Pegasus et autres logiciels espions : comment détecte-t-on une infection sur un smartphone ?

En mars 2026, le parquet de Rome et de Naples a confirmé que les téléphones du directeur d'un média italien et de deux militants associatifs portaient les traces d'une infection par Graphite, un logiciel espion commercialisé par la société Paragon. L'infection remontait à décembre 2024. Plus d'un an plus tard, le téléphone « se souvenait » encore de ce qui s'était passé. C'est précisément sur cette mémoire que repose la détection.

Un logiciel espion ne se voit pas, mais il laisse des traces

Les logiciels espions les plus avancés, comme Pegasus (NSO Group), Predator (Intellexa) ou Graphite, sont conçus pour rester invisibles. Ils n'ajoutent aucune icône, ne ralentissent pas toujours l'appareil et peuvent s'installer sans que la victime clique sur quoi que ce soit. Certains s'effacent même d'eux-mêmes après usage.

Mais un smartphone moderne tient un véritable carnet de bord. Il note quels programmes ont fonctionné et quand, à quels services il s'est connecté, quelles erreurs se sont produites, quelles données ont transité. Ces journaux servent d'ordinaire au bon fonctionnement du système. Pour l'expert, ils jouent le rôle des caméras de surveillance d'un immeuble : le cambrioleur a peut-être emporté ses outils, mais son passage a été enregistré.

Notre travail ne consiste donc pas à « trouver le logiciel » sur le téléphone. Il consiste à reconstituer ce qui s'y est passé, à partir des traces que l'appareil a conservées malgré lui.

Pegasus n'est pas seul

Pegasus est le plus connu, mais il n'est qu'un exemple parmi d'autres. Plusieurs sociétés ont développé des outils comparables, que des enquêtes publiques ont documentés ces dernières années :

Pegasus, de la société israélienne NSO Group, révélé à grande échelle par le « Projet Pegasus » en 2021 ;
Predator, commercialisé par le consortium Intellexa, retrouvé notamment sur les téléphones de journalistes et de responsables politiques en Europe ;
Graphite, de la société Paragon, à l'origine de l'affaire italienne évoquée plus haut ;
Hermit, développé par la société italienne RCS Lab, visant iPhone et Android, documenté en 2022 par Lookout et Google ;
Reign, de la société israélienne QuaDream, visant l'iPhone, documenté en 2023 par le Citizen Lab et Microsoft. La société a cessé ses activités peu après.

Les noms changent, les sociétés ferment ou se renomment, mais le principe reste le même. C'est pourquoi la détection ne repose pas sur un nom de logiciel, mais sur les traces que tout intrus finit par laisser.

Trois façons de reconnaître un intrus

Comparer avec des empreintes connues

Chaque campagne d'espionnage documentée laisse des signatures : des noms de programmes inhabituels, des adresses de serveurs utilisées pour exfiltrer les données, des comportements caractéristiques. Des laboratoires de recherche indépendants, comme le Citizen Lab de l'université de Toronto ou le Security Lab d'Amnesty International, publient ces « empreintes » après chaque enquête. Nous comparons les traces relevées sur l'appareil à ces références, de la même manière qu'un enquêteur compare des empreintes digitales à un fichier.

Repérer ce qui n'a rien à faire là

Les empreintes connues ne suffisent pas : un logiciel espion récent n'a pas encore été documenté. Nous recherchons donc aussi les anomalies : un programme système qui porte un nom presque correct, un profil de configuration installé à l'insu de l'utilisateur, une application qui s'est attribué des droits excessifs, des connexions vers des serveurs sans lien avec les usages du téléphone. Un seul indice n'est rarement concluant ; c'est leur convergence qui fait sens.

Replacer chaque trace dans le temps

Une trace isolée ne prouve rien. Une trace datée, recoupée avec d'autres et rapprochée de la vie de l'utilisateur, devient un élément d'analyse. Un message reçu à 3 heures du matin, suivi d'un plantage d'application puis d'une connexion vers un serveur inconnu : la chronologie raconte souvent davantage que chaque élément pris isolément.

La menace la plus fréquente n'est pas la plus médiatisée

Les logiciels espions dits « mercenaires », vendus à des États, visent un nombre limité de personnes : journalistes, avocats, responsables politiques, dirigeants, militants. Leur coût est considérable et leur usage reste ciblé. Apple, qui alerte les utilisateurs qu'elle estime visés, a envoyé une nouvelle vague de notifications en août 2026 dans 110 pays. Au total, des utilisateurs de plus de 150 pays en ont reçu depuis 2021.

Dans la pratique, la situation la plus courante est différente : un logiciel de surveillance acheté en ligne et installé par un proche, un ex-conjoint ou un collègue qui a eu accès au téléphone quelques minutes. Ces outils, que l'on appelle souvent « stalkerware », sont moins sophistiqués, mais leurs conséquences pour la victime peuvent être très lourdes. Ils se détectent avec la même méthode, et laissent généralement davantage de traces.

Ce que l'analyse permet, et ce qu'elle ne permet pas

L'honnêteté impose une précision : l'absence de trace ne prouve pas l'absence d'infection. Les journaux du téléphone ne remontent pas indéfiniment, une réinitialisation efface l'essentiel, et les outils les plus récents peuvent échapper aux méthodes connues. Une analyse conclut donc en termes mesurés : traces compatibles avec une infection, aucune trace détectée à la date de l'examen, ou éléments insuffisants pour se prononcer.

Lorsque les constats doivent servir devant un juge, la méthode compte autant que le résultat. L'acquisition est documentée, les données sont figées et leur intégrité garantie, chaque conclusion est rattachée aux éléments qui la fondent. C'est ce qui distingue une impression d'une preuve.

À retenir

Si vous soupçonnez qu'un téléphone est surveillé, les premiers gestes comptent. Ne le réinitialisez pas et ne supprimez pas d'applications : vous effaceriez les traces dont l'analyse a besoin. Notez les dates et les faits qui vous ont alertés, conservez une éventuelle notification d'Apple ou de Google, et utilisez un autre appareil pour vos échanges sensibles en attendant l'examen. Pour une personne exposée, le mode Isolement d'Apple (Lockdown Mode) réduit fortement la surface d'attaque.

Cyber Praxis réalise ces analyses sur iPhone et Android, du diagnostic de sécurité mobile à l'expertise judiciaire.