Pegasus : Amnesty relie la surveillance marocaine à des cibles européennes

Le pouvoir d’un service de renseignement ne s’arrête plus nécessairement à sa frontière. Lorsqu’un téléphone peut être compromis à distance, les déplacements à l’étranger ne suffisent pas à protéger les échanges d’un militant ou d’un responsable public. Un nouveau rapport d’Amnesty International sur la surveillance numérique au Maroc place cette capacité extraterritoriale au centre du dossier Pegasus.

Dans son rapport consacré à l’appareil de surveillance marocain, l’organisation attribue aux autorités du royaume des opérations contre la société civile entre 2017 et 2021. Elle évoque également une possible poursuite de ces pratiques après cette période, sans donner à cette hypothèse le même degré de certitude. Ses conclusions reposent sur des analyses techniques, des traces d’infection et des éléments documentaires.

Le gouvernement marocain a déjà contesté les accusations d’utilisation de Pegasus. L’attribution présentée ici est celle d’Amnesty International, non une conclusion judiciaire. L’enjeu dépasse néanmoins la seule controverse diplomatique : le rapport décrit comment des outils vendus par des entreprises privées peuvent renforcer la capacité d’un État à surveiller des personnes installées hors de son territoire.

La surveillance numérique au Maroc, une accumulation de capacités

Pegasus, développé par l’entreprise israélienne NSO Group, n’apparaît pas dans le rapport comme un dispositif isolé. Amnesty replace son utilisation présumée dans une succession d’acquisitions et d’usages de technologies de surveillance. Cette profondeur historique importe : elle décrit une capacité construite dans la durée, plutôt qu’une opération ponctuelle.

L’organisation mentionne notamment Eagle, un système de surveillance de masse acquis au début des années 2010 auprès de l’entreprise française Amesys. Elle revient aussi sur Remote Control System, le logiciel de la société italienne Hacking Team, utilisé en 2012 contre des membres du collectif Mamfakinch. FinSpy, associé à Gamma Group et FinFisher, figure également parmi les outils recensés.

Ces produits ne remplissent pas tous la même fonction. La surveillance de flux à grande échelle et l’infection ciblée d’un appareil constituent des capacités distinctes. Leur présence dans un même appareil de sécurité élargit toutefois les possibilités de collecte : observer des communications et accéder directement à un terminal sont deux voies complémentaires pour obtenir de l’information.

Des courriels issus de la fuite de données de Hacking Team en 2015 font remonter les relations contractuelles avec deux organismes marocains à au moins 2009 : la Direction générale de la surveillance du territoire, ou DGST, et le Comité des secrets de la défense nationale. Selon ces documents, la DGST disposait d’une licence permettant d’infecter jusqu’à 2 000 appareils. Ce chiffre décrit un plafond contractuel, pas le nombre de personnes effectivement surveillées. Les éléments fournis ne permettent pas de chiffrer le coût total de ces capacités.

De l’infection du téléphone à l’attribution étatique

La difficulté centrale du dossier est de relier une attaque à son opérateur. Détecter Pegasus dans un téléphone permet d’identifier un outil. Cela ne suffit pas, à soi seul, à établir quel client l’a utilisé. Amnesty cherche précisément à franchir cette étape en croisant plusieurs familles d’indices.

Le rapport indique qu’un serveur VPN de NSO Group était déployé, en septembre 2017, dans une plage d’adresses IP rattachée à la DGST. L’organisation rapproche cet élément d’informations antérieures selon lesquelles des agents du service auraient testé le système sur leurs propres numéros à la même période. La concordance temporelle renforce son analyse, sans transformer chaque indice pris séparément en preuve exhaustive.

Un autre rapprochement porte sur les comptes Apple iCloud employés dans les opérations. D’après Amnesty, des comptes utilisés pour cibler des ministres espagnols auraient également servi contre un membre de la société civile marocaine et contre Claude Mangin, compagne du militant sahraoui Naama Asfari, emprisonné au Maroc.

L’organisation affirme que NSO Group attribue ces comptes de manière exclusive à un client. Elle en déduit que les opérations concernées relèvent d’un même système Pegasus et estime pouvoir les attribuer au Maroc avec un niveau élevé de confiance. La solidité de cette conclusion dépend donc aussi de la connaissance des règles d’affectation des infrastructures du fournisseur. C’est un point essentiel pour distinguer la détection technique de l’attribution politique.

Le téléphone devient un accès aux réseaux humains

La surveillance numérique au Maroc a également évolué avec les méthodes d’infection décrites par Amnesty. Certaines attaques exigeaient que la personne ouvre un lien piégé. D’autres reposaient sur des vulnérabilités permettant de compromettre un appareil sans interaction de son utilisateur, selon le principe des attaques dites « zéro clic ».

Cette évolution modifie le rapport de force. Avec un lien malveillant, la vigilance de la cible peut encore interrompre l’opération. Une attaque sans clic réduit cette marge de protection individuelle. La sécurité dépend davantage du fabricant du terminal, de la correction des vulnérabilités et des moyens d’investigation disponibles après une éventuelle infection.

Pour une organisation de défense des droits, l’enjeu ne concerne pas seulement le propriétaire du téléphone. Un appareil rassemble des échanges, des contacts et des informations sur des tiers. Sa compromission peut donc exposer un réseau de relations. C’est ce mécanisme qui donne à la surveillance ciblée une portée collective, même lorsque le nombre de terminaux attaqués reste limité.

Un enjeu de protection en France et en Europe

Amnesty attribue au système marocain des attaques contre des membres de la société civile établis en France, ainsi que le ciblage de responsables politiques français et espagnols et de militants liés au Sahara occidental. Pour les États européens, ces conclusions posent une question concrète de protection des communications sur leur territoire, distincte de leurs relations diplomatiques avec Rabat.

Le dossier met aussi en lumière une chaîne commerciale internationale. Les entreprises citées sont françaises, italiennes, israéliennes ou liées à des structures anglo-allemandes. La capacité opérationnelle d’un État peut ainsi dépendre de fournisseurs étrangers, de leurs infrastructures et de leur maintenance. Contrôler la vente d’un logiciel ne suffit pas nécessairement à suivre l’ensemble de son utilisation ultérieure.

Le rapport sur la surveillance numérique au Maroc laisse donc plusieurs points à documenter : la continuité éventuelle des opérations après 2021, les conditions précises des contrats et les garanties imposées aux fournisseurs. Pour les autorités françaises et européennes, l’enjeu est de pouvoir détecter ces intrusions, protéger les personnes concernées et établir des responsabilités suffisamment étayées pour fonder une réponse publique.