NSO avait expliqué à la commission d'enquête européenne que 12 pays comptaient parmi ses clients dans l'UE. Haaretz révèle que ce sont 22 services de sécurité au total qui exploitent Pegasus en Europe. La gendarmerie du Canada, qui n'utilise pas Pegasus mais un logiciel espion équivalent, s'en est servi sur 49 appareils depuis 2017.

La commission d'enquête du Parlement européen créée en mars pour enquêter sur l'utilisation de Pegasus et des logiciels espions de surveillance équivalents (PEGA) a appris que le groupe israélien NSO « a vendu Pegasus à 14 gouvernements dans l'UE, en utilisant des licences d'exportation délivrées par le gouvernement israélien », a expliqué sa rapporteure, Sophie in 't Veld (Renew, Pays-Bas) :

« NSO Group n'est pas le seul fournisseur, mais certainement l'un des plus grands. [...] Cette visite nous a donné de nouvelles informations, notamment sur l'inefficacité des garanties contre les abus, et a renforcé notre conviction que l'UE a besoin d'une réglementation beaucoup plus stricte de la vente, de l'achat et de l'utilisation de ces logiciels espions. »

Une délégation de 9 membres de PEGA s'étaient rendus en Israël du 18 au 20 juillet. Ils y avaient rencontré des représentants du gouvernement, de la Knesset, des experts et de la société civile, ainsi que des représentants de NSO Group « pour discuter des abus des outils de surveillance mercenaires et de leur impact sur la démocratie, l'État de droit et les droits fondamentaux dans l'UE ».

Le quotidien israélien Haaretz, relayé par le Middle East Monitor, vient de préciser que 12 contrats étaient toujours actifs, permettant à 22 agences de sécurité européennes d'utiliser Pegasus « de manière légale » pour pirater des smartphones, d'après la réponse apportée par NSO aux eurodéputés : 

« NSO a ajouté qu'il travaille actuellement avec 22 agences de sécurité, services de renseignement et autorités répressives dans 12 pays de l'UE, des contrats étant signés avec les agences et non avec les États. Cependant, la société israélienne n'a pas fourni de détails sur les pays qui ont des clients actifs et ceux qui ont cessé de travailler avec elle. »

La liste blanche israélienne était passée de 102 à 37 pays

Des sources travaillant dans la cybersécurité ont expliqué à Haaretz que NSO a mis fin aux contrats avec la Pologne et la Hongrie suite à leur retrait, l'an passé, de la liste blanche des pays vers lesquels Israël autorise l'exportation de programmes cyber offensifs.

Le ministère israélien de la Défense avait en effet réduit le nombre de pays autorisés à importer ces systèmes de 102 à 37. La nouvelle liste comprend les 25 autres pays de l'UE, ainsi que les États-Unis, le Canada, l'Islande, la Norvège, la Suisse, l’Australie, l’Inde, le Japon, la Nouvelle-Zélande et la Corée du Sud.

• Israël interdit la vente d'outils de piratage et de surveillance dans 65 pays

Cette décision faisait suite à l'ajout par le département américain du Commerce de NSO Group et de son concurrent Candiru (lui aussi israélien) à sa liste noire pour avoir « commercialisé un outil numérique mis au service de la répression de dissidents, militants et journalistes » et « participé à des activités contraires à la sécurité nationale ou aux intérêts de politique étrangère des États-Unis ». 

L'Espagne, « respectueux des lois », autorisée à utiliser Pegasus 

Outre la Pologne et la Hongrie, 63 autres pays avaient eux aussi été rayés de la liste blanche israélienne, dont le Maroc, le Mexique, l'Arabie saoudite ou les Émirats arabes unis, suspectés d'avoir abusé de ses capacités pour espionner des défenseurs des droits humains ou journalistes.

Les sources citées par Haartez ont par ailleurs confirmé que NSO travaille toujours avec l'Espagne, en dépit des révélations sur l'utilisation de Pegasus pour espionner plus de 60 membres du mouvement indépendantiste catalan, car l'Espagne est considérée comme un « État respectueux des lois ».

Le comité PEGA, composé de 38 membres, devrait soumettre un rapport final après 12 mois de travail et formuler des recommandations sur la manière de faire face aux menaces qui pèsent sur les valeurs démocratiques et les droits civils clés.

Le comité prévoit d'ici là de se rendre en Pologne et en Hongrie au second semestre 2022, et éventuellement dans d'autres pays en 2023.

Au Canada, un logiciel espion utilisé 49 fois depuis 2017

Le ministre canadien de la Sécurité publique, Marco Mendicino, a de son côté précisé lundi que la Gendarmerie royale du Canada (GRC) utilisait elle aussi des logiciels espion, mais qu'il ne s'agissait pas de Pegasus.

La GRC avait en effet reconnu, en juin, qu'elle y avait recours afin d’obtenir secrètement des données d’un cellulaire ou d’un ordinateur. Créé en 2016, le programme est géré par une « équipe d’accès secret et d’interception » (EASI) de la GRC, explique La Presse. 

Cette division est munie d’« outils d’enquête sur appareil ». Installés sur « un appareil informatique ciblé », ces outils permettent « la collecte de preuves électroniques à partir de l’appareil […] secrètement et à distance » : 

« Des officiers supérieurs de la GRC ont indiqué lundi que celle-ci avait recours à ces technologies avec parcimonie et après avoir obtenu une autorisation judiciaire, sans donner plus de détails. Ils ont confirmé que ces logiciels espions avaient été utilisés dans le cadre de 32 enquêtes impliquant 49 appareils depuis 2017. »

La CNIL canadienne appelle à un renforcement de la loi

Témoignant devant un comité parlementaire, l’ancien commissaire à la protection de la vie privée, Daniel Therrien, et son successeur, Philippe Dufresne, ont estimé que « la GRC devrait avoir l’obligation juridique d’évaluer les répercussions de ces logiciels espions sur la vie privée avant de les utiliser ».

M. Therrien a indiqué avoir été surpris d’apprendre que la GRC utilisait un tel outil d’enquête aussi intrusif depuis si longtemps, et que durant les huit années qu'il avait passé à la tête de la CNIL canadienne, la GRC ne l'avait jamais consulté quant à l'utilisation de ce type de technologies, explique La Presse : 

« Il a d’ailleurs exhorté les élus à modifier la Loi sur la protection des renseignements personnels afin d’imposer à la GRC l’obligation juridique d’évaluer les conséquences sur le respect de la vie privée de logiciels espions et de préciser les circonstances dans lesquelles ces évaluations doivent être faites. »