Si on ne cherche pas, on ne détecte pas

Les chercheurs du Citizen Lab ont pu montrer que l’iPhone de l’ancien eurodéputé grec Stelios Kouloglou a été infecté par le logiciel espion alors qu’il participait à la commission d’enquête qui enquêtait sur Pegasus.

Stelios Kouloglou a été député européen pendant 9 ans, de 2015 à 2024. En analysant son smartphone, les chercheurs du Citizen Lab ont pu constater que celui-ci a été infecté alors qu’il participait, en tant que suppléant, à la commission d’enquête montée en 2022 par le parlement européen. Elle a été créée pour faire la lumière « sur les allégations de violation ou de mauvaise administration dans l’application du droit de l’Union européenne en ce qui concerne l’utilisation de Pegasus et de logiciels de surveillance équivalents ».

Une infection en pleine commission d’enquête

Dans un billet de blog, le Citizen Lab de l’Université de Toronto l’affirme : « Nous avons établi avec un haut degré de certitude que son appareil a été infecté par le logiciel espion Pegasus le 21 octobre 2022 ou aux alentours de cette date, puis à nouveau les 6 et 7 mars 2023 ». Les chercheurs ont retrouvé les traces de l’utilisation du réseau mobile par un processus de Pegasus le 21 octobre 2022. Le smartphone, qui tournait avec la version 15.5 d’ iOS, aurait été piraté à ce moment-là à l’aide de l’exploit zéro clic PWNYOURHOME. Cette attaque a été bloquée officiellement par Apple depuis une version plus récente du système d’exploitation de l’iPhone (iOS 16.3.1).

Les chercheurs du Citizen Lab expliquent avoir aussi constaté une activité liée à Pegasus sur l’appareil du député européen entre le 6 mars 2023 à 09 h 49 et le 7 mars 2023 à 07 h 30. Cela montre que le logiciel espion a bien été utilisé sur l’appareil de Stelios Kouloglou sans pour autant en conclure que ça soit la seule activité du logiciel sur le smartphone.

Au moment de la première trace d’infection de l’iPhone, la commission d’enquête européenne sur Pegasus est très active. Ainsi, elle auditionnait le 26 octobre 2022 Shane Huntley, responsable du groupe de recherche de Google sur les menaces cyber, le même jour des think tanks comme l’EDRi ou THIBER et le lendemain un panel sur « l’impact des logiciels espions sur les droits fondamentaux ». Elle préparait aussi le premier jet de son rapport initial. Elle a aussi organisé des visites dans plusieurs pays, notamment en Grèce et à Chypre, avec la participation de Stelios Kouloglou qui a également aidé à les mettre en place.

Détection sans lien avec les institutions européennes

Le Citizen Lab précise ne pas être en mesure de déterminer le client de NSO qui a ciblé Stelios Kouloglou. Les chercheurs pensent cependant que c’est le même commanditaire qui a ciblé des journalistes indépendants et militants russes et biélorusses dont ils avaient déjà analysé les smartphones.

Le plus préoccupant peut-être, c’est que cette analyse a été faite de manière fortuite. Car aucune institution européenne n’est à son origine. En effet, c’est Stelios Kouloglou qui a pris lui-même l’initiative en mai 2026, alors qu’il n’est plus député européen depuis presque 2 ans. Celui-ci a contacté le Citizen Lab alors qu’il a repris ses activités de journaliste et d’écrivain.

« Quand on se rend compte que sa vie privée est scrutée par des personnes malintentionnées, ça énerve », fulmine Stelios Kouloglou interrogé par le Guardian, « c’est un problème majeur qui touche à la corruption, à la justice et à la démocratie ».

Selon le Citizen Lab, « c’est la première fois qu’un membre de la commission d’enquête sur Pegasus est publiquement identifié comme victime du logiciel espion Pegasus alors qu’il siégeait au sein de ce comité ».

One more time

Après avoir été rejetée fin mars, la proposition visant à autoriser les grands acteurs du numérique à surveiller volontairement les communications électroniques pour y détecter les contenus relevant d’abus sexuels sur mineurs est remise sur la table par le Conseil européen.

Le Conseil européen a remis sur la table des discussions européennes le dossier de la détection des contenus relevant d’abus sexuels sur mineurs par les entreprises du numériques.

Le Parlement européen avait rejeté, fin mars, la proposition de la Commission d’autoriser, jusqu’en 2027, les grands acteurs du numérique à surveiller volontairement les communications électroniques pour y détecter les contenus relevant d’abus sexuels sur mineurs.

Ce texte devait prolonger la directive e-privacy qui expirait le 3 avril, en attendant la conclusion des négociations relatives à un cadre juridique à long terme : le projet Child Sexual Abuse Regulation (CSAR), aussi appelé Chat Control.

Sans nouveau texte, les entreprises n’ont théoriquement plus le droit de scanner les conversations qui passent par leurs services à la recherche de contenus pédocriminels.

Le Conseil évoque un « vide juridique » à combler

Mais au Conseil européen, les pays membres se sont mis d’accord sur un nouveau règlement temporaire [PDF] et relancent le processus, comme l’expliquent nos confrères de Contexte.

« Le Conseil regrette qu’il n’ait pas été possible de parvenir à un accord politique avec le Parlement européen sur la prorogation du règlement provisoire relatif à la lutte contre l’exploitation sexuelle des enfants en ligne en première lecture », affirme un texte en annexe de la proposition du nouveau règlement.

« Toutefois, compte tenu de l’importance d’éviter un vide juridique prolongé dans la lutte contre l’abus sexuel des enfants en ligne et du fait que les négociations interinstitutionnelles sur le cadre juridique à long terme sont toujours en cours, le Conseil a décidé d’adopter une position en première lecture », justifient les gouvernements des pays membres.

Leur proposition n’est rien d’autre qu’un copier/coller du texte expiré en adaptant seulement les dates pour pousser la validité jusqu’en avril 2028. Un règlement expiré ne pouvant être prolongé, le Conseil est passé par ce subterfuge.

Cela permettrait, selon certains détracteurs cités par Heise, de contourner le droit d’initiative de la Commission européenne, mais aussi d’éviter de solliciter un nouvel avis du Contrôleur européen de la protection des données. Selon nos confrères allemands, le gouvernement de leur pays est aux avant-postes pour faire passer le texte.

La présidente du Parlement européen aux manettes

Mais, selon Politico, ce n’est autre que la présidente du Parlement européen, Roberta Metsola (du Parti nationaliste maltais), qui serait à l’origine de la démarche consistant à remettre au vote un projet de loi que son propre parlement avait rejeté. Nombre de députés européens considèrent, selon nos confrères, que Metsola a court-circuité leur autorité. La députée écologiste tchèque Markéta Gregorová s’est dite « extrêmement surprise ». Et sa collègue belge du groupe Renew, Hilde Vautmans, a affirmé que rouvrir le débat sur la loi temporaire était une « impasse politique ».

Selon des informations de Contexte et de militants contre la surveillance, la proposition serait à l’ordre du jour de la séance plénière du Parlement européen la semaine prochaine.

Le Conseil européen a fait cette proposition alternative après avoir essuyé, le 29 juin dernier, un échec concernant le règlement définitif contre les abus sexuels sur mineurs en ligne (CSAM) menant à un trilogue infructueux entre la Commission, le Parlement et le Conseil.

Des députés européens ont relaté à Heise une séance avec d’intenses pressions de la part des États membres auxquels ils auraient résisté contre la mise en place d’une surveillance de masse généralisée. Le communiqué du parlement évoque des « progrès substantiels » qui « permettent désormais de [se] concentrer sur la recherche de solutions équilibrées concernant les aspects restants du règlement, notamment en matière de détection, et ce dès que possible ». Les négociations autour de Chatcontrol sont encore vives.