Projet Pegasus : Apple défend la sécurité de ses iPhone

Le Projet Pegasus n’en finit plus de faire couler de l’encre, et alors que des journalistes, des avocats, des lanceurs d’alertes et des personnalités politiques envisagent de porter plainte contre la société derrière ce spyware, mais aussi ceux qui ont mis en place ce système d’espionnage, d’autres voix s’élèvent contre la faiblesse de la sécurité des iPhone.

Pour espionner leurs cibles, les pirates ont utilisé la faille Kismet qui permet de piéger des iPhone par l’envoi d’un simple iMessage. Une fois que le destinataire reçoit le message et l’affiche, sans même cliquer dessus, cela déclenche l’installation du logiciel espion. C’est ce qu’on appelle une faille de type « zero-click », et iOS en a souffert avant qu’Apple ne la corrige avec iOS 14.

Le problème — et c’est l’habituel jeu du chat et la souris entre les hackers et Apple –, c’est que la société israélienne NSO Group s’est adaptée aux correctifs d’Apple et a utilisé d’autres services pour ouvrir des brèches. Avant, il y avait eu Apple Photos, puis après le patch pour corriger iMessage, il y a eu Apple Music. Résultat, selon le rapport d’Amnesty International, la faille fonctionne encore contre les iPhone et les iPad sous iOS 14.6, mais aussi les versions 14.3 et iOS 14.4. En clair, les attaques sont toujours possibles.

Lundi, à la suite de ce scandale sans précédent, Apple s’est défendu dans le Washington Post, par la voix d’Ivan Krstić, responsable de l’ingénierie et de la sécurité. Après avoir « condamné sans équivoque les cyberattaques contre les journalistes, les militants des droits de l’Homme et les autres personnes qui cherchent à rendre le monde meilleur », ce dirigeant affirme que  « Apple est à la pointe de l’innovation en matière de sécurité et, par conséquent, les chercheurs en sécurité s’accordent à dire que l’iPhone est l’appareil mobile grand public le plus sûr du marché ».

Selon lui, « les attaques comme celles décrites sont très sophistiquées, leur développement coûte des millions de dollars, leur durée de vie est souvent courte et elles sont utilisées pour cibler des personnes spécifiques ». Pour Apple, ces attaques « ne constituent pas une menace pour l’écrasante majorité » des utilisateurs d’iPhone.

Qu’en est-il d’Android ? Le système d’exploitation de Google n’est pas épargné par ce logiciel espion et des milliers de cibles utilisaient un smartphone sous Android, essentiellement des modèles Samsung. Pour les infecter, les pirates utilisaient aussi une faille « zero-day » présente dans WhatsApp. Le principe était le même qu’avec iMessage mais, cette fois, il suffisait d’appeler un contact pour que le piratage soit possible, et ce, même si la cible de l’attaque ne répondait pas à l’appel ! Propriétaire de Whatsapp, Facebook a corrigé la faille et déposé plainte contre NSO Group.

Ce qu’il faut retenir

Un logiciel d’espionnage, déjà connu, cible 50.000 numéros de téléphones de personnalités, de journalistes et d’activistes.Pegasus est issu d’une société israélienne et a déjà été utilisé par au moins 40 pays.Le logiciel cible 1.000 Français.

Des États ont installé un logiciel espion sur des milliers de téléphones de journalistes et d’activistes issus d’une cinquantaine de pays. Plus de 1.000 Français feraient partie de ces cibles.

Publié le 19/07/2021 par Louis Neveu

C’est le scandale de ce dimanche 18 juillet. Lors d’une enquête menée par Forbidden Stories, un vaste consortium international de journalistes, issus de dix-sept rédactions, et épaulé par Amnesty International, a pu récupérer une liste de 50.000 numéros de téléphones ciblés par un logiciel d’espionnage du nom de Pegasus. Un logiciel qui revient ponctuellement dans l’actualité et qui a déjà été évoqué par Futura.

Dans cette enquête, il apparait que de nombreux États utilisent ce logiciel espion pour surveiller des militants, des avocats, des personnalités politiques, des journalistes et des opposants du monde entier. Parmi les cibles, se trouve une trentaine de journalistes et de patrons de médias français issus du journal Le Monde, de France Télévisions, du Figaro ou encore de l’AFP. En tout, plus de 1.000 Français seraient concernés. Treize chefs d’État ou de gouvernement, dont trois européens, ont aussi été espionnés via Pegasus. Les 50.000 numéros de téléphones relevés ne sont pas tous espionnés, mais font partie d’une liste de cibles potentielles.

Le logiciel peut être implanté de différentes façons dans le mobile Android ou un iPhone : faille zero-day via une application comme iMessage ou WhatsApp, accès direct au smartphone, installation via un lien piégé tel un malware. Une fois qu’il s’y loge, il est difficile à détecter, puisque il se trouve au niveau du noyau du téléphone, c’est-à-dire au cœur du système d’exploitation, comme le décrit un article de l’entreprise de cybersécurité Lookout. Aucun chiffrement des données n’est efficace pour s’en protéger. Il passe donc outre celui d’applications comme Signal ou Telegram. En plus de récupérer les messages, les photos, les contacts et d’écouter les appels, il peut aussi servir à activer le micro et la caméra du mobile.

Ce logiciel particulier est édité par la société israélienne NSO Group. Une entreprise qui est désormais devenue leader de la surveillance téléphonique. NSO Group a été créé par deux anciens agents de l’unité 8200 de Tsahal. Une unité de hackers traquant les failles des systèmes et applications pour implanter des logiciels espions. Malgré ce qu’elle prétend, l’enquête publiée dans Le Monde montre que la société n’est pas toujours regardante et vend parfois son logiciel espion à qui veut l’acheter.

Elle compte une quarantaine d’États comme clients, dont le Maroc, le Kazakhstan ou l’Azerbaïdjan. En revanche, elle s’interdirait d’opérer sur une cinquantaine de pays et certains États jugés trop sensibles. C’est le cas des États-Unis, de la Russie ou d’Israël. D’ailleurs, c’est ce dernier qui lui délivre les autorisations pour commercialiser son logiciel et qui la pousse parfois à franchir la ligne rouge pour des raisons diplomatiques.

Comme le montre l’enquête, ce logiciel espion peut être considéré comme une véritable cyber-arme permettant de doter un petit pays d’un outil pouvant être utilisé pour lutter contre le terrorisme et la criminalité, mais aussi pour contrôler les médias et les opposants. Ce scandale montre surtout que, contrairement au marché de l’armement, la réglementation en matière de vente cyber-armes est très floue. Un flou juridique qui peut s’avérer dangereux lorsque cette puissante arme est vendue à un État répressif.