Les autorités marocaines n'ont eu de cesse de réclamer des preuves concernant les accusations portées à l'encontre du Royaume pas les meneurs de «Pegasus Project», en vain. Ce sont maintenant certains experts mondialement connus qui formulent la même demande pour pouvoir croire à ce que les médias affiliés à «Forbiden Stories» présentent comme étant un «scandale d'espionnage massif mondial». La journaliste d'investigation américaine, Kim Zetter, qui est connue pour ses investigations sur des questions énigmatiques liées à la cybersécurité et la sécurité nationale depuis 1999 et auteure de plusieurs livres sur la question s'étonne devant l'omerta entourant les données fournies à «Forbidden Stories». «Cette histoire de NSO devient un peu dingue», lance-t-elle. Et d'ajouter : "ce serait formidable si les médias à l'origine de cette histoire pouvaient fournir plus d'informations sur la manière dont ils ont pu vérifier qu'il s'agissait bien d'une liste de cibles ou de cibles potentielles de la NSO, et non d'une liste d'autre chose». L'experte souligne aussi si la liste a été obtenue via piratage, il serait bon d'avoir plus d'informations sur l'origine de la liste selon la personne qui l'a divulguée. «Les médias l'ont-ils obtenue d'un courtier en données ou de quelqu'un qui l'a obtenue d'un courtier en données ? La liste leur a-t-elle été communiquée par un pirate informatique ?», demande-t-elle. This NSO story is getting a bit crazy. Would be great if the media outlets behind NSO story could provide more info about how they verified that this was a list of NSO targets, or potential targets, and not a list of something else. — Kim Zetter (@KimZetter) July 20, 2021 La journaliste Kim Zetter dénonce également le traitement à charge de certains médias en se penchant sur le cas Macron. When you dig into the stories, many of them do carry caveats. But headlines/tweets around the stories make stronger statements, such as that Macron was selected as a potential target, when really he was on a list whose purpose and source is undetermined. Look at the differences pic.twitter.com/8G5eeXLacg — Kim Zetter (@KimZetter) July 21, 2021 De son côté, The Grugq, un expert en cybersécurité très respecté, selon Forbes, et qui a été cité à maintes reprises dans des articles parus dans The New York Times, Washington Post, Forbes, Wired, TechCrunch, BoingBoing, VICE et BBC News, suppose que la liste en question pourrait ne pas être celle de NSO, mais de «Circles». Il s'agit d'un autre programme espion israélien. My gut reaction when I saw that it is allegedly from servers in Cyprus was that it was linked to Circle, a company that does SS7 surveillance. It would make sense for the HLR claim. Circle is associated with NSO, so there could be shared clients creating some overlap in targets — thaddeus e. grugq (@thegrugq) July 21, 2021 Yeah. Which is why I suspect Circle. But... that's just a guess. It fits with NSO's "we don't have servers in Cyprus"... because Circle does, not NSO. And it would account for the targets that were infected and are on the list. But... it's a list from a different company. — thaddeus e. grugq (@thegrugq) July 21, 2021 Ces avis corroboreraient les propos du patron de NSO des "serveurs à Chypre" évoquée par le patron de NSO, Shalev Hulio, dans une interview exclusive publiée par calcalistech.com le 20 juillet. L'interviewé révélait alors avoir entendu parler d'une liste de contacts mise en vente sur le marché il y a un mois, par le biais d'un courtier en données. La personne qui proposait cette liste à la vente disait qu'elle provenait des serveurs de la compagnie à Chypre. Hulio déclare avoir cru que ce n'était qu'une blague puisque non seulement son entreprise n'a aucun serveur à Chypre, mais nombre de noms ne collaient pas, ce qui lui fait croire que la liste provient d'un HLR Lookup server. Le patron de NSO a précisé aussi que la moyenne enregistrée par son entreprise est de 100 cibles par an et par client (45 clients au total). «Si on compte les opérations menées depuis la création de l'entreprise, on n'arrivera pas à ce nombre de 50 000», a-t-il rectifié. The Grugq, quant à lui, en conclut qu'il pourrait s'agir de listes de «Circles» et renvoie donc à la piste chypriote: Yeah. Which is why I suspect Circle. But... that's just a guess. It fits with NSO's "we don't have servers in Cyprus"... because Circle does, not NSO. And it would account for the targets that were infected and are on the list. But... it's a list from a different company. — thaddeus e. grugq (@thegrugq) July 21, 2021 L'expert critique aussi les chiffres invraisemblables présentés par Amnesty et Forbidden Stories, l'omerta sur la data, le cafouillage d'Amnesty, et remet en question tout ce salmigondis : The story was not coherent to begin with. The numbers just didn't make sense. It was clear that some number of phones were targets for Pegasus. But beyond that there wasn't any data presented — thaddeus e. grugq (@thegrugq) July 21, 2021 L'autre expert qui jette, lui aussi, un pavé dans la mare de «Pegasus Project» et de «Forbiden Stories» est Nadim Kobeissi. Il s'agit d'un chercheur libanais en informatique et cryptographie appliquée connu et reconnu. Cet expert indique dans cette série de tweets la facilité avec laquelle il peut fabriquer des preuves de piratage par Pegasus «en 30 secondes» selon lui, durant sa pause déjeuner. Les preuves d'Amnesty et de Forbidden Stories sont, à son avis, extrêmement faibles, vu qu'elles se basent essentiellement sur de simples certificats SSL/TLS auto-signés que n'importe qui peut produire et insérer dans un jeu de données. I decided to give the recent Pegasus coverage the benefit of the doubt and spent my lunch break looking up other reports by the same folks. In a report published last week, their *only* evidence for attribution is a *self-signed* TLS certificate. That's not evidence. pic.twitter.com/SDdP5YBc8J — Nadim Kobeissi (@kaepora) July 20, 2021 Après analyse minutieuse des publications sur le présumé espionnage, Kobeissi qualifie l'expertise" d'Amnesty et de Citizen Lab de «smoke and mirrors» (autrement dit, de la poudre aux yeux). The smoke and mirrors set up by Amnesty and Citizen Lab for these malware hunts is appalling. The utter lack of vetting by dozens of journalistic outlets is clear evidence of incompetence. And the absence of critical thinking from the security research community is shameful. — Nadim Kobeissi (@kaepora) July 21, 2021 Il avait déjà par le passé accusé Amnesty de falsification et d'invention de preuves pour mener leur chasse aux sorcières contre NSO. The smoke and mirrors set up by Amnesty and Citizen Lab for these malware hunts is appalling. The utter lack of vetting by dozens of journalistic outlets is clear evidence of incompetence. And the absence of critical thinking from the security research community is shameful. — Nadim Kobeissi (@kaepora) July 21, 2021 Ce n'est pas tout, l'experte norvégienne en sécurité informatique, Runa Sandvik qui s'est fait connaître chez Forbes avant de devenir la patronne de la sécurité informatique au New York Times, relève l'incohérence des accusations rapportées par les médias de «Forbiden Stories». Elle a publié à travers ce tweet 10 extraits d'articles publié par différents médias en soulignant les contradictions concernant les sources citées. I pulled quotes from 10 articles about #PegasusProject to see how they described the list of 50,000 numbers. Note the differences in confidence, source, and purpose. pic.twitter.com/OyjX1d5sQw — Runa Sandvik (@runasand) July 21, 2021 Personne ne sait donc, jusqu'à présent, d'où vient la liste par laquelle le scandale «Pegasus Project» a été fabriqué de toutes pièces pour s'attaquer au Maroc, en particulier. D'accusateurs, les meneurs de ce projet et les médias de «Forbiden Stories» deviennent eux-mêmes des accusés. S'il persistait, leur silence sur les preuves de ce qu'ils avancent confirmerait leur culpabilité.
