Pegasus : l'eurodéputé qui traquait le logiciel espion en a lui-même été la cible

On lui avait confié la mission d'établir comment les États détournent les logiciels espions commerciaux. Pendant plus d'un an, il en a scruté les dérives. Et pendant tout ce temps, l'outil au cœur même de son enquête l'espionnait, lui.

Stelios Kouloglou, journaliste et documentariste grec, ancien membre du Parlement européen, a vu son iPhone infecté par Pegasus — le logiciel espion vendu par la société israélienne NSO Group — alors qu'il siégeait à la commission parlementaire chargée d'examiner l'usage abusif de ce type d'outil. C'est la conclusion d'une analyse forensique publiée le 3 juillet par le Citizen Lab, le laboratoire de recherche sur les droits numériques de l'Université de Toronto.

Les chercheurs affirment avoir établi « avec un degré de confiance élevé » que le téléphone de M. Kouloglou avait été compromis à deux reprises : le 21 octobre 2022, puis de nouveau les 6 et 7 mars 2023. Les deux intrusions tombent dans la période où il exerçait comme membre suppléant de la commission, connue sous l'acronyme PEGA, active de 2022 à juillet 2023 et créée précisément pour examiner l'emploi de Pegasus et d'outils comparables contre des journalistes, des militants et des responsables politiques à travers l'Union européenne.

De l'enquêteur à la cible

Député européen de 2014 à 2024, M. Kouloglou s'était forgé une carrière de reporter d'investigation et de réalisateur de documentaires. Il a confié son téléphone au Citizen Lab pour expertise en mai. Selon les chercheurs, il avait reçu ces dernières années trois alertes d'Apple signalant un possible espionnage commandité par un État — mais il ne les avait jamais vues.

Ce qui donne à l'affaire une portée dépassant le simple embarras, c'est la chronologie. Les deux infections coïncident avec des phases sensibles des travaux de PEGA : le logiciel a donc pu aspirer les délibérations confidentielles de l'organe même censé mettre au jour ce type de surveillance. Le Citizen Lab estime que l'intrusion « aurait pu exposer des échanges strictement confidentiels entre membres de la commission PEGA » et exhorte les institutions européennes à ouvrir sans délai une enquête sur cette brèche. C'est la première fois qu'un membre en exercice de la commission d'enquête est publiquement identifié comme victime de Pegasus.

« Il est ironique qu'un membre de la commission chargée d'enquêter sur Pegasus ait lui-même été visé par le logiciel espion Pegasus », a déclaré Ron Deibert, directeur du Citizen Lab.

Pour M. Kouloglou, l'atteinte est aussi intime que politique. « On réalise que toutes ses données personnelles ont été prises — pas seulement les échanges professionnels ou les messages avec des ministres, mais aussi les choses très privées, comme les moments heureux et les moments tristes », a-t-il confié à TechCrunch.

Qui se cache derrière — et qui n'y est pour rien

Le Citizen Lab n'attribue le piratage à aucun gouvernement en particulier. Point crucial : il indique n'avoir trouvé « aucun indice de responsabilité du gouvernement grec », relevant qu'aucun élément ne fait état de la Grèce comme cliente de NSO Group. M. Kouloglou, lui, est convaincu qu'Athènes est à la manœuvre ; les chercheurs disent n'en avoir aucune preuve.

Les analystes ont plutôt relié les attaques à un opérateur dont l'infrastructure recoupe une campagne Pegasus qui avait auparavant visé des journalistes et des militants russophones et bélarophones exilés en Europe. Ce schéma, écrivent-ils, pointe vers un client de Pegasus autorisé à mener des surveillances dans plusieurs pays européens — un constat qui élargit le cercle des suspects plutôt qu'il ne le resserre. NSO Group n'a pas répondu aux demandes de commentaire.

Selon le rapport, les constatations confirmées sont les suivantes :

• Deux infections de l'iPhone de M. Kouloglou par Pegasus, évaluées avec un degré de confiance élevé, en octobre 2022 et en mars 2023.
• Deux intrusions survenues à l'intérieur de son mandat au sein de la commission PEGA et de ses travaux confidentiels.
• Aucune attribution à l'État grec, mais un opérateur lié à un ciblage transfrontalier d'émigrés russes et bélarusses.

Un dossier au point mort à Bruxelles

La révélation vient percuter un débat européen figé depuis des années. PEGA avait été mise sur pied en mars 2022, après qu'il fut apparu que plusieurs États membres avaient déployé Pegasus et des outils concurrents contre des reporters, des figures de l'opposition et des responsables publics. En juin 2023, le Parlement adoptait les recommandations finales de la commission, réclamant un moratoire conditionnel sur la vente et l'usage des logiciels espions ainsi qu'un cadre européen commun pour les encadrer.

Presque rien n'a été appliqué. La Commission européenne et les gouvernements nationaux ont, pour l'essentiel, laissé ces recommandations dans un tiroir, tandis que les critiques estiment que les garde-fous du règlement européen sur la liberté des médias contre la surveillance des journalistes ont été dilués sous la pression des États membres. Hannah Neumann, élue écologiste allemande qui siégeait elle aussi à PEGA, juge que cette nouvelle affaire devrait forcer la main.

« Les logiciels espions ne rendent pas les démocraties plus sûres. Ils affaiblissent le contrôle démocratique, l'indépendance parlementaire et l'État de droit », a-t-elle affirmé. L'inaction face au travail de la commission, ajoute-t-elle, « témoigne d'un mépris total pour le rôle des parlementaires, qui est de contrôler, et donc pour la démocratie européenne ».

L'enjeu ne se limite pas à Athènes ou à Bruxelles. Parce que Pegasus et ses concurrents sont commercialisés auprès de clients étatiques dans toute l'Union, la question de savoir qui peut légalement les déployer — et contre qui — se pose dans chacun des 27 États membres, Luxembourg compris. Le piratage de l'élu chargé précisément de demander des comptes à cette industrie offre aux réformateurs leur illustration la plus tranchante de ce qui advient lorsque le contrôle lui-même devient une cible de surveillance.