Depuis 2021, le Maroc nie avoir utilisé le logiciel espion Pegasus. Une enquête coordonnée par Forbidden Stories, avec la cellule investigation de Radio France, apporte de nouvelles preuves et révèle l’arsenal déployé par les renseignements intérieurs marocains contre les voix critiques.
Cinq ans après le projet Pegasus de 2021, qui avait révélé l’ampleur mondiale de l’usage du logiciel espion israélien, une nouvelle enquête coordonnée par Forbidden Stories se concentre sur le Maroc. Intitulée « Projet Pegasus : Au cœur de l’appareil de surveillance marocain », elle réunit 39 journalistes issus de 14 médias, dont la cellule investigation de Radio France, avec Amnesty International comme partenaire technique.
Cette investigation prolonge le travail mené depuis plusieurs années par Hicham Mansouri, journaliste marocain et lui-même victime de Pegasus, qui s’est associé à Forbidden Stories pour ce projet. Le point de départ de ce nouveau volet est la rencontre d’Hicham Mansouri avec un ancien membre des services de sécurité marocains, désigné sous le pseudonyme de « Safir ». Celui-ci a travaillé près d’une décennie au sein de la Direction générale de la surveillance du territoire, la DGST, le renseignement intérieur marocain, qu’il a quitté depuis plusieurs années.
Son témoignage exceptionnel et inédit permet de comprendre la façon dont les services du Royaume désignent leurs cibles, récupèrent leurs données, surveillent leurs proches, puis transforment des informations privées en moyens de pression ou de poursuites. Son récit a été confronté aux témoignages de deux autres anciens membres des services. Parallèlement, le consortium a analysé des documents internes, des données techniques, des archives de ciblage Pegasus et les résultats d’analyses menées par le Security Lab d’Amnesty International.
Pegasus, l’infection silencieuse
À la fin de l’été 2017, des démonstrations de Pegasus sont menées par des représentants de NSO Group devant des responsables et des techniciens de la DGST. Dans une villa de Rabat, des téléphones sont infectés : la caméra s’allume à distance, puis le micro. Les SMS, les messages et les fichiers deviennent accessibles depuis une console.
« Du jamais-vu auparavant. Les attaques de NSO étaient merveilleuses : ils exploitaient les failles des systèmes Android et iOS », raconte l’ancien agent. À l’époque, les services savent déjà infecter un ordinateur ou un téléphone, mais ces opérations nécessitent souvent un accès physique, un fichier piégé ou un lien sur lequel la cible doit cliquer. « L’argument de vente, c’était l’infection silencieuse, sans intervention physique », explique Safir. Pegasus promet une intrusion déclenchée à distance, presque invisible pour l’utilisateur du téléphone.
La décision est vite prise. « Dès qu’ils ont su qu’il y avait Pegasus, ils l’ont choisi car c’est facile. Et la DGST a toujours préféré le chemin facile », affirme Safir. Les responsables, poursuit-il, se réjouissent de ne plus avoir à saisir physiquement l’appareil. Plus tard, en 2019, une nouvelle présentation de NSO va encore plus loin : « Ils ont montré une attaque où ils faisaient un appel anonyme et cinq secondes plus tard, le téléphone était infecté. »
« C’est très simple, c’est comme si tu ouvres Chrome. Tu entres avec ton identifiant utilisateur, et tu trouves les objectifs, chaque opération avec ses cibles. » Une fois le téléphone compromis, ajoute-t-il, « messages, appels, photos, tout est là », rangé par onglets sur l’écran de l’analyste.
Pour la première fois, le témoignage d’un ancien membre de la DGST documente ainsi de l’intérieur l’installation, les essais et l’utilisation de Pegasus par les autorités marocaines. Il vient contredire la position défendue par Rabat depuis les révélations de 2021 : le Royaume affirmait n’avoir jamais acquis de logiciel permettant d’infiltrer des appareils de communication. Il avait aussi engagé des actions en diffamation contre Forbidden Stories, Amnesty International France et plusieurs médias partenaires, dont Radio France. Ces procédures ont toutes été jugées irrecevables par la justice française.
Les Emirats arabes unis en intermédiaire
La villa où se déroule la démonstration est surnommée par les agents la « villa FSSYS ». Le nom renvoie à FSSYS Maroc, une structure présente au Maroc et liée à Al Fahad, une société émiratie spécialisé dans la vente de technologies de surveillance. Selon Safir et une autre source sécuritaire, FSSYS aurait mis en relation NSO Group et les services de renseignement marocain, organisé les présentations et assuré une partie du suivi technique et administratif. Fait notable, cette coopération s’est nouée avant la normalisation officielle des relations d’Israël avec les Émirats arabes unis, en septembre 2020, puis avec le Maroc, en décembre de la même année.
Pour appuyer ses dires, Safir fournit une description détaillée du fonctionnement de cette « entente » qui aurait existé avec les Emirats. Selon lui, tout passait par un certain Wassim, un Marocain spécialiste de la cybersécurité, qu’il croisait souvent dans la villa. D’après nos informations, Wassim ne travaillait pas à la DGST mais pour FSSYS et organisait les mises en relation entre les services marocains, les Émiratis et NSO, sans nécessairement assister aux réunions les plus confidentielles.
« S’il y a une mise à jour du logiciel, la DGST doit appeler Wassim, par exemple. Pour te hacker, en revanche, je ne vais pas demander son autorisation, mais on va l’aviser après, car il doit faire un rapport aux Émiratis », précise Safir. Un autre ancien membre des services le décrit comme chargé de faire remonter le nombre d’infections, notamment pour le suivi de la facturation. Joint par téléphone, Wassim déclare n’avoir été qu’un “simple employé” de FSYSS Maroc, et ne rien savoir des relations avec la DGST et du logiciel Pegasus.
Le rôle financier exact des Émirats reste toutefois incertain. Safir affirme que le coût de Pegasus était pris en charge par Abou Dhabi : « Des millions, ce n’est rien pour les Émiratis. Ils l’ont acheté et l’ont redistribué aux services amis. Tu peux dire que c’est comme Netflix : un ami paie l’abonnement, et les autres utilisent son compte. » Deux autres sources sécuritaires et diplomatiques soutiennent aussi cette hypothèse. Mais un ancien employé de NSO et une deuxième source au sein de l’industrie ont néanmoins déclaré au consortium ne pas être au courant de paiements réalisés par les Emirats arabes unis pour le Maroc.
Au sein de la DGST, l’utilisation de Pegasus est selon Safir gérée par Abdeljalil Taki, l’un des chefs de services au sein de la direction des opérations. Ce dernier est épaulé par Amine Labbardi, interlocuteur technique de NSO.
Les données techniques confortent l’existence de leurs rôles opérationnels. Le 10 septembre 2017, alors que le système marocain est encore en cours de déploiement, un numéro attribué à Taki et deux numéros attribués à Labbardi sont saisis dans Pegasus, au milieu de numéros appartenant à de véritables cibles. Cette configuration est compatible avec des essais menés sur les appareils des futurs opérateurs, une pratique documentée lors d’autres déploiements du logiciel. Leurs numéros réapparaissent le 8 février 2019, au moment où de nouvelles méthodes d’infection deviennent disponibles.
« On commence par le verdict »
Pour Safir, le plus important n’est pourtant pas la méthode utilisée mais le but de l’opération. « On commence par le verdict », résume-t-il. Une personne est d’abord considérée comme une menace ; les services cherchent ensuite ce qui pourra l’affaiblir, la retourner ou la discréditer.
« On regarde si vous aimez les femmes, l’alcool, les jeux. Il faut vraiment vous connaître », raconte l’ancien agent. Avec les journalistes, dit-il, la première question est de savoir s’ils peuvent être achetés. À défaut, viennent la manipulation, le chantage ou la recherche d’un détail intime exploitable. La surveillance s’étend très vite à l’entourage : « Si vous appelez souvent une cible, voilà, vous devenez quelqu’un de proche. On peut passer directement à vous. »
Pegasus n’est alors qu’une couche parmi d’autres. Les services combinent les écoutes téléphoniques, les filatures, les microphones, les caméras cachées, l’extraction d’un appareil saisi et le recrutement d’informateurs.
Les données volées peuvent ensuite alimenter des médias proches du pouvoir, des campagnes de dénigrement ou accompagner une procédure judiciaire. Safir dit avoir vu deux grandes salles où environ 150 employés surveillaient l’actualité et les réseaux sociaux. « Chacun a son rôle. Il y a ceux qui écrivent les commentaires, ceux qui surveillent l’actualité, ceux qui suivent Facebook », décrit-il. Des agents multilingues, ajoute-t-il, écrivent sur des forums en français, en anglais, en espagnol ou en mandarin.
“On est arrivés à Pegasus après toutes les étapes d’écoute”
La traque visant Omar Radi permet de comprendre comment tous ces moyens peuvent s’additionner. Le journaliste d’investigation marocain, connu pour ses enquêtes sur les liens entre pouvoir politique et intérêts économiques, avait appris à laisser son téléphone éteint lors de rendez-vous sensibles ; une prudence qui compliquait la tâche des services.
« On ne trouvait rien sur Omar Radi. Rien. Il était presque ‘trop’ précautionneux. Ça nous a forcés à aller plus loin », confie Safir. « Pour Omar, on en est arrivé à Pegasus après avoir utilisé toutes les étapes d’écoute, chez lui ou dans sa voiture. C’est un procédé presque scientifique. Pegasus est le dernier outil, l’un des plus puissants. »
Source: radiofrance