WhatsApp remporte un procès majeur contre NSO Group : 167 millions de dollars de dommages et nouvelles révélations sur Pegasus

WhatsApp contre NSO Group : Victoire Retentissante et Révélations Critiques Le 6 mai, WhatsApp a remporté une victoire historique face à NSO Group, une entreprise controversée de spyware. Un jury a ordonné au géant israélien des logiciels espions de payer plus de 167 millions de dollars de dommages et intérêts à Meta, la maison mère de WhatsApp. Cette décision conclut un litige qui a duré plus de cinq ans, initié en octobre 2019, lorsque WhatsApp a accusé NSO Group de pirates informatiques contre plus de 1,400 de ses utilisateurs en exploitant une faille dans sa fonctionnalité d’appels audio. Le Mécanisme de l'Attaque Zero-Click Lors du procès, l’avocat de WhatsApp, Antonio Perez, a décrit comment l’attaque zero-click fonctionnait. Elle se basait sur un appel WhatsApp fictif qui, une fois reçu par la cible, envoyait son téléphone chercher un troisième serveur pour télécharger le spyware Pegasus. Perez a souligné que le seul élément requis pour mettre en œuvre cette attaque était le numéro de téléphone de la victime. Tamir Gazneli, vice-président de l’unité de recherche et développement (R&D) de NSO Group, a reconnu que tout vecteur d'attaque zero-click représentait une « étape significative » pour Pegasus. Continuation des Attaques Après le Dépôt de la plainte Malgré l'ouverture de poursuites judiciaires par WhatsApp en novembre 2019, NSO Group a continué à cibler ses utilisateurs. Gazneli a avoué que la version codée "Erised" du vecteur d'attaque zero-click WhatsApp était toujours active de fin 2019 jusqu'en mai 2020. Les autres versions, "Eden" et "Heaven," ont été regroupées sous le nom de projet "Hummingbird." Test Pegasus sur un Numéro Américain pour le FBI Pour la première fois, NSO Group a admis avoir ciblé un numéro américain, +1, pour tester son spyware Pegasus pour le compte du FBI en 2022. L'avocat de NSO, Joe Akrotirianakis, a confirmé que l'exception unique était due à une version spécialement configurée de Pegasus destinée à des démonstrations pour des clients gouvernementaux potentiels américains. Le FBI n'a toutefois pas déployé Pegasus après ce test. Utilisation du Pegasus par les Clients Gouvernementaux Shohat, le PDG de NSO, a expliqué que l’interface utilisateur du Pegasus ne permet pas aux clients gouvernementaux de choisir la méthode ou la technique d'attaque, car ils ne s'intéressent qu'aux informations collectées, peu importe la méthode utilisée. Le système Pegasus choisit donc automatiquement le vecteur d'attaque le plus approprié. Employés et Quartiers Généraux de NSO Group Shohat a également révélé que NSO Group et sa maison mère, Q Cyber, comptent entre 350 et 380 employés au total, dont environ 50 travaillent pour Q Cyber. Curieusement, NSO Group partage le même bâtiment à Herzliya, en Israël, avec Apple, une cible fréquente de ses attaques. NSO Group occupe les cinq derniers étages du bâtiment de 14 étages, tandis qu'Apple occupe le reste. Coûts pour les Clients Européens Un employé de NSO Group a témoigné lors du procès sur les coûts imputés aux clients européens pour accéder à Pegasus entre 2018 et 2020. Le prix standard était de 7 millions de dollars, complété par environ 1 million de dollars supplémentaires pour des vecteurs "coverts." Ces techniques "covert" font probablement référence à des méthodes discrètes d’implantation du spyware, comme les exploits zero-click, qui permettent au hacker de prendre le contrôle du téléphone sans aucune interaction de la victime. Les prix varient selon plusieurs critères : le client (certaines entreprises de spyware facturent davantage aux pays comme l'Arabie Saoudite ou les Émirats Arabes Unis), le nombre de cibles simultanées, et les fonctionnalités additionnelles, comme les capacités zero-click. Par exemple, l'Arabie Saoudite aurait payé 55 millions de dollars et le Mexique 61 millions de dollars sur plusieurs années. État Financier Préoccupant de NSO Group Au cours du procès, Shohat a été interrogé sur l'état financier de NSO Group. D'après les déclarations et les documents fournis, l'entreprise a accusé une perte de 9 millions de dollars en 2023 et de 12 millions de dollars en 2024. En 2023, elle disposait de 8,8 millions de dollars en banque, avant de voir ce montant tomber à 5,1 millions de dollars en 2024. Actuellement, NSO brûle près de 10 millions de dollars par mois, principalement pour couvrir les salaires de ses employés. Q Cyber, filiale de NSO Group, avait également 3,2 millions de dollars en banque en 2023 et 2024. L'unité R&D de NSO Group, spécialisée dans la recherche de vulnérabilités et l'expérimentation de méthodes d'exploitation, a consacré 52 millions de dollars à des dépenses en 2023 et 59 millions de dollars en 2024. Ces chiffres font partie des arguments de NSO Group pour réclamer une réduction ou une absence de dommages-intérêts, invoquant sa capacité limitée à régler la somme. Évaluations et Profil de l’Entreprise La victoire de WhatsApp devant le jury est perçue comme un coup dur pour l'industrie du spyware. Elle met en lumière l'importance de la sécurité des applications de messagerie et renforce la prise de conscience publique des dangers liés aux logiciels espions. NSO Group, fondé en 2010, est connue pour développer et vendre des outils de surveillance sophistiqués à des gouvernements sous prétexte de lutter contre le crime et le terrorisme. Cependant, sa réputation a été entachée par de nombreux cas d'abus et de violations de privacy. Cette affaire a non seulement eu un impact juridique majeur, mais elle a aussi suscité une attention accrue de la part des autorités réglementaires et du public. Les révélations sur les finances précaires de NSO Group et sur ses pratiques contestables ont renforcé les appels à une régulation plus stricte des firms de surveillance. La décision du jury souligne l'engagement de WhatsApp et de Meta dans la protection de leurs utilisateurs contre les menaces de surveillance, marquant un tournant important dans la bataille contre le spyware. En conclusion, cette victoire judiciaire n’est pas seulement une réparation pour les utilisateurs de WhatsApp victimes d'espionnage, mais elle représente également un signal fort pour l'ensemble de l'industrie de la tech, encourageant une vigilance accrue et une protection renforcée des données personnelles.