Le logiciel espion Pegasus, conçu par l'entreprise israélienne NSO Group, est devenu le symbole de la surveillance ciblée des smartphones. Vendu à des gouvernements, il a été retrouvé sur les téléphones de journalistes, d'avocats, d'opposants et de défenseurs des droits humains. Cet article, à but de sensibilisation et de protection, explique ce qu'est Pegasus, comment il infecte un appareil, ce qu'il peut lire, comment les chercheurs le détectent et ce que chacun peut faire pour réduire son exposition. Il ne contient aucun mode opératoire d'attaque.
À retenir : Pegasus n'est pas un virus grand public. Il est très coûteux, réservé à des cibles choisies, et exploite des failles rares. La grande majorité des utilisateurs ne sont pas visés, mais les personnes exposées (journalistes, militants, avocats, élus, dirigeants) doivent connaître les protections disponibles.
Qu'est-ce que Pegasus ?
Selon l'analyse publiée par Amnesty International Security Lab en juillet 2026, Pegasus est présenté par son éditeur comme une solution de renseignement « de bout en bout », vendue exclusivement à des gouvernements. Un opérateur pilote les cibles depuis une interface web : il sélectionne un numéro, déclenche l'infection, puis consulte les données extraites.
NSO Group ne se contente pas de vendre un logiciel : l'entreprise développe les exploits, enregistre l'infrastructure anonymisée et assure un support continu quand les mises à jour des systèmes mobiles cassent une technique d'attaque. C'est ce modèle de service qui explique la persistance de Pegasus depuis plus d'une décennie.
Comment un téléphone peut être infecté
Les chercheurs distinguent deux grandes familles de vecteurs :
| Type | Principe | Interaction de la victime |
|---|---|---|
| Zéro clic | Un message ou un appel spécialement construit exploite une faille du système ou d'une application de messagerie | Aucune : le téléphone est infecté sans que la victime fasse quoi que ce soit |
| Un clic | La victime reçoit un lien piégé, souvent imitant un site d'actualité ou un service connu, et l'ouvre | Un seul clic sur le lien |
Des attaques par injection réseau ou par accès physique à l'appareil ont aussi été documentées. Les vecteurs zéro clic sont privilégiés quand ils sont disponibles, car ils ne laissent pas de trace visible pour la victime.
Un cas récent illustre le phénomène. Le Citizen Lab a confirmé en septembre 2026 l'infection par un exploit iMessage zéro clic de l'iPhone d'un étudiant militant pro-démocratie en Serbie, sur une période allant de décembre 2025 à janvier 2026. Apple a corrigé la faille exploitée dans iOS 18.4.1, mais le Citizen Lab rappelle que cela n'exclut pas d'autres infections.
Ce que Pegasus peut lire
Une fois installé, le logiciel accède à l'essentiel de ce que contient le téléphone : appels, messages, courriels, calendrier, contacts, historique de navigation, fichiers, photos et identifiants enregistrés. D'après Amnesty, il exploite aussi les comptes en ligne de la victime : des identifiants volés peuvent permettre un accès continu aux données stockées dans le cloud, même après la disparition de l'infection sur l'appareil lui-même.
À retenir : nettoyer ou remplacer un téléphone compromis ne suffit pas. Il faut aussi changer les mots de passe des comptes concernés, révoquer les sessions actives et vérifier les appareils connectés.
Le contexte juridique et politique
NSO Group est au cœur de plusieurs affaires publiques. Le Pegasus Project, révélé en 2021 par un consortium de médias et Amnesty, a mis en lumière un large ensemble de numéros ciblés dans de nombreux pays. Les documents versés à la procédure judiciaire intentée par WhatsApp contre NSO, qui a abouti en 2025 à une décision défavorable à l'éditeur, ont ensuite permis de publier des supports de formation et de la documentation technique internes, qui confirment l'authenticité des données révélées en 2021.
En Europe, l'affaire continue d'alimenter le débat. En juillet 2026, l'analyse forensique du Citizen Lab, relayée par Amnesty, a révélé que Stelios Kouloglou, ancien député européen et journaliste, avait été infecté par Pegasus en 2022 et 2023, alors qu'il siégeait à titre suppléant à la commission d'enquête du Parlement européen consacrée précisément à ces logiciels. Des organisations de la société civile, dont Amnesty, ont appelé à une évaluation indépendante de l'usage de ces outils en Europe.
Comment les chercheurs détectent Pegasus
La détection repose sur l'analyse forensique du téléphone et sur des indicateurs de compromission publiés par les laboratoires spécialisés.
- MVT (Mobile Verification Toolkit) : outil libre créé par Amnesty International Security Lab en 2021. Il permet d'analyser, avec l'accord du propriétaire, un appareil iOS ou Android à la recherche de traces de compromission. Sa documentation officielle précise qu'il est conçu pour une analyse consentie, et non pour un accès non autorisé.
- Les indicateurs publiés : les chercheurs regroupent les attaques par infrastructure (domaines, comptes, serveurs) propre à chaque client de NSO, ce qui permet de rattacher des cas dispersés à un même opérateur.
- Les traces de ciblage : selon Amnesty, la préparation d'une attaque elle-même (requêtes de vérification, tentatives d'infection échouées) laisse des indices dans les journaux de l'appareil et du réseau, même quand l'infection n'aboutit pas.
Une détection fiable exige de l'expertise : ne concluez pas seul à l'absence ou à la présence de Pegasus à partir d'un simple outil. En cas de doute sérieux, faites-vous accompagner par une organisation spécialisée, par exemple la ligne d'assistance en sécurité numérique d'Access Now, qui aide gratuitement les journalistes, militants et défenseurs des droits.
Comment réduire son exposition
Aucune mesure ne garantit une protection totale contre un attaquant étatique disposant d'exploits inconnus du public. Plusieurs pratiques réduisent néanmoins fortement les risques.
- Mettre à jour le système dès la sortie des correctifs. Dans le cas serbe cité plus haut, la faille exploitée a été corrigée par Apple : un appareil à jour perd les vecteurs connus.
- Activer le mode Isolement (Lockdown Mode) sur iPhone, iPad et Mac si vous êtes une cible potentielle. D'après la documentation d'Apple, il restreint la plupart des pièces jointes dans les messages, certaines technologies web, les appels FaceTime d'inconnus et les connexions d'appareils verrouillés. Apple précise que ce mode est conçu pour « très peu de personnes » et que la plupart des utilisateurs ne seront jamais visés par ce type d'attaque.
- Limiter la surface d'attaque : désinstaller les applications inutiles, désactiver les fonctions dont vous ne vous servez pas, et éviter d'ouvrir des liens reçus de sources inattendues.
- Séparer les usages sensibles : un téléphone dédié aux échanges confidentiels, un compte distinct pour les sources, une messagerie chiffrée mise à jour.
- Prendre au sérieux une notification d'Apple. Quand Apple avertit qu'un appareil semble ciblé par une attaque étatique, le Citizen Lab recommande de chercher immédiatement l'aide d'experts et d'encourager ses proches à faire vérifier leurs propres appareils.
Pour aller plus loin
Pour visualiser et documenter une chaîne d'attaque (livraison, exploitation, persistance, exfiltration), l'outil Schéma de compromission de ForenShield permet de la cartographier sur le modèle MITRE ATT&CK. Pour retrouver le détail d'une faille par identifiant après une alerte, la base CVE est disponible.
Sources
- Amnesty International Security Lab : Inside Pegasus, the evolution of the world's most notorious spyware (juillet 2026)
- Citizen Lab : Pegasus spyware infection of a Serbian pro-democracy student activist
- Amnesty : piratage d'un ancien eurodéputé enquêtant sur Pegasus (juillet 2026)
- Amnesty Security Lab : The Pegasus Project
- Mobile Verification Toolkit (MVT), documentation officielle
- Apple : à propos du mode Isolement (Lockdown Mode)
- Access Now : ligne d'assistance en sécurité numérique