Les enquêteurs polonais ont établi que le Bureau central anticorruption (CBA) n'avait pas pleinement le contrôle du logiciel espion Pegasus qu'il exploitait. Les infrastructures essentielles restaient sous le contrôle du fabricant, NSO Group, tandis que les données de surveillance transitaient hors de Pologne, par des serveurs étrangers et des adresses IP étrangères, selon les conclusions du parquet national rapporté par The Record.
Les procureurs ont indiqué que NSO disposait d'un « accès technique » aux informations collectées lors des surveillances opérationnelles. Cette conclusion établit la capacité de l'entreprise à atteindre le système, mais ne prouve pas qu'elle ait consulté ou obtenu des données provenant d'opérations particulières. Les enquêteurs ont précisé qu'ils ne pouvaient pas déterminer si NSO avait accédé aux données d'une inspection opérationnelle donnée.
Le CBA ne contrôlait ni l'infrastructure ni les comptes administrateurs
Une analyse de l'Agence de sécurité intérieure polonaise (ABW) a montré que le CBA n'avait pas un contrôle complet de son déploiement de Pegasus.
Le module serveur utilisé pour infecter les appareils mobiles restait exclusivement sous le contrôle du fabricant. Le CBA ne disposait pas non plus des mots de passe de nombreux comptes dotés de privilèges administratifs, ce qui limitait sa capacité à vérifier la manière dont chaque module gérait la transmission et le stockage des données.
NSO fournissait les mises à jour et le support technique à distance. Selon les procureurs, la surveillance opérationnelle se poursuivait pendant ces interventions, alors que le fabricant disposait d'un accès complet au système, y compris la possibilité de modifier le logiciel et la configuration.
Les informations collectées étaient acheminées hors de Pologne par un réseau d'anonymisation qui reposait sur des serveurs étrangers. Les enquêteurs ont également relevé des transmissions passant par des adresses IP étrangères. Les conclusions rapportées du parquet n'établissent pas que ces itinéraires aient transmis des données de surveillance précises à NSO ou aux autorités israéliennes.
Plus de 500 personnes ont été visées
En février 2024, le gouvernement du Premier ministre Donald Tusk a annoncé que les enquêteurs avaient confirmé l'utilisation de Pegasus contre une liste « très longue » de cibles. M. Tusk a déclaré que son épouse et sa fille avaient été espionnées. Il a aussi affirmé que les appareils de plus de 500 autres personnes avaient été visés et, dans certains cas, infectés.
Le chiffre désigne donc plus de 500 personnes dont les appareils ont été visés. Il ne s'agit pas d'un décompte d'infections confirmées ni de cas où des informations ont été obtenues.
Lundi, M. Tusk a qualifié l'opération menée sous la précédente majorité de « l'un des plus grands scandales de l'histoire polonaise depuis la chute du communisme ». Il a accusé NSO Group de collaborer avec les services de renseignement israéliens et a affirmé que des données concernant des citoyens polonais, des dirigeants de l'opposition et des procureurs indépendants avaient été transmises au côté israélien.
Ces accusations vont plus loin que la conclusion technique des procureurs. Les conclusions officielles, telles qu'elles ont été rapportées, font état d'itinéraires de données à l'étranger, de composants contrôlés par le fournisseur et de la capacité de NSO à accéder au système. Les enquêteurs n'ont pas pu établir que NSO ait obtenu des données issues de surveillances précises.
D'anciens responsables mis en examen pour les abus liés à Pegasus
Plusieurs anciens responsables polonais du renseignement et de la sécurité font face à des poursuites pour avoir prétendument facilité des abus impliquant ce logiciel espion. Selon les procureurs, l'opération aurait été financée par le détournement d'un fonds public destiné à aider les victimes de crimes.
NSO Group n'a pas répondu à la demande de commentaire de The Record.
John Scott-Railton, chercheur au Citizen Lab, a déclaré à la publication que ces conclusions soulèvent des préoccupations de sécurité opérationnelle pour les gouvernements qui utilisent des logiciels espions commerciaux. Il a expliqué que des éléments rendus publics dans le cadre de la plainte déposée par WhatsApp contre NSO en 2019 étayent les affirmations du gouvernement polonais et contredisent les assurances constantes de NSO selon lesquelles l'entreprise ne peut pas accéder aux données collectées par ses clients utilisant Pegasus.
L'accès du fournisseur crée des risques pour les gouvernements et les personnes surveillées
Ces conclusions mettent en lumière un problème de sécurité pour les agences qui achètent des logiciels espions étrangers : le client peut être incapable de vérifier le fonctionnement du système lorsque le fournisseur contrôle l'infrastructure d'infection, les identifiants administrateurs, les mises à jour logicielles ou le support à distance.
Ce montage peut placer à la fois les données de surveillance et les informations sur les cibles sélectionnées à la portée d'un fournisseur étranger. Il peut aussi empêcher l'agence utilisatrice d'auditer de manière indépendante les itinéraires des données, les composants de stockage et les modifications de configuration.
Pour les personnes visées en Pologne, l'enquête ne montre pas que chaque tentative de compromission ait abouti, ni que NSO ait accédé aux informations de chacune d'elles. Elle montre en revanche que le CBA ne pouvait pas inspecter ni contrôler pleinement la plateforme de surveillance qu'il utilisait contre elles.
