Imaginez la scène : vous êtes un journaliste en Serbie, arrêté lors d’un banal contrôle routier. La police vous emmène au poste pour un interrogatoire et s’empare de votre smartphone. Lorsqu’on vous le restitue, vous remarquez que vos données mobiles et votre Wi-Fi sont désactivés. Quelque chose cloche. Selon un récent rapport d’Amnesty International, c’est exactement ce qui est arrivé cette année à un journaliste et un activiste serbes, victimes de l’utilisation abusive par les autorités locales d’un outil de déverrouillage de téléphone fabriqué par Cellebrite.

Cellebrite, l’outil prisé des forces de l’ordre

Cellebrite, une entreprise israélienne spécialisée dans l’extraction de données mobiles, fournit ses solutions à de nombreux gouvernements et agences de police à travers le monde. Ses outils permettent de déverrouiller des smartphones, même protégés par un code, afin d’accéder aux données qu’ils contiennent. Si officiellement ces solutions doivent servir dans le cadre d’enquêtes légitimes, leur utilisation à des fins de surveillance illégale soulève de sérieuses questions sur le respect de la vie privée.

La police serbe espionne journalistes et activistes

Selon l’enquête menée par Amnesty, la police serbe aurait utilisé les outils de Cellebrite non seulement pour déverrouiller les téléphones du journaliste Slaviša Milanov et de l’activiste Nikola Ristić, mais aussi pour y installer un logiciel espion baptisé NoviSpy. Développé localement selon toute vraisemblance, ce malware permettrait aux autorités de surveiller en continu les communications et les données des personnes visées.

J’ai remarqué que mes données mobiles et mon Wi-Fi étaient désactivés. Les données mobiles sont toujours activées sur mon téléphone. C’était le premier signe que quelqu’un était entré dans mon appareil.

– Slaviša Milanov, journaliste serbe

L’analyse forensique du téléphone de Milanov a confirmé qu’il avait été déverrouillé à l’aide des outils de Cellebrite, avant d’être infecté par le spyware NoviSpy lors de sa détention par la police en février dernier. Des traces d’intrusion similaires ont été retrouvées sur les appareils d’autres membres de la société civile serbe, ciblés lors d’arrestations ou d’interrogatoires orchestrés dans le but d’accéder à leurs données personnelles.

Les autorités serbes dans le viseur

Plusieurs indices techniques découverts par les chercheurs d’Amnesty pointent vers l’Agence de sécurité et de renseignement serbe (BIA) comme étant à l’origine du développement et de l’utilisation de NoviSpy :

• Des commentaires et chaînes de caractères en serbe dans le code du malware
• Un serveur de commande et contrôle hébergé en Serbie
• Une adresse IP liée à un agent de la BIA en 2015

De plus, certains éléments laissent penser que le spyware serait utilisé à grande échelle par les services serbes pour surveiller illégalement des dizaines, voire des centaines de cibles depuis plusieurs années. Une version datant de 2018 a notamment été retrouvée sur VirusTotal, une plateforme d’analyse de malwares.

Cellebrite se défend, la Serbie ne répond pas

Contacté par TechCrunch suite à la publication du rapport, un porte-parole de Cellebrite a déclaré que ses outils ne pouvaient pas être utilisés directement pour installer des logiciels malveillants, tout en promettant de mener une enquête sur l’utilisation qui en est faite par la Serbie. En cas de violation de son accord d’utilisation, l’entreprise pourrait « réévaluer » sa relation commerciale avec ce pays. De leur côté, l’Agence de renseignement et le ministère de l’Intérieur serbes n’ont pas donné suite aux demandes de commentaires.

Une menace croissante pour les défenseurs des droits humains

Au-delà du cas serbe, ce type de surveillance ciblée représente une menace de plus en plus préoccupante pour les journalistes, les activistes et tous ceux qui, à travers le monde, défendent les droits humains et les libertés fondamentales. Avec la démocratisation des outils d’extraction de données comme ceux de Cellebrite et la propagation de logiciels espions toujours plus sophistiqués, il est à craindre que ces pratiques abusives ne se généralisent, y compris dans les pays dits démocratiques.

Alors que les failles de sécurité « zero-day » et les logiciels espions deviennent plus chers en raison des améliorations de sécurité, les autorités pourraient devoir compter davantage sur des méthodes moins sophistiquées, comme mettre physiquement la main sur les téléphones qu’elles veulent pirater.

– Lorenzo Franceschi-Bicchierai, Journaliste spécialisé en cybersécurité chez TechCrunch

Face à ces dérives, il est urgent que les entreprises comme Cellebrite renforcent le contrôle sur l’usage fait de leurs technologies et que la communauté internationale se dote de garde-fous pour protéger ceux qui, au péril de leur vie, font vivre l’information libre et indépendante. C’est le fondement même de nos démocraties qui est en jeu.