Plus tôt cette année, un développeur a été choqué par un message apparu sur son téléphone personnel : « Apple a détecté une attaque ciblée de logiciels espions mercenaires contre votre iPhone. »
« Je paniquais », a déclaré à TechCrunch Jay Gibson, qui a demandé que nous n’utilisions pas son vrai nom par crainte de représailles.
Gibson, qui jusqu’à récemment développait des technologies de surveillance pour le fabricant d’outils de piratage du gouvernement occidental Trenchant, pourrait être le premier cas documenté d’une personne qui crée des exploits et des logiciels espions étant elle-même ciblée par des logiciels espions.
« Que diable se passe-t-il ? Je ne savais vraiment pas quoi en penser », a déclaré Gibson, ajoutant qu’il avait éteint son téléphone et l’avait rangé ce jour-là, le 5 mars. « Je suis immédiatement allé acheter un nouveau téléphone. J’ai appelé mon père. C’était un désastre. C’était un énorme désastre. »
Chez Trenchant, Gibson a travaillé sur le développement des zero-days iOS, c’est-à-dire la recherche de vulnérabilités et le développement d’outils capables de les exploiter qui ne sont pas connus du fournisseur qui fabrique le matériel ou les logiciels concernés, comme Apple.
« J’ai des sentiments mitigés sur le caractère pathétique de cette situation, puis une peur extrême, car une fois que les choses atteignent ce niveau, on ne sait jamais ce qui va se passer », a-t-il déclaré à TechCrunch.
Mais l’ancien employé de Tranchant n’est peut-être pas le seul développeur d’exploits ciblé par des logiciels espions. Selon trois sources ayant une connaissance directe de ces cas, d’autres développeurs de logiciels espions et d’exploits ont reçu au cours des derniers mois des notifications d’Apple les alertant qu’ils étaient ciblés par des logiciels espions.
Apple n’a pas répondu à une demande de commentaire de TechCrunch.
Contactez-nous
Avez-vous plus d’informations sur la fuite présumée des outils de piratage Trenchant ? Ou de l’histoire de ce développeur ? Depuis un appareil non professionnel, vous pouvez contacter Lorenzo Franceschi-Bicchierai en toute sécurité sur Signal au +1 917 257 1382, ou via Telegram, Keybase et Wire @lorenzofb, ou par e-mail.
Le ciblage de l’iPhone de Gibson montre que la prolifération des logiciels espions et des logiciels espions commence à attirer davantage de types de victimes.
Les créateurs de logiciels espions et de logiciels Zero Day ont toujours affirmé que leurs outils étaient uniquement déployés par des clients gouvernementaux approuvés contre les criminels et les terroristes. Mais au cours de la dernière décennie, des chercheurs du Citizen Lab, un groupe de défense des droits numériques de l’Université de Toronto, d’Amnesty International et d’autres organisations, ont découvert des dizaines de cas où des gouvernements ont utilisé ces outils pour cibler des dissidents, des journalistes, des défenseurs des droits de l’homme et des rivaux politiques partout dans le monde.
Les cas publics les plus proches de chercheurs en sécurité ciblés par des pirates informatiques se sont produits en 2021 et 2023, lorsque des pirates informatiques du gouvernement nord-coréen ont été surpris en train de cibler des chercheurs en sécurité travaillant dans la recherche et le développement de vulnérabilités.
Suspect dans une enquête sur une fuite
Deux jours après avoir reçu la notification de menace d’Apple, Gibson a contacté un expert légiste possédant une vaste expérience en matière d’enquête sur les attaques de logiciels espions. Après avoir effectué une première analyse du téléphone de Gibson, l’expert n’a trouvé aucun signe d’infection, mais a tout de même recommandé une analyse médico-légale plus approfondie du téléphone du développeur de l’exploit.
Une analyse médico-légale aurait nécessité d’envoyer à l’expert une sauvegarde complète de l’appareil, ce avec quoi Gibson a déclaré qu’il n’était pas à l’aise.
« Les cas récents deviennent plus difficiles du point de vue médico-légal, et dans certains cas, nous ne trouvons rien. Il se peut aussi que l’attaque n’ait pas été pleinement détectée après les étapes initiales, nous ne le savons pas », a déclaré l’expert à TechCrunch.
Sans une analyse médico-légale complète du téléphone de Gibson, idéalement une analyse dans laquelle les enquêteurs ont trouvé des traces du logiciel espion et qui l’a créé, il est impossible de savoir pourquoi il a été ciblé ou qui l’a ciblé.
Mais Gibson a déclaré à TechCrunch qu’il pensait que la notification de menace qu’il avait reçue d’Apple était liée aux circonstances de son départ de Trenchant, où il prétendait que l’entreprise l’avait désigné comme bouc émissaire pour une fuite préjudiciable d’outils internes.
Apple envoie des notifications de menaces spécifiquement lorsqu’il a la preuve qu’une personne a été ciblée par une attaque de logiciel espion mercenaire. Ce type de technologie de surveillance est souvent implanté de manière invisible et à distance sur le téléphone d’une personne à son insu en exploitant les vulnérabilités du logiciel du téléphone, des exploits qui peuvent valoir des millions de dollars et prendre des mois à se développer. Les agences chargées de l’application de la loi et du renseignement ont généralement l’autorité légale nécessaire pour déployer des logiciels espions sur des cibles, et non les créateurs eux-mêmes.
Sara Banda, porte-parole de la société mère de Trenchant, L3Harris, a refusé de commenter cette histoire lorsqu’elle a été contactée par TechCrunch avant sa publication.
Un mois avant de recevoir la notification de menace d’Apple, alors que Gibson travaillait encore chez Trenchant, il a déclaré avoir été invité à se rendre au bureau de Londres de l’entreprise pour un événement de consolidation d’équipe.
Lorsque Gibson est arrivé le 3 février, il a été immédiatement convoqué dans une salle de réunion pour parler par appel vidéo avec Peter Williams, alors directeur général de Trenchant, connu au sein de l’entreprise sous le nom de « Doogie ». (En 2018, l’entrepreneur de défense L3Harris a acquis les créateurs du jour zéro Azimuth et Linchpin Labs, deux startups sœurs qui ont fusionné pour devenir Trenchant.)
Williams a déclaré à Gibson que l’entreprise soupçonnait qu’il avait un double emploi et le suspendait donc. Tous les appareils de travail de Gibson seraient confisqués et analysés dans le cadre d’une enquête interne sur les allégations. Williams n’a pas pu être contacté pour commenter.
« J’étais sous le choc. Je ne savais pas vraiment comment réagir parce que je n’arrivais pas vraiment à croire ce que j’entendais », a déclaré Gibson, qui a expliqué qu’un employé informatique de Trenchant s’est ensuite rendu à son appartement pour récupérer son équipement fourni par l’entreprise.
Environ deux semaines plus tard, Gibson a déclaré que Williams l’avait appelé et lui avait dit qu’à la suite de l’enquête, l’entreprise le licenciait et lui proposait un accord de règlement et un paiement. Gibson a déclaré que Williams avait refusé d’expliquer ce que l’analyse médico-légale de ses appareils avait révélé et lui avait essentiellement dit qu’il n’avait pas d’autre choix que de signer l’accord et de quitter l’entreprise.
Sentant qu’il n’avait pas d’alternative, Gibson a déclaré qu’il avait accepté l’offre et signé.
Gibson a déclaré à TechCrunch qu’il avait plus tard entendu d’anciens collègues que Trenchant soupçonnait avoir divulgué certaines vulnérabilités inconnues dans le navigateur Chrome de Google, des outils que Trenchant avait développés. Cependant, Gibson et trois de ses anciens collègues ont déclaré à TechCrunch qu’il n’avait pas accès aux Zero Days de Trenchant dans Chrome, étant donné qu’il faisait partie de l’équipe développant exclusivement les Zero Days et les logiciels espions iOS. Les équipes Trenchant n’ont qu’un accès strictement compartimenté aux outils liés aux plateformes sur lesquelles elles travaillent, ont indiqué les sources.
« Je sais que j’étais un bouc émissaire. Je n’étais pas coupable. C’est très simple », a déclaré Gibson. « Je n’ai absolument rien fait d’autre que de travailler dur pour eux. »
L’histoire des accusations portées contre Gibson et de sa suspension et de son licenciement a été corroborée de manière indépendante par trois anciens employés de Trenchant bien informés.
Deux des autres anciens employés de Trenchant ont déclaré qu’ils connaissaient les détails du voyage de Gibson à Londres et qu’ils étaient au courant de fuites présumées d’outils sensibles de l’entreprise.
Tous ont demandé à ne pas être nommés, mais pensent que Trenchant s’est trompé.
