L’Italie clot ses contrats Paragon et reconnaît l’usage de ses logiciels espion

En décembre 2024, la messagerie WhatsApp avait identifié une campagne de piratage de son application ayant visé 90 utilisateurs via le logiciel espion Graphite de la société israélienne Paragon, concurrent direct du Pegasus de NSO.

Si la liste des personnes ciblées n'avaient pas été rendues publiques, The Guardian avait relevé qu'y figurait un journaliste d'investigation italien de Fanpage.it, Francesco Cancellato.

• 90 personnes visées par un logiciel espion de la société Paragon via Whatsapp

Ce dernier avait notamment enquêté sur de jeunes militants du parti d'extrême droite de la première ministre Giorgia Meloni, et révélé qu'en privé, certains tenaient des propos racistes et scandaient des chants et des slogans fascistes.

La semaine passée, la Commission parlementaire pour la sécurité de la République (COPASIR), chargée d'enquêter à ce sujet, a conclu qu'il n'y avait aucune preuve que M. Cancellato avait été la cible des deux services de renseignement italiens, l'AISI et l'AISE, mais confirmé qu'ils étaient bien clients de Paragon, relève TechCrunch, qui couvre l'affaire depuis le début.

Les représentants de la commission n'ont pas retrouvé le numéro de téléphone de M. Cancellato dans la base de données des logiciels espions et les journaux d'audit des services de renseignement italiens. Ils n'ont pas non plus trouvé de preuve de demandes légales d'espionnage de M. Cancellato émanant du bureau du procureur général du pays ou du Dipartimento delle informazioni per la sicurezza (DIS), un département du gouvernement italien qui supervise les activités de l'AISE et de l'AISI.

Le rapport note en outre que Paragon a plusieurs autres clients gouvernementaux étrangers qui pourraient potentiellement cibler des Italiens, ce qui pourrait expliquer que le téléphone du journaliste ait été ciblé, mais sans non plus fournir de preuve à l'appui de cette hypothèse.

En février, le Citizen Lab de l'Université de Toronto avait de son côté pu cartographier l'infrastructure serveur du logiciel espion Graphite, et identifié des indices de son déploiement en Australie, au Canada, à Chypre, au Danemark, en Israël et à Singapour.

• Paragon : le Canada, l’Australie et le Danemark, probables clients du logiciel espion

TechCrunch relevait fin avril que Ciro Pellegrino, un collègue de Francesco Cancellato, avait de son côté reçu un message d'Apple l'informant qu'il aurait, lui aussi, été visé par un logiciel espion gouvernemental. Mais le rapport de la COPASIR ne mentionne pas son cas.

Des ONG d'aide et secours aux migrants en danger

La COPASIR a par contre confirmé que d'autres victimes du logiciel espion de Paragon avaient été ciblées légalement, notamment Luca Casarini et Beppe Caccia, qui travaillent pour l'organisation à but non lucratif italienne Mediterranea Saving Humans, qui vient en aide aux migrants qui tentent de traverser la mer Méditerranée, et David Yambio, président et cofondateur de Refugees in Libya, une ONG qui documente les violences et mauvais traitements dont sont victimes les réfugiés.

La commission a d'autre part conclu qu'il n'y avait aucune preuve de surveillance à l'encontre de Mattia Ferrari, un prêtre travaillant également sur le navire de sauvetage Mediterranea Saving Humans, et qui avait pourtant lui aussi reçu une notification de la part de WhatsApp.

D'après la COPASIR, l'AISE, le service de renseignement extérieur italien, avait commencé à utiliser Graphite le 23 janvier 2024 après avoir signé un contrat un mois plus tôt, et utilisé le logiciel espion de Paragon dans le but d'enquêter sur « l'immigration illégale, la recherche de fugitifs, la contrebande de carburants, le contre-espionnage, la lutte contre le terrorisme et le crime organisé, ainsi que pour les activités de sécurité interne de l'agence elle-même ».

L'AISI, le service italien de renseignement intérieur, avait de son côté commencé à utiliser Graphite plus tôt en 2023. Comme l'AISE, l'AISI aurait utilisé Graphite dans un nombre restreint mais non divulgué de cas liés à l'acquisition de communications en temps réel, tandis que les cas sont « un peu plus nombreux » lorsqu'il s'agit d'exfiltrer des messages de chat stockés sur les appareils d'une cible, relevait TechCrunch.

Paragon annule son contrat avec l'Italie, qui parle d'une décision conjointe

Dans un communiqué, relayé par Haaretz puis TechCrunch, Paragon vient par ailleurs d'accuser le gouvernement italien d'avoir refusé son aide en vue de déterminer si un journaliste avait bien été espionné au moyen de sa technologie :

« La société a proposé au gouvernement et au parlement italiens un moyen de déterminer si son système avait été utilisé contre le journaliste en violation de la loi italienne et des conditions contractuelles. Les autorités italiennes ayant choisi de ne pas donner suite à cette solution, Paragon a mis fin à ses contrats en Italie. »

Quelques heures après la publication de l'article de Haaretz, le gouvernement italien a rétorqué que « Paragon n'a pas résilié unilatéralement le contrat », souligne l'Agenzia Nazionale Stampa Associata (ANSA), la principale agence de presse italienne.

Elle précise que les agences de renseignement et Paragon Solutions « ont décidé d'un commun accord de suspendre l'utilisation du logiciel espion Graphite », le 14 février dernier. Puis, le 12 avril, les mêmes ont signé un second document « concluant les relations commerciales entre les parties, sans autres demandes ni tâches ».

Le DIS n'a pas « considéré comme acceptable la proposition de Paragon d'effectuer une vérification des journaux système des plateformes Graphite utilisées à l'AISE et l'AISI, en tant que pratiques invasives, non vérifiables dans leur portée, leurs résultats et leur méthode et, par conséquent, non conformes aux besoins de sécurité nationale », précise ANSA.

La COPASIR s'est elle aussi déclarée surprise par la déclaration de Paragon, note ANSA, et indiqué qu'elle était disposée à déclassifier le contenu de l'audience qu'elle a tenue avec les représentants de Paragon le 9 avril pour défendre son travail dans le cadre de l'enquête.

Paragon avait été racheté par un fonds état-unien fin 2024

Paragon a été créé en 2019 par des vétérans de l'unité 8200, le service de renseignement technique israélien, considéré comme l'un des meilleurs au monde, et l'ancien premier ministre Ehud Barak. Il avait été racheté en décembre dernier par le géant américain du capital-investissement AE Industrial Partners pour 500 millions de dollars.

En fonction de la croissance de l'entreprise, l'opération pourrait atteindre 900 millions de dollars, d'après le site d'information Calcalist. Un retour sur investissement qualifié d'« exceptionnel », alors que Paragon n'avait levé, jusque là, que 30 millions de dollars.

Selon Globes, le paiement initial s'élève à 450 millions de dollars, dont 20 % iront aux 400 employés de Paragon et 30 % aux cinq cofondateurs, les 50 % restants allant au fonds de capital-risque américain Battery Ventures (qui avait investi entre 5 et 10 millions de dollars dans Paragon en 2021) et au fonds de capital-risque israélien Red Dot.

Contrairement à d'autres entreprises israéliennes spécialisées dans les cyberattaques, telles que NSO et Candiru, soulignait Globes, Paragon Solutions avait dès le départ bénéficié d'investissements états-uniens, afin de n'opérer que dans 34 pays définis comme démocratiques, en coordination avec les autorités chargées de la sécurité et les systèmes juridiques locaux.

De plus, et contrairement ses concurrents, son logiciel espion Graphite ne prendrait pas de photos de l'utilisateur avec le capteur de son téléphone, et n'utiliserait pas le microphone du téléphone, se bornant à n'enregistrer que les conversations vocales dans les applications de chat.

En outre, relevait Calcalist, Paragon figurait sur la liste des « bonnes » entreprises établie par l'administration Biden, parce qu'elles s'abstiennent de commercer avec des régimes non démocratiques, ce qui aurait joué un rôle essentiel dans la sécurisation de la transaction et l'entrée de Paragon sur le marché états-unien.

La société avait également commencé à vendre ses produits aux États-Unis il y a environ deux ans et compte parmi ses clients la Drug Enforcement Administration (DEA) et les autorités de sécurité de Singapour, où elle a remplacé les technologies de sociétés israéliennes figurant sur la liste noire des États-Unis.

Globes estimait que ce nouvel accord permettrait à Paragon d'étendre son empreinte commerciale dans des pays tels que le Royaume-Uni et l'Irlande, l'Australie, la Nouvelle-Zélande et le Canada, ainsi que les États-Unis.