Pegasus n'aurait pas été utilisé sans contrôle judiciaire par la police israélienne pour surveiller des responsables politiques, d'après les conclusions provisoires d'une commission d'enquête. NSO en profite pour attaquer en diffamation le média auteur de ces révélations. Il en va aussi de sa survie financière, ses fondateurs israéliens s'opposant à un fonds d'investissement américain.

NSO a porté plainte pour diffamation contre le quotidien israélien Calcalist, pour une série d’articles qui alléguait que la police israélienne avait utilisé illégalement les logiciels espions de la société contre des militants, des journalistes et des représentants du gouvernement sans contrôle judiciaire, rapporte The Times of Israel.

Ces révélations avaient déclenché un tollé en Israël et entraîné la création de plusieurs commissions d’enquête. Calcalist avançait que Pegasus, le logiciel espion du marchand d'armes de surveillance israélien NSO, aurait été utilisé par la police israélienne, sans mandat ni approbation judiciaire, pour espionner certains des plus hauts responsables de l'ancien gouvernement israélien, soupçonnés d'informer des journalistes.

• NSO : le scandale Pegasus atteint les plus hautes sphères de l'État israélien

Les avocats de NSO estiment que le reportage de Calcalist ne faisait pas partie d’une « enquête journalistique mais d’un reportage unilatéral, biaisé et faux qui a été rendu public dans des circonstances qui soulèvent de réelles inquiétudes quant à son objectif ».

L’accusation visait un rapport publié mardi dernier par Calcalist disant que NSO offre à ses clients un moyen de brouiller les pistes, en supprimant ou en modifiant les historiques sur les téléphones portables compromis. L’article, précise The Times of Israel, aurait depuis été retiré du site Calcalist après que NSO ait envoyé une lettre d’avertissement.

NSO n'a jamais piraté les téléphones de 23 des 26 personnes mentionnées

La semaine passée, l'AFP relevait de son côté que les conclusions intermédiaires d'une enquête du ministère de la Justice israélien n'avait trouvé aucune preuve soutenant les accusations de Calcalist : « il n’y a aucune indication laissant penser que la police israélienne a utilisé Pegasus sans ordonnance préalable d’un tribunal pour pirater les téléphones » de toutes les personnes qui avaient été citées dans le reportage.

Le New York Times précise que les enquêteurs de la police n'avaient jamais piraté les téléphones de 23 des 26 personnes mentionnées dans les enquêtes de Calcalist, et qu'ils avaient obtenu l'approbation du tribunal pour cibler les trois autres, dont une seule a été infiltrée avec succès.

Un communiqué du ministère de la Justice souligne que l’enquête n’avait pas permis de prouver qu’il y avait eu des tentatives manquées d’utiliser Pegasus sans supervision judiciaire, et qu’elle n’avait pas permis non plus d’établir que des logiciels similaires avaient pu être utilisés par la police de logiciels similaires pour surveiller les individus cités : 

« Selon les informations fournies à l'équipe, il y a eu des ordres d'écoutes téléphoniques concernant trois des personnes qui figuraient sur la liste, dont deux selon les conclusions de l'équipe ont effectivement fait l'objet d'une tentative d'infection, et seulement environ l'une des deux pour lesquels l'ordre d'infection a réussi. »

Dirigée par le procureur général adjoint, Amit Marari, l'équipe d'enquête gouvernementale comprenait des experts en technologie du Shin Bet, l'agence de renseignement intérieure d'Israël, et du Mossad, son agence d'espionnage étrangère.

Les membres de l'équipe sont parvenus à leurs conclusions en accédant à des journaux détaillant la manière dont les agents ont utilisé les logiciels espions. Les enquêteurs ont vérifié leur travail et confirmé qu'il était impossible de modifier les journaux sans laisser de trace numérique : 

« Selon les informations fournies par le NSO, la police n'a pas accès à la base de données interne du système et son seul accès au système se fait via l'interface utilisateur. Par conséquent, les données sur lesquelles s'appuie le test ne sont pas sujettes aux modifications de l'interface utilisateur. »

L'un des plus gros échecs médiatiques israéliens

Le rapport de Calcalist a été « l'un des plus gros échecs médiatiques en Israël depuis la création de l'État », écrit Mordechai Gilat, journaliste d'investigation chevronné et chroniqueur pour Haaretz, un journal rival :

« Le scandale s'aggrave lorsque vous découvrez que le journal n'a même pas essayé de faire ses devoirs. Il n'a pas parlé au chef du département de détective de la police au cours des cinq dernières années, il n'a pas posé de questions, il n'a pas demandé d'explications à Alsheich, l'ancien commissaire de police. Il n'a même pas essayé d'atteindre la vérité. »

Le chroniqueur reproche également à Calcalist d'avoir opté pour une stratégie du cheval blanc, en cherchant à cacher ses errements derrière le combat légitime contre la prolifération des logiciels espion :

« Lorsque Calcalist s'est rendu compte que les conclusions de l'enquête de la police et du parquet étaient susceptibles de nuire à la crédibilité du journal, lorsqu'il s'est rendu compte que son château de cartes risquait de s'effondrer, il a préparé sa ligne de défense : "La dénonciation de l'utilisation des logiciels espions a une grande importance publique", écrit-il, comme pour dire que son rapport d'enquête a conduit à un débat public sur l'utilisation de logiciels espions invasifs, ce qui justifie la publication de l'histoire. »

Calcalist dit vouloir réexaminer ses précédentes révélations

Dans plusieurs articles et tweets publiés ces derniers jours, le journaliste qui a mené les enquêtes de Calcalist, Tomer Ganon, a maintenu à plusieurs reprises ses conclusions, mais précisé qu'il ne pouvait pas encore fournir de preuves de peur de nuire à ses sources :

« J'ai juré à mes sources : je vous protégerai jusqu'à ce que *toute* la vérité soit révélée. J'ai promis : je ferai de mon mieux pour ne pas finir comme Liora Glatt Berkowitz, Anat Kam ou Edward Snowden. Je me suis engagé : Protégez tout ce qui vous est cher - liberté, famille, carrière - parce que vous avez choisi de ne pas garder le silence et de révéler la vérité. J'ai risqué ma réputation non pas à cause de mon innocence. Juste parce que j'ai vérifié les faits. »

Dans un autre tweet, il écrivait que « La voie de la vérité, presque toujours, ne doit pas être révélée immédiatement » :

« Cela prend du temps et de la patience, pas exactement un trait israélien, jusqu'à ce que tous les faits soient pleinement révélés et que l'image soit révélée. Je connais toute la vérité. Toi aussi tu le sauras un jour. Donc, un rappel de la prochaine fois que le squealer de service gazouille ici ou vient dans les studios pour essayer de tatouer les conclusions de l'enquête "Calcalist". »

En réponse aux investigations, un communiqué de Calcalist a fait savoir que ces conclusions préliminaires « doivent être prises en considération avec sérieux et elles nécessitent un réexamen des conclusions et des accusations que nous avons publiées ».

Une telle enquête est actuellement en cours, a précisé le journal, qui a ajouté que « quand elle sera terminée, nous n’hésiterons pas à apporter toutes les corrections nécessaires ».

Le quotidien maintient cela dit une partie de ses accusations, à mesure que « le rapport intermédiaire confirme totalement les révélations de Calcalist, selon lesquelles la police utilise des logiciels espions offensifs super-invasifs pour espionner les téléphones de civils. Il mentionne également un autre logiciel espion, autre que celui de NSO (dont le nom n'est pas mentionné), qui a également été utilisé par la police à cette fin. »

NSO a refusé de vendre son produit à 90 pays 

Dans une tribune publiée dans le Wall Street Journal, Shalev Hulio, co-fondateur et PDG de NSO, se plaint de son côté de voir son entreprise être critiquée depuis des années « par des titres irresponsables et des rapports inexacts, incomplets et non fondés », et avance que « bon nombre de ces allégations sont fausses et certaines sont contractuellement et techniquement impossibles » :

« L'allégation selon laquelle nos produits ont été utilisés sur le président Emmanuel Macron, Jeff Bezos et Jamal Khashoggi est fausse. (...) Tout cela fait partie d'une campagne bien orchestrée par des organisations partisanes qui utilisent des sources politiquement motivées pour produire des "rapports" conçus pour faire honte à nos employés et mettre NSO, et toute la cyber-industrie israélienne, en faillite. »

• Pegasus : 50 000 « cibles potentielles » ?

Hulio, qui se targue d'avoir coopéré à plusieurs reprises avec des enquêtes gouvernementales, affirme pour sa défense que NSO fut « la première société de cyberintelligence réglementée et la première à adopter les Principes directeurs des Nations Unies pour le maintien des droits de l'homme » :

« C'était la première entreprise à résilier des contrats une fois que des soupçons d'utilisation abusive de ses technologies étaient apparus, même lorsque cela signifiait perdre des dizaines de millions de dollars. Pegasus n'est vendu qu'à des agences approuvées de gouvernements alliés aux États-Unis et à Israël, et NSO a refusé de vendre son produit à quelque 90 pays en raison de préoccupations relatives aux droits de l'homme. »

Il rappelle en outre qu'« il n'existe actuellement aucune alternative pour collecter des preuves précieuses à partir des messageries chiffrées » :

« Nous ne pouvons pas laisser les forces de l'ordre aveugles et incapables de lutter contre le crime. Ces défis nécessitent les solutions du 21e siècle fournies par NSO. »

À qui vendre Pegasus pour maintenir les comptes de NSO à flot ?

La publication de ce plaidoyer dans le WSJ est aussi une affaire de survie pour l'entreprise, et de gros sous pour ses investisseurs. Un enquête de l'AFP révèle en effet qu'avant même les révélations d'espionnage, contestées par NSO, « la société avait accumulé une dette importante, qui suscite un vif débat entre actionnaires et créanciers : à qui vendre le logiciel Pegasus pour maintenir les comptes à flot ? »

L’AFP a épluché des centaines de pages de documents en hébreu et en anglais présentés à un tribunal de Tel-Aviv dans le cadre d’une querelle judiciaire opposant des créanciers de l’entreprise, dont l’identité n’a pas été dévoilée, à Berkeley Research Group (BRG), firme américaine de management qui gère la majorité des parts du groupe.

Ces documents indiquent notamment que les créanciers de NSO ne s’opposent pas à ce que le groupe continue de vendre son logiciel Pegasus à des pays dits « à risque élevé » en raison de leur bilan en matière de respect des droits humains, pour éviter de perdre de l’argent.

Mais BRG demande, pour sa part, de mettre fin sans délai à certains contrats, en insistant sur la priorité pour NSO de sortir de la liste noire américaine des entreprises menaçant la sécurité d’Etat sur laquelle elle a été placée en novembre dernier.

Les avocats des créanciers de NSO soutiennent de leur côté qu’en insistant pour vendre uniquement le logiciel Pegasus à des démocraties, BRG « empêche l’entreprise d’avoir de nouveaux clients ».

BRG veut que « nous cessions certaines activités avec certains clients », a déclaré à l’AFP une source proche de NSO sous couvert d’anonymat. « Nous avons des obligations légales et nous ne pouvons pas (mettre fin à ces contrats) à moins que les clients détournent le logiciel de son usage premier », soit la lutte contre le terrorisme et la criminalité, souligne cette source.

Mais une source au sein de l’équipe de juristes de BRG réitère plutôt que NSO doit axer sa stratégie sur la vente de Pegasus à des pays plus fréquentables: « S’ils veulent vendre leur logiciel à des démocraties, je crois que personne ne va les en empêcher ».

Un porte-parole de NSO a de son côté affirmé à l’AFP que l’entreprise avait mis fin à « plusieurs contrats » et renoncé à des opportunités commerciales « de plus de 300 millions de dollars » en raison d’une « rigoureuse » procédure interne d’évaluation du respect des droits humains des clients.

Un rachat au bénéfice des Five Eyes ?

Cette bataille judiciaire trouve aussi son origine du côté du montage financier de l'entreprise, et des emprunts colossaux qu'avaient effectués ses dirigeants.

La valeur de NSO frolait en effet le milliard de dollars en 2019 lorsque ses cofondateurs, Shalev Hulio et Omri Lavie, s’étaient associés à la firme britannique Novalpina pour racheter le groupe au fonds d’investissement californien Francisco Partners.

Pour financer cette opération, la maison-mère de NSO avait dû emprunter 500 millions de dollars. « A l’époque, la dette était importante », souligne l'AFP. « Mais les recettes aussi : environ 250 millions de dollars en 2018 pour une société de surcroît en plein essor ».

Or, dans la foulée des révélations en cascade de l’affaire Pegasus, NSO a vu aussi sa note de crédit abaissée par l’agence Moody’s estimant que de nouveaux contrats « pourraient devenir de plus en plus difficiles en raison des mesures prises contre NSO ».

Peu après le scandale, BRG avait repris à Novalpina la gestion de la majorité des parts du groupe. Ce pourquoi les créanciers s’opposent aujourd’hui à BRG sur la stratégie à mettre en œuvre pour renflouer la dette du groupe.

Dans une lettre datant de décembre, et figurant dans les dossiers consultés par l'AFP, les avocats des créanciers disent comprendre le « besoin d’être prudent en raison de l’attention mondiale » portée au logiciel Pegasus, mais estiment que l’approche de BRG a « aggravé la crise de liquidités » du groupe.

Les avocats de BRG ont contre-argumenté en accusant les créanciers de demander à la société « de donner son feu vert aveuglément » à la vente de Pegasus à des régimes non démocratiques.

En janvier, la société américaine Integrity Labs a proposé d’injecter 300 millions dans l’entreprise, de redorer son image en limitant ses ventes au « Five Eyes », regroupement de cinq pays (Etats-Unis, Grande-Bretagne, Canada, Australie, Nouvelle-Zélande) qui partagent leur renseignements stratégiques.

« Il s’agit d’une des options sur la table », a confié à l’AFP la source proche de NSO.