Un marchand d'armes de guerre électronique américain serait en pourparlers pour racheter le logiciel espion Pegasus au groupe israélien NSO. L'objectif serait d'apurer ses dettes et d'en limiter l'utilisation aux seuls alliés occidentaux de confiance des États-Unis.

Le géant américain de la guerre électronique L3Harris est en pourparlers avec le groupe NSO en vue de racheter son sulfureux logiciel espion Pegasus, révèle le site d'information spécialisé Intelligence Online : « affaibli par les sanctions américaines qui le visent, celui-ci doit toujours se restructurer ».

« Plus encore que le scandale médiatique de l'été 2021, lors duquel le logiciel Pegasus de NSO a été accusé d'avoir été utilisé contre de nombreuses cibles journalistiques et politiques, c'est le placement de l'entreprise sur la liste noire du Bureau of Industry and Security (BIS) du Département du commerce américain, en novembre, qui l'a mise à genoux et l'a conduite à la cession. »

Des pourparlers conjointement confirmés (fait suffisamment rare pour être souligné) par « un certain nombre de sources au courant de l'accord en Israël et aux États-Unis », précisent Haaretz, le Guardian et le Washington Post.

• Pegasus : 50 000 « cibles potentielles » ? 

On apprenait en effet la semaine passée qu'Israël réclamait le retrait de NSO de la liste noire du département du commerce américain. Il y avait été placé en novembre 2021 au motif qu'il commerçait avec des pays allant à l'encontre de la politique étrangère et des intérêts de sécurité nationale des États-Unis.

Intelligence Online précise en outre que NSO ferait face à « une montagne de dettes, des clients fuyants et un investisseur, Novalpina Capital, englué dans une guerre interne avec le Berkeley Research Group », la société américaine de conseil qui administre le fonds Novalpina Capital, propriétaire à 70 % de NSO Group, qui « sont à couteaux tirés devant plusieurs juridictions », explique notre confrère : 

« À Londres, les fondateurs de Novalpina ont déjà tenté en avril de démettre BRG de son rôle d'administrateur. Dans le même temps, BRG fait face à une offensive légale au Luxembourg – où sont logées la plupart des holdings de NSO – également pour l'évincer du contrôle de Novalpina. »

Ce rachat passerait par un « savant montage financier afin de convenir à toutes les parties, les officielles comme les plus discrètes », comprenant « l'affichage de l'abandon de certaines activités, ce qui permettra d'expliquer publiquement la levée du placement sur liste noire ».

L3 pourrait ouvrir en parallèle une filiale en Israël, « où seront logées les propriétés intellectuelles du groupe, Tel Aviv ne voulant pas qu'elles sortent du pays ». En échange, le géant américain épongerait les 250 millions de dettes de NSO.

Le montant de la transaction n'est pas évoqué, mais Intelligence Online estime qu' « au vu des faibles montants à engager, le deal pourrait se révéler rentable pour L3, à condition toutefois que ce dernier arrive à conserver les cybertalents du groupe », alors que nombreux l'ont déjà quitté suite aux scandales à répétition.

« À Herzliya, la "Mecque" du cyber israélien, on voit cette prise de contrôle de NSO par L3 comme une reprise en main de ces technologies par les pays de l'alliance UKUSA – dite Five Eyes (Etats-Unis, Australie, Nouvelle-Zélande, Canada et Royaume-Uni) –, actant de facto la fin de l'indépendance totale d'Israël en la matière », conclut Intelligence Online.

Les Fives Eyes, et éventuellement d'autres pays de l'OTAN

Une personne au fait des pourparlers explique au Guardian que « si un accord était conclu, il impliquerait probablement la vente des capacités de NSO à une base de clients considérablement réduite qui comprendrait le gouvernement américain, le Royaume-Uni, l'Australie, la Nouvelle-Zélande et le Canada – qui forment l'alliance de renseignement des "Five Eyes" », ainsi que les agences de renseignement européennes « et éventuellement d'autres pays de l'OTAN », précise Haaretz :

« Mais tout accord se heurte encore à des obstacles importants, notamment en exigeant la bénédiction des gouvernements américain et israélien, qui n'ont pas encore donné leur feu vert à un accord ».

« Nous sommes profondément préoccupés », déclare au Washington Post un haut responsable de la Maison Blanche, sous couvert d'anonymat en raison de la sensibilité de l'affaire.

Dans un communiqué, un haut responsable de la Maison Blanche a en effet précisé qu' « une telle transaction, si elle devait avoir lieu, soulève de graves problèmes de contre-espionnage et de sécurité pour le gouvernement américain », mais également que la Maison Blanche n'avait été impliquée « d'aucune façon dans cette transaction potentielle signalée ».

« L'accord n'est pas encore finalisé et doit encore être approuvé par Israël, les États-Unis et le conseil d'administration de L3Harris », précise cela dit Haaretz.

Le haut responsable rappelle en outre que le gouvernement américain « s'oppose aux efforts des entreprises étrangères pour contourner les mesures ou sanctions américaines de contrôle des exportations, y compris le placement sur la liste des entités du département américain du Commerce pour les cyberactivités malveillantes ».

Dès lors, un éventuel rachat de NSO par L3Harris ne la supprimerait pas automatiquement de la liste noire, et susciterait même, au vu du caractère particulièrement sensible du marchand d'armes de guerre électronique américain, « un examen approfondi pour déterminer si la transaction constitue une menace de contre-espionnage pour le gouvernement américain, ses systèmes et ses informations, si d'autres actions américaines détenues par l'entrepreneur de défense peuvent être en danger, dans quelle mesure une entité ou un gouvernement étranger conserve un certain degré d'accès ou de contrôle, et les implications plus larges en matière de droits de l'homme ».

Une foule d'autres questions non résolues à ce stade

« Une foule d'autres questions restent également ouvertes, telles que le prix de vente, la structure de la transaction et l'endroit où la technologie sera hébergée », ont déclaré au Washington Post des personnes familières des discussions en cours.

Reste aussi la question « non résolue de savoir si Israël serait autorisé à continuer à utiliser la technologie en tant que client », souligne le Guardian : 

« Tout accord se heurterait également à des obstacles en Israël. Une hypothèse dans l'industrie cybernétique israélienne est qu'il faudrait que la surveillance de la technologie fabriquée en Israël reste en Israël, et que tout le développement de Pegasus et du personnel reste en Israël. »

Le secteur israélien de la cybernétique part en effet du principe que, « dans le cadre de tout accord futur, NSO ou sa technologie resteront en Israël d'une manière ou d'une autre, et que les organismes de défense israéliens y auront accès ou seront au moins ses clients », explique Haaretz.

Les ventes à l'export de NSO sont en effet régulées, contrôlées et encadrées par le ministère israélien de la Défense. Or, précise le Washington Post, « Israël, bien qu'il soit un partenaire proche des États-Unis, ne fait pas partie du cercle de confiance des alliés du renseignement occidental, qui comprend la Grande-Bretagne, l'Australie, le Canada et la Nouvelle-Zélande ».

De plus, « l'administration Biden cherche à contrer la prolifération d'outils de piratage tels que Pegasus », explique le responsable de la Maison Blanche au Washington Post : 

« Le Conseil national de sécurité est en train d'élaborer une interdiction pour le gouvernement américain d'acheter ou d'utiliser des logiciels espions commerciaux étrangers qui présentent des risques pour le contre-espionnage et la sécurité ou qui ont été utilisés de manière inappropriée à l'étranger. »

Le Conseil a de fait retweeté l'article du Washington Post : 

Another surprise: @NCSCgov tweeting reports of WH counterintelligence concerns over an NSO @L3HarrisTech acquisition.👇

Signals of official disapproval are hard to miss. https://t.co/Is6HYuSp4U

— John Scott-Railton (@jsrailton) June 14, 2022

Un logiciel réservé aux policiers américains ?

L'entreprise fait en outre l'objet de plaintes devant les tribunaux américains. WhatsApp (qui appartient à Facebook) estime que le logiciel espion de NSO aurait été utilisé sur plus de 1 400 personnes réparties dans une vingtaine de pays. Des personnes du monde civil et présentant des profils particuliers : journalistes, activistes variés, défenseurs des droits de l’homme, etc.

Apple demande de son côté « une injonction permanente pour interdire à NSO Group d'utiliser tout logiciel, service ou appareil Apple », après avoir découvert qu'il avait ciblé des militants des droits humains, et même des fonctionnaires américains. Ce, alors qu'Israël et NSO s'étaient engagés à bloquer toute surveillance de numéros de téléphone états-uniens (les fonctionnaires utilisaient des numéros ougandais).

L3Harris, basée en Floride et qui réalise un chiffre d'affaires annuel d'environ 18 milliards de dollars, compte le FBI et l'OTAN au nombre de ses clients, et possède notamment le fabricant d'IMSI Catchers Stingray.

Mais John Scott-Railton, chercheur au Citizen Lab de la Munk School de l'Université de Toronto et spécialiste des logiciels espion, doute que les services de renseignement d'élite comme la CIA, la NSA et le GCHQ britannique puissent faire confiance à NSO pour leurs opérations les plus sensibles, et qu' « elle serait donc plus probablement vendue aux autorités locales » : 

« Je crains que les consommateurs logiques ne soient les services de police américains. Il s'agirait d'une menace sans précédent pour nos libertés civiles. »

« Tous les regards sont tournés vers NSO en ce moment. Si la Maison Blanche n'empêche pas cette transaction, beaucoup en concluront que l'administration est faible en matière d'application de la loi, ou qu'elle est cynique et a aidé une société américaine à acquérir NSO à un prix bradé parce qu'elle a été sanctionnée », précise-t-il, ajoutant qu'une telle transaction montrerait que les sanctions américaines ne seraient pas efficaces, tout en encourageant davantage d'investissements dans « l'espace de piratage mercenaire ».

Core fear: an @L3HarrisTech acquisition means #Pegasus pushed to police depts.

Even w/US owner, CIA/NSA/FVEY probably won't trust NSO tech for sensitive ops.

Tons of counterintelligence risk.

So, who can @L3HarrisTech sell to?

Same folks that bought their stingrays: cops. https://t.co/hsdlHGSffc

— John Scott-Railton (@jsrailton) June 14, 2022

NSO ne peut pas vendre ses logiciels d'espionnage directement au gouvernement américain, analyse Jennifer Granick, avocate à l'ACLU : « elle essaie donc de passer par la porte arrière en se faisant racheter par une société d'espionnage qui commerce avec les forces de l'ordre américaines ».

« NSO Group ne devrait pas être récompensé pour sa facilitation des violations des droits de l'homme et ses pratiques commerciales dangereuses par une offre lucrative d'un entrepreneur de la défense américaine », déplore Natalia Krapiva, conseillère technique et juridique de l'ONG Access Now : 

« Si l'administration Biden permet à cet accord d'aller de l'avant, non seulement elle mettrait en danger la sécurité nationale des États-Unis, mais elle saperait aussi directement le programme du président Biden en faveur de la démocratie. »

L'ONG rappelle en effet que « tout récemment, lors du Sommet pour la démocratie organisé par les États-Unis, l'administration Biden a annoncé le lancement de l'Initiative sur les contrôles à l'exportation et les droits de l'homme – un plan attendu depuis longtemps pour que les États-Unis et leurs alliés mettent en place des contrôles à l'exportation fondés sur les droits de l'homme "afin de freiner la prolifération des technologies utilisées à mauvais escient par les gouvernements à des fins de répression" ».