Vu d'Europe : au Maroc, plongée au coeur de la machine qui surveille journalistes et opposants - RTBF Actus

Vu d'Europe

Il y a 2 heures11 min

Une nouvelle enquête coordonnée par l'organisation Forbidden Stories, à laquelle a participé la cellule investigation de nos confrères de Radio France, révèle de l'intérieur les rouages de l'appareil de surveillance marocain. Ce travail documente notamment l'usage très répandu du logiciel espion Pegasus contre des journalistes, des opposants et des défenseurs des droits humains.

Info

Plongée au cœur de l’appareil de surveillance marocain.

Cette investigation prolonge le travail mené depuis plusieurs années par Hicham Mansouri, journaliste marocain et lui-même victime de Pegasus, qui s'est associé à Forbidden Stories pour ce projet. Le point de départ de ce nouveau volet est la rencontre d'Hicham Mansouri avec un ancien membre des services de sécurité marocains, désigné sous le pseudonyme de "Safir". Celui-ci a travaillé près d'une décennie au sein de la Direction générale de la surveillance du territoire, la DGST, le renseignement intérieur marocain, qu'il a quitté depuis plusieurs années.

Son témoignage exceptionnel et inédit permet de comprendre la façon dont les services du royaume désignent leurs cibles, récupèrent leurs données, surveillent leurs proches, puis transforment des informations privées en moyens de pression ou de poursuites. Son récit a été confronté aux témoignages de deux autres anciens membres des services. Parallèlement, le consortium a analysé des documents internes, des données techniques, des archives de ciblage Pegasus et les résultats d'analyses menées par le Security Lab d'Amnesty International.

Hicham Mansouri, journaliste marocain qui a recueilli le témoignage d'un ancien agent des services de renseignement du Maroc. © Forbidden Stories

Pegasus, l'infection silencieuse

À la fin de l'été 2017, des démonstrations de Pegasus sont menées par des représentants de NSO Group devant des responsables et des techniciens de la DGST. Dans une villa de Rabat, des téléphones sont infectés : la caméra s'allume à distance, puis le micro. Les SMS, les messages et les fichiers deviennent accessibles depuis une console.

"Du jamais-vu auparavant. Les attaques de NSO étaient merveilleuses : ils exploitaient les failles des systèmes Android et iOS", raconte l'ancien agent. À l'époque, les services savent déjà infecter un ordinateur ou un téléphone, mais ces opérations nécessitent souvent un accès physique, un fichier piégé ou un lien sur lequel la cible doit cliquer. "L'argument de vente, c'était l'infection silencieuse, sans intervention physique", explique Safir. Pegasus promet une intrusion déclenchée à distance, presque invisible pour l'utilisateur du téléphone.

La décision est vite prise. "Dès qu'ils ont su qu'il y avait Pegasus, ils l'ont choisi car c'est facile. Et la DGST a toujours préféré le chemin facile", affirme Safir. Les responsables, poursuit-il, se réjouissent de ne plus avoir à saisir physiquement l'appareil. Plus tard, en 2019, une nouvelle présentation de NSO va encore plus loin : "Ils ont montré une attaque où ils faisaient un appel anonyme et cinq secondes plus tard, le téléphone était infecté."

"C'est très simple, c'est comme si tu ouvres Chrome. Tu entres avec ton identifiant utilisateur, et tu trouves les objectifs, chaque opération avec ses cibles." Une fois le téléphone compromis, ajoute-t-il, "messages, appels, photos, tout est là", rangé par onglets sur l'écran de l'analyste.

Interface du logiciel Pegasus. © Forbidden Stories

Pour la première fois, le témoignage d'un ancien membre de la DGST documente ainsi de l'intérieur l'installation, les essais et l'utilisation de Pegasus par les autorités marocaines. Il vient contredire la position défendue par Rabat depuis les révélations de 2021 : le royaume affirmait n'avoir jamais acquis de logiciel permettant d'infiltrer des appareils de communication. Il avait aussi engagé des actions en diffamation contre Forbidden Stories, Amnesty International France et plusieurs médias partenaires, dont Radio France. Ces procédures ont toutes été jugées irrecevables par la justice française.

Les Emirats arabes unis en intermédiaire

La villa où se déroule la démonstration est surnommée par les agents la "villa FSSYS". Le nom renvoie à FSSYS Maroc, une structure présente au Maroc et liée à Al Fahad, une société émiratie spécialisé dans la vente de technologies de surveillance. Selon Safir et une autre source sécuritaire, FSSYS aurait mis en relation NSO Group et les services de renseignement marocain, organisé les présentations et assuré une partie du suivi technique et administratif. Fait notable, cette coopération s'est nouée avant la normalisation officielle des relations d'Israël avec les Émirats arabes unis, en septembre 2020, puis avec le Maroc, en décembre de la même année.

La relation entre le Maroc et NSO Group se serait faite via une société émiratie. © Forbidden Stories

Pour appuyer ses dires, Safir fournit une description détaillée du fonctionnement de cette "entente" qui aurait existé avec les Emirats. Selon lui, tout passait par un certain Wassim, un Marocain spécialiste de la cybersécurité, qu'il croisait souvent dans la villa. D'après nos informations, Wassim ne travaillait pas à la DGST mais pour FSSYS et organisait les mises en relation entre les services marocains, les Émiratis et NSO, sans nécessairement assister aux réunions les plus confidentielles.

"S'il y a une mise à jour du logiciel, la DGST doit appeler Wassim, par exemple. Pour te hacker, en revanche, je ne vais pas demander son autorisation, mais on va l'aviser après, car il doit faire un rapport aux Émiratis", précise Safir. Un autre ancien membre des services le décrit comme chargé de faire remonter le nombre d'infections, notamment pour le suivi de la facturation. Joint par téléphone, Wassim déclare n'avoir été qu'un "simple employé” de FSYSS Maroc, et ne rien savoir des relations avec la DGST et du logiciel Pegasus.

Le rôle financier exact des Émirats reste toutefois incertain. Safir affirme que le coût de Pegasus était pris en charge par Abou Dhabi : "Des millions, ce n'est rien pour les Émiratis. Ils l'ont acheté et l'ont redistribué aux services amis. Tu peux dire que c'est comme Netflix : un ami paie l'abonnement, et les autres utilisent son compte." Deux autres sources sécuritaires et diplomatiques soutiennent aussi cette hypothèse. Mais un ancien employé de NSO et une deuxième source au sein de l'industrie ont néanmoins déclaré au consortium ne pas être au courant de paiements réalisés par les Emirats arabes unis pour le Maroc.

Au sein de la DGST, l’utilisation de Pegasus est selon Safir gérée par Abdeljalil Taki, l'un des chefs de services au sein de la direction des opérations. Ce dernier est épaulé par Amine Labbardi, interlocuteur technique de NSO.

Les données techniques confortent l'existence de leurs rôles opérationnels. Le 10 septembre 2017, alors que le système marocain est encore en cours de déploiement, un numéro attribué à Taki et deux numéros attribués à Labbardi sont saisis dans Pegasus, au milieu de numéros appartenant à de véritables cibles. Cette configuration est compatible avec des essais menés sur les appareils des futurs opérateurs, une pratique documentée lors d'autres déploiements du logiciel. Leurs numéros réapparaissent le 8 février 2019, au moment où de nouvelles méthodes d'infection deviennent disponibles.

"On commence par le verdict"

Pour Safir, le plus important n'est pourtant pas la méthode utilisée mais le but de l'opération. "On commence par le verdict", résume-t-il. Une personne est d'abord considérée comme une menace ; les services cherchent ensuite ce qui pourra l'affaiblir, la retourner ou la discréditer.

"On regarde si vous aimez les femmes, l'alcool, les jeux. Il faut vraiment vous connaître", raconte l'ancien agent. "Avec les journalistes", dit-il, "la première question est de savoir s'ils peuvent être achetés". À défaut, viennent la manipulation, le chantage ou la recherche d'un détail intime exploitable. La surveillance s'étend très vite à l'entourage : "Si vous appelez souvent une cible, voilà, vous devenez quelqu'un de proche. On peut passer directement à vous."

Pegasus n'est alors qu'une couche parmi d'autres. Les services combinent les écoutes téléphoniques, les filatures, les microphones, les caméras cachées, l'extraction d'un appareil saisi et le recrutement d'informateurs.

Les données volées peuvent ensuite alimenter des médias proches du pouvoir, des campagnes de dénigrement ou accompagner une procédure judiciaire. Safir dit avoir vu deux grandes salles où environ 150 employés surveillaient l'actualité et les réseaux sociaux. "Chacun a son rôle. Il y a ceux qui écrivent les commentaires, ceux qui surveillent l'actualité, ceux qui suivent Facebook", décrit-il. Des agents multilingues, ajoute-t-il, écrivent sur des forums en français, en anglais, en espagnol ou en mandarin.

"On est arrivés à Pegasus après toutes les étapes d'écoute"

La traque visant Omar Radi permet de comprendre comment tous ces moyens peuvent s'additionner. Le journaliste d'investigation marocain, connu pour ses enquêtes sur les liens entre pouvoir politique et intérêts économiques, avait appris à laisser son téléphone éteint lors de rendez-vous sensibles ; une prudence qui compliquait la tâche des services.

"On ne trouvait rien sur Omar Radi. Rien. Il était presque 'trop' précautionneux. Ça nous a forcés à aller plus loin", confie Safir. "Pour Omar, on en est arrivé à Pegasus après avoir utilisé toutes les étapes d'écoute, chez lui ou dans sa voiture. C'est un procédé presque scientifique. Pegasus est le dernier outil, l'un des plus puissants."

Omar Radi © Forbidden Stories

D'après Safir, la mère d'Omar Radi est suivie dans ses déplacements et son téléphone est écouté. Ses frères, ses amis, ses sources et même l'homme chez qui il achète ses cigarettes sont ciblés. Les conversations sont retranscrites jusque dans "chaque soupir, chaque toux, chaque 'ah'". Interrogé dans le cadre de cette enquête, le journaliste raconte aussi que des voisins, un épicier, un gardien ou des connaissances ont été approchés et rémunérés pour le photographier ou livrer des détails sur sa vie ; plusieurs ont refusé.

Lorsque Omar Radi rencontre l'historien et défenseur des droits humains Maati Monjib dans un café, Safir raconte que les services peuvent approcher le propriétaire, choisir la table et soudoyer un serveur pour y placer un microphone ou une caméra. Dans son appartement, des micros miniatures auraient aussi été dissimulés dans les luminaires. Le consortium a soumis ces détails à Omar Radi lors d'une interview. "Bien sûr que je savais qu'ils pouvaient nous écouter", a-t-il réagi. "Maintenant, j'en ai la confirmation. C'est Kafka."

Enfin, le téléphone d'Omar Radi est lui aussi visé. En 2020, une analyse du Security Lab d'Amnesty International a identifié sur son iPhone des traces d'infection par Pegasus. Lors d'une garde à vue en juillet 2020, son téléphone est également saisi. Selon Safir, les services utilisent alors Cellebrite UFED, un autre logiciel d'extraction de données vendu par une entreprise israélienne pour déverrouiller l'appareil et récupérer les données.

De la surveillance à la diffamation

Les informations collectées ne restent pas nécessairement dans les dossiers des services. Plusieurs défenseurs des droits humains disent retrouver des éléments de leur vie privée dans ce qu'ils appellent la "presse de diffamation" : des sites et médias réputés proches du pouvoir, qui relaient ou mènent des campagnes de dénigrement contre journalistes, militants et opposants.

Dans le cas d'Omar Radi, ces sites publient régulièrement des informations sur ses déplacements, ses relations ou ses projets, parfois issues, selon lui, de conversations privées. Leur calendrier renforce ses soupçons : "Les médias de diffamation prédisent même ma prochaine arrestation", a-t-il expliqué aux journalistes. Il les qualifie d'"outils de terreur" : ces publications rendent visible l'étendue supposée de la surveillance et signalent à la cible que rien dans sa vie n'est hors de portée.

Avant Pegasus, téléphones et cybercafés piégés

Bien avant Pegasus, la DGST disposait déjà du Remote Control System (RCS), un logiciel espion commercialisé par la société italienne Hacking Team. Son usage par les services marocains avait été documenté après la fuite, en 2015, des emails internes de l'entreprise. Une fois implanté, RCS pouvait prendre le contrôle d'un ordinateur ou d'un smartphone, activer ses caméras et son micro, suivre sa localisation et aspirer ses communications. À la différence des infections "zéro clic" (NDLR : sans clic sur un lien ou un fichier piégé) devenues emblématiques de Pegasus, les opérations décrites ici reposaient surtout sur un accès physique à l'appareil : une clé USB, un ordinateur laissé quelques instants sans surveillance ou un téléphone préparé avant d'être remis à sa cible.

Cette tactique aurait notamment été utilisée pendant le Hirak du Rif. Ce mouvement de protestation réclamait davantage de justice sociale, d'emplois, d'infrastructures et de services publics. Les rassemblements ont été durement réprimés en 2017, avec l'arrestation de centaines de manifestants.

Des centaines de personnes manifestent dans la rue à Al-Hoceima au Maroc pour protester contre le gouvernement marocain, le 8 juin 2017. © Des centaines de personnes manifestent dans la rue à Al-Hoceima au Maroc pour protester contre le gouvernement marocain, le 8 juin 2017.

Dans ce contexte, selon Safir, les services auraient acheté une cinquantaine de Samsung Galaxy S6 Edge, installé RCS dessus, puis réinitialisé les appareils pour leur redonner l'apparence de téléphones neufs. Les appareils étaient ensuite confiés à des boutiques de téléphones d'occasion fréquentées par des militants. "Quand tu l'allumes, tu penses qu'il est neuf. En fait, il est déjà piégé", résume Safir.

Le même principe aurait été appliqué aux ordinateurs des cybercafés fréquentés par les cibles. Des agents de terrain identifiaient l'établissement, puis installaient RCS sur un ou plusieurs postes. "Nous avons infecté tellement de cybercafés. Nos agents de terrain nous indiquaient celui qui était fréquenté par la cible, et nous pouvions comme ça surveiller toutes ses activités", raconte Safir. Il dit avoir réalisé des tutoriels vidéo et préparé des clés USB pour guider ses collègues chargés de l'installation.

Sur les téléphones, l'extraction continue de données pouvait rapidement vider le forfait de la cible et éveiller ses soupçons. Selon Safir, l'opérateur téléphonique accordait alors un accès illimité à certains numéros. Safir affirme aussi que les appels étaient enregistrés automatiquement et conservés jusqu'à deux ans dans une base accessible rétroactivement aux services. "On peut rechercher n'importe quoi, n'importe quand", dit-il. La loi marocaine impose pourtant une autorisation judiciaire pour l'interception ou l'enregistrement des communications. "Il y a des lois mais elles ne s'appliquent pas. Ils s'en fichent des autorisations judiciaires, des mandats", explique l'ancien agent.

Pegasus s'efface, la méthode demeure

Les dernières traces d'infection par Pegasus reliées à l'opérateur marocain datent de novembre 2021, selon le Security Lab d'Amnesty International. Aucune nouvelle activité de cet opérateur n'a été détectée après l'automne 2021, ce qui constitue un indice d'une possible suspension de son accès au logiciel. En décembre 2021, le ministère israélien de la Défense a parallèlement durci ses règles d'exportation des technologies cyberoffensives.

Safir décrit une ambiance de fin de règne : "En 2022, des entreprises venaient présenter leurs produits à la DGST, car des rumeurs circulaient selon lesquelles NSO était hors-jeu." Selon lui, FSSYS orientait alors vers Rabat des fournisseurs susceptibles de remplacer Pegasus. Notre enquête n'établit pas quelle solution aurait pu être retenue. Mais la machine ne dépendait déjà plus d'un seul produit : écoutes, filatures, micros, extractions physiques, logiciels plus anciens, outils développés localement et campagnes de diffamation restaient disponibles.

Contacté par Forbidden Stories au nom des partenaires, le royaume du Maroc n'a pas répondu aux questions qui lui ont été envoyées.

Un article écrit par franceinfo, Elodie Guéguen, Maxime Tellier, Cellule Investigation de Radio France et Forbidden stories, publié le 16 juillet 2026 à 06h30.