Le juge a noté que les preuves restent floues sur l’identité exacte des clients responsables. Cette opacité, combinée à la dépendance de NSO Group sur des rapports médiatiques plutôt que sur des documents internes, complique la recherche de la vérité.

Les implications pour la cybersécurité mondiale

Ce scandale dépasse le cadre d’une simple affaire judiciaire. Il met en lumière plusieurs enjeux critiques pour l’avenir de la cybersécurité :

• Vie privée : Les outils comme Pegasus menacent les libertés individuelles.
• Régulation : Les logiciels espions doivent être mieux encadrés.
• Responsabilité : Les entreprises technologiques doivent être tenues responsables des abus.

Des organisations comme Amnesty International plaident pour un moratoire mondial sur la vente de ces technologies. En parallèle, les utilisateurs sont de plus en plus sensibilisés à la nécessité de protéger leurs données, que ce soit par des mises à jour régulières ou l’utilisation d’applications chiffrées.

Que retenir de cette affaire ?

L’affaire Pegasus est un rappel brutal que la technologie, aussi avancée soit-elle, peut être à double tranchant. Si NSO Group affirme agir pour la sécurité, les abus de ses clients racontent une autre histoire. Voici les points clés à retenir :

• Pegasus a ciblé plus de 1200 utilisateurs WhatsApp en 2019.
• Mexique, Arabie Saoudite et Ouzbékistan sont parmi les clients accusés.
• Les victimes incluent journalistes, activistes et figures publiques.
• Le procès pourrait redéfinir les règles de la cybersécurité.

Alors que le procès se poursuit, une question demeure : comment équilibrer la sécurité nationale et le respect des libertés individuelles ? Cette affaire, loin d’être isolée, pourrait marquer un tournant dans la manière dont nous percevons la surveillance numérique. Une chose est sûre : dans un monde hyperconnecté, la protection de nos données n’a jamais été aussi cruciale.