Il y a une villa à Rabat, à deux pas de l’avenue Mehdi Ben Barka et de l’ambassade du Canada, que les agents de la DGST appellent entre eux « la villa Fssys ». Rien sur la façade ne la distingue d’une résidence ordinaire du quartier. C’est là, à la fin de l’été 2017, que des techniciens israéliens ont montré à une poignée de responsables du renseignement intérieur marocain ce dont leur nouveau logiciel était capable. Un téléphone test posé sur la table. Une caméra qui s’allume toute seule. Un micro qui s’active. Puis les SMS, les photos, les messages, qui défilent sur un écran, sans que personne n’ait touché à l’appareil.
Les agents présents applaudissent
Ce moment, raconté cinq ans plus tard par un ancien membre de la DGST sous le pseudonyme « Safir », est le point de départ d’une histoire que le Maroc a passé cinq ans à nier. Une histoire de surveillance de masse, de journalistes brisés, de ministres étrangers piratés, de cyber-mercenaires émiratis, de passeports diplomatiques qui n’en sont pas vraiment, et d’un système qui a survécu à peu près à tout : aux révélations de 2021, aux plaintes en diffamation, aux dénis officiels répétés, à l’embargo américain sur son fournisseur. Il a fallu un homme qui a passé près de dix ans dans la maison, deux autres anciens agents pour le corroborer, et une nouvelle génération de laboratoires forensiques pour que le récit se referme enfin sur lui-même. Et il aura fallu, en tout, cinq ans de silence institutionnel savamment entretenu.
Ce que je veux faire ici, c’est dérouler l’ensemble du système. Pas seulement l’anecdote de la villa, ni la seule liste des cibles. La chaîne complète : qui a décidé, qui a payé, qui a installé, qui a exécuté, qui a été visé, et qui, à chaque étape, a choisi de regarder ailleurs.
Un système, pas un logiciel
L’erreur qu’on fait souvent avec Pegasus, c’est de le traiter comme un scandale isolé : un logiciel espion, une entreprise israélienne controversée, une liste de 50 000 numéros qui a fait le tour du monde en juillet 2021. C’est confortable, parce que ça permet de traiter l’affaire comme un accident technologique plutôt que comme ce qu’elle est vraiment : le choix politique, réfléchi, entretenu sur plusieurs années, d’un État de surveiller ses propres citoyens, ses voisins, et une partie non négligeable des gouvernements européens avec lesquels il entretient des relations diplomatiques cordiales.
Ce que révèle le témoignage de Safir, c’est qu’il ne s’agit pas d’un logiciel. C’est une architecture, avec sa hiérarchie, ses budgets, ses fournisseurs multiples, et sa propre logique bureaucratique. Avant Pegasus, il y avait déjà le Remote Control System de l’italien Hacking Team, utilisé notamment pour infecter des cybercafés entiers. Les agents de terrain repéraient l’établissement fréquenté par une cible et signalaient la boutique à leur hiérarchie. Le consortium a obtenu la photo de l’un de ces établissements infectés : une petite enseigne à devanture verte, en apparence banale, avec des dizaines de pages web consultées par les clients enregistrées à leur insu. « Nous avons infecté tellement de cybercafés, raconte Safir. Nos agents de terrain nous indiquaient celui qui était fréquenté par la cible, et nous pouvions comme ça surveiller toutes ses activités. »
Les pratiques marocaines ont fini par exaspérer jusqu’au personnel de l’entreprise italienne qui leur vendait l’outil. Un ancien employé de Hacking Team a confié à Forbidden Stories : « On a commencé à faire part de nos inquiétudes. Pour moi, la ligne rouge a été franchie lorsque des personnes ont été jetées en prison et certaines torturées. » C’est une phrase qu’il vaut la peine de laisser respirer une seconde : même les vendeurs de logiciels espions, gens qui ne sont pas connus pour leur sens moral surdéveloppé, ont fini par s’inquiéter de ce que Rabat faisait de leur produit.
Pegasus n’a pas remplacé cet appareil de surveillance classique. Il l’a complété, et il l’a rendu terriblement plus efficace, au point de devenir la pièce maîtresse d’un dispositif qui incluait aussi, selon Safir, un accès à un réseau national de caméras de vidéosurveillance via un logiciel israélien baptisé Nighthawk, la possibilité de consulter à la demande des relevés de connexions téléphoniques remontant sur deux ans, et des IMSI-catchers déployés lors des manifestations pour identifier les téléphones présents. L’opérateur historique Maroc Telecom aurait lui aussi joué un rôle, au minimum passif selon les éléments obtenus par le consortium, dans l’injection réseau des cibles, avec des techniciens israéliens amenés sur place pour installer certains de ces systèmes.
On est loin de l’image d’un outil ponctuel utilisé contre quelques opposants gênants. On parle d’un écosystème de surveillance domestique construit méthodiquement, avec une discipline opérationnelle qui frise l’obsessionnel. La DGST utilisait même, selon Safir, un accès internet illimité fourni discrètement à certaines cibles, pour que l’extraction massive de leurs données n’explose pas leur forfait et n’éveille pas leurs soupçons. C’est le genre de détail qu’on n’invente pas. C’est aussi le genre de détail qui trahit le sérieux avec lequel cette surveillance a été pensée, budgétée, industrialisée.
Comments
Nothing yet. Say the first thing.
Sign in to join the conversation.