L’exportation par NSO de son logiciel « Pegasus » a été rendue possible par l’absence de régulation internationale des technologies dites à « double usage ». Et si beaucoup d’États rechignent à accepter toute limitation, c’est qu’eux-mêmes exportent leurs propres armes numériques, à commencer par la France.

(...) Comme pour Pegasus, le logiciel de Candiru, baptisé « DevilsTongue » par Microsoft, a été utilisé un peu partout dans le monde : en Iran, au Liban, au Yémen, en Espagne, au Royaume-Uni, en Palestine, en Turquie, en Arménie et à Singapour. Tout comme l’assurait NSO, Candiru n’était censé le vendre qu’à des États dans un but de lutte contre le terrorisme. Or, comme le révèle Citizen Lab, « les victimes incluent des défenseurs des droits humains, des dissidents, des journalistes, des activistes et des hommes politiques ».

Si NSO est l’un des leaders du marché de la cyber-surveillance, la société n’est que la partie émergée d’un iceberg gigantesque. Israël est sans doute l’un des pays les plus à la pointe de ce marché extrêmement lucratif, notamment en raison des liens très étroits existants entre les mondes militaires et industriels. (...)

La célèbre « unité 8200 », spécialisée dans le renseignement électronique, joue ainsi le rôle de centre de formation pour des milliers de jeunes Israéliens qui, une fois revenus à la vie civile, sont nombreux à poursuivre leurs activités, soit en rejoignant une entreprise du secteur, soit en lançant leur propre start-up.

Ainsi, comme le soulignait le chercheur de l’Institut français des relations internationales (Ifri), Jean-Christophe Noël, dans une note publiée en novembre 2020, « plus de 1 000 start-up ont été fondées par des membres de l’unité 8200, […] ce qui représente 25 % des acteurs de la cyber-sécurité ».

Et si Israël est l’un des pays ayant le plus favorisé le développement de ce type d’entreprises, il est loin d’être le seul à avoir investi dans ce secteur. (...) le Soudan, Bahreïn, le Vénézuela et l’Arabie saoudite. (...)

On pourrait également citer, parmi les autres entreprises du secteur dont les activités ont déjà été exposées, la firme britannique Gamma International, basée au Royaume-Uni et en Allemagne, et son logiciel « FinFisher » utilisé en Egypte après la révolution de 2011, ou au Bahreïn et en Ethiopie. Ses activités avaient été notamment dévoilées par la série de documents publiés par WikiLeaks, intitulée « Spy Files ». Ou encore l’émirati DarkMatter Group, qui fait actuellement l’objet d’une enquête de la part du FBI pour sa possible implication dans l’assassinat du journaliste Jamal Khashoggi.

Et la France n’est pas en reste. Au mois de juin dernier, la justice a mis en examen pour « complicité d’actes de torture » plusieurs dirigeants des sociétés Amesys et Nexa pour avoir vendu, pour l’une à la dictature libyenne de Mouammar Kadhafi et pour l’autre au régime d’Abdel Fattah al-Sissi en Egypte, des dispositifs de surveillance d’Internet. Comme l’a révélé le site Reflets, Amesys aurait également vendu sa technologie au gouvernement marocain dans le cadre d’un projet baptisé « Popcorn ».

Enfin, la société Qosmos, bien qu’ayant été elle aussi mise en examen pour avoir tenté de vendre un dispositif de surveillance à la Syrie de Bachar al-Assad, a, elle, bénéficié d’un non-lieu au mois de décembre 2020.

En outre, ces sociétés privées offrent par définition leurs services à des États ne disposant pas des ressources et des compétences nécessaires pour développer leurs propres outils. Les États-Unis, la Grande-Bretagne ou la Russie disposent de leurs propres outils. Edward Snowden avait ainsi révélé l’existence, au sein de la NSA, d’une unité spéciale, l’Office of Tailored Access Operations (TAO) – bureau des opérations d’accès sur mesure –, depuis rebaptisée Computer Network Operations chargée d’infiltrer des réseaux informatiques.

En 2017, WikiLeaks avait publié une série de documents, en partenariat avec plusieurs médias dont Mediapart, baptisée « Vault7 », dévoilant un impressionnant catalogue d’outils d’intrusion informatique et d’espionnage mis à la disposition de la CIA. (...)

Chaque État dispose donc de toute latitude pour décider de l’opportunité d’autoriser l’exportation de ses technologies vers tel ou tel pays. Il existe bien un cadre international régissant les technologies à « double usage », c’est-à-dire pouvant être utilisées dans un cadre civil et militaire, appelé « Arrangement de Wassenaar ». Mais il a fallu attendre 2013 pour qu’un amendement y introduise les logiciels d’intrusion tels que Pegasus et les outils de surveillance des réseaux tels que ceux développés par Amesys et Qosmos.

De plus, plusieurs pays, dont Israël, ont refusé de le ratifier. L’Arrangement de Wassenaar ne prévoit de toute manière qu’une obligation d’information des exportations et aucun dispositif de contrôle ni de contrainte.

Au niveau européen, une directive reprenant les principes de l’Arrangement de Wassenaar avait été adoptée en 2009. Elle a été modifiée en mars dernier afin de renforcer les contrôles et les outils de coopération. Une réforme cependant jugée largement insuffisante par les ONG.

Dans la pratique, les exportations des armes numériques restent en effet un pouvoir discrétionnaire des États. En France, les exportations doivent être autorisées par une Commission interministérielle des biens à double usage (Cibdu) dont les décisions sont couvertes par le secret de la Défense nationale. (...)

un rapport parlementaire des députés LREM Jacques Maire et LR Michèle Tabarot a même proposé d’assouplir les règles d’exportation, tout en reconnaissant que « les dangers que font porter les technologies d’analyse des données sont souvent plus dommageables aux droits humains que les équipements militaires ». (...)

Pourtant, cela fait des années que défenseurs des droits de l’homme et ONG dénoncent une véritable jungle totalement opaque et demandent l’ouverture de discussions au niveau international pour réglementer le commerce et l’usage de ces « armes numériques ».

En 2013 et 2014, une vaste coalition d’experts et d’associations de défense des libertés avaient mené, sous l’égide des Nations unies, une série de discussions visant à définir le cadre général d’une régulation de l’usage des armes numériques.

Ce processus avait débouché sur un texte, intitulé « Nécessaire et proportionné », fixant 13 principes appelant notamment les États à adopter « une législation punissant la surveillance des communications illégale, que les acteurs soient publics ou privés », à garantir une procédure transparente et équitable, supervisée par une autorité judiciaire, et d’une manière générale à limiter l’usage de la surveillance aux cas où elle soit absolument nécessaire, et de manière proportionnée.

Depuis plusieurs années, la Suisse tente également de convaincre la communauté internationale de négocier une convention de Genève du numérique, sur le modèle de celle censée protéger les populations civiles en cas de guerre. (...)

Deux ans plus tard, le président et directeur juridique de Microsoft, Brad Smith, lançait dans la ville helvétique le CyberPeace Institute, une ONG militant depuis pour une régulation internationale des armes numériques.

Les révélations sur l’espionnage mondial pratiqué grâce à NSO permettraient cependant de relancer les discussions auprès des Nations unies. (...)

Ces discussions pourraient être relancées au printemps prochain à l’occasion de la présentation d’un rapport « sur la fourniture de produits et services militaires et de sécurité dans le cyberespace par les cyber-mercenaires et son impact sur les droits humains » réalisé par un groupe de travail mis en place par la haute-commissaire aux droits de l’homme de l’Onu, Michelle Bachelet. Ce rapport doit être présenté lors de la 76e session de l’Assemblée générale des Nations unies qui doit s’ouvrir au mois d’octobre 2021. (...)

« Les gouvernements devraient immédiatement cesser leur propre usage des technologies de surveillance d’une manière qui viole les droits humains, poursuit Michelle Bachelet, et devraient prendre des actions concrètes pour protéger contre de telles invasions de la vie privée en régulant la distribution, l’usage et l’exportation des technologies de surveillance créées par d’autres. »