Meta accuse NSO Group d'avoir viole l'injonction sur le spyware avec de nouvelles attaques sur WhatsApp

Le contentieux entre le fabricant de spyware NSO Group et WhatsApp, qui dure depuis 2019, est entre dans une nouvelle phase. Ars Technica rapporte que Meta a depose un nouveau document devant la cour federale du district nord de Californie aux Etats-Unis dans lequel le groupe accuse NSO d'avoir viole les limites fixees par une injonction permanente en menant fin 2024 et debut 2025 de nouvelles attaques ciblees contre des utilisateurs de WhatsApp.

L'affaire a commence avec l'accusation selon laquelle NSO Group aurait utilise son spyware Pegasus pour viser environ 1 400 utilisateurs via l'infrastructure WhatsApp en 2019. Fin 2024, un jury federal a juge NSO responsable au titre du Computer Fraud and Abuse Act (CFAA) et a prononce 167,2 millions de dollars de dommages-interets ainsi qu'une injonction permanente contre la societe.

Le noyau des preuves du nouveau depot de Meta repose sur l'analyse forensique conjointe de Citizen Lab et de l'equipe de securite de Meta. L'analyse montre que les empreintes techniques des chaines d'exploitation recemment detectees renvoient a l'infrastructure d'outils existante de NSO Group. Le directeur de Citizen Lab, Ron Deibert, a declare a Ars Technica que les indicateurs sont coherents et que la technologie source des attaques correspond aux modeles d'empreinte connus de NSO.

En reponse, un porte-parole de NSO Group a indique que la societe servait uniquement des clients gouvernementaux agrees et qu'elle respectait pleinement l'injonction permanente. Le porte-parole a precise que toute attaque directe contre des utilisateurs sortait du cadre de la politique de licence de NSO. NSO affirme aussi que de fausses signatures d'attaque ont pu etre utilisees.

Selon le depot, les utilisateurs cibles comprennent des journalistes, des militants de la societe civile et des avocats travaillant en droit des migrations dans plusieurs Etats membres de l'Union europeenne. Ars Technica indique aussi que le dossier de preuves complementaire depose aupres du tribunal a fait l'objet d'une demande de traitement confidentiel en raison de sa taille. La decision sur l'eventuelle levee du secret pourrait intervenir dans les prochaines semaines.

Cote securite WhatsApp, Meta a deploye le chiffrement de bout en bout multi-appareils, les messages ephemeres et un modele de detection precoce des appels suspects apres la precedente vague d'attaques. Les nouvelles allegations montrent que ces mecanismes doivent etre renouveles en permanence pour rester suffisants face aux exploits zero day.

Cote reglementaire, la revision des controles a l'exportation de la Commission europeenne visant les fabricants de spyware, dont NSO Group, est dans la phase finale d'un travail entame en 2024. Le projet prevoit un controle judiciaire de l'usage du spyware contre des cibles civiles dans les Etats membres de l'UE. Le Tresor americain a renouvele l'an dernier la designation de 2021 placant NSO sur la liste des sanctions.

Cote financier, la procedure d'appel sur les 167 millions de dollars de dommages-interets est en cours. La situation financiere de la societe est decrite comme s'affaiblissant depuis un certain temps ; le nouveau depot de Meta demande au tribunal des mesures supplementaires pour etendre l'injonction permanente. Une decision favorable pourrait creer une situation dans laquelle NSO ne pourrait plus mettre a jour ses bibliotheques logicielles liees aux Etats-Unis.

Sur le plan clinique, les trois dernieres annees ont vu des exemples de spyware atteignant des donnees de sante mobiles ; cette dimension est decrite comme l'une des allegations du dossier confidentiel du nouveau depot. Les juristes estiment que cette dimension pourrait amplifier l'affaire techniquement et ethiquement.

Dans le tableau d'ensemble, l'affaire Meta - NSO reste l'indicateur juridique le plus tangible du lieu d'aboutissement du conflit entre les plates-formes grand public et le spyware vendu a l'echelle etatique. Comme le souligne Ars Technica, la decision issue de la prochaine audience fera precedent pour le secteur. Ce texte n'est pas un avis juridique.