L’année dernière, le fabricant d’outils de piratage téléphonique Cellebrite a annoncé qu’il avait suspendu la police serbe en tant que client, après que des chercheurs en droits de l’homme ont allégué que la police locale et les agences de renseignement avaient utilisé ses outils pour pirater les téléphones d’un journaliste et d’un activiste et installer des logiciels espions.
Il s’agit d’un exemple rare où Cellebrite a publiquement interrompu un client à la suite d’allégations documentées d’abus, citant le rapport technique d’Amnesty International pour justifier sa décision.
Mais suite à de récentes accusations similaires d’abus en Jordanie et au Kenya, la société basée en Israël a répondu en rejetant les allégations et en refusant de s’engager à enquêter sur elles. On ne sait pas pourquoi Cellebrite a modifié son approche, ce qui semble contraire à ses actions précédentes.
Mardi, des chercheurs du Citizen Lab de l’Université de Toronto ont publié un rapport alléguant que le gouvernement kenyan aurait utilisé les outils de Cellebrite pour déverrouiller le téléphone de Boniface Mwangi, un activiste et homme politique local, alors qu’il était en garde à vue. Dans un autre rapport de janvier, The Citizen Lab accusait le gouvernement jordanien d’avoir piraté les téléphones de plusieurs militants et manifestants locaux en utilisant les outils de Cellebrite.
Dans les deux enquêtes, le Citizen Lab, une organisation qui a enquêté sur les abus de logiciels espions et de technologies de piratage dans le monde, a fondé ses conclusions sur la découverte de traces d’une application spécifique liée à Cellebrite sur les téléphones des victimes.
Les chercheurs ont déclaré que ces traces constituent un signal de « haute confiance » indiquant que quelqu’un a utilisé les outils de déverrouillage de Cellebrite sur les téléphones en question, car la même application avait déjà été trouvée sur VirusTotal, un référentiel de logiciels malveillants, et a été signée avec des certificats numériques appartenant à Cellebrite.
D’autres chercheurs ont également lié la même application à Cellebrite.
« Nous ne répondons pas aux spéculations et encourageons toute organisation ayant des préoccupations spécifiques fondées sur des preuves à les partager directement avec nous afin que nous puissions y donner suite », a déclaré Victor Cooper, porte-parole de Cellebrite, à TechCrunch dans un e-mail.
Lorsqu’on lui a demandé pourquoi Cellebrite agissait différemment du cas de la Serbie, Cooper a répondu que « les deux situations sont incomparables » et que « une confiance élevée ne constitue pas une preuve directe ».
Cooper n’a pas répondu à plusieurs e-mails de suivi demandant si Cellebrite enquêterait sur le dernier rapport du Citizen Lab et quelles étaient, le cas échéant, les différences avec son cas en Serbie.
Contactez-nous
Avez-vous plus d’informations sur Cellebrite ou sur d’autres sociétés similaires ? Depuis un appareil non professionnel, vous pouvez contacter Lorenzo Franceschi-Bicchierai en toute sécurité sur Signal au +1 917 257 1382, ou via Telegram, Keybase et Wire @lorenzofb, ou par e-mail.
Dans le cadre de ses enquêtes au Kenya et en Jordanie, The Citizen Lab a contacté Cellebrite avant de publier les rapports afin de donner à l’entreprise le droit de répondre.
En réponse au rapport Jordan, Cellebrite a déclaré que « toute utilisation justifiée de nos outils en violation des droits de l’homme ou de la loi locale entraînera une incapacité immédiate », mais ne s’est pas engagée à enquêter sur l’affaire et a refusé de divulguer des informations spécifiques sur les clients.
Cependant, pour le rapport sur le Kenya, Cellebrite a accusé réception de l’enquête du Citizen Lab mais n’a fait aucun commentaire, selon John Scott-Railton, l’un des chercheurs du Citizen Lab qui a travaillé sur les enquêtes de Cellebrite.
« Nous exhortons Cellebrite à divulguer les critères spécifiques utilisés pour approuver les ventes aux autorités kenyanes et à divulguer combien de licences ont été révoquées dans le passé », a déclaré Scott-Railton à TechCrunch. « Si Cellebrite prend au sérieux son contrôle rigoureux, elle ne devrait avoir aucun problème à le rendre public. »
À la suite de précédents rapports d’abus, Cellebrite, qui prétend avoir plus de 7 000 clients chargés de l’application des lois dans le monde, a rompu ses relations avec le Bangladesh et le Myanmar, ainsi qu’avec la Russie et la Biélorussie en 2021. Cellebrite a précédemment déclaré qu’elle avait cessé de vendre à Hong Kong et à la Chine à la suite des réglementations du gouvernement américain restreignant l’exportation de technologies sensibles vers ce pays. Des militants locaux de Hong Kong ont accusé les autorités d’utiliser Cellebrite pour déverrouiller les téléphones des manifestants.
