La plupart des articles sur Pegasus vous expliquent ce que c’est. Très peu vous expliquent comment savoir s’il se trouve sur votre téléphone. Celui-ci porte sur cette seconde question, y compris sur ses aspects les moins commodes.
Commençons par poser honnêtement le cadre : Pegasus n’est pas une menace grand public. Il est vendu par NSO Group à des clients gouvernementaux, chaque déploiement coûte cher, et il vise des personnes précises, généralement des journalistes, des défenseurs des droits humains, des avocats, des responsables politiques d’opposition et des diplomates. Si vous êtes inquiet parce que votre téléphone est lent, l’explication de loin la plus probable est que votre téléphone est lent.
Mais les personnes ciblées ne sont pas rares en valeur absolue. Depuis 2021, Apple a envoyé des notifications de menace à des utilisateurs dans plus de 150 pays, et une seule vague de notifications, en avril 2024, a touché des personnes dans 92 pays. Si votre travail fait de vous une cible plausible, la question mérite une vraie réponse plutôt que des paroles rassurantes.
Pourquoi vous ne pouvez pas détecter Pegasus en regardant votre téléphone
Pegasus est un logiciel « zéro clic ». Il n’y a pas de lien suspect que vous auriez dû éviter, pas d’icône d’application à repérer, pas de demande d’autorisation que vous auriez acceptée. Il a été diffusé par iMessage et par d’autres messageries sans la moindre interaction. Une fois installé, il peut accéder aux messages, aux e-mails, aux appels, à l’appareil photo, au micro et à la position.
Il est aussi délibérément discret. Certaines variantes résident uniquement en mémoire, ce qui signifie qu’un redémarrage les supprime, et supprime avec elles l’essentiel des preuves. D’autres ont été observées en train d’effacer derrière elles les fichiers journaux.
Cela signifie que la liste habituelle de conseils — surveiller la batterie qui se vide, chercher des applications inconnues, guetter les fenêtres surgissantes — est presque inutile ici. Ces symptômes décrivent les logiciels de traque grand public (stalkerware), une menace différente, avec un budget différent. Face à un logiciel espion de niveau étatique, l’absence de symptômes ne vous apprend rien.
Il n’existe qu’un seul type de réponse qui fonctionne : l’analyse forensique des données du téléphone, depuis l’extérieur du téléphone.
Les trois vérifications qui valent la peine, dans l’ordre
1. Vérifiez si Apple vous a déjà prévenu
Apple avertit les personnes qu’elle pense avoir été ciblées individuellement. C’est la vérification la plus utile qui soit, elle prend deux minutes et elle est gratuite.
Connectez-vous sur account.apple.com et cherchez une alerte en haut de la page. Apple envoie en outre un e-mail et un iMessage aux adresses associées à votre identifiant Apple.
Deux points à garder à l’esprit. Une notification est un indice fort que vous avez été ciblé, mais son absence ne prouve pas que vous ne l’avez pas été, car la détection d’Apple ne peut pas être exhaustive. Et comme ces notifications sont alarmantes et largement médiatisées, elles sont très souvent imitées : une vraie notification ne vous demande jamais de cliquer sur un lien, d’installer un logiciel, d’ouvrir une pièce jointe ni de fournir un mot de passe.
2. Faites examiner les données que le téléphone conserve
Des traces subsistent bel et bien sur l’appareil, à des endroits auxquels les applications n’ont pas accès :
- Des bases de données qui enregistrent quels processus ont utilisé le réseau, et à quel moment
- Des journaux de plantage issus de tentatives d’exploitation qui ont échoué
- Un fichier système qui enregistre les arrêts de l’appareil et peut conserver des anomalies survenues autour d’une infection
- Les métadonnées des pièces jointes des messages et des traces dans les caches
Le Security Lab d’Amnesty International a reconstitué la chaîne d’infection de Pegasus à partir de ce type d’éléments précisément, et a publié la méthodologie comme les outils en juillet 2021, dans le cadre du Projet Pegasus. Son outil open source, le Mobile Verification Toolkit, généralement appelé MVT, compare une sauvegarde d’iPhone à des indicateurs de compromission : domaines, noms de processus et fichiers associés à des campagnes connues.
Si vous êtes à l’aise dans un terminal, MVT est l’implémentation de référence, et il est gratuit. Vous l’installez avec Python, vous créez une sauvegarde chiffrée de l’iPhone, vous téléchargez un fichier d’indicateurs à jour et vous lancez l’analyse. Le résultat est un ensemble de fichiers JSON qu’il vous faut ensuite interpréter.
Si cette phrase vous a noué l’estomac, c’est bien là le véritable obstacle. La méthode est publique et solide ; c’est la distance concrète entre un journaliste inquiet et une analyse forensique menée à terme qui arrête la plupart des gens. Haris Shield existe pour réduire cette distance, avec une limite que vous devez connaître. Il compare les journaux de plantage aux mêmes indicateurs publics et présente le résultat sous forme de rapport plutôt que de JSON. La version actuelle n’analyse pas de sauvegarde chiffrée : à lui seul, il lit donc moins de données qu’une analyse MVT complète ; importer un sysdiagnose ajoute les bases de données d’utilisation du réseau et d’exécution des processus. Si vous avez des raisons concrètes de croire que vous êtes une cible de Pegasus, lancez MVT sur une sauvegarde chiffrée ou demandez de l’aide au Security Lab d’Amnesty ou à la Digital Security Helpline d’Access Now.
3. Comprenez ce que signifie un résultat négatif
Une analyse sans résultat signifie qu’aucun indicateur connu n’a été trouvé dans les données examinées. Cela ne signifie pas que votre téléphone n’a jamais été compromis. Si une variante résidant uniquement en mémoire était présente et que le téléphone a redémarré depuis, il ne reste peut-être plus rien à trouver. Si la campagne menée contre vous a utilisé des outils pour lesquels aucun chercheur n’a encore publié d’indicateurs, il n’y a rien à quoi comparer.
Quiconque vous dit pouvoir certifier qu’un iPhone est sain en promet trop. L’analyse forensique trouve des preuves ; elle ne prouve pas une absence.
Que faire si quelque chose est trouvé
Ne redémarrez pas et ne réinitialisez pas le téléphone tout de suite. Votre premier réflexe sera d’effacer le téléphone. Si vous souhaitez que la découverte puisse servir — à un avocat, à une rédaction, à un tribunal, ou aux chercheurs qui suivent la campagne —, l’appareil et ses données sont des preuves, et une réinitialisation les détruit.
Partez du principe que le compte, et pas seulement le téléphone, est compromis. Changez le mot de passe de votre identifiant Apple et tous vos mots de passe importants depuis un autre appareil de confiance. Vérifiez quels appareils sont connectés à votre identifiant Apple et retirez ceux que vous ne reconnaissez pas.
Faites appel à des experts. Plusieurs organisations font ce travail pour les personnes exposées, souvent gratuitement. Access Now gère une Digital Security Helpline destinée à la société civile ; le Security Lab d’Amnesty enquête sur les affaires qui concernent des défenseurs des droits humains. Si c’est votre travail qui vous a placé dans cette situation, c’est à vous qu’ils s’adressent.
Pensez à l’aspect humain. Si vous êtes journaliste, les sources qui vous ont contacté peuvent elles aussi être exposées. C’est souvent le véritable objectif.
Réduire le risque à l’avenir
- Le mode Isolement est la mesure la plus efficace disponible sur iOS. Il désactive la plupart des types de pièces jointes dans les messages, certaines technologies web et certaines fonctions de connexion. Apple a déclaré n’avoir connaissance d’aucune attaque réussie par un logiciel espion mercenaire contre un appareil dont le mode Isolement était activé. Il se trouve dans Réglages, Confidentialité et sécurité. Il rend le téléphone moins pratique, c’est le prix à payer.
- Faites les mises à jour immédiatement. Ces chaînes d’attaque reposent sur des failles non corrigées ; c’est le retard qui crée la vulnérabilité.
- Redémarrez régulièrement. Face aux variantes qui résident en mémoire, un redémarrage supprime l’infection. Il supprime aussi les preuves : si vous soupçonnez une compromission en cours, demandez conseil avant de redémarrer.
- Réduisez votre surface d’attaque. Moins de messageries, moins de comptes joignables par des inconnus.
- Cloisonnez. Pour un travail réellement à haut risque, un appareil distinct réservé aux contacts sensibles limite ce que vous coûte une compromission.
Questions fréquentes, en bref
Existe-t-il une application qui détecte Pegasus ? Pas sur iOS. Les applications fonctionnent dans un bac à sable et ne peuvent pas examiner le système, c’est pourquoi toutes les méthodes de détection crédibles fonctionnent depuis un ordinateur, à partir d’une sauvegarde.
Une réinitialisation aux réglages d’usine le supprimerait-elle ? Probablement, mais elle supprime aussi les preuves, et elle ne règle pas ce qui vous a exposé au ciblage. C’est une étape, pas une solution.
Puis-je être infecté sans cliquer sur quoi que ce soit ? Oui. C’est la caractéristique même de ces campagnes.
Dois-je m’inquiéter ? Si vous êtes journaliste, militant, avocat ou personnalité politique, en particulier si vous travaillez sur des sujets qui déplaisent à un gouvernement, la question est légitime et mérite d’être tranchée sérieusement. Si ce n’est pas le cas et que rien de précis n’a motivé cette recherche, la réponse est presque certainement non, et un logiciel de traque ordinaire est une préoccupation bien plus probable. Notre guide pour détecter un logiciel espion sur iPhone traite ce cas.
Sources
- Amnesty International Security Lab, rapport méthodologique d’analyse forensique : comment détecter Pegasus de NSO Group : amnesty.org
- Mobile Verification Toolkit : mvt.re et github.com/mvt-project/mvt
- Apple, À propos des notifications de menace d’Apple et de la protection contre les logiciels espions mercenaires : support.apple.com/en-us/102174
- Access Now Digital Security Helpline : accessnow.org/help
À lire aussi : comment détecter un logiciel espion sur iPhone, logiciels de traque : les signes, et ce qu’il ne faut pas faire et le guide de MVT.