Le logiciel espion israélien controversé Pegasus est aux mains d'un plus grand nombre d'États membres européens qu'on ne le pensait initialement. La société mère, NSO Group, a confirmé que quatorze pays européens, et non pas cinq, avaient acheté et utilisé le logiciel. On ignore de quels États membres il s'agit précisément, mais on sait en revanche que deux d'entre eux ont entre-temps résilié leur contrat avec la société.

Le logiciel est controversé depuis juillet 2021, lorsqu'il est apparu qu'il avait été utilisé de manière abusive par plusieurs autorités publiques, entre autres en Hongrie. Des opposants politiques, des journalistes, des activistes et des avocats ont été espionnés à l'aide de ce logiciel (cf. https://www.europa nu.nl/id/vlv5ml83wys2/nieuws/niet_vijf_maar_veertien_eu_landen_hebben?ctx=vh6ukzb3nnt0).

Pegasus est essentiellement vendu à des pays et à des services publics, qui l'utilisent pour s'introduire à distance dans des GSM et y exploiter toutes les informations disponibles possibles, des mots de passe aux données de localisation en passant par les contacts. Le logiciel permet également d'activer secrètement le micro et la caméra et de réaliser en catimini des captures d'écran.

Selon l'éditeur NSO Group, le logiciel Pegasus a en principe été conçu pour traquer des «organisations terroristes, cartels de la drogue, trafics d'êtres humains, cercles pédophiles et autres syndicats criminels».

Une enquête menée par un consortium de plus de 80 journalistes, à laquelle ont participé «Knack» et «Le Soir» dans notre pays, a révélé que Pegasus était également utilisé de manière abusive par les clients de NSO. L'information provient de la fuite d'une liste de plus de 50 000 numéros de téléphone désignés comme des cibles potentielles de Pegasus. Plus de 1 000 numéros de téléphone de 50 pays ont été identifiés par les journalistes comme appartenant à des universitaires, des avocats, des médecins, des dirigeants syndicaux, des diplomates, plus de 180 journalistes, au moins 85 militants des droits de l'homme et plus de 600 responsables politiques et fonctionnaires gouvernementaux, dont au moins 10 chefs d'État et de gouvernement. La liste qui a fuité compte également une douzaine de numéros de GSM belges.

Le Comité R, qui contrôle les services de renseignement dans notre pays, investigue pour savoir si la Sûreté de l'État belge et notre service de renseignement militaire ont également eu recours à l'outil d'espionnage Pegasus. Selon le ministre de la Justice Vincent Van Quickenborne, la Sûreté de l'État serait dans la légalité si elle utilisait Pegasus (cf. https://www.vrt.be/vrtnws/nl/2021/09/17/wat doet die spionagesoftware pegasus precies en wie vormt er e/).

En ce qui concerne le caractère transversal de la présente question écrite : les différents gouvernements et maillons de la chaîne de sécurité se sont accordés sur les phénomènes qui devront être traités en priorité au cours des quatre prochaines années. Ceux-ci sont définis dans la Note-cadre de sécurité intégrale et dans le Plan national de sécurité 2022-2025 et ont fait l'objet d'un débat lors d'une conférence interministérielle à laquelle les acteurs de la police et de la justice ont également participé. Il s'agit d'une matière transversale qui relève également des Régions, le rôle de ces dernières se situant surtout dans le domaine de la prévention.

Je voudrais dès lors vous poser les questions suivantes :

1) Pouvez-vous confirmer si les pouvoirs publics, les services d'ordre, les services de renseignement ou d'autres services ont eu recours au logiciel espion Pegasus ? Dans l'affirmative, sur quelle période s'est étendue l'utilisation de ce logiciel, quel but poursuivait-elle et a-t-elle encore lieu ? Quels services ont eu spécifiquement accès à ce logiciel ? Celui-ci a-t-il été utilisé pour surveiller secrètement des citoyens de notre pays ?

2) Nos services de sécurité ont-ils encore eu connaissance ces six derniers mois d'éléments indiquant que ce logiciel aurait été utilisé pour espionner illégalement des citoyens belges ? Avez-vous une idée de qui se cache derrière ces intrusions ?

3) Pouvez-vous dire si l'usage de tels logiciels espions pour smartphones a augmenté ou a diminué depuis la guerre en Ukraine ? Si oui, qui est le plus souvent ciblé et qui est le plus souvent à l'origine de ces intrusions ?

4) De quelles manières les services de sécurité et autres garantissent-ils que les smartphones des collaborateurs et dirigeants susceptibles de traiter des données sensibles sont préservés de toute intrusion par des tiers ? Des mesures de sécurité supplémentaires ont-elles entre-temps été mises en œuvre ou sont-elles en cours d'élaboration ? Dans l'affirmative, pouvez-vous préciser la nature de ces mesures et le délai dans lequel vous espérez qu'elles seront mises en place ? Dans le cas contraire, comment continuez-vous à assurer la sécurité ?

5) Pouvez-vous communiquer le nombre de personnes travaillant pour les pouvoirs publics ou les services d'ordre ou de sécurité dont on a constaté, au cours de l'année écoulée, que leur smartphone avait été infecté par le logiciel Pegasus ou un logiciel espion similaire ? Quels étaient les services concernés ? S'agissait-il de téléphones privés ou professionnels ? Les personnes concernées se sont-elles rendues à l'étranger ? A-t-on pu identifier qui était à l'origine du piratage ? Quelles ont été les suites réservées à la fuite de données précitée ?

1) Je ne peux me prononcer que pour le Service général du renseignement et de la sécurité (SGRS) et plus précisément, le Cyber Command.

Les services de renseignement belges ont un mandat légal leur permettant d’utiliser des outils développés par eux-mêmes ou de type commercial dans le cadre des méthodes de recueil des données (MRD). Ces outils ne peuvent être utilisés que sous contrôle légal strict et sous la supervision du Comité permanent R. En raison de la protection des capacités de nos services, aucun détail n’est rendu public en ce qui concerne les éventuels partenaires commerciaux et les solutions que nous employons.

2) Le SGRS n’a reçu aucun signal au cours des six derniers mois indiquant l’utilisation illégale du logiciel PEGASUS contre des citoyens belges.

3) Le SGRS n’a actuellement aucune information à ce sujet.

4) Une protection complète ne peut jamais être garantie, car il y a un jeu continu du chat et de la souris entre la découverte de nouvelles vulnérabilités dans les smartphones et la correction de ces failles.

Le Cyber Command organise régulièrement des campagnes de sensibilisation pour s’assurer que le personnel de la Défense maintienne une bonne «cyber hygiène». Par ailleurs, le projet Mobile Device as a Service est en cours au sein de la Défense belge. Dans ce cadre, les téléphones de service sont totalement ou partiellement «gérés» et les droits de l’utilisateur sont limités. Cela réduit considérablement le risque de téléchargement et d’installation de logiciels malveillants.

Par ailleurs, je tiens à ajouter certains éléments à cet égard: j’ai fait du renforcement des capacités cyber opérationnelles au sein du SGRS une véritable priorité depuis ma prise de fonction. Il constitue une étape importante afin de pouvoir faire face aux menaces hybrides actuelles (telles que la désinformation et les cyberattaques). Ceci s’est traduit par le lancement d’un Cyber Command, inauguré le 19 octobre 2022, et qui aboutira à terme à l’avènement d’une Composante à part entière de la Défense, en plus des quatre Composantes habituelles (Air, Terre, Mer et Médicale).

Je ne peux répondre à cette question que pour le personnel travaillant à la Défense belge. Durant l’année écoulée, pas un seul smartphone n’a été identifié comme étant infecté par PEGASUS.