Le célèbre hacker réagit aux révélations de Forbidden Stories, en association avec la cellule investigation de Radio France et d’autres médias, sur le Pegasus, un système d’espionnage vendu par la société israélienne NSO et utilisé pour surveiller des politiques, militants, journalistes ou citoyens dans le monde.
Comment avez-vous réagi en découvrant les informations révélées par le Projet Pegasus ?
EDWARD SNOWDEN : "C’est choquant de voir leur ampleur, quelque chose comme 50.000 numéros de téléphones dans autant de pays, une dizaine je crois, donc certains qui sont particulièrement agressifs. Prenez un pays comme le Mexique : il espionne des journalistes, des membres du gouvernement, des figures de l’opposition, des militants des droits de l’Homme... C’est terrible. Pour moi, ça pose question. Je suspecte depuis longtemps, bien sûr, qu’on abuse de ces capacités de surveillance. On l’a vu en 2013. Mais c’était uniquement du au fait de gouvernements en interne, avec des pressions sur des entreprises commerciales. Ils avaient une forme de légitimité, de légalité, avec des procédures. Ce n’était pas suffisant, il y avait des défauts, mais il y avait quelque chose.
Ce que le Projet Pegasus révèle, c’est que le groupe NSO représente un nouveau marché du malware, un business qui génère des profits. Ils se fichent de la loi, des règles. Ils le vendront à tout client fiable, tant qu’ils ont l’impression qu’ils s’en tireront, qu’on ne les identifiera pas. Ils disent ’on ne sait pas pourquoi ils l’utilisent, on n’est pas responsables, on le vend, on signe le contrat. S’ils ne suivent pas les règles du contrat, ce n’est pas notre problème. Mais en même temps, ils se sont fait attraper et ont été impliqués dans d’autres scandales auparavant. Dans l’assassinat de Khashoggi, ils disent : ’On n’a rien à voir avec ça. On a enquêté, et constaté que ce n’était pas nos produits qui étaient utilisés.’ Mais comment est-ce possible, s’ils ne savent pas qui leurs clients visent avec leur logiciel ?
Il n’y a que deux possibilités. Soit ils savent qui est visé par leur logiciel, et ils en sont responsables, parce qu’ils le voient arriver sans rien faire, mais qu’ils peuvent savoir si Khashoggi était ou non présent dans leur base de données. Soit ils ne savent pas qui est visé, ce qui veut dire que nier leur implication est un mensonge totalement cynique. Je pense que c’est ce qui se passe ici. Toute l’industrie des logiciels intrusifs est basée sur un mensonge. (...)
Comment avez-vous réagi en découvrant les informations révélées par le Projet Pegasus ?
EDWARD SNOWDEN : "C’est choquant de voir leur ampleur, quelque chose comme 50.000 numéros de téléphones dans autant de pays, une dizaine je crois, donc certains qui sont particulièrement agressifs. Prenez un pays comme le Mexique : il espionne des journalistes, des membres du gouvernement, des figures de l’opposition, des militants des droits de l’Homme... C’est terrible. Pour moi, ça pose question. Je suspecte depuis longtemps, bien sûr, qu’on abuse de ces capacités de surveillance. On l’a vu en 2013. Mais c’était uniquement du au fait de gouvernements en interne, avec des pressions sur des entreprises commerciales. Ils avaient une forme de légitimité, de légalité, avec des procédures. Ce n’était pas suffisant, il y avait des défauts, mais il y avait quelque chose.
Ce que le Projet Pegasus révèle, c’est que le groupe NSO représente un nouveau marché du malware, un business qui génère des profits. Ils se fichent de la loi, des règles. Ils le vendront à tout client fiable, tant qu’ils ont l’impression qu’ils s’en tireront, qu’on ne les identifiera pas. Ils disent ’on ne sait pas pourquoi ils l’utilisent, on n’est pas responsables, on le vend, on signe le contrat. S’ils ne suivent pas les règles du contrat, ce n’est pas notre problème. Mais en même temps, ils se sont fait attraper et ont été impliqués dans d’autres scandales auparavant. Dans l’assassinat de Khashoggi, ils disent : ’On n’a rien à voir avec ça. On a enquêté, et constaté que ce n’était pas nos produits qui étaient utilisés.’ Mais comment est-ce possible, s’ils ne savent pas qui leurs clients visent avec leur logiciel ?
Il n’y a que deux possibilités. Soit ils savent qui est visé par leur logiciel, et ils en sont responsables, parce qu’ils le voient arriver sans rien faire, mais qu’ils peuvent savoir si Khashoggi était ou non présent dans leur base de données. Soit ils ne savent pas qui est visé, ce qui veut dire que nier leur implication est un mensonge totalement cynique. Je pense que c’est ce qui se passe ici. Toute l’industrie des logiciels intrusifs est basée sur un mensonge. (...)
C’est une industrie qui ne devrait pas exister. On voit ce que fait le groupe NSO, qui est en quelque sorte la plus connue de ces sociétés. Mais il y en a d’autres. Et si une de ces compagnies est pourrie à ce point, qu’en est-il des autres ?
Ce que le Projet Pegasus révèle, c’est que c’est un secteur où l’on produit uniquement des vecteurs d’infection. Ce ne sont pas des produits de sécurité. Ils ne fournissent aucune protection. Ce ne sont pas des vaccins : tout ce qu’ils vendent, c’est le virus. (...)
Comment compareriez-vous ces révélations avec celles que vous avez faites vous-même au fil des années ?
EDWARD SNOWDEN : "Elles sont sans doute parmi les plus importantes. C’est le genre d’infos qu’on n’a jamais, et quand on y a accès, tout le monde a peur : ’c’est trop sérieux, il ne faut pas en parler, vous allez mettre des enquêtes en péril...’ Mais la manière dont le consortium travaille ensemble, en prenant les numéros et en déterminant à qui ils appartiennent, pour confirmer les identités de certains individus sans nécessairement les contacter... On y trouve des ministres, des journalistes, dans des journaux et des institutions majeures, sur lesquelles on compte. On soulève un coin du rideau à un niveau jamais atteint."
Vous avez déjà qualifié les smartphones ’d’espions dans notre poche’. Cette affaire confirme cela ?
EDWARD SNOWDEN : "C’est pire, en fait. Quand je parle ’d’espions dans nos poches’, c’est le potentiel, la possibilité, le fait que ces choses communiquent à travers le réseau mobile, et connaissent votre localisation. C’est Facebook qui vous espionne, par exemple. Mais c’est pour des programmes commerciaux, pour des objectifs commerciaux.
Ce qu’on découvre là, ce sont des gens qui ont créé une industrie dédiée au piratage de ces téléphones, qui vont au-delà de l’espionnage dont on connaissait l’existence, et qui prennent le contrôle de ces téléphones, pleinement, pour les retourner contre les gens qui les ont achetés, qui ne les possèdent plus vraiment. Le truc, c’est que tous ces téléphones sont des clones. (...)
C’est une attaque réfléchie, intentionnelle sur des infrastructures dont nous dépendons tous. Peu importe sous quel drapeau on vit, peu importe la langue qu’on parle, on est tous visés dans cette histoire." (...)
Cette idée de la surveillance pour le profit, c’est quelque chose qui a déjà existé. Des entreprises ont réussi à créer des bugs, des micros cachés, et à les vendre. Le gouvernement s’en sert, la police locale s’en sert, et s’ils doivent ensuite procéder à une fouille d’une maison, d’une voiture, d’un bureau, on se dit qu’ils auront besoin d’un mandat. Ce sont des opérations coûteuses et difficiles, donc ils ne le font que si c’est vraiment nécessaire, de manière largement proportionnée par rapport à la menace présentée par la personne sur qui ils enquêtent.
Mais s’ils peuvent faire la même chose à distance, pour pas grand-chose et sans risque, ils commencent à le faire tout le temps, contre toute personne vaguement intéressante. C’est ce que montre cette liste de 50.000 personnes ciblées (...)
Pensez-vous que les gouvernements auraient la même capacité à espionner sans l’industrie de la surveillance privée ?
EDWARD SNOWDEN : "Tout dépend du pays concerné. Dans un pays sophistiqué, avec un marché technologique développé, bien sûr. Mais dans la plupart des pays autoritaires, comme le Kazakhstan, l’Ouzbékistan, le Bahreïn, avec une société très fermée, vous ne favorisez pas ce développement technique, difficile à assurer. Mais s’il suffit de payer quelqu’un pour fournir tout ça en tant que service, là, ils peuvent faire tout ce qu’ils veulent. Ça ne coûte plus grand chose de maintenir son pouvoir en place.
Si de telles compagnies n’existaient pas, quelle serait l’alternative ? Est-ce que les gouvernements abandonneraient toute idée d’espionner, d’enquêter, de rechercher les criminels et les terroristes ? Évidemment, non. Ils embaucheraient leurs propres développeurs, ils travailleraient en interne, ils développeraient leurs propres outils. Ce serait difficile et coûteux, inefficace, mais ce serait la bonne chose à faire. Mais ce que ces gens créent, ce ne sont pas des ingénieurs, ils ne fabriquent rien d’utile. Ce sont des infectionneurs. Ils créent des manières de provoquer une maladie dans nos appareils. (...)
On ne peut pas empêcher des gouvernements de le faire, comme dans le domaine de la recherche sur les armes biologiques. Mais dieu merci, il est interdit d’en faire commerce, et le premier venu ne peut pas acheter la meilleure version du Covid sur le marché et en faire ce qu’il veut. Or quand on évoque les appareils numériques, on ne voit pas que le risque pour la santé publique est le même. (...)
À quel point Pegasus est-il sophistiqué ?
EDWARD SNOWDEN : "Quand on regarde ce qu’il peut faire, les piratages qu’il permet... Le principal objectif de la boîte à outils de Pegasus, et c’est pareil pour tous les fournisseurs de malwares, même les non-commerciaux utilisés par des hackers pour installer des rançongiciels sur des PC autour du monde et voler leurs utilisateurs, c’est ce qu’on appelle ’l’exécution du code à distance’. C’est une manière de toucher un appareil sans aucune action de son utilisateur : on trouve un défaut dans le logiciel qui tourne sur ces appareils, et sans même que l’utilisateur ne fasse d’erreur ou de mauvaise manipulation, ils peuvent lancer leur propre code, leurs propres programmes, leurs propres commandes sur l’appareil visé. C’est ce que fait Pegasus. Ils ont donc rempli leur mission. La question, c’est : à quel prix pour la société ?"
Qui faut-il craindre le plus : la NSA ou NSO ?
EDWARD SNOWDEN : "Ça renvoie à une vieille question de l’époque où j’ai fait mes révélations, en 2013. Les gens disaient : pourquoi vous préoccuper de ce que fait le gouvernement, quand des entreprises commerciales espionnent les gens de la même façon ? Ils pensaient à Facebook, Google, Amazon... Et ma réponse, c’était que, quelque soit le niveau de surveillance exercé par ces entreprises, ils ne peuvent pas vous mettre en prison. Ils ne peuvent pas tirer un missile sur votre voiture. Ils ne peuvent pas lancer une attaque de drone. Donc concentrons-nous d’abord sur le gouvernement, et ensuite on ira s’occuper des entreprises une fois le gouvernement réformé.
Sauf que les gouvernements ont abandonné tout projet de se réformer, et il n’y a eu aucune réforme sur les pratiques de surveillance commerciales. (...)
Ils ne font pas que vendre des choses. Ils envoient des gens en prison, ils les font tuer. Ils ne le font peut-être pas directement, mais ils fournissent les outils aux gouvernements qui les utilisent dans ce but, et ils le savent.
L’implication du groupe NSO dans l’assassinat de Khashoggi est indéniable, même s’ils le nient. (...)
C’est une compagnie privée qui pirate de la même manière que la NSA le ferait. Et ça devrait nous effrayer plus que tout, parce que ce n’est pas qu’une seule de ces entreprises : c’est le cas pour toutes."
À qui faut-il demander des comptes ? À l’entreprise ou aux gouvernements qui utilisent son logiciel ?
EDWARD SNOWDEN : "À tous. Mais il n’y a pas que la question de la responsabilité, par exemple, d’Israël ou de cette entreprise en particulier. Il devrait y avoir, selon moi, une responsabilité pénale pour toute implication dans ce marché. Il faut un moratoire global sur l’utilisation commerciale de ces outils. Il faut interdire ce commerce, supprimer la motivation du profit pour les gens qui participent à ça. Parce que le groupe NSO fermerait ses portes dès demain si ça ne leur rapportait plus rien, comme les autres compagnies de ce domaine.
Mais il faut aussi se poser une question en Europe et aux États-Unis : comment se fait-il que ces entreprises rencontrent un tel succès ? Comment ont-elles pu autant s’étendre, si ce n’est parce que nos règles ont échoué ? (...)
Et si ces règles n’ont pas marché, il faut qu’on réfléchisse à des règles plus sévères. Le seul moyen, selon moi, de régler tout ça, c’est un moratoire global sur l’exploitation commerciale de toute technologie de ce genre. (...)
"Que peuvent faire les gens pour se protéger des armes nucléaires ? Des armes chimiques ou biologiques ? Il y a des industries, des secteurs, pour lesquels il n’y a pas de protection, et c’est pour ça qu’on essaye de limiter leur prolifération. On n’autorise pas la vente dans le commerce d’armes nucléaires, d’armes chimiques ou biologiques. Mais dans le cas de ces armes numériques, on ne fait rien ! Il faut arrêter toute vente de ces technologies intrusives. C’est la seule manière de nous protéger."