Forbidden Stories et ses partenaires affirment avoir apporté de nouvelles preuves de l’utilisation de Pegasus par le Maroc. Une lecture attentive de leurs propres publications fait pourtant apparaître une réalité plus nuancée : les auteurs multiplient les accusations catégoriques dans leurs titres, avant d’introduire, dans le corps des articles, des réserves qui en réduisent sensiblement la portée.

Cette méthode suit un schéma devenu récurrent : une affirmation spectaculaire est mise en avant, puis immédiatement encadrée par une formule reconnaissant que l’information n’a pas été vérifiée, que l’infection n’est pas confirmée ou que l’identité de l’opérateur ne peut être juridiquement établie.

Ces précautions protègent le consortium sur le plan rédactionnel et juridique. Elles n’empêchent toutefois pas le récit accusatoire de circuler sous une forme beaucoup plus affirmative dans les reprises médiatiques.

Ciblé ne signifie pas infecté

La première confusion concerne la différence entre la sélection d’un numéro, une tentative d’infection et la compromission effective d’un téléphone.

Le rapport technique publié par le Security Lab d’Amnesty International distingue pourtant clairement ces différentes étapes. Un opérateur peut saisir un numéro dans le système Pegasus afin de vérifier le type d’appareil, le réseau utilisé ou les applications installées. Cette phase de « prise d’empreinte » précède une éventuelle tentative d’infection. Le téléphone peut ensuite ne jamais être compromis.

Amnesty explique également que des numéros peuvent être utilisés pour des essais, des démonstrations commerciales ou des tests internes conduits par NSO. Certains numéros figurant dans les données initiales appartenaient vraisemblablement à des opérateurs ou à des employés de l’entreprise elle-même.

Cette nuance disparaît pourtant dans plusieurs titres, où des « cibles potentielles » deviennent directement des personnes « espionnées par le Maroc ».

Le cas espagnol est révélateur. El Confidencial évoque 768 cyberattaques visant 250 téléphones. Mais le média reconnaît plus loin qu’il s’agit de tentatives et non d’infections avérées, ajoutant qu’une expertise médico-légale de chaque appareil serait nécessaire pour confirmer une compromission.

Le nombre spectaculaire est donc placé au premier plan, tandis que la limite technique qui en réduit la portée est reléguée dans le développement.

Une attribution technique transformée en responsabilité politique

Le Security Lab d’Amnesty apporte une analyse sérieuse du fonctionnement général de Pegasus. Il explique que NSO crée des infrastructures distinctes pour ses clients, notamment des comptes, domaines et serveurs spécifiques. Lorsque les mêmes indicateurs techniques apparaissent sur plusieurs appareils, il devient possible de regrouper les attaques comme provenant d’un même système client.

Cette méthode permet d’établir une corrélation entre plusieurs opérations. Elle ne révèle cependant pas automatiquement l’identité juridique ou politique de l’utilisateur final.

Amnesty utilise d’ailleurs des termes prudents : « cluster », « attribution présomptive », « portée géographique » et « profil des cibles ». Le rapport précise que tous les groupes de numéros ne correspondent pas nécessairement à un client gouvernemental en activité, certains étant liés aux propres systèmes de test ou de démonstration de NSO.

Les médias franchissent pourtant une étape supplémentaire. Des indicateurs communs sont d’abord rattachés à un même utilisateur technique, puis celui-ci est présenté comme marocain en raison de la nature de certaines cibles. Enfin, la responsabilité est étendue à la DGST, à ses responsables, au conseiller royal Monsieur Fouad Ali El Himma et, par implication, au sommet de l’État.

Le passage de la corrélation technique à l’imputation politique demeure précisément le maillon le plus fragile de la démonstration.

Franceinfo reconnaît d’ailleurs que les marqueurs techniques retrouvés sur les téléphones français ne suffisent pas à attribuer judiciairement les attaques au Maroc.

Cette réserve essentielle n’empêche pas le titre d’annoncer de « nouvelles preuves contre le Maroc ».

Le système du dédouanement automatique

Les publications de Forbidden Stories contiennent un nombre remarquable de formules restrictives.

Le consortium reconnaît notamment :

• ne pas pouvoir déterminer combien de cibles ont été effectivement infiltrées ;
• ne pas avoir vérifié certaines rencontres de manière indépendante ;
• ne pas pouvoir confirmer l’infection de plusieurs personnes en l’absence d’expertise de leur téléphone ;
• ne pas connaître l’origine certaine de plusieurs flux financiers ;
• ne pas avoir pu identifier celui qui aurait payé l’accès marocain supposé à Pegasus.

Ce mécanisme produit un double effet. L’accusation spectaculaire reste dans l’esprit du lecteur, tandis que la réserve permet aux auteurs de rappeler qu’ils n’ont jamais affirmé disposer d’une certitude absolue.

Cette campagne s’appuie par conséquent sur des formulations accusatoires pour maximiser l’impact médiatique, mais se heurte par la suite à l’aveu d’incapacité à confirmer les accusations, et ce pour protéger les médias impliqués contre la contestation.

La méthode est particulièrement visible dans le volet émirati. Forbidden Stories suggère que les Émirats arabes unis auraient financé l’accès du Maroc à Pegasus, en reprenant la comparaison imagée d’un abonnement Netflix partagé entre alliés.

Mais le même article cite un ancien employé de NSO et une autre source affirmant ne connaître aucun paiement émirati effectué pour le compte du Maroc. Il reconnaît finalement que les flux financiers restent une énigme et que l’identité du payeur n’a pas été établie.

La comparaison avec Netflix est pourtant devenue l’une des formules les plus reprises par les médias secondaires, alors qu’elle ne repose que sur l’hypothèse d’une source anonyme.

“Morgan” : un nom de code présenté comme une preuve

Le supposé nom de code « Morgan » occupe également une place importante dans le récit.

Selon le consortium, NSO aurait utilisé ce terme pour désigner le client marocain. L’argument repose sur des sources anonymes du secteur et sur un document où le terme apparaît, associé à la logique supposée des noms de pays et de marques automobiles.

Même en admettant l’existence du nom de code, celui-ci prouverait au mieux qu’un client désigné sous ce pseudonyme figurait dans la documentation de NSO. Il ne démontrerait pas, à lui seul, la nature des cibles, les opérations menées, la chaîne de commandement ou l’implication personnelle des responsables marocains cités.

Au-delà, le véritable problème réside dans la place donnée à ce nom de code dans l’architecture générale de l’accusation. Un indice indirect devient progressivement une preuve d’acquisition, puis une preuve d’utilisation, avant de servir à attribuer des opérations précises à l’État marocain.

Des documents étrangers utilisés pour combler les lacunes marocaines

Les captures d’écran de Pegasus présentées comme inédites proviennent du Panama. Elles documentent l’interface et les capacités du logiciel, mais ne sont pas issues d’une installation découverte au Maroc.

De la même manière, la lettre financière publiée concerne une vente au gouvernement panaméen. Elle est utilisée pour donner une idée du coût qu’aurait pu représenter un éventuel accès marocain au logiciel, alors qu’aucun contrat, paiement ou facture concernant le Maroc n’est produit.

Les documents internes rendus publics dans le procès opposant WhatsApp à NSO confirment le fonctionnement général de Pegasus, ses capacités techniques et les méthodes utilisées par ses clients. Ils ne suffisent toutefois pas à prouver que chaque opération imputée au Maroc a réellement été commandée par le Royaume.

L’enquête compense ainsi l’absence de pièces marocaines directes par un assemblage de documents provenant du Panama, des États-Unis, de France, d’Israël et d’Italie. Ces éléments permettent de décrire l’écosystème des logiciels espions, mais leur accumulation ne transforme pas automatiquement une hypothèse d’attribution en preuve institutionnelle.

Une source anonyme devenue le lien manquant

C’est précisément à ce stade qu’intervient « Safir ».

Son témoignage permet de relier entre eux tous les éléments qui, pris séparément, ne suffisent pas à démontrer la thèse générale :

• les captures d’écran panaméennes deviennent similaires à l’interface qu’il affirme avoir vue ;
• FSSYS devient l’intermédiaire émirati ;
• « Morgan » devient le Maroc ;
• les logiciels antérieurs deviennent les premières étapes d’une stratégie continue ;
• les cibles techniques deviennent des décisions politiques ;
• les opérations remontent progressivement jusqu’au « Bureau 21 » et au conseiller royal.

La source anonyme ne complète donc pas seulement le dossier. Elle lui fournit toute sa cohérence.

Or Forbidden Stories reconnaît ne pas avoir vérifié indépendamment plusieurs de ses affirmations. Les autres sources censées le corroborer sont souvent elles aussi anonymes. L’enquête produit ainsi une cohérence interne réelle, mais largement auto-référentielle : le même témoin, les mêmes documents et les mêmes indicateurs circulent d’un article à l’autre, donnant l’impression d’une multitude de confirmations.

L’analyse méthodique du corpus relève précisément cette circularité des sources et cette tendance à présenter, dans un même continuum, des éléments dont la solidité est très inégale.

Le démenti marocain transformé en preuve supplémentaire

Enfin, le refus des autorités marocaines de répondre aux questions du consortium est présenté comme une nouvelle manifestation de leur opacité.

Cette interprétation ignore pourtant que le Maroc a déjà contesté publiquement les accusations et engagé des procédures judiciaires. Dans un dossier faisant l’objet de contentieux et d’investigations en cours, le choix de ne pas répondre à chaque nouvelle sollicitation médiatique peut relever de la prudence juridique et institutionnelle.

Le silence ne prouve ni l’acquisition du logiciel ni l’identité d’un opérateur. Pourtant, dans le récit de Forbidden Stories, le démenti est jugé suspect et l’absence de réponse devient elle-même un élément à charge.

Ce raisonnement enferme le Maroc dans une situation où toute posture est interprétée contre lui : répondre offrirait une nouvelle matière médiatique ; ne pas répondre serait présenté comme une forme d’aveu.

La prudence comme seule réponse utile

Face à une campagne dont le principal objectif semble être de recréer le retentissement de 2021, une réaction polémique serait contre-productive. Elle permettrait aux promoteurs de l’enquête de déplacer le débat vers la réaction marocaine, de prolonger la visibilité du dossier et de donner l’impression que les publications ont atteint leur cible.

La meilleure déconstruction reste donc celle qui expose calmement les contradictions, distingue les faits des hypothèses et refuse de transformer une relance médiatique en crise politique.

The post Pegasus : quand les réserves des enquêteurs disparaissent derrière les titres appeared first on Hespress Français - Actualités du Maroc.