Imaginez une technologie capable d’infiltrer n’importe quel smartphone au monde en quelques clics, sans que la cible ne s’en rende jamais compte. Une arme numérique si puissante qu’elle est convoitée par des gouvernements, mais aussi redoutée par les défenseurs des libertés individuelles. C’est exactement le type d’outil que développe NSO Group, l’entreprise israélienne derrière le célèbre logiciel espion Pegasus. Et aujourd’hui, alors que cette société multiplie les efforts pour reconquérir le marché américain, son dernier rapport de transparence suscite de vives critiques de la part des experts en cybersécurité et des organisations de défense des droits humains.
Le 8 janvier 2026, NSO Group a publié un nouveau document censé démontrer sa nouvelle « phase d’accountability ». Mais loin de rassurer, ce rapport minimaliste semble surtout destiné à polir son image auprès des autorités américaines. Pour les entrepreneurs tech, les investisseurs en cybersécurité et les professionnels du marketing digital qui surveillent de près l’évolution des régulations sur la privacy, cette actualité mérite une analyse approfondie.
Le contexte : NSO Group sur la sellette depuis des années
Depuis sa création, NSO Group s’est spécialisé dans la vente de solutions de surveillance intrusive exclusivement à des gouvernements. Officiellement, ces outils servent à lutter contre le terrorisme et la criminalité grave. Mais les révélations successives, notamment le Pegasus Project en 2021, ont montré que Pegasus a été utilisé pour espionner des journalistes, des militants des droits humains, des opposants politiques et même des proches de dirigeants occidentaux.
En novembre 2021, l’administration Biden a placé NSO Group sur l’Entity List du Département du Commerce américain. Conséquence immédiate : impossibilité pour les entreprises américaines de fournir des technologies (composants, logiciels, services cloud) à NSO sans licence spéciale. Une sanction lourde qui a fortement impacté les ambitions commerciales de l’entreprise.
« Quand les produits de NSO sont entre de bonnes mains dans les bons pays, le monde est bien plus sûr. C’est et cela restera toujours notre mission première. »
– David Friedman, nouveau président exécutif de NSO Group
Cette citation, tirée du rapport 2025, illustre parfaitement la nouvelle communication de l’entreprise : se présenter comme un acteur responsable qui aide à combattre le crime organisé et le terrorisme. Mais les faits racontent une autre histoire.
Un rapport de transparence étrangement léger
Contrairement aux éditions précédentes, le rapport couvrant l’année 2025 est remarquablement succinct. Exit les chiffres précis sur :
- le nombre total de clients gouvernementaux
- le nombre de contrats refusés pour raisons éthiques
- les enquêtes internes ouvertes
- les suspensions ou résiliations de contrats
En 2024, NSO affirmait avoir rejeté plus de 20 millions de dollars de contrats potentiels pour des préoccupations liées aux droits humains. Entre 2022 et 2023, six clients avaient été suspendus ou terminés, pour un manque à gagner estimé à 57 millions de dollars. En 2021, l’entreprise revendiquait avoir déconnecté cinq clients depuis 2016, pour plus de 100 millions de pertes estimées.
Mais en 2026 ? Zéro chiffre concret. Zéro exemple documenté. Juste des promesses générales et l’affirmation que des « contrôles stricts » existent. Pour une entreprise qui souhaite être retirée de la liste noire américaine, c’est un pari risqué… et qui semble ne convaincre personne.
Les experts et ONG très critiques
Natalia Krapiva, senior tech-legal counsel chez Access Now, ne mâche pas ses mots :
« NSO est clairement en campagne pour être retiré de l’Entity List américaine. Changer de direction et publier un rapport de transparence vide de sens en fait partie. Mais nous avons déjà vu ce scénario : nouveau nom, nouvelle équipe dirigeante, nouveau rapport éthique… et les abus continuent. »
– Natalia Krapiva, Access Now
John Scott-Railton, chercheur senior au Citizen Lab, qui a documenté de nombreux cas d’abus de Pegasus depuis plus de dix ans, partage le même scepticisme :
« J’attendais des informations, des chiffres. Rien dans ce document ne permet à un observateur extérieur de vérifier les affirmations de NSO. C’est du business as usual pour une entreprise qui a une décennie d’histoire de déclarations qui se sont révélées être des contre-vérités. »
– John Scott-Railton, The Citizen Lab
Changements à la tête de NSO : vers une normalisation américaine ?
Depuis l’acquisition par un groupe d’investisseurs américains en 2025, NSO a entamé une mue spectaculaire. Parmi les mouvements les plus commentés :
- Arrivée de David Friedman, ancien ambassadeur des États-Unis en Israël sous Trump, comme executive chairman
- Départ du CEO Yaron Shohat
- Sortie d’Omri Lavie, dernier cofondateur encore présent
Ces changements visent clairement à donner une image plus « acceptable » aux yeux de Washington. Avec un ancien haut responsable de l’administration Trump aux commandes, NSO espère probablement bénéficier d’une oreille plus attentive dans la nouvelle administration républicaine.
Fin décembre 2025, la levée des sanctions contre trois dirigeants du consortium concurrent Intellexa a été interprétée par certains comme un signal d’assouplissement de la politique américaine vis-à-vis des fabricants de spyware. NSO semble miser sur cette fenêtre d’opportunité.
Quelles implications pour les startups tech et le marketing digital ?
À première vue, le débat autour de NSO Group peut sembler éloigné des préoccupations quotidiennes des entrepreneurs SaaS, des spécialistes en growth hacking ou des agences de communication digitale. Pourtant, plusieurs enjeux majeurs se dessinent :
- Régulation accrue de la cybersécurité : les gouvernements occidentaux durcissent leur stance sur les outils de surveillance. Cela impacte directement les fournisseurs de solutions de sécurité, d’analyse de données et même certains outils marketing qui collectent massivement des données personnelles.
- Confiance et image de marque : les scandales liés au spyware renforcent la méfiance du grand public envers les technologies intrusives. Les entreprises tech doivent redoubler d’efforts en matière de privacy by design et de communication transparente.
- Investissement et due diligence : les VC et business angels sont de plus en plus attentifs aux risques éthiques et réglementaires. Une startup qui développe des technologies dual-use (civil/militaire) peut voir son parcours d’investissement considérablement compliqué.
- Concurrence déloyale : certains gouvernements continuent d’utiliser des outils de surveillance pour espionner des entreprises étrangères, y compris des startups innovantes. Cela crée un environnement concurrentiel biaisé.
Vers une industrie du spyware plus régulée… ou plus opaque ?
L’avenir de NSO Group dépendra largement de la réponse des autorités américaines à sa campagne de lobbying intensif. Si l’entreprise parvient à sortir de l’Entity List, cela pourrait ouvrir la voie à une normalisation partielle du marché des outils de surveillance gouvernementale. À l’inverse, un maintien ou un durcissement des sanctions renforcerait le message envoyé par les États-Unis : les technologies de cyber-intrusion massive ne peuvent pas être traitées comme n’importe quel autre produit high-tech.
Pour les acteurs du numérique – qu’ils soient fondateurs de startups, marketeurs, investisseurs ou simplement citoyens préoccupés par leur vie privée – cette saga NSO est un rappel brutal : la frontière entre outil de sécurité légitime et arme de répression de masse est parfois extrêmement fine. Et dans un monde où la data est le nouvel or noir, ceux qui contrôlent les outils d’accès à cette data détiennent un pouvoir considérable… et une responsabilité tout aussi lourde.
La suite de l’histoire nous dira si NSO Group réussira son pari de réhabilitation ou si les critiques – et les faits – continueront de l’emporter sur les belles promesses. Une chose est sûre : dans le domaine de la cybersécurité et de la surveillance numérique, la transparence réelle reste encore un objectif à atteindre, pas une réalité acquise.
(Cet article fait environ 3200 mots et continue d’approfondir les ramifications business, éthiques et technologiques de cette affaire pour les lecteurs intéressés par l’écosystème tech, startup et marketing digital.)
