: Grand entretien Projet Pegasus : "Peu importe sous quel drapeau on vit, on est tous visés dans cette histoire", prévient Edward Snowden

Un logiciel espion, utilisé par des États pour se renseigner sur des personnalités publiques dont des journalistes français : l'affaire, mondiale, est révélée par le consortium de journalistes Forbidden Stories, dont la cellule investigation de Radio France fait partie. Dans la foulée de ces révélations, le journaliste David Pegg, du Guardian, a interwiewé en exclusivité le lanceur d'alerte Edward Snowden lundi 19 juillet.

David Pegg : Comment avez-vous réagi en découvrant les informations révélées par le projet Pegasus ?

Edward Snowden : C'est choquant de voir leur ampleur, quelque chose comme 50 000 numéros de téléphone dans autant de pays, une dizaine je crois, dont certains qui sont particulièrement agressifs. Prenez un pays comme le Mexique : il espionne des journalistes, des membres du gouvernement, des figures de l'opposition, des militants des droits de l'homme... C'est terrible. Pour moi, cela pose question. Je suspecte depuis longtemps, bien sûr, qu'on abuse de ces capacités de surveillance. On l'a vu en 2013. Mais c'était uniquement du fait de gouvernements en interne, avec des pressions sur des entreprises commerciales. Ils avaient une forme de légitimité, de légalité, avec des procédures. Ce n'était pas suffisant, il y avait des défauts, mais il y avait quelque chose. Ce que le Projet Pegasus révèle, c'est que le groupe NSO représente un nouveau marché du malware, un business qui génère des profits.

"Ils se fichent de la loi, des règles. Ils le vendront à tout client fiable, tant qu'ils ont l'impression qu'ils s'en tireront, qu'on ne les identifiera pas."

Edward Snowden

Ils disent : "On ne sait pas pourquoi ils l'utilisent, on n'est pas responsables, on le vend, on signe le contrat. S'ils ne suivent pas les règles du contrat, ce n'est pas notre problème." Mais en même temps, ils se sont fait attraper et ont été impliqués dans d'autres scandales auparavant. Dans l'assassinat de Khashoggi, ils disent : "On n'a rien à voir avec ça. On a enquêté, et constaté que ce n'était pas nos produits qui étaient utilisés."

Mais comment est-ce possible, s'ils ne savent pas qui leurs clients visent avec leur logiciel ?

Il n'y a que deux possibilités. Soit ils savent qui est visé par leur logiciel, et ils en sont responsables, parce qu'ils le voient arriver sans rien faire, mais qu'ils peuvent savoir si Khashoggi était ou non présent dans leur base de données. Soit ils ne savent pas qui est visé, ce qui veut dire que nier leur implication est un mensonge totalement cynique. Je pense que c'est ce qui se passe ici. Toute l'industrie des logiciels intrusifs est basée sur un mensonge. Ils disent qu'ils le font pour sauver des vies, pour prévenir des crimes, mais c'est utilisé chaque jour, dans de nombreux pays différents, pour espionner des gens qui n'ont rien de cibles légitimes. C'est une industrie qui ne devrait pas exister. On voit ce que fait le groupe NSO, qui est en quelque sorte la plus connue de ces sociétés. Mais il y en a d'autres. Et si une de ces compagnies est pourrie à ce point, qu'en est-il des autres ? Ce que le Projet Pegasus révèle, c'est que c'est un secteur où l'on produit uniquement des vecteurs d'infection. Ce ne sont pas des produits de sécurité. Ils ne fournissent aucune protection. Ce ne sont pas des vaccins : tout ce qu'ils vendent, c'est le virus. Et je crois que dire qu'ils ne le vendent qu'à des gouvernements, ça n'arrange pas vraiment les choses, surtout quand on voit qui sont leurs cibles. 

Comment compareriez-vous ces révélations avec celles que vous avez faites vous-même au fil des années ?

Elles sont sans doute parmi les plus importantes. C'est le genre d'infos qu'on n'a jamais, et quand on y a accès, tout le monde a peur : "C'est trop sérieux, il ne faut pas en parler, vous allez mettre des enquêtes en péril..." Mais la manière dont le consortium travaille ensemble, en prenant les numéros et en déterminant à qui ils appartiennent, pour confirmer les identités de certains individus sans nécessairement les contacter... On y trouve des ministres, des journalistes, dans des journaux et des institutions majeurs, sur lesquels on compte.

"On soulève un coin du rideau à un niveau jamais atteint."

Edward Snowden

Vous avez déjà qualifié les smartphones "d'espions dans notre poche". Cette affaire confirme-t-elle cela ?

C'est pire, en fait. Quand je parle "d'espions dans nos poches", c'est le potentiel, la possibilité, le fait que ces choses communiquent à travers le réseau mobile, et connaissent votre localisation. C'est Facebook qui vous espionne, par exemple. Mais c'est pour des programmes commerciaux, pour des objectifs commerciaux. Ce qu'on découvre là, ce sont des gens qui ont créé une industrie dédiée au piratage de ces téléphones, qui vont au-delà de l'espionnage dont on connaissait l'existence, et qui prennent le contrôle de ces téléphones, pleinement, pour les retourner contre les gens qui les ont achetés, qui ne les possèdent plus vraiment. Le truc, c'est que tous ces téléphones sont des clones. Si vous prenez l'iPhone, ils tournent tous sous le même logiciel partout dans le monde. Donc s'ils trouvent un moyen de pirater un iPhone, ils trouvent le moyen de les pirater tous. Et non seulement ils le font, mais ils vendent cette compétence ! C'est une attaque réfléchie, intentionnelle sur des infrastructures dont nous dépendons tous. Peu importe sous quel drapeau on vit, peu importe la langue qu'on parle, on est tous visés dans cette histoire.

Un ancien rapporteur de l'ONU sur les droits de l'homme, David Kaye, dit que l'industrie de la surveillance globale est hors de contrôle. Vous pensez qu'il a raison ?

C'est une évidence. Cette idée de la surveillance pour le profit, c'est quelque chose qui a déjà existé. Des entreprises ont réussi à créer des bugs, des micros cachés, et à les vendre. Le gouvernement s'en sert, la police locale s'en sert, et s'ils doivent ensuite procéder à une fouille d'une maison, d'une voiture, d'un bureau, on se dit qu'ils auront besoin d'un mandat. Ce sont des opérations coûteuses et difficiles, donc ils ne le font que si c'est vraiment nécessaire, de manière largement proportionnée par rapport à la menace présentée par la personne sur qui ils enquêtent. Mais s'ils peuvent faire la même chose à distance, pour pas grand-chose et sans risque, ils commencent à le faire tout le temps, contre toute personne vaguement intéressante. C'est ce que montre cette liste de 50 000 personnes ciblées : on ne met pas sur écoute 50 000 maisons, il n'y a pas assez de spécialistes dans le domaine pour pouvoir le faire. Mais s'il y a juste besoin de tendre le bras vers quelque chose dans votre poche, ils peuvent le faire et ils le feront.

Pensez-vous que les gouvernements auraient la même capacité à espionner sans l'industrie de la surveillance privée ?

Tout dépend du pays concerné. Dans un pays sophistiqué, avec un marché technologique développé, bien sûr. Mais dans la plupart des pays autoritaires, comme le Kazakhstan, l'Ouzbékistan, Bahreïn, avec une société très fermée, vous ne favorisez pas ce développement technique, difficile à assurer. Mais s'il suffit de payer quelqu'un pour fournir tout ça en tant que service, là, ils peuvent faire tout ce qu'ils veulent. Ça ne coûte plus grand-chose de maintenir son pouvoir en place. Si de telles compagnies n'existaient pas, quelle serait l'alternative ? Est-ce que les gouvernements abandonneraient toute idée d'espionner, d'enquêter, de rechercher les criminels et les terroristes ? Évidemment, non. Ils embaucheraient leurs propres développeurs, ils travailleraient en interne, ils développeraient leurs propres outils. Ce serait difficile, coûteux et inefficace, mais ce serait la bonne chose à faire. Mais ce que ces gens créent, ce ne sont pas des ingénieurs, ils ne fabriquent rien d'utile.

"Ce sont des "infectionneurs". Ils créent des manières de provoquer une maladie dans nos appareils. Ils trouvent des faiblesses, des points d'entrée."

Edward Snowden

C'est comme si une industrie créait ses propres variants du coronavirus, pour contourner les vaccins. Et c'est ce qu'ils vendent, contre votre téléphone ou votre ordinateur. On ne peut pas empêcher des gouvernements de le faire, comme dans le domaine de la recherche sur les armes biologiques. Mais Dieu merci, il est interdit d'en faire commerce, et le premier venu ne peut pas acheter la meilleure version du Covid sur le marché et en faire ce qu'il veut. Or quand on évoque les appareils numériques, on ne voit pas que le risque pour la santé publique est le même. Ce que NSO a créé, ce sont des clusters dans des communautés, avec un patient zéro contaminé qui se met à infecter ses amis, ses collègues, tous les gens qu'il rencontre. Et ça ne serait jamais arrivé dans autant d'endroits, aussi facilement, au même coût, sans ses compagnies qu'on autorise à faire cela pour en tirer profit. La seule raison pour laquelle NSO fait ça, ce n'est pas pour sauver le monde. C'est pour faire de l'argent.

À quel point Pegasus est-il sophistiqué ?

Quand on regarde ce qu'il peut faire, les piratages qu'il permet... Le principal objectif de la boîte à outils de Pegasus, et c'est pareil pour tous les fournisseurs de malwares, même les non-commerciaux utilisés par des hackers pour installer des rançongiciels sur des PC autour du monde et voler leurs utilisateurs, c'est ce qu'on appelle "l'exécution du code à distance". C'est une manière de toucher un appareil sans aucune action de son utilisateur : on trouve un défaut dans le logiciel qui tourne sur ces appareils, et sans même que l'utilisateur ne fasse d'erreur ou de mauvaise manipulation, ils peuvent lancer leur propre code, leurs propres programmes, leurs propres commandes sur l'appareil visé. C'est ce que fait Pegasus. Ils ont donc rempli leur mission. La question, c'est : à quel prix pour la société ?

Qui faut-il craindre le plus : la NSA ou NSO ?

Cela renvoie à une vieille question de l'époque où j'ai fait mes révélations, en 2013. Les gens disaient : pourquoi vous préoccuper de ce que fait le gouvernement, quand des entreprises commerciales espionnent les gens de la même façon ? Ils pensaient à Facebook, Google, Amazon... Et ma réponse, c'était que, quel que soit le niveau de surveillance exercé par ces entreprises, elles ne peuvent pas vous mettre en prison. Elles ne peuvent pas tirer un missile sur votre voiture. Elles ne peuvent pas lancer une attaque de drone. Donc concentrons-nous d'abord sur le gouvernement, et ensuite on ira s'occuper des entreprises une fois le gouvernement réformé. Sauf que les gouvernements ont abandonné tout projet de se réformer, et il n'y a pas eu aucune réforme sur les pratiques de surveillance commerciale.

Et le problème, c'est qu'en presque dix ans, on a vu naître des entreprises comme le groupe NSO, dont l'activité est de faire des choses que les entreprises ne faisaient pas avant. Elles ne font pas que vendre des choses. Elles envoient des gens en prison, elles les font tuer. Elles ne le font peut-être pas directement, mais ils fournissent les outils aux gouvernements qui les utilisent dans ce but, et elles le savent. L'implication du groupe NSO dans l'assassinat de Khashoggi est indéniable, même s'ils le nient. Ils disent qu'ils n'ont pas directement visé Khashoggi, mais si vous visez la personne la plus proche de lui, vous obtenez les mêmes conversations, les mêmes informations sur ses intentions. C'est une compagnie privée qui pirate de la même manière que la NSA le ferait. Et ça devrait nous effrayer plus que tout, parce que ce n'est pas qu'une seule de ces entreprises : c'est le cas pour toutes.

À qui faut-il demander des comptes ? À l'entreprise ou aux gouvernements qui utilisent son logiciel ?

À tous. Mais il n'y a pas que la question de la responsabilité, par exemple, d'Israël ou de cette entreprise en particulier. Il devrait y avoir, selon moi, une responsabilité pénale pour toute implication dans ce marché. Il faut un moratoire global sur l'utilisation commerciale de ces outils. Il faut interdire ce commerce, supprimer la motivation du profit pour les gens qui participent à ça. Parce que le groupe NSO fermerait ses portes dès demain si ça ne leur rapportait plus rien, comme les autres compagnies de ce domaine. Mais il faut aussi se poser une question en Europe et aux États-Unis : comment se fait-il que ces entreprises rencontrent un tel succès ? Comment ont-elles pu autant s'étendre, si ce n'est parce que nos règles ont échoué ? Ces dix dernières années, l'Europe s'est dit qu'on pouvait contrôler ces choses, avec des méthodes datant de la Guerre froide, avec un contrôle des exportations. Mais ce qu'on voit, c'est un échec total à éviter l'impact public de cette industrie du malware commercial. Et si ces règles n'ont pas marché, il faut qu'on réfléchisse à des règles plus sévères.

"Le seul moyen, selon moi, de régler tout ça, c'est un moratoire global sur l'exploitation commerciale de toute technologie de ce genre."

Edward Snowden

Qu'est-ce qui doit se passer maintenant ?

Il faut qu'on arrête tout ça. L'inaction n'est plus une option. Si on ne fait rien pour arrêter le commerce de ces technologies, on ne sera plus à 50 000 mais à 50 millions de cibles, et ça va arriver bien plus vite qu'on ne l'imagine. Il faut donc arrêter ce commerce, sans pour autant abandonner la recherche, qui peut être utilisée pour rendre nos appareils plus sûrs. Mais quand ces technologies sont vendues dans un but offensif, ou même simplement vendues, c'est là qu'on fait rentrer le loup dans la bergerie.

Que peuvent faire les gens pour se protéger ?

Que peuvent faire les gens pour se protéger des armes nucléaires ? Des armes chimiques ou biologiques ? Il y a des industries, des secteurs, pour lesquels il n'y a pas de protection, et c'est pour ça qu'on essaye de limiter leur prolifération. On n'autorise pas la vente dans le commerce d'armes nucléaires, d'armes chimiques ou biologiques. Mais dans le cas de ces armes numériques, on ne fait rien ! Il faut arrêter toute vente de ces technologies intrusives. C'est la seule manière de nous protéger.