Comment l'UE a fourni au Maroc un puissant outil de piratage de téléphones portables

La répression contre des contestataires politiques au Maroc s’est vivement renforcée. Selon l’enquête du média à but non-lucratif Disclose, publiée par Zach Campbell et Lorenzo D’Agostin en juillet 2022, le journaliste Abdellatif Hamamouchi, 28 ans, a subi cette offensive.

Selon le média, le journaliste et militant de l’Association marocaine des droits humains aurait été victime d’une violente agression par des hommes qui appartenaient, selon ses dires, aux services secrets marocaind en juillet 2018. Ils l’auraient «battu et jeté par terre» avant de lui prendre son téléphone portable. «Grâce à lui, ils ont pu avoir accès à mes e-mails, ma liste de contacts, mes échanges avec mes sources», rapporte Disclose.

Détournement et oppression

Ils seraient environ une dizaine de journalistes militants, comme Abdellatif Hamamouchi, à avoir témoigné sur la confiscation de leurs téléphones portables suite à leur arrestation arbitraire. Selon eux, cette pratique aurait pour but de renforcer le fichage des opposants présumés tout en collectant leurs informations personnelles.

D’après l’enquête, depuis 2009, ce contrôle a pu être facilité grâce au soutien technologique et financier de l’Union européenne qui lutte contre l’immigration irrégulière et le trafic d’êtres humains à ses frontières. D’après le média Disclose, en partenariat avec l’hebdomadaire allemand Der Spiegel, l’UE aurait livré de puissants systèmes de surveillance numérique au Maroc. Il s’agirait en fait de logiciels espions conçus par MSAB et Oxygen forensics, deux sociétés spécialisées dans le piratage des téléphones et l’aspiration de données.

Par la suite, les logiciels auraient été livrés aux autorités marocaines par la société franco-libanaise Intertech Lebanon, sous la supervision du Centre international pour le développement des politiques migratoires (ICMPD).

Des téléphones sous logiciels espions

Selon des sources consultées par Disclose et Der Spiegel auprès des institutions européennes, c’est la société suédoise MSAB qui aurait fourni un logiciel espion nommé XRY à la police marocaine. Il est par ailleurs apte à déverrouiller tous types de smartphones pour en extraire les données d’appels, de contacts, de localisation, mais aussi les messages envoyés et reçus par SMS, WhatsApp et Signal.

Le logiciel américain Oxygen forensics, quant à lui, a livré un système d’extraction et d’analyse de données baptisé «Detective» conçu pour contourner les verrouillages d’écran des appareils mobiles afin d’aspirer les informations stockées dans le cloud (Google, Microsoft ou Apple) ou les applications sécurisées de n’importe quel téléphone ou ordinateur.

Par ailleurs, ils sont tous deux différents du désormais célèbre logiciel israélien Pegasus. En effet, XRY et Oxygen forensics nécessitent un accès physique au mobile à pirater, et ne permet pas de surveillance à distance. Cependant, selon des chercheurs en sécurité numérique joints par Disclose, ces deux logiciels ne laissent pas de traces dans les appareils piratés.

D’après les sources internes obtenues par l’ONG Privacy International, l’Europe aurait également envoyé ses experts issus du Collège européen de police, le CEPOL, pour une formation de quatre jours à Rabat entre le 10 et le 14 juin 2019. Les formations couvraient la sensibilisation à «la collecte d’informations à partir d’Internet» ; le «renforcement des capacités d’investigation numérique», l’introduction au «social hacking», et la pratique qui consiste à soutirer des informations à quelqu’un via les réseaux sociaux.

Disclose affirme par ailleurs qu’aucun contrôle n’aurait été effectué sur ces logiciels, ni de la part des fabricants, ni des fonctionnaires européens. «Le Maroc pourrait décider d’utiliser ses nouvelles acquisitions à des fins de répression interne sans que l’Union européenne n’en sache rien», déclarent les enquêteurs. Les transferts de technologies de ce type devraient pourtant faire l’objet d’une attention importante. D’après Disclose, les systèmes fournis par l’UE sont classés dans la catégorie des biens à double usage (BDU). Des systèmes utilisables dans un contexte militaire et civil.