Pegasus et NoviSpy : cyberespionnage et piratage en garde à vue frappent l'opposition serbe

Les premières preuves techniques ont émergé en août 2026, lorsque Apple a envoyé des notifications automatisées de menace aux appareils personnels de figures de l'opposition à Belgrade. Parmi les destinataires figuraient des leaders de protestations étudiantes, des membres d'organisations de la société civile, un conseiller municipal et un député de l'opposition. Des vérifications en laboratoire menées par la SHARE Foundation, basée à Belgrade, ont confirmé une exploitation active entre décembre 2025 et la mi-2026 — une période où les partis mettaient en place leur logistique de campagne pour les scrutins locaux et nationaux.

Pegasus n'était pas le seul outil utilisé.

Amnesty International a découvert que la garde à vue de la police serbe a été utilisée directement pour installer des logiciels malveillants. L'analyse médico-légale d'un téléphone Android appartenant à un étudiant militant détenu a montré qu'une version récemment compilée de « NoviSpy » — une souche de logiciel malveillant Android conçue pour échapper à la détection de sécurité — avait été chargée sur l'appareil alors qu'il était confisqué pendant un interrogatoire de police.

Il s'agit d'une opération à deux volets. Pegasus opère depuis des serveurs distants sans interaction de l'utilisateur. NoviSpy nécessite un opérateur humain à l'intérieur d'un commissariat. Une fois installés, les deux systèmes donnent aux opérateurs un accès complet aux chats chiffrés, aux listes de contacts, aux fichiers stockés, aux données de localisation en temps réel et au contrôle à distance du microphone.

Les données volées passent rapidement de la garde à vue aux médias d'État. Des conversations privées sur Viber extraites du téléphone d'une victime ont été lues à voix haute lors d'une diffusion en direct sur TV Informer, une chaîne de télévision pro-gouvernementale.

La présidente de l'Assemblée, Ana Brnabić, a qualifié les rapports médico-légaux d'« idiotic », affirmant que le gouvernement n'avait aucune connaissance de l'utilisation de logiciels espions et que la conférence de presse étudiante avait été mise en scène pour des « international audiences ». La loi serbe raconte une autre histoire. L'article 143 du Code pénal fait de l'écoute téléphonique non autorisée et de l'installation de logiciels malveillants une infraction pénale passible de peines d'emprisonnement.

Comment le kit Cellebrite a fini par charger des logiciels malveillants dans les commissariats

L'appareil d'État fonctionne selon une simple division du travail. Les exploits à distance coûteux et sans clic comme Pegasus couvrent les cibles de grande valeur. Les détentions policières de routine s'occupent du reste par une altération matérielle directe.

Cet accès physique repose sur un kit médico-légal initialement acheté pour le travail policier standard. Des donateurs européens ont fourni du matériel d'extraction numérique, notamment des unités Cellebrite UFED, au ministère de l'Intérieur serbe (MUP) pour les enquêtes criminelles et les opérations anticorruption. Une enquête antérieure d'Amnesty International en 2024 a prouvé que des agents utilisaient ces mêmes outils Cellebrite lors d'entretiens en commissariat pour injecter NoviSpy sur des téléphones pris à des journalistes, les données volées étant dirigées directement vers des serveurs appartenant à l'Agence de renseignement de sécurité (BIA).

La variante NoviSpy de 2026 a été modifiée juste avant la dernière vague d'arrestations. Les développeurs ont altéré la structure de son code pour contourner les contrôles de sécurité Android et se cacher des antivirus mobiles, garantissant aux analystes de sécurité un décalage avant que les définitions antivirales puissent capturer les signatures du logiciel malveillant.

Les plaintes pénales déposées par la SHARE Foundation concernant des incidents antérieurs d'altération de téléphones restent bloquées devant les tribunaux serbes sans qu'un seul procureur n'ait engagé de poursuites contre le personnel du MUP ou de la BIA.

Retombées politiques de la catastrophe de la gare de Novi Sad

Le moment des piratages est directement lié aux retombées de l'effondrement de l'auvent de la gare de Novi Sad en novembre 2024, qui a tué 15 personnes et déclenché des mois de protestations de rue contre la corruption gouvernementale et des contrats publics bâclés.

Des groupes étudiants ont mené ces manifestations, organisant des blocages de routes et des rassemblements de campagne qui ont perturbé le message économique du gouvernement. Lorsque les élections locales ont eu lieu le 29 mars 2026, l'accès en temps réel à la stratégie étudiante a donné aux responsables de l'État un net avantage opérationnel.

La surveillance illégale ruine la confidentialité de base nécessaire pour mener une campagne politique. L'interception des messages internes permet aux responsables de l'État de suivre la sensibilisation des électeurs, de cartographier les sources de financement, d'identifier les lanceurs d'alerte et de disperser les manifestations avant que les militants ne se rassemblent dans la rue.

Les diffusions télévisées ajoutent une couche d'intimidation supplémentaire. Montrer des chats privés sur Viber à la télévision nationale force le personnel de campagne, les journalistes d'investigation et les organisateurs étudiants à modifier leur façon de travailler.

Apple a corrigé la vulnérabilité zero-click d'iMessage dans sa mise à jour iOS 18.4.1, tandis que des groupes de sécurité ont conseillé aux membres de l'opposition d'activer le mode Lockdown. Aucune de ces mesures n'empêche un agent de police de brancher un câble sur un téléphone confisqué pendant un interrogatoire.

Financement de l'UE et diplomatie régionale

La révélation des opérations de surveillance de Belgrade crée un problème pratique pour les diplomates européens qui ont passé des années à privilégier la stabilité régionale sur les normes démocratiques en Serbie.

Ce compromis est plus difficile à maintenir lorsque des outils de piratage de qualité militaire ciblent des députés élus à l'intérieur d'un pays candidat à l'UE.

La voie commerciale de ces outils reste largement non surveillée. Le groupe NSO affirme que Pegasus est vendu exclusivement à des gouvernements souverains pour lutter contre le terrorisme et la criminalité grave, mais son empreinte numérique continue d'apparaître sur des appareils appartenant à des militants étudiants serbes, des journalistes d'investigation de BIRN et des politiciens de l'opposition.