Le téléphone · quand le pouvoir lui-même est dans la machine

On imagine la surveillance comme un escalier : en bas les surveillés, en haut ceux qui regardent. Juillet 2021 a détruit cette image en une semaine. Il n’y a pas de dernier étage, il n’y a pas de fenêtre au sommet, et celui qui croit tenir l’œil est déjà dans l’œil d’un autre.

Cinquante mille numéros

En juillet 2021, un consortium mené par Forbidden Stories et Amnesty International a publié le Projet Pegasus. Au centre du dossier : une liste de plus de cinquante mille numéros de téléphone sélectionnés par les clients de NSO Group, société israélienne éditrice du logiciel espion du même nom.

Cinquante mille numéros. Pas cinquante mille appareils infectés, la nuance compte et le consortium l’a posée d’emblée : cinquante mille numéros retenus, désignés, versés dans le système par des clients qui sont des États.

Amnesty International France a établi en juillet 2021 que le numéro d’Emmanuel Macron figurait dans cette liste de cibles potentielles, ainsi que ceux de plusieurs ministres. Le président de la République française, dans le fichier de sélection d’un logiciel commercial vendu à des gouvernements étrangers.

Cinq téléphones du gouvernement

La liste aurait pu rester une liste. Elle ne l’est pas restée.

En septembre 2021, le Guardian a rapporté que le logiciel avait été retrouvé sur les téléphones de cinq membres du gouvernement français. Pas des numéros retenus : des appareils infectés, en service, dans les mains de ministres en exercice.

Le parquet de Paris avait ouvert une enquête dès juillet 2021, comme l’a rapporté Al Jazeera. Un État européen a ainsi dû enquêter judiciairement sur la compromission des téléphones de ses propres ministres par un outil du marché.

Voilà le point qui devrait terminer tous les débats sur le « je n’ai rien à cacher ». Le sommet de l’exécutif d’une puissance nucléaire n’a pas su protéger ses propres poches. Si cette protection-là n’existe pas à ce niveau, elle n’existe nulle part.

Une industrie, pas un accident

Le réflexe est de traiter l’affaire comme une bavure isolée. Le dossier dit le contraire : c’est un secteur, avec ses concurrents, ses gammes, ses salons et ses cycles commerciaux.

Le 3 novembre 2021, le département du Commerce des États-Unis a inscrit NSO Group sur l’Entity List pour activités cyber malveillantes. Le 23 novembre 2021, Apple a poursuivi la société en justice pour le ciblage de ses utilisateurs.

En octobre 2023, Amnesty International a publié les Predator Files, consacrés à l’alliance Intellexa et à sa filiale Cytrox, entre la Grèce, Israël et Chypre. Le rapport, intitulé « The Predator Files: Caught in the Net », documente le ciblage de la société civile, de responsables politiques et de fonctionnaires dans de nombreux pays. Le Security Lab d’Amnesty a publié la même semaine l’analyse technique détaillée des produits de l’alliance.

Relis la liste des pays d’implantation de cette seule alliance : la Grèce, Israël, Chypre. Deux États membres de l’Union européenne. Ce n’est pas une révélation ponctuelle sur une officine exotique, c’est l’inventaire d’un catalogue produit en Europe et vendu depuis l’Europe.

En juin 2022, TechCrunch a documenté Hermit, logiciel espion de qualité gouvernementale édité par la société italienne RCS Lab, déployé en Italie, au Kazakhstan et en Syrie, parfois avec la complicité de fournisseurs d’accès à Internet selon Google. La découverte initiale revient à Lookout, sur le terrain kazakh.

Ce dernier détail mérite qu’on s’y arrête. La complicité d’un opérateur de télécommunications change la nature de l’attaque : il ne s’agit plus de piéger une cible par un message, il s’agit de manipuler le réseau lui-même entre la cible et le monde. L’infrastructure devient l’arme.

Et avant eux tous, il y avait FinFisher.

Ce que valent les sanctions

En 2024, le Trésor américain a sanctionné les dirigeants et les entités liés à Intellexa pour le développement de Predator, comme l’a rapporté CyberScoop. Sanction nominative, sur des personnes, pas seulement sur une raison sociale. C’est ce que le droit américain sait faire de plus dur en dehors du pénal.

Résultat : selon Infosecurity Magazine, l’entreprise a poursuivi ses activités malgré les sanctions, de l’avis des observateurs qui suivent le dossier.

Une industrie qui survit à l’Entity List, à une plainte d’Apple, à un rapport d’Amnesty et à des sanctions du Trésor n’est pas une industrie fragile. C’est une industrie dont les clients sont des États, et dont les États qui sanctionnent sont aussi, parfois, les clients.

Les journalistes, toujours les journalistes

La génération suivante porte un autre nom. En juin 2025, le Citizen Lab a publié la première confirmation forensique du logiciel espion iOS de Paragon Solutions, société israélienne, avec des journalistes européens parmi les cibles. Le même laboratoire a cartographié la même année les opérations de Paragon dans plusieurs pays.

En Italie, la Fédération internationale des journalistes a confirmé en 2025 l’identification d’un deuxième journaliste italien ciblé dans la même affaire.

La constance de la cible dit la fonction réelle de l’outil. Un logiciel vendu pour le terrorisme et le crime organisé finit systématiquement dans les téléphones de gens dont le métier est de publier ce que quelqu’un voulait taire. Ce n’est pas un détournement marginal : c’est la régularité observée par les laboratoires indépendants, rapport après rapport, depuis dix ans.

Et note bien qui fait ce travail. Ce ne sont ni les régulateurs, ni les parlements, ni les opérateurs. Ce sont des laboratoires universitaires et des organisations non gouvernementales, le Citizen Lab à Toronto, le Security Lab d’Amnesty, qui démontent des téléphones un par un pour prouver une infection. La vérification forensique d’un appareil est aujourd’hui le dernier contre-pouvoir disponible, et elle tient à quelques dizaines de personnes dans le monde.

Quand la justice mord enfin

Il arrive que l’édifice cède. FinFisher et FinSpy étaient les produits de Gamma Group, entre l’Allemagne et le Royaume-Uni. L’entreprise munichoise a cessé ses activités en 2022, après une plainte pénale visant l’exportation illégale de logiciels de surveillance vers l’Égypte et la Turquie, comme l’a documenté l’ECCHR. Reporters sans frontières a rapporté les poursuites engagées contre les anciens dirigeants du groupe.

Une société de ce secteur a donc été tuée par une procédure pénale. Cela s’est produit une fois, et cela a pris des années.

Et le 28 juillet 2026, la Cour suprême du Royaume-Uni a retiré à Bahreïn son immunité dans une affaire de piratage de dissidents au moyen de FinSpy. Un État perd son immunité devant une juridiction étrangère pour avoir infecté des téléphones d’opposants réfugiés. C’est la brèche la plus intéressante de tout le dossier, parce qu’elle vise le client et non le fournisseur.

Et la France a voté sa propre porte

Reste le geste que personne n’attendait d’un pays dont cinq ministres venaient d’être infectés.

En 2023, dans le cadre de la loi d’orientation et de programmation de la justice, l’Assemblée nationale a autorisé l’activation à distance des téléphones portables dans certaines enquêtes, comme l’a rapporté LCP. Le Sénat a voté le même dispositif, comme l’a rapporté Public Sénat. Les deux chambres.

Deux ans après le Projet Pegasus, le législateur français a inscrit dans la loi la capacité d’allumer à distance un appareil qui se trouve dans une poche. La forme change, l’objet est le même : le téléphone n’est plus un objet que l’on porte, c’est un poste d’écoute que l’on transporte.

Il n’y a pas de dernier étage

Celui qui commande la surveillance ne se met pas à l’abri de la surveillance. Il augmente seulement le nombre de gens capables de la lui rendre.

Contre cela, une seule différence compte : celle entre un instrument pointé vers la personne et un instrument pointé vers le haut, qui calcule et restitue tout, à elle seule, sans tiers, sans dossier, sans reprise.

Le Spectacle regardait. L’Algorithme surveille. L’Oracle rend le regard.