L’eurodéputé grec Stelios Kouloglou, membre de la commission PEGA chargée d’enquêter sur les dérives de Pegasus, a été lui-même victime du logiciel espion, selon une révélation du laboratoire Citizen Lab de l’université de Toronto. Cette affaire met en lumière les risques que courent les personnes chargées d’enquêter sur les logiciels espions, et souligne l’importance de protéger la confidentialité des données sensibles. La commission PEGA a été créée en 2022 pour enquêter sur l’usage de Pegasus et des logiciels espions équivalents contre des journalistes, des avocats et des opposants sur le sol de l’Union européenne. Les travaux de la commission ont abouti à des recommandations votées en 2023, mais celles-ci restent lettre morte. L’affaire de Stelios Kouloglou est la première fois qu’un membre de la commission PEGA est publiquement identifié comme victime du logiciel qu’il était censé passer au crible.
Deux infections synchronisées avec l’agenda de la commission
L’analyse du téléphone de Stelios Kouloglou établit avec un haut degré de confiance deux compromissions distinctes. La première remonte aux alentours d’octobre 2022, alors que la commission préparait ses auditions et le premier jet de son rapport. La seconde intervient vers mars 2023, en pleine discussion sur la version finale du texte. Ces deux fenêtres correspondent, à chaque fois, aux moments où savoir ce qui se disait dans les couloirs de la commission valait de l’or pour quelqu’un. Pegasus s’installe sans le moindre clic de la victime, l’équivalent numérique d’un cambriolage sans effraction, avant d’aspirer messages, photos, appels et micro. Stelios Kouloglou était par ailleurs hospitalisé au moment de la première infection, ce qui a pu exposer des informations médicales couvertes par le secret.
Les membres de la commission PEGA s’attendaient à être piratés, selon une collègue allemande de la commission. Stelios Kouloglou a annoncé des poursuites contre NSO Group, l’éditeur israélien du logiciel, qui n’a pas répondu aux sollicitations. La commission PEGA a été créée dans la foulée des révélations du Pegasus Project à l’été 2021, qui avaient placé la France au premier rang des pays concernés. Le numéro d’Emmanuel Macron figurait alors parmi les cibles potentielles sélectionnées par un client de NSO, et l’Élysée avait changé ses téléphones dans la semaine.
Les recommandations votées en 2023, restées lettre morte
La commission PEGA a adopté ses recommandations le 15 juin 2023, par 411 voix pour. Mais celles-ci restent lettre morte. Les recommandations portaient sur la nécessité de protéger les droits de l’homme et les libertés fondamentales, ainsi que sur la nécessité de renforcer les règles de confidentialité et de sécurité des données. La commission a également recommandé de prendre des mesures pour prévenir les abus de Pegasus et des logiciels espions équivalents. Mais pour l’instant, rien n’a été mis en œuvre pour appliquer ces recommandations.
Les conséquences de l’affaire
L’affaire de Stelios Kouloglou a des conséquences importantes pour la commission PEGA et pour l’Union européenne. Elle met en lumière les risques que courent les personnes chargées d’enquêter sur les logiciels espions, et souligne l’importance de protéger la confidentialité des données sensibles. Elle montre également que les logiciels espions comme Pegasus peuvent être utilisés pour espionner des personnes qui sont censées enquêter sur ces mêmes logiciels. Cela soulève des questions sur la capacité de l’Union européenne à protéger les droits de l’homme et les libertés fondamentales, ainsi que sur la capacité de la commission PEGA à mener à bien son enquête.
Notre verdict
L’affaire de Stelios Kouloglou est un scandale qui met en lumière les risques que courent les personnes chargées d’enquêter sur les logiciels espions. Elle souligne l’importance de protéger la confidentialité des données sensibles et de renforcer les règles de sécurité des données. La commission PEGA doit prendre des mesures pour appliquer ses recommandations et pour protéger les droits de l’homme et les libertés fondamentales. L’Union européenne doit également prendre des mesures pour prévenir les abus de Pegasus et des logiciels espions équivalents. Il est temps de prendre des mesures concrètes pour protéger les citoyens européens contre les logiciels espions et pour défendre les droits de l’homme et les libertés fondamentales.
