Chargé d'enquêter sur Pegasus, un eurodéputé grec a été espionné par ce logiciel

L'homme siégeait dans la commission chargée de traquer les dérives des logiciels espions au sein de l'Union européenne. Il s'est révélé être l'une de leurs cibles. Selon un rapport d'analyse forensique publié le 3 juillet par le Citizen Lab, le téléphone de l'ex-eurodéputé grec Stelios Kouloglou a été infecté par Pegasus — l'outil même que sa commission passait au crible.

Journaliste d'investigation devenu député au Parlement européen de 2015 à 2024, Kouloglou siégeait comme membre suppléant de la commission d'enquête PEGA, créée en 2022 pour examiner l'usage illégal de Pegasus et de logiciels équivalents par des gouvernements de l'Union. Or c'est précisément durant son mandat que son iPhone a été compromis, à au moins deux reprises, par ce mouchard sans clic (« zero-click ») conçu et vendu par la société israélienne NSO Group, dont le siège se trouve à Herzliya.

Le Citizen Lab, laboratoire interdisciplinaire de l'université de Toronto, conclut avec un « haut degré de confiance » que l'appareil a été piraté aux alentours du 21 octobre 2022, puis de nouveau les 6 et 7 mars 2023, alors que l'intéressé se trouvait à Athènes et à Bruxelles. Ce document, le 194e du laboratoire, précise que ces constats n'excluent pas d'autres infections ; plusieurs médias évoquent au moins trois épisodes sur les deux années. Apple a adressé à Kouloglou ses alertes signalant une attaque commanditée par un État plusieurs mois après les faits.

L'enquêteur devenu la proie

Pegasus permet à son opérateur de prendre discrètement le contrôle d'un téléphone : messages, photos, contacts, caméra et microphone, tout devient accessible. La chronologie des intrusions, soulignent les chercheurs, épouse les moments les plus sensibles des travaux de la commission. La première infection coïncide avec une séquence intense d'auditions PEGA, dont des sessions consacrées aux « géants du numérique et aux logiciels espions » ainsi qu'à la vie privée en ligne ; la seconde tombe au moment des discussions sur le rapport final.

Pour ceux qui ont mené l'enquête, la symbolique ne pouvait échapper à personne.

Il est ironique qu'un membre de la commission chargée d'enquêter sur Pegasus ait lui-même été visé par le logiciel espion Pegasus.

Le constat émane de Ron Deibert, fondateur et directeur du Citizen Lab. Kouloglou, lui, a confié à l'agence Associated Press qu'il s'était cru en partie protégé par sa fonction. « Je ne m'attendais pas à ce qu'un membre de PEGA soit espionné par Pegasus », a-t-il déclaré, ajoutant qu'il n'imaginait pas ses commanditaires « aussi imprudents ». Il a rappelé que son téléphone contenait quinze ans de messages et de photographies, dont des échanges avec des dirigeants de partis et des journalistes.

Qui l'a fait, et qui ne l'a pas fait

Point capital : le Citizen Lab n'attribue le piratage à aucun gouvernement précis. Les chercheurs indiquent explicitement n'avoir relevé aucun indice mettant en cause l'État grec, et rappellent qu'aucune information ne fait état d'Athènes comme cliente, actuelle ou passée, de NSO Group — précision loin d'être anodine au vu du scandale d'écoutes qui avait déjà secoué la Grèce.

Les analystes ont en revanche suivi un fil technique. Le leurre utilisé pour livrer l'exploit — un message détournant le logiciel HomeKit d'Apple, maillon d'une chaîne d'attaque que le laboratoire associe à un exploit baptisé PWNYOURHOME — reposait sur une adresse électronique déjà repérée dans une campagne de mai 2024 visant sept journalistes et militants russophones et bélarussophones exilés en Europe. De ce recoupement, les chercheurs déduisent qu'un seul et même opérateur Pegasus a mené les deux opérations, ce qui pointe vers un client autorisé à espionner dans plusieurs juridictions européennes.

Autrement dit, le rapport ne décrit pas un acteur hors-la-loi, mais le client d'un produit commercial réglementé opérant sur le sol européen. NSO Group n'a pas répondu aux sollicitations ; l'entreprise a par le passé affirmé vérifier ses acheteurs étatiques et résilier les contrats de ceux qui abusent de son logiciel.

Un combat resté inachevé

La révélation tombe sur un dossier à peine refermé. En 2022 et 2023, la commission PEGA a documenté comment plusieurs États membres — parmi lesquels la Grèce, la Pologne, la Hongrie et l'Espagne — avaient déployé des logiciels espions contre des journalistes, des opposants et la société civile, avant de formuler une série de recommandations. Les élus concernés estiment que la Commission européenne les a, pour l'essentiel, laissées lettre morte.

Des eurodéputés en exercice voient dans ce nouveau rapport une attaque contre l'institution elle-même.

• Hannah Neumann, élue écologiste allemande et négociatrice au sein de la commission : « Beaucoup d'entre nous s'attendaient à des piratages pendant les travaux, mais il reste frustrant de découvrir aujourd'hui que cela a bel et bien eu lieu. »
• John Scott-Railton, chercheur principal au Citizen Lab et coauteur, avertit que le problème est loin d'être circonscrit : « Je sais quel sera le prochain chapitre de cette histoire — ce sera d'autres parlementaires piratés, et je parierais qu'il y a aujourd'hui des membres du Parlement européen qui se promènent sans se douter que le téléphone dans leur poche a été transformé en mouchard. »

Pourquoi Luxembourg est concerné

Le Parlement européen répartit ses travaux entre Bruxelles, Strasbourg et Luxembourg, et les garanties en jeu — indépendance parlementaire, liberté de la presse et confidentialité des sources d'une enquête — engagent les vingt-sept États membres, le Grand-Duché compris. Réussir à s'introduire dans le téléphone d'un élu qui contrôle la surveillance, c'est frapper la capacité même de l'Union à demander des comptes à cette surveillance. Reste à savoir si ces dernières preuves feront enfin passer Bruxelles de la recommandation à la règle contraignante : la question, pour l'heure, demeure ouverte.