En mai 2025, un tribunal fédéral américain a jugé NSO Group responsable de violations des lois américaines contre le piratage informatique et de rupture de contrat, un jury lui infligeant cent soixante-sept millions de dollars de dommages et intérêts punitifs au profit de WhatsApp. Le 17 octobre 2025, ce même tribunal a ordonné à l'entreprise israélienne de cesser de cibler l'infrastructure de la messagerie avec son logiciel espion Pegasus, une injonction permanente que NSO a depuis contestée en appel.
Le 8 juin 2026, l'équipe de renseignement sur les menaces de WhatsApp annonçait avoir détecté et neutralisé une nouvelle campagne Pegasus, apparue quelques jours seulement après l'entrée en vigueur de cette injonction. La méthode d'attaque, un hameçonnage ciblé par lien piégé redirigeant la victime hors de l'environnement chiffré de WhatsApp vers un site externe contrôlé par l'attaquant, contournait précisément le périmètre technique que l'injonction visait à protéger.
Une injonction sur un vecteur précis ne supprime pas la capacité sous-jacente
Le verdict de mai 2025 et l'injonction d'octobre constituent une victoire juridique et financière réelle pour WhatsApp et sa maison mère Meta, la première condamnation d'une telle ampleur contre un fabricant de logiciels espions commerciaux. Mais un tribunal américain ne peut ordonner qu'à une entreprise de cesser un comportement précisément défini, cibler l'infrastructure de WhatsApp par un vecteur d'exploitation donné ; il ne peut ni modifier le modèle économique sous-jacent de vente de capacités d'intrusion à des clients étatiques, ni empêcher l'entreprise ou son personnel d'adapter leurs méthodes pour contourner les termes exacts de la décision.
Le choix de la nouvelle campagne de juin 2026, un hameçonnage dirigeant la cible vers un site extérieur plutôt qu'une exploitation directe des serveurs de WhatsApp, illustre exactement ce type de contournement technique construit autour des termes précis de l'injonction. Un remède juridique étroitement circonscrit à un vecteur d'attaque spécifique ne supprime donc pas la capacité qu'il cherche à sanctionner ; il oblige seulement son mécanisme de livraison à évoluer vers un chemin que la décision n'a pas explicitement couvert.
Sanctionner un fournisseur ne réduit pas la demande pour la capacité elle-même
Début 2025, le Citizen Lab a publié les premières preuves de l'existence d'un nouveau fournisseur commercial de logiciels espions, Paragon Solutions, dont l'outil baptisé Graphite utilise également WhatsApp comme vecteur d'attaque. Ce logiciel a depuis été utilisé contre des journalistes et des critiques italiens, plusieurs pays étant suspectés de figurer parmi ses clients. L'émergence de ce nouvel acteur, alors même que NSO Group subissait une pression judiciaire et réputationnelle croissante, démontre que le marché des logiciels espions mercenaires ne se réduit pas à la punition d'un fournisseur unique.
Ce phénomène s'apparente à la perturbation d'un réseau de trafic plutôt qu'à l'élimination d'un produit : sanctionner une entreprise ne diminue pas la demande pour la capacité qu'elle vendait, elle redistribue simplement les parts de marché entre un nombre restreint de fournisseurs capables d'offrir une technologie comparable, à moins que la demande elle-même, du côté des gouvernements acheteurs, ne subisse à son tour des conséquences que la seule voie judiciaire contre un vendeur ne permet structurellement pas d'imposer.
Le procès a forcé une transparence que le journalisme seul n'avait jamais obtenue
En juillet 2026, le laboratoire de sécurité d'Amnesty International a publié une recherche technique approfondie sur l'évolution de Pegasus, rendue possible par l'accès à du matériel de formation confidentiel et à une documentation interne de NSO Group divulgués dans le cadre de la procédure de communication de pièces du litige avec WhatsApp et Meta. Cette publication offre un aperçu sans précédent du fonctionnement réel de l'outil, que des années d'enquêtes journalistiques et d'analyses techniques externes n'avaient jamais permis d'obtenir avec un tel niveau de détail.
Cette conséquence indirecte du procès dépasse en valeur pratique l'injonction elle-même, dont l'effet dissuasif s'est révélé limité face à la campagne détectée quelques jours après son entrée en vigueur. L'utilité durable d'une action judiciaire contre un fournisseur de logiciels espions pourrait ainsi résider moins dans sa capacité à imposer une dissuasion effective que dans la transparence forcée que sa procédure de communication de pièces impose à une entreprise qui aurait autrement maintenu son fonctionnement interne entièrement hors de portée du regard extérieur.
Le remède le plus visible n'est pas toujours le plus efficace
Le chapitre 2025-2026 de l'affaire Pegasus illustre une leçon plus large sur les limites du recours judiciaire face à une capacité de renseignement commercialisée : une victoire en justice retentissante et financièrement significative peut coexister avec l'échec pratique à empêcher le préjudice qu'elle visait à sanctionner, précisément parce qu'une injonction cible un vecteur technique précis plutôt que la capacité commerciale elle-même, une capacité qu'un fournisseur concurrent, Paragon en l'occurrence, est déjà en mesure de proposer pour satisfaire la demande que NSO ne peut plus pleinement servir.
Ce que l'observateur extérieur ne peut établir avec certitude reste le nombre de gouvernements ayant déjà transféré une partie de leur ciblage vers Paragon ou d'autres fournisseurs en conséquence directe de l'exposition judiciaire croissante de NSO, ainsi que la question de savoir si la campagne de juin 2026 relevait d'un défi direct de NSO à l'injonction ou d'une opération reformatée, conçue pour revendiquer une distance juridique avec l'entité visée par la décision de justice.
Sources documentaires
- Business & Human Rights Resource Centre — USA: Court finds Pegasus spyware maker NSO Group liable in WhatsApp hack case.
- gBlock — WhatsApp Catches NSO in New Pegasus Spyware Campaign.
- Citizen Lab — Spyware Litigation Tracker.
- Amnesty International Security Lab — Inside Pegasus: The evolution of the world's most notorious spyware system.
Cambridge Five
Une affaire d'espionnage humaine classique, dont les mécanismes de trahison diffèrent radicalement de la logistique commerciale de Pegasus.
Lire l'analyseAldrich Ames
Une compromission par recrutement humain, à comparer à la compromission technique par logiciel commercial documentée ici.
Lire l'analyseEdward Snowden
Une autre affaire où la transparence forcée a révélé davantage que ce que l'appareil de surveillance visé souhaitait admettre.
Lire l'analyseStuxnet
Une arme numérique d'État dont la découverte a, comme Pegasus, révélé une capacité que ses concepteurs voulaient garder secrète.
Lire l'analyseCluster Chine
Le dossier Chine relie sécurité intérieure, cyberespionnage, Front uni et collecte technologique au service de la puissance d'État.
ComparerCluster États-Unis
Le dossier États-Unis éclaire la communauté du renseignement, ses moyens techniques, ses contrôles et ses rivalités bureaucratiques.
ComparerCluster Russie
Le dossier Russie distingue FSB, SVR, GRU, influence et action clandestine dans la stratégie de puissance de Moscou.
ComparerCluster Iran
Le dossier Iran analyse les services, les Gardiens de la révolution et les réseaux régionaux dans leur environnement politique.
Comparer
Analyste en géopolitique, anthropologie politique et relations internationales.