Comment protéger son smartphone contre le logiciel espion Pegasus

Les révélations sur Pegasus et les pratiques d’espionnage de la société israélienne NSO montrent que le piratage des téléphones est toujours possible. Mais il existe des moyens pour réduire les risques

Des dizaines de téléphones infectés, 50000 numéros visés, des années de surveillance à distance… Dimanche soir, l’enquête publiée par un consortium de 17 médias internationaux a braqué un coup de projecteur puissant sur les pratiques de la société israélienne NSO. On soupçonnait depuis des années que ses logiciels espions avaient été utilisés pour attaquer les téléphones de Jeff Bezos, fondateur d’Amazon, ou du journaliste saoudien Jamal Khashoggi, assassiné en 2018. Mais jamais autant de données n’ont été révélées sur les victimes de cet espionnage massif.

D’où ces deux questions, toutes simples: sommes-nous tous à la merci de cette prise de contrôle à distance de nos téléphones? Et comment tenter de s’en prémunir?

Infection invisible

La réponse à la première question peut être trouvée assez facilement. A priori, tous les téléphones actuels, qu’il s’agisse d’iPhone ou de smartphone tournant avec Android, peuvent être piratés. Mais les premières listes de victimes révélées indiquent que les attaques sont ciblées et qu’il ne s’agit pas, a priori, de surveillance de masse: dirigeants politiques, opposants à certains régimes, et journalistes sont apparemment les cibles de choix. NSO semble aussi ne jamais s’en prendre à des dirigeants de son pays d’origine, Israël, de même qu’à des responsables américains et russes.

Le risque de voir son téléphone piraté est donc faible, mais il n’est pas inexistant. L’enquête du consortium l’a montré, NSO est parvenue, au fil des années, à infecter les téléphones de plusieurs manières, sans jamais avoir besoin d’accéder physiquement au portable. Tout s’est fait à distance. Certaines mesures peuvent permettre de réduire les risques d’infection, sans jamais les écarter totalement. Et il ne faut pas oublier qu’il est impossible de savoir, après coup, si l’appareil a été infecté.

Mise à jour permanente

Un point capital est de maintenir en permanence à jour son téléphone, à deux niveaux. D’abord le système d’exploitation, que ce soit iOS ou Android. Il faut toujours télécharger et installer la dernière version proposée, que ce soit de manière automatique ou manuelle. Car très souvent, ces mises à jour comprennent des correctifs de sécurité concernant des failles qui peuvent être exploitées par NSO et des hackers. C’est une course permanente entre ces derniers et Apple et Google, qui ne cessent de corriger de petites erreurs de programmation qui peuvent avoir des conséquences majeures lorsqu’elles sont utilisées à mauvais escient. Pour les mêmes raisons, il faut aussi garder à jour toutes les applications de son téléphone.

Malheureusement, ces conseils ne s’appliquent qu’à des portables récents, ayant moins de cinq ans. Car Apple et Google ne proposent plus de mises à jour de leurs logiciels pour les smartphones plus anciens, les rendant plus vulnérables à des attaques potentielles. Garder son téléphone longtemps est un bon geste pour l’environnement, mais cela comporte hélas des risques.

Cependant, garder à jour son téléphone ne suffit pas: des chercheurs ont montré que la dernière version d’iOS (la 14.6) n’empêchait pas une attaque via un SMS reçu dans l’application «Messages» de son iPhone. Sans arrêt, NSO cherche de nouvelles portes pour pénétrer dans les mobiles.

Il est aussi fortement recommandé de ne télécharger des applications que depuis les magasins officiels d’Apple et de Google. C’est un conseil plus facile à suivre sur un iPhone, Apple ne proposant aucun magasin d’apps alternatifs. Google est nettement plus permissif en la matière, à l’utilisateur de faire très attention.

Attaques via WhatsApp

Il faut aussi se montrer méfiant, parfois. Ainsi, notamment sur WhatsApp, il est fortement recommandé de ne pas répondre à des appels audio ou vidéo d’inconnu. Par le passé, NSO était parvenu à infecter un portable avec son logiciel espion via un simple appel qui avait abouti. Il est même arrivé qu’un appel vidéo manqué sur WhatsApp suffise à infecter le téléphone. Le logiciel malveillant était parvenu ensuite à effacer la trace de cet appel. D’où l’importance de garder toujours à jour ses applications pour communiquer, car leurs éditeurs les mettent en permanence à niveau contre les attaques.

Et il ne faut pas croire que l’utilisation d’une messagerie chiffrant les messages, telles WhatsApp ou Signal, prémunisse contre l’espionnage: une fois le téléphone infecté, le hacker a accès au contenu du téléphone entier.

De manière générale, comme sur son ordinateur, il ne faut jamais ni cliquer sur un lien suspect reçu par message ou e-mail, ni ouvrir une pièce jointe qui semble douteuse. Ce sont les moyens les plus classiques pour infecter son smartphone.

■

Sans arrêt, NSO cherche de nouvelles portes pour pénétrer dans les mobiles