La SHARE Foundation a documenté au moins 14 personnes ciblées par des logiciels espions avancés en Serbie, dont des membres du mouvement étudiant, des militants, un député et un élu local d’opposition. C’est, selon elle, la plus importante vague documentée dans le pays, et la période de ciblage recoupe la séquence électorale de 2026. Le Citizen Lab a confirmé, sur le téléphone d’un étudiant, une infection par Pegasus. Mais la bonne question n’est plus « Pegasus a-t-il été utilisé ». C’est de comprendre que la technologie de surveillance s’adapte au niveau d’accès dont l’opérateur dispose sur sa cible, et que le téléphone est devenu le bureau politique qu’il suffit désormais d’infiltrer.
Ce qui est établi, et ce qui ne l’est pas
Il faut séparer 3 choses que l’émotion tend à confondre : le ciblage, l’infection confirmée et l’infection présumée. Établi et forensiquement confirmé : le Citizen Lab a analysé l’iPhone d’un membre du mouvement étudiant, après une alerte de menace d’Apple, et confirmé une infection par le Pegasus de la société NSO Group, au moyen d’un exploit iMessage sans clic, avec de forts indices d’infection entre décembre 2025 et janvier 2026 ; la faille a depuis été corrigée par Apple. Également documenté : au moins 2 appareils portaient un logiciel proche de NoviSpy, dont Amnesty International a confirmé une nouvelle version, un outil qu’elle avait exposé en Serbie dès décembre 2024. Enfin rapporté, mais non individuellement confirmé pour chacun : le total de 14 personnes ciblées, avancé par la SHARE Foundation. Un ciblage n’est pas une infection, et une infection présumée n’est pas une infection confirmée.
2 familles de logiciels, 2 niveaux d’accès
Le vrai enseignement tient à la logique qui relie l’outil à l’accès. Pegasus s’installe à distance, sans aucune interaction de la cible, par un exploit sans clic : il suppose surtout des moyens, pas une proximité physique. NoviSpy, à l’inverse, nécessite un accès matériel au terminal, et l’un des appareils concernés avait précisément été saisi lors d’une garde ou d’une retenue policière. La surveillance choisit donc son vecteur selon ce qu’elle peut atteindre : à distance, l’exploit ; avec le téléphone en main, l’installation directe. Et lorsque les données sont ensuite exploitées, la boucle se referme dans l’espace public : la SHARE Foundation rapporte qu’une conversation Viber privée, tirée d’un appareil infecté, a été lue à l’antenne d’une télévision serbe.
La discipline d’attribution, ici plus que jamais
Pegasus est vendu à des clients gouvernementaux, mais cela ne suffit pas à identifier quel service l’a employé dans ce cas précis. Des affaires NoviSpy antérieures avaient fourni des indices techniques plus directs, dont l’envoi de données vers une adresse attribuée à la sécurité serbe. C’est un précédent, pas une preuve transposable au nouveau Pegasus. Conformément à notre Doctrine d’Attribution Stricte, la convergence des indices, 14 cibles, profils politiques et civiques, calendrier électoral, formes d’accès différentes, autorise à analyser un système, jamais à nommer un auteur non démontré. Voir un système et refuser une attribution non prouvée ne sont pas contradictoires : c’est la condition d’une analyse sérieuse.
Le téléphone, siège invisible d’une organisation
Ce que cette affaire donne à voir dépasse la Serbie. L’infrastructure de commandement d’une organisation politique, ses contacts, ses messages, ses photos, sa stratégie, son calendrier, tient aujourd’hui dans les téléphones de ses membres, micro et caméra compris. Infiltrer cette organisation ne suppose plus d’entrer dans ses locaux : il suffit d’atteindre les terminaux. La mécanique est transposable bien au-delà d’un pays, à toute structure exposée, campagne électorale, ONG, cabinet ministériel, entreprise, cellule de crise, rédaction ou opposition. Le périmètre à défendre n’est plus le bureau, c’est l’appareil que chacun garde en poche.
Ce qu’ELMARQ retient
Pour une direction exposée, la bonne grille n’est pas de se demander si tel logiciel a été utilisé, mais de cartographier une chaîne complète : la cible, le niveau d’accès dont dispose l’adversaire, le terminal, le vecteur employé, la capacité ainsi obtenue, les données accessibles et la possibilité d’une exploitation publique. Cette lecture change la défense : elle devient à la fois technique, mise à jour, hygiène des appareils, cloisonnement, et doctrinale, en traitant le téléphone comme le véritable périmètre de sécurité de l’organisation. Et elle impose la même retenue que partout ailleurs : documenter un système de captation n’autorise pas à en désigner le commanditaire tant que la preuve n’est pas faite. Une convergence d’indices n’est pas une attribution.
