Un politicien européen enquêtant sur Pegasus victime d’un piratage de son téléphone

Des chercheurs en sécurité ont confirmé que Stelios Kouloglou, journaliste grec et ancien homme politique, a vu son téléphone piraté par le spyware Pegasus alors qu’il siégeait au sein d’une commission d’enquête européenne sur les abus liés à cet outil de surveillance. Cette révélation relance la controverse autour de l’utilisation de logiciels espions par des gouvernements pour surveiller leurs détracteurs.

Les experts du Citizen Lab, unité spécialisée en droits numériques de l’Université de Toronto, précisent que cet incident, survenu en 2022 et 2023, constitue la première identification publique d’un membre du comité PEGA du Parlement européen, chargé d’enquêter sur les attaques par spyware, en tant que victime de ce type de piratage.

Lors d’un entretien téléphonique avec TechCrunch, Kouloglou a qualifié cette compromission délibérée de son téléphone de « irresponsable ». Un député européen en exercice a dénoncé cette intrusion comme une « attaque directe contre l’État de droit » et a appelé la Commission européenne à imposer des restrictions strictes à l’emploi de logiciels espions dans l’ensemble des 27 États membres.

Bien que les attaques par spyware visant des parlementaires soient rares, le fait que l’enquêteur d’une commission soit ciblé par l’outil même qu’il examine témoigne d’une surveillance intense des travaux internes de cette commission, avant la publication d’un rapport attendu sur ses conclusions. Ces piratages soulèvent de nouvelles interrogations sur l’usage des logiciels espions, officiellement destinés à la lutte contre la criminalité grave, mais qui sont interceptés en train d’espionner journalistes, élus et opposants.

Les chercheurs du Citizen Lab n’ont pas attribué l’attaque à un pays précis, mais ont indiqué que le client gouvernemental utilisait la même adresse email porteuse de Pegasus que lors d’une précédente campagne ciblant des journalistes en Europe. L’identité de ce client demeure inconnue, mais la réutilisation de cette adresse suggère que le commanditaire bénéficiait de l’autorisation du groupe NSO pour exploiter Pegasus dans plusieurs pays européens.

Un porte-parole de la Commission européenne n’a pas répondu à la demande de commentaire de TechCrunch. Le groupe NSO n’a pas non plus réagi avant la publication du rapport du Citizen Lab.

Selon ce rapport publié vendredi, Kouloglou a été piraté en octobre 2022 puis au moins à deux reprises en mars 2023 via une faille exploitée dans le logiciel des iPhones d’Apple. Cette vulnérabilité avait été corrigée, mais le correctif n’avait pas encore été installé sur le téléphone de Kouloglou. L’exploitation de ce bug, qualifié de « zero-click », signifie que le spyware s’est introduit et a dérobé des données sans aucune interaction de la victime.

Ce défaut provenait d’une faille découverte dans le logiciel domotique d’Apple utilisé sur les iPhones. Il a permis au spyware de récupérer des données privées telles que les messages textes, les correspondances, la localisation et les photos de Kouloglou à son insu.

Le piratage d’octobre 2022 coïncide avec des échanges intenses par emails et SMS en octobre et novembre 2022, en amont de la remise d’un premier projet de rapport sur les abus de spyware dans plusieurs pays, dont Chypre, la Grèce, la Hongrie, la Pologne et l’Espagne.

Cette intrusion s’est produite alors que Kouloglou était hospitalisé pour une opération programmée, ce qui aurait pu permettre aux opérateurs du spyware d’écouter des conversations ambiantes liées à ses soins ou à ses échanges avec des visiteurs.

Quelques mois plus tard, les 6 et 7 mars, le Citizen Lab rapporte une nouvelle intrusion sur le téléphone de Kouloglou par le même opérateur Pegasus, alors que ce dernier se déplaçait d’Athènes à Bruxelles, à l’occasion d’auditions du comité, quelques mois avant la finalisation du rapport écrit.

Lors de son entretien avec TechCrunch, Kouloglou a déclaré ignorer les raisons précises de sa mise sur écoute, mais il estime que cela est lié à son rôle au sein de la commission du Parlement européen enquêtant sur les abus de Pegasus.

Il a exprimé sa colère en apprenant que son téléphone avait été piraté. « On se rend compte que toutes vos données personnelles ont été prises — pas seulement les échanges professionnels ou les messages avec des ministres — mais aussi les moments très privés, les instants heureux comme les moments tristes », a-t-il confié.

Kouloglou envisage de poursuivre en justice le groupe NSO, fabricant israélien du spyware. Ce dernier est largement interdit aux États-Unis depuis un décret présidentiel de l’ère Biden interdisant l’usage gouvernemental de logiciels espions susceptibles de violer les droits humains.

L’année dernière, le groupe NSO a confirmé qu’un groupe d’investisseurs américains non nommé avait injecté plusieurs dizaines de millions de dollars dans la société, probablement dans le but de redorer son image entachée par des accusations d’abus des droits humains.

Kouloglou a indiqué qu’il rendait publique son histoire « pour la démocratie, les droits humains et la lutte contre la corruption ». « La corruption concerne tout le monde », a-t-il ajouté.