O2 OCTOBRE 2018 Jamal Khashoggi, journaliste saoudien et critique du gouvernement du royaume, a visité son consulat à Istanbul afin d'obtenir les documents nécessaires à son prochain mariage. Il n'est pas sorti vivant. Après avoir initialement nié toute responsabilité, le gouvernement saoudien a admis que M. Khashoggi avait été tué dans une «opération voyou».

Deux mois plus tard, Omar Abdulaziz, un autre dissident saoudien, a déposé une plainte en Israël contre NSO Group, une société israélienne de logiciels. M. Abdulaziz allègue que le NSO Group avait concédé sous licence Pegasus, un logiciel espion qui espionne les smartphones, au gouvernement saoudien, qui l'a utilisé pour l'espionner – et, à travers lui, Khashoggi. NSO Le groupe nie que son logiciel ait été utilisé contre Khashoggi. En octobre, WhatsApp, une société de messagerie cryptée appartenant à Facebook, a également poursuivi la société, affirmant que son logiciel avait été utilisé pour pirater environ 1 400 de ses utilisateurs. WhatsApp a déclaré avoir exhorté le ministère américain de la Justice à ouvrir une enquête. NSO Le groupe conteste les allégations de WhatsApp «dans les termes les plus forts possibles». Le 26 novembre, un certain nombre de NSO Les employés du groupe ont déposé une plainte contre Facebook, affirmant que le géant des médias sociaux a injustement bloqué leurs comptes privés.

La vague de poursuites a attiré l'attention sur un coin peu connu de l'industrie de la cybersécurité. La plupart des entreprises de cybersécurité se concentrent sur la défense des clients contre les pirates et les logiciels malveillants. Mais certains, y compris NSO Group, ainsi que Gamma Group (une société anglo-allemande) et Hacking Team (une société italienne qui a fusionné en avril avec une autre société pour créer Memento Labs), vendent des logiciels pour aider les gouvernements à accéder aux données en ligne sur les personnes d'intérêt. Les affaires semblent bonnes.

La nature opaque du marché des «logiciels d'intrusion» signifie que la tâche d'essayer de compiler des chiffres incombe principalement aux universitaires et ONGs. NSO Le groupe, qui est inhabituellement candide, affirme que son chiffre d'affaires en 2018 était de 250 millions de dollars. En février, Novalpina Capital, une société britannique de capital-investissement, a acheté une participation majoritaire dans la société. La valorisation impliquée par la transaction aurait placé l'entreprise dans le club des startups «licorne» d'une valeur supérieure à 1 milliard de dollars. La plupart de NSO Les concurrents du Groupe sont beaucoup plus petits, explique John Scott-Railton, chercheur à la Munk School of Government de l'Université de Toronto. Danna Ingleton d'Amnesty International, un groupe de défense des droits humains, estime que le marché vaut au moins plusieurs milliards de dollars.

Les entreprises hésitent naturellement à révéler l'identité de leurs clients. Mais en 2015, une violation de données largement signalée a semblé révéler une liste de clients de Hacking Team. La liste comprenait une agence d'espionnage saoudienne et le gouvernement soudanais d'Omar el-Béchir, ainsi que le FBI, La Commission anti-corruption de la Malaisie et le gouvernement de l’État de Bayelsa, une province du Nigéria. Memento Labs n'a pas répondu aux demandes de commentaires.

Trenchs et chapeaux gris

La plupart des entreprises disent qu'elles aident les forces de l'ordre à lutter contre le terrorisme, la contrebande de drogues ou d'autres méfaits. Lors d'une conférence en novembre Shiri Dolev, NSO La présidente du groupe s'est plainte de la couverture de son entreprise. Elle a fait valoir que des services tels que WhatsApp sont utilisés par certains «comme un véhicule pour le terrorisme et le crime», et que des logiciels tels que Pegasus sont essentiels. La société insiste sur le fait que ses produits ne sont "pas un outil à armer contre des militants des droits de l'homme ou des dissidents". En septembre, il a annoncé une nouvelle politique des droits de l'homme, ONU des lignes directrices; il estime que c'est la première entreprise de l'industrie à le faire. Même avant cela, dit une porte-parole, la firme avait refusé environ 100 millions de dollars d'affaires pour des raisons éthiques au cours des trois dernières années.

En théorie, l'exportation de logiciels de piratage est contrôlée par les mêmes lois qui régissent la vente d'armes. Dans la pratique, la plupart des observateurs pensent que de telles restrictions ont peu d'effet. David Kaye, le ONULe rapporteur spécial de la Commission sur la liberté d’opinion et d’expression a décrit le marché des logiciels espions comme «hors de contrôle» et «inexplicable». L’utilisation par l’État des produits de l’industrie pour cibler les opposants politiques, les journalistes et d’autres semble courante, explique Mme Ingleton.

Des poursuites judiciaires ont échoué, ajoute-t-elle, en partie en raison de leur caractère international et de haute technologie. Les tribunaux doivent d'abord être convaincus que les plaignants ont subi un préjudice, que le préjudice peut être retracé jusqu'au défendeur et que le tribunal peut y remédier. Même si cette «qualité pour agir» peut être établie, il est difficile d'obtenir des preuves. «Et même alors, il peut être difficile pour certains juges de comprendre ce qui est présenté», dit-elle. Dans un cas récent en Amérique, «M. Kidane», un Américain pseudonyme ayant des liens avec l'Éthiopie, a allégué que le gouvernement éthiopien l'avait espionné, lui et sa famille, en utilisant FinSpy, l'un des produits du groupe Gamma. Un juge a rejeté l'affaire au motif que l'espionnage présumé ne s'était pas produit entièrement à l'intérieur des frontières américaines. Le groupe Gamma n'a pas répondu aux demandes de commentaires.

Toute la récente publicité a néanmoins accru la pression sur les entreprises. En novembre, Ron Wyden, un sénateur américain, a demandé une enquête pour savoir si NSO Les produits du groupe avaient été utilisés contre des citoyens américains. M. Kaye veut un moratoire sur les exportations jusqu'à ce que des lois plus strictes puissent être élaborées. Et les poursuites WhatsApp marquent une escalade de la part des grandes entreprises technologiques, qui souhaitent protéger les données de leurs utilisateurs.

Une sévère répression reste peu probable, pense Edin Omanovic à Privacy International, un autre ONG, en partie en raison de la formation officielle de nombreux employés de ces entreprises. "L'application a toujours été un problème dans l'industrie de l'armement", dit-il. Jusqu'à ce que cela change, les fournisseurs de logiciels d'espionnage peuvent s'attendre à prospérer. ■

Cet article est paru dans la section Affaires de l'édition imprimée sous le titre "Offrir des logiciels pour espionner aux gouvernements est une entreprise en plein essor"