Paragon Graphite cible des journalistes européens

Des chercheurs du Citizen Lab de l’université de Toronto ont récemment mis au jour une campagne de surveillance illégitime utilisant le spyware Graphite, développé par l’entreprise israélienne Paragon Solutions, soutenue par des intérêts états-uniens. Des journalistes européens, notamment en Italie, ont été ciblés à l’aide d’une faille zero‑click, sans aucun geste de leur part.

Origine et structure de Paragon Solutions

• Fondée en Israël en 2019, Paragon Solutions a été cofondée par l’ex-PM israélien Ehud Barak et d’anciens responsables du renseignement.
• En décembre 2024, l’entreprise a été rachetée par la société d’investissement américaine AE Industrial Partners +, dans un accord de plus de 500 M$.
• Paragon se positionne comme un acteur « plus vertueux » que des concurrents comme la NSO Group, affirmant privilégier un usage à des fins de sécurité démocratique.

Description de Graphite

Graphite est un spyware de type « mercenaire », doté d’un exploit zero‑click : l’infection s’opère sans action de l’utilisateur (pas de lien cliqué ni de fichier ouvert), via des plateformes comme iMessage.

Il permet un accès à distance à des messageries chiffrées tels que WhatsApp et Telegram, reproduisant les capacités du tristement célèbre Pegasus de NSO, mais se limitant parfois aux apps de messagerie.

Apple a corrigé la faille initiale, identifiée comme CVE‑2025‑43200, dans iOS 18.3.1.

Cibles visées et preuve de l’infection

Journalistes italiens de Fanpage.it

• Ciro Pellegrino, chef du bureau de Naples, a reçu le 29 avril une notification d’Apple confirmant une tentative d’infection d’iPhone opérée début 2025 (iOS 18.2.1) via iMessage.
• Francesco Cancellato, rédacteur en chef, a aussi été visé d’après une notification de WhatsApp sur Android, bien que les preuves forensiques complètes manquent encore.
• Un troisième journaliste européen non nommé a été ciblé via un même vecteur iMessage, selon le Citizen Lab.

État des preuves techniques

Le Citizen Lab a mis en évidence des échanges avec des serveurs attribués à Paragon, via la même adresse iMessage détectée sur les deux smartphones italiens. La corrélation entre ces attaques renforce la piste d’un incident orchestré par une même infrastructure malveillante.

Réponses de WhatsApp, Apple, et implications

En janvier 2025, Meta (maison-mère de WhatsApp) a détecté près de 90 utilisateurs ciblés en Europe. Une faille a été corrigée et Paragon a reçu une lettre d’avertissement (cease-and-desist).

Apple a reconnu la vulnérabilité CVE‑2025‑43200 et déployé un patch via iOS 18.3.1.

Position du Citizen Lab

Selon John Scott‑Railton, chercheur au Citizen Lab : « Paragon est désormais englué dans le même scandale d’abus que NSO Group… ce n’est pas seulement quelques pommes pourries, c’est tout le système ». L’ONG plaide pour une responsabilité accrue des fournisseurs de spyware et des utilisateurs gouvernementaux.

Contexte italien : COPASIR et dénonciations

Le COPASIR, organe de supervision parlementaire italien, a reconnu l’usage de Graphite contre des activistes (migrants), avec autorisation légale, mais nie pour les journalistes Cancellato et Pellegrino.

Paragon affirme avoir proposé d’auditer les logs pour vérifier l’usage sur Cancellato — proposition rejetée par le gouvernement italien, ce qui a conduit Paragon à couper ses liens avec Rome.

Les propos du COPASIR sur l’absence d’infection de Cancellato sont remis en question ; Pellegrino suspecte que Fanpage était spécifiquement visée pour ses enquêtes politiques.

Conséquences politiques et légales

• En réaction, un groupe de journalistes italiens a déposé plainte en février 2025, dénonçant une atteinte grave à la liberté de la presse et à la démocratie.
• Le gouvernement Meloni reste sur la défensive : il n’aurait jamais autorisé une surveillance ciblée de journalistes.
• L’affaire soulève des inquiétudes quant au recul démocratique et à l’essor de la légalisation des technologies de surveillance de masse.

Activistes, ONG et surveillance civile

Le phénomène ne se limite pas aux journalistes : des activistes travaillant sur les migrations et droits de l’homme, comme David Yambio (cas de surveillance juridique devant la CPI), ont confirmé avoir reçu des alertes de type Apple et WhatsApp, attribuables à Paragon. COPASIR admet ces surveillances mais les justifie par des motifs liés à l’ordre public.

Dimension internationale et alliances étasuniennes

• Aux États‑Unis, Paragon détient un contrat d’environ 2 M$ avec l’ICE (immigration), et la DEA utilise également sa technologie, malgré un ordre exécutif de 2023 interdisant l’achat de spyware ayant servi à réprimer la dissidence.
• L’inversement des effets de cet ordre exécutif sur les contrats américains demeure incertain.
• Citizen Lab signale des déploiements similaires en Australie, au Canada, à Chypre, au Danemark, à Singapour ou encore au sein de forces policières régionales telles que l’Ontario Provincial Police.
• L’affaire met en lumière la mondialisation du marché des spywares gouvernementaux, et les insuffisances des régulations transnationales en matière de droits numériques.

Enjeux éthiques et démocratiques

Le cas Paragon révèle une tension entre sécurité nationale et libertés civiles : surveillance de journalistes, militants pro-migrants et révocation des garanties démocratiques forbissent de penser un encadrement plus strict et transparent du commerce des spywares.

Les chercheurs plaident pour un contrôle indépendant, y compris via des audits techniques systématiques, afin de prévenir la dérive autoritaire. Ils alertent sur l’effet d’accoutumance : une fois la surveillance avancée tolérée par un État, elle tend à se banaliser.

L’enquête démontre que même dans des démocraties, l’usage des spywares à visée politique est possible, ciblant journalistes, activistes et opposants. Le cas Paragon-Graphite met en lumière la nécessité d’un verrou légal, technique et institutionnel pour garantir la fonction démocratique de la presse et protéger les droits fondamentaux face aux technologies intrusives.

Source : Paragon spyware activity found on more journalists’ devices - The Record Media