Liban : le futur (du cyberespionnage) est maintenant

Bienvenue dans le futur. Ça surprendra peut-être les connaisseurs du pays du Cèdre, ceux qui savent que le Liban ne dispose pas d’électricité 24 heures sur 24, ni d’eau courante sur l’ensemble du territoire, encore moins de ramassage viable des déchets.

Et pourtant, c’est bien depuis la Direction générale de la Sûreté générale, les services de renseignement libanais, qu’une campagne de cyberespionnage ciblant les appareils mobiles et les ordinateurs de milliers de victimes présentes dans 21 pays opère depuis 2012, selon le rapport « Dark Caracal, cyberespionnage à une échelle globale » publié le 18 janvier 2018 par la compagnie de cybersécurité Lookout et l’ONG de défense de la liberté d’expression en ligne Electronic Frontier Foundation (EFF), basées à San Francisco.

Mise à nu

« Le mobile est le futur de l’espionnage, parce que les téléphones sont remplis d’une telle quantité de données sur le quotidien d’une personne », a annoncé Eva Galperin, directrice de la cybersécurité à EFF.

C’est le moins que l’on puisse dire. Presque un demi-million de SMS, 150 000 coups de fil et près de 265 000 fichiers ont été exfiltré au cours de cette opération de cyberespionnage. Pire, à travers les applications vérolées qu’ils ont créées, les pirates peuvent aussi contrôler la caméra et le microphone des équipements piratés et filmer le quotidien des victimes. Une véritable mise à nu.

« Si ces allégations sont fondées, cette surveillance intrusive se moque du droit à la vie privée des citoyens et met en danger la liberté d’expression et d’opinion »

- Lama Fakih, directrice adjointe de Human Rights Watch au Moyen-Orient

Parmi les personnes visées par l’attaque, on trouve des cibles militaires, des institutions financières, des gouvernements et des marchands d’armes, mais aussi des activistes, des avocats, des journalistes voire des médecins.

Le futur du cyberespionnage se situerait donc à Beyrouth, capitale de l’Internet lent ? Presque. Car si les enquêteurs d’EFF et Lookout ont découvert le pot aux roses, c’est que les hackers n’avaient pas sécurisé leurs serveurs, ce qui leur a permis de mettre à jour les techniques utilisées par l’un des systèmes d’espionnage d’appareils mobiles les plus vastes jamais mis à jour.

Au cœur du dispositif, des clones d’applications mobiles vérolées aussi populaires que WhatsApp, Telegram, Plus Messenger ou Orbot TOR proxy. En utilisant la technique de « l’hameçonnage », les pirates ont poussé des centaines de personne à les installer sur leurs appareils mobiles, pouvant ensuite accéder à de nombreuses données privées, tout en envoyant des SMS infectés aux contacts de la victime afin d’élargir la toile de leur surveillance.

Le piratage ne s’est pas limité aux appareils mobiles. À travers l’usage de Finfisher, logiciel de surveillance allemand qui finit parfois dans les mains de dictatures, mais aussi en créant CrossRAT, un cheval de Troie qui permet de contrôler un ordinateur à distance, les pirates ont pu exfiltrer les données des ordinateurs des victimes et prendre des captures d’écran.

Si les enquêteurs ont pu remonter vers un dispositif situé dans les locaux de la Sûreté générale, ils n’en concluent pas pour autant que le Liban est à l’origine de cette campagne à grande échelle. Car l’infrastructure utilisée par Dark Caracal est la même que celle utilisée dans l’Opération Manul, une campagne de cyberespionnage menée par le Kazakhstan contre les journalistes, avocats et dissidents kazakhs découverte en 2016 par l’EFF. De quoi laisser planer le doute sur le commanditaire de Dark Caracal. Pour le quotidien libanais Al Akhbar, proche du Hezbollah, il ne peut s’agir que des États-Unis.

Atmosphère de répression

Quoiqu’il en soit, au Liban, la réaction face à cette intrusion massive et totale dans l’intimité de milliers d’individus a frôlé le silence le plus complet. Par peur d’être sur écoute ?

« Je préfère m’autocensurer sur ce sujet », livre sans détour un activiste de la société civile libanaise qui n’a accepté de répondre que sous couvert d’anonymat. « Les activistes ont peur de parler. Le timing n’est pas bon, les autorités actuelles sont toutes-puissantes. Parfois, il faut choisir ses batailles », philosophe-t-il.

« Je préfère m’autocensurer sur ce sujet. Les activistes ont peur de parler. Le timing n’est pas bon, les autorités actuelles sont toutes-puissantes. Parfois, il faut choisir ses batailles »

- Un activiste de la société civile libanaise

André Sleiman, membre de Beirut Madinati, parti politique issu de la société civile, justifie autrement l’absence de réaction de l’opinion publique : « Les Libanais sont tellement cyniques et défaitistes que, face à ce genre d’informations, ils réagissent par l’indifférence et l’apathie. »

Et pourtant, M. Sleiman souligne que la liberté d’expression subit actuellement des violations en cascade : « La dernière victime est l’humoriste Hicham Haddad, poursuivi pour la deuxième fois pour des sketchs sur les personnalités politiques et judiciaires libanaises. Peu avant lui, le célèbre journaliste Marcel Ghanem a dû comparaître pour ce qu’ont dit les invités sur le plateau de son émission politique.

« En attaquant sans vergogne des personnalités aussi populaires, le pouvoir actuel envoie un message d’avertissement à tous les activistes et journalistes moins célèbres. C’est une pente dangereuse, d’autant plus que le Liban est censé être le pays de la région… disons, le moins anti-démocratique ! », s’inquiète-t-il.

À LIRE : La liberté d'expression, un autre mythe libanais

Mercredi 31 janvier, Reporters Sans Frontières a dénoncé ces « poursuites disproportionnées ». Il ne s’agit pas de cas isolés. « En 2017, douze journalistes ont été incarcérés par des instances judiciaires autres que le tribunal des publications, devant lequel ils devraient normalement répondre. Or, il est illégal de détenir un journaliste pour interrogatoire dans le cadre de ses fonctions », déplore pour sa part Ayman Mhanna, directeur de la fondation Samir Kassir.

Souvent, un simple post sur Facebook ou Twitter suffit pour engager des poursuites judiciaires contre un journaliste ou un activiste politique, ce qui souligne non seulement que les réseaux sociaux sont sous contrôle, mais aussi que la protection de la liberté d’expression en ligne est infime.

C’est dans ce contexte répressif que surgit le rapport Dark Caracal, qui fait craindre que les outils de surveillance en ligne puissent être utilisés pour enfreindre davantage la liberté d’expression et le droit à la vie privée.

Une coalition d’ONG regroupant entre autres Human Rights Watch, la fondation Samir Kassir et Social Media Exchange (SMEX) a demandé une enquête sur les révélations de Dark Caracal : « Si ces allégations sont fondées, cette surveillance intrusive se moque du droit à la vie privée des citoyens et met en danger la liberté d’expression et d’opinion », a réagi Lama Fakih, directrice adjointe de Human Rights Watch au Moyen-Orient.

« Les Libanais sont tellement cyniques et défaitistes que, face à ce genre d’informations, ils réagissent par l’indifférence et l’apathie »

- André Sleiman, membre de Beirut Madinati

À la transparence demandée, la Sûreté générale préfère la discrétion : « Je ne veux pas commenter ce rapport, d’autant que l’action sécuritaire réclame un certain secret », a déclaré son directeur, Abbas Ibrahim, à une chaîne de télévision libanaise, avant d’ajouter que « toutes les opérations de collecte de données, qui entrent dans la logique de la sécurité proactive, sont menées contre les individus qui menacent la sécurité et la stabilité du Liban. »

La Sûreté générale n’a pas donné suite aux questions de MEE, affirmant « qu’il s’agit de questions secrètes engageant la sécurité du pays ».

Vide légal et méfiance citoyenne

Qu’il existe une campagne si intrusive de cyberespionnage ne surprend pas les observateurs libanais. « Ça ne nous étonne pas », résume M. Mhanna. « La loi relative à la surveillance date de 1999, soit d’avant les réseaux sociaux. Il y a un flou juridique qui fait que rien n’interdit ce genre de pratiques », explique-t-il.

« Au Liban, il y a une histoire de pressions employées par les différentes agences de sécurité avec l’accord de l’élite politique, et ce en violation des droits constitutionnels des citoyens »

- Mark Daou, homme politique indépendant

La loi 140 de 1999, surnommée « loi d’écoute aux portes », « permet la surveillance, mais ciblée, pour une période limitée, et à condition que les données soient mises en lieu sûr », rappelle Mohamad Najem, directeur exécutif de SMEX.

Le rapport « Cartographier le paysage de la surveillance numérique au Liban » publié par SMEX en 2016 rappelle d’ailleurs que le Liban est tenu par la Déclaration universelle des droits de l’homme et par sa Constitution de protéger la liberté individuelle et la liberté d’expression de ses citoyens.

Un projet de loi sur les transactions électroniques et les données personnelles est actuellement en commission parlementaire et a été révisé pour la dernière fois en juin 2015. « Bien qu’imparfait, il présente l’unique alternative à l’actuel vide légal qui existe au Liban », précise le rapport.

À LIRE : Acheteurs, attention : cette société israélienne aide les gouvernements à espionner leurs citoyens

En attendant, les activistes continuent de se méfier. Mark Daou, homme politique indépendant, avoue : « Oui, je me considère comme une cible de ce genre d’espionnage. Je prends mes précautions en utilisant plusieurs numéros de téléphone et en changeant fréquemment de mot de passe sur internet. Au Liban, il y a une histoire de pressions employées par les différentes agences de sécurité avec l’accord de l’élite politique, et ce en violation des droits constitutionnels des citoyens », livre-t-il à MEE.

André Sleiman, lui, considère que son activité politique est transparente et qu’il n’a rien à se reprocher. S’il connaît l’existence d’applications de messagerie mobile sécurisées et de boîtes mail cryptées, il dit ne pas en voir l’utilité pour l’instant.

Malgré cela, il prend ses précautions : « Je me souviens que sous l’occupation syrienne, notre téléphone était sur écoute, alors on faisait attention. Aujourd’hui, au sein de Beirut Madinati, on ne prend jamais de grande décision par téléphone ou par mail. On ne sait jamais. On préfère se donner rendez-vous et en parler de vive voix. »