Les sanctions contre les logiciels espions s’effritent : le Trésor américain retire discrètement des membres du consortium Intellexa

Dans un geste aussi mystérieux que le logiciel espion au cœur de la controverse, le Trésor américain a discrètement levé les sanctions contre trois acteurs clés liés au tristement célèbre outil de surveillance Predator. Cette décision, prise sans explication publique, intervient alors que l’indignation mondiale grandit face à l’utilisation abusive de logiciels espions commerciaux contre des journalistes, des militants et des responsables politiques. Les États-Unis renoncent-ils à leur position sur les mercenaires du cyberespace, ou y a-t-il quelque chose de plus profond ?

L’Office of Foreign Assets Control (OFAC) du département du Trésor américain a surpris les observateurs cette semaine en retirant Merom Harpaz, Andrea Nicola Constantino Hermes Gambazzi et Sara Aleksandra Fayssal Hamou de sa liste de sanctions. Ces personnes occupaient des rôles centraux au sein du consortium Intellexa, la société holding opaque derrière Predator - une plateforme de logiciel espion commercial tristement célèbre pour son utilisation dans des campagnes de surveillance secrètes.

Harpaz, directeur chez Intellexa S.A., et Gambazzi, propriétaire de Thalestris Limited et Intellexa Limited, avaient été sanctionnés aussi récemment qu’en septembre 2024. Hamou, décrite comme une facilitatrice clé et spécialiste de l’externalisation, avait fait l’objet de sanctions en mars. Thalestris gérait apparemment les droits de distribution de Predator, s’occupant des transactions et agissant comme société mère d’Intellexa S.A., tandis que Hamou orchestrai la logistique d’entreprise depuis la Grèce. Leur retrait soudain de la liste, sans explication de l’OFAC, laisse experts et défenseurs des droits humains dans l’attente de réponses.

Predator, actif depuis au moins 2019, est conçu pour opérer dans l’ombre. À l’instar de son célèbre cousin Pegasus, il est commercialisé auprès des forces de l’ordre et pour la lutte antiterroriste, mais a été maintes fois utilisé contre des journalistes, des avocats et des militants politiques. Des enquêtes menées par des groupes comme Amnesty International et Recorded Future ont documenté l’utilisation continue de Predator, y compris une tentative récente de piratage d’un avocat pakistanais spécialisé dans les droits humains via WhatsApp. Malgré l’accumulation de preuves d’abus, l’écosystème des logiciels espions reste très lucratif, secret et concurrentiel, les entreprises adaptant leurs stratégies pour échapper à la surveillance et aux sanctions.

La justification initiale du Trésor pour ces sanctions était claire : les logiciels espions commerciaux non contrôlés représentent un « risque sécuritaire croissant » pour les États-Unis et leurs alliés. Les critiques craignent désormais que la radiation de ces individus sans transparence n’encourage les acteurs du marché mondial des logiciels espions. « Toute décision précipitée de lever les sanctions contre des personnes impliquées dans des attaques contre des citoyens ou des intérêts américains risque de signaler aux mauvais acteurs que ce comportement pourrait rester impuni », avertit Natalia Krapiva, conseillère juridique senior chez Access Now.

Alors que les vendeurs de logiciels espions s’adaptent aux mesures réglementaires, la frontière entre surveillance légitime et activité de mercenariat numérique devient de plus en plus floue. La radiation des affiliés d’Intellexa soulève des questions troublantes : les sanctions sont-elles efficaces dans un monde où l’espionnage numérique ne connaît pas de frontières, et la responsabilité rattrapera-t-elle un jour ceux qui profitent de la surveillance dans l’ombre ?

WIKICROOK

• Liste de sanctions : Une liste de sanctions est un registre officiel d’individus ou d’entités interdits de certaines activités, souvent pour des raisons de sécurité ou de conformité réglementaire.
• Logiciel espion : Un logiciel espion est un programme qui surveille ou vole secrètement des informations sur votre appareil sans votre consentement, mettant en danger votre vie privée et vos données.
• Zero-day : Une vulnérabilité zero-day est une faille de sécurité cachée, inconnue de l’éditeur du logiciel et sans correctif disponible, ce qui la rend très précieuse et dangereuse pour les attaquants.
• Surveillance commerciale : La surveillance commerciale implique la vente d’outils de surveillance par des entreprises privées à des gouvernements ou agences, soulevant souvent des questions de vie privée, d’éthique et de droits humains.
• Externalisation : L’externalisation consiste à délocaliser des opérations commerciales à l’étranger, souvent pour réduire les coûts. En cybersécurité, cela peut créer de nouveaux risques et défis de conformité.