Pegasus a visé son enquêteur européen

Stelios Kouloglou, eurodéputé grec membre de la commission PEGA, aurait vu son iPhone infecté par Pegasus en octobre 2022 puis en mars 2023. L’affaire expose la faille européenne : on sait prouver l’intrusion, beaucoup moins identifier l’État qui l’a commandée.

Stelios Kouloglou devait interroger les autres. Ancien journaliste grec devenu eurodéputé, il siégeait au sein de PEGA, la commission d’enquête du Parlement européen chargée d’examiner l’usage de logiciels espions commerciaux par des gouvernements de l’Union contre leurs propres citoyens. Cette commission pouvait convoquer des responsables, réclamer des documents et formuler des recommandations. Elle ne pouvait pas contraindre les services de renseignement nationaux à coopérer. Toute l’affaire tient dans cette limite.

Selon un nouveau rapport de Citizen Lab, l’iPhone de Kouloglou aurait été discrètement compromis vers octobre 2022 par l’outil même sur lequel il enquêtait : Pegasus, le logiciel espion du groupe israélien NSO (The Guardian, Le Monde). Une nouvelle infection serait intervenue en mars 2023, au moment où la commission travaillait à ses conclusions. Au moins une attaque était de type « zéro clic » : Pegasus exploitait une faille inconnue d’Apple, sans que l’utilisateur ait besoin d’ouvrir un lien ou de toucher son téléphone (The Straits Times).

L’Europe sait de mieux en mieux établir qu’un téléphone a été infecté. Elle peine encore à établir qui a donné l’ordre. C’est désormais le cœur politique du dossier.

Ce que signifie un téléphone infecté pour une commission d’enquête

La messagerie chiffrée fonctionne comme une enveloppe scellée : Signal protège le contenu pendant son trajet. Pegasus ne cherche pas à intercepter l’enveloppe sur la route. Il s’installe dans la pièce où la lettre est ouverte (Indian Express). Une fois actif, le logiciel peut accéder aux messages, aux contacts, aux données de localisation, et activer le microphone ou la caméra (Al Jazeera).

Pendant la période d’infection, Kouloglou coordonnait les travaux de la commission entre Athènes et Bruxelles, échangeait avec des collègues et des sources, et manipulait des projets de rapport (NDTV). Un téléphone compromis expose les carnets d’adresses ; les réseaux de lanceurs d’alerte et de témoins deviennent alors visibles pour l’opérateur. Des projets de rapport consultables offriraient aussi, à celui qui a commandé la surveillance, un accès anticipé aux conclusions de la commission. Les informations publiées ne permettent pas de savoir ce qui a été copié, le cas échéant (The Guardian). Mais une commission qui enquête sur les logiciels espions sans pouvoir protéger les appareils de ses propres membres voit son indépendance fragilisée à la racine.

Citizen Lab relie l’opération à une campagne Pegasus déjà documentée contre des journalistes et militants russophones et biélorussophones exilés en Europe, ce qui élargit l’affaire au-delà d’un simple dossier grec (The Times of Israel). Les chercheurs n’attribuent pas l’attaque à un gouvernement précis. Aucun élément ne désigne la Grèce comme opérateur (Al Jazeera).

La difficulté est structurelle. L’infection laisse des traces techniques. L’attribution suppose des preuves qui ne remontent presque jamais spontanément : bons de commande publics, journaux de serveurs, mandats judiciaires ou documents internes de services de renseignement, que ces services n’ont aucune raison de transmettre à une commission étrangère.

L’Espagne et la Hongrie montrent ce qui vient après la découverte

La cour d’appel de Barcelone a récemment rouvert le dossier Pegasus visant des responsables catalans, en ordonnant de nouvelles demandes d’information auprès du service de renseignement espagnol après deux ans d’inertie judiciaire sur un recours (elDiario.es). Le schéma est désormais familier : infection confirmée, attribution contestée, justice lente.

La Hongrie offre une autre leçon. Un haut responsable du Fidesz a reconnu publiquement que l’État avait acquis Pegasus, et l’autorité de protection des données a enquêté avant de conclure à l’absence d’irrégularité. Une grande partie de son raisonnement reste classifiée (Portfolio). Le contrôle formel, sans transparence publique, produit une clôture administrative plutôt qu’une réponse démocratique.

Ces deux précédents disent la même chose que l’affaire Kouloglou porte désormais au niveau européen : l’expertise technique fonctionne. La responsabilité politique, elle, décroche.

Les outils disponibles, et celui qui manque

Le Parlement européen affirme proposer depuis 2022 aux eurodéputés un dispositif de détection des logiciels espions (European Parliament via upday). L’Union a adopté le Cyber Resilience Act, qui fixe des exigences de sécurité pour les produits connectés afin de rendre logiciels et appareils plus difficiles à compromettre (European Commission). Des organisations de la société civile plaident aussi pour imposer aux vendeurs de logiciels espions des obligations de responsabilité lorsque leurs outils sont utilisés contre des journalistes ou des élus (Business & Human Rights Resource Centre).

Ces instruments traitent les bords du problème. Le dépistage intervient après coup. Les règles de sécurité des produits compliquent les intrusions, mais Pegasus n’est pas un accident dû à une mauvaise conception logicielle : c’est l’usage délibéré d’un outil offensif par des acheteurs autorisés. Les contrôles à l’exportation supposent, eux, que l’État exportateur les applique réellement. Aucun de ces mécanismes ne révèle qui a passé commande.

L’avocat de Kouloglou a annoncé des actions judiciaires en Grèce et à l’étranger (in.gr). Des eurodéputés de plusieurs groupes réclament désormais une action européenne contraignante contre l’usage illégal des logiciels espions (The Times of Israel).

Ce qui comblerait réellement la faille est plus exigeant : des laboratoires d’expertise indépendants dotés d’une autorité transfrontalière, des règles de transparence imposant aux vendeurs de tracer quel gouvernement a acheté quelle licence, et une coopération judiciaire qui se compte en mois plutôt qu’en années. Tant qu’un tel cadre n’existera pas, le scénario pourra se répéter. L’enquêteur devient la cible, et l’enquête continue sans savoir qui lit par-dessus son épaule.