Imaginez un instant que vous soyez journaliste, défenseur acharné de la vérité et de la transparence. Vous enquêtez sur des sujets sensibles, dérangeants pour certains pouvoirs en place. Et un jour, lors d’un banal contrôle routier, la police vous embarque et s’empare de votre téléphone. Quand on vous le rend, vous avez un très mauvais pressentiment…

C’est exactement ce qui est arrivé à Slaviša Milanov, journaliste serbe, en février dernier. Selon un rapport d’Amnesty International, la police serbe aurait utilisé un outil de la société israélienne Cellebrite pour déverrouiller son smartphone et y installer un logiciel espion baptisé NoviSpy.

Cellebrite, l’allié controversé des forces de l’ordre

Cellebrite est bien connu des services de police et de renseignement du monde entier. Cette entreprise fournit des solutions pour extraire des données de smartphones verrouillés, une aubaine dans les enquêtes criminelles. Mais c’est aussi une porte ouverte aux dérives en matière de surveillance et d’atteinte à la vie privée.

D’après Amnesty, c’est la première fois que l’utilisation détournée des outils Cellebrite pour installer un spyware est documentée de manière aussi détaillée. Un cas qui en dit long sur les dangers de ces technologies entre de mauvaises mains.

NoviSpy, un malware taillé sur mesure

L’analyse du code de NoviSpy par les experts d’Amnesty ne laisse guère de doute. Ce malware a très probablement été développé par les services de renseignement serbes, au vu des commentaires en serbe dans le code et des serveurs de communication situés en Serbie.

NoviSpy serait utilisé de manière systématique contre des membres de la société civile, profitant d’arrestations ou d’interrogatoires pour infecter leurs appareils. Un identifiant utilisateur dans le code suggère qu’en l’espace d’un mois, plus de 20 personnes auraient été ciblées !

Un précédent inquiétant

Le cas de Slaviša Milanov est loin d’être isolé. Amnesty a identifié d’autres victimes de NoviSpy en Serbie, principalement des militants associatifs et politiques. Et ce n’est que la partie émergée de l’iceberg.

Ces techniques intrusives nous ramènent aux débuts du spyware étatique dans les années 2000, quand les autorités devaient physiquement accéder à un appareil pour l’infecter.

– Lorenzo Franceschi-Bicchierai, TechCrunch

Avec les progrès de la sécurité des smartphones, ce genre de méthode « à l’ancienne » pourrait se multiplier, les spywares « sans clic » devenant plus difficiles et coûteux à déployer.

Un défi pour nos démocraties

Au-delà de la Serbie, c’est un véritable enjeu démocratique qui se dessine. Comme le souligne TechCrunch, même aux États-Unis, les services d’immigration (ICE) ont massivement investi dans les outils Cellebrite. De quoi s’inquiéter pour les libertés publiques, à l’heure où Donald Trump promet des expulsions massives…

Face à ces dérives, les entreprises comme Cellebrite ne peuvent se dédouaner de toute responsabilité. Contacté par TechCrunch, Cellebrite assure que ses outils ne peuvent pas directement installer de malware. Mais indirectement, ils ouvrent clairement la voie à de telles pratiques abusives.

Vers plus de transparence et de contrôle

Pour endiguer le risque, il est urgent d’encadrer strictement la commercialisation et l’usage de ces technologies très intrusives. Les États doivent légiférer, et la société civile rester plus que jamais vigilante.

Des garde-fous indispensables pour préserver le difficile équilibre entre sécurité et respect de la vie privée. Et éviter que les « défenseurs de la démocratie » se transforment en Big Brother version 2.0, smartphone en main.