Mediapart
DIDIER PAGEAUD
« PREDATOR FILES » : TOUTES NOS RÉVÉLATIONS ENQUÊTE
Livraisons clandestines par valise diplomatique, infections de téléphones réalisées sans licence ni contrat : pour vendre au président malgache le redoutable outil d’espionnage Predator, le groupe français Nexa a franchi toutes les lignes rouges.
Justine Brabant et Yann Philippin
12 octobre 2023 à 07h51
Le groupe français Nexa, spécialisé dans les équipements de cybersurveillance, a vendu Predator, un puissant outil d’espionnage à l’État de Madagascar.
Cette vente est problématique car Andry Rajoelina, le président malgache, a fait emprisonner des militants écologistes, des défenseurs de droits humains et des lanceurs d’alerte.
L’affaire prend un tournant surprenant : Nexa n’avait pas encore signé de contrat et n’avait pas de licence d’exploitation quand elle a fourni les outils d’espionnage au pouvoir malgache. Ce qui constitue une violation de la réglementation de plusieurs pays, dont la France.
L’avenue Raphaël, dans le XVIe arrondissement de Paris, a le calme pesant des quartiers d’ambassades : parc étrangement calme, trottoirs hérissés de plots anti-stationnement, caméras de surveillance et hautes grilles en fer forgé. En cet après-midi de mai 2021, un étrange ballet s’y joue.
À 15 h 13, un homme d’une quarantaine d’années se gare face au petit immeuble blanc situé au numéro 14, qui abrite l’ambassade de Madagascar. Il attrape son iPhone et compose un numéro. « Je suis arrivé, je suis garé devant l’ambassade, pour les valises », annonce Renaud Roques. Son interlocuteur n’est pas surpris : « D’accord, on arrive. »
Renaud Roques est le numéro 3 du groupe français Nexa, spécialisé dans les équipements de cybersurveillance. L’entreprise commercialisait à l’époque le logiciel de piratage des téléphones Predator conçu par son partenaire Intellexa, un groupe basé en Europe mais piloté par des anciens cyberespions israéliens.
Dans la valise qu’il livre ce matin-là à l’ambassade de Madagascar, il y a justement des outils d’espionnage des téléphones. Les rares employés de la chancellerie à en être informés sont priés de garder le plus grand secret.
Ce que ni Renaud Roques ni ces employés ne savent, c’est que leur petit manège est suivi de près. Des gendarmes de l’Office central de lutte contre les crimes contre l’humanité, génocides et crimes de guerre (OCLCH) ont placé sous écoute le numéro 3 de Nexa dans le cadre des deux enquêtes judiciaires contre l’entreprise française pour « complicité de torture » en Libye et en Égypte.
L’enquête établira par la suite que les dirigeants de Nexa et d’Intellexa ont exporté à la présidence malgache, sans aucune autorisation, du matériel et des logiciels permettant de pirater les téléphones. Il s’agit d’une « transaction illicite », réalisée « en l’absence de contrat [et] d’autorisation », notent les gendarmes dans un rapport de synthèse.
Lors des démonstrations effectuées sur place, le téléphone du directeur d’un journal d’opposition, Roland Rasoamaharo, a été visé. Il est aujourd’hui en prison. Par ailleurs, deux mois après que la présidence malgache a demandé à Nexa d’infecter des téléphones pour déjouer une tentative supposée de coup d’État, six personnes ont été arrêtées puis condamnées pour ce motif.
Les autorités malgaches ont fini par acheter, fin 2021, le produit phare d’Intellexa : le logiciel Predator, cousin et concurrent de Pegasus, qui permet d’avoir accès à la quasi-totalité des données des téléphones qu’il infecte.
C’est ce que révèle notre enquête « Predator Files », basée sur des documents confidentiels obtenus par Mediapart et Der Spiegel, et menée par 15 médias internationaux coordonnés par le réseau EIC, avec l’assistance technique du Security Lab d’Amnesty International.
La vente d’outils d’espionnage aussi puissants à Madagascar est d’autant plus problématique que l’exécutif du président Andry Rajoelina fait emprisonner des défenseurs des droits humains et des militants écologistes, poursuit des lanceurs d’alerte pour « troubles publics et incitation à la haine du gouvernement » et intimide les militant·es anticorruption.
Nos révélations tombent au plus mal pour le président Rajoelina, qui a lancé mardi sa campagne pour l’élection présidentielle du 9 novembre, dans un contexte très tendu, marqué par la répression des manifestations de l’opposition, qui redoute déjà des fraudes électorales.
« Predator Files » : toutes nos révélations
5 octobre 2023
On ignore toutefois si Nexa et ses dirigeants sont poursuivis par la justice française pour avoir vendu Predator à la présidence malgache. Lorsque les juges d’instruction ont réclamé en juin 2021 que l’enquête soit élargie à Madagascar, le procureur national antiterroriste a répondu qu’il n’était pas compétent, et a invité les magistrates à saisir le procureur de Paris.
On ne sait si ce signalement a été effectué. Sollicité par Mediapart, le parquet de Paris n’a pas trouvé trace d’une procédure en cours concernant Nexa et Madagascar.
Les dirigeants de Nexa ont refusé de nous répondre au sujet de Madagascar, mais indiquent qu’ils ont toujours agi « en respect total des réglementations applicables ».
Le groupe français prospecte dans le pays depuis au moins 2017. Madagascar est mentionné dans les « plans d’action commerciaux » cette année-là, avec la mention « attente confirmation des besoins pour RDV pour site ». Pour les équipes de la société française, qui donne un nom de code à tous ses contrats potentiels, c’est le début de l’opération « Loco ».
Les autorités de l’île souhaitent se doter de matériel de cybersurveillance, officiellement pour lutter contre la corruption. « En réalité, la présidence malgache (sous Rajoelina mais aussi du temps de son prédécesseur, Rajaonarimampianina) voulait surtout acquérir ce type de matériel à des fins politiques, témoigne un ancien haut fonctionnaire malgache au fait de ces sujets. Quand on est au pouvoir, on veut y rester. Et pour cela, il faut être informé de tout. »
Les choses s’accélèrent en 2020. Au mois d’octobre, Renaud Roques, le numéro 3 de Nexa, rédige un brouillon de contrat d’un montant de 11,75 millions d’euros. Le 7 novembre, il s’envole vers la grande île en compagnie de trois collègues, dont le patron de Nexa, Stéphane Salies.
Le lendemain, Renaud Roques prend une photo à l’intérieur de l’hôtel Radisson d’Antananarivo, où les Français semblent avoir pris leurs quartiers. On y voit les pieds du photographe, chaussés de tongs en plastique, et posée au sol devant lui, une valise contenant du matériel informatique.
Une infection en mode zéro clic
L’équipe s’est donné huit jours pour convaincre le chef de l’État. Le président Andry Rajoelina, 46 ans, est un ancien entrepreneur dans la publicité et la communication. Arrivé une première fois au pouvoir en 2009 avec le soutien de l’armée, il en garderait, selon certains, la crainte tenace d’être à son tour victime d’un putsch. Il gère personnellement le dossier, épluchant les documents et s’entretenant régulièrement avec les Français.
Ceux-ci lui proposent leur « portefeuille complet » : un logiciel de surveillance massive du trafic Internet, ainsi qu’une camionnette de piratage dotée notamment d’un Alpha Max, l’ISMI catcher le plus sophistiqué de Nexa. Cet appareil permet non seulement d’écouter les téléphones mobiles à portée d’antenne, mais aussi de les infecter avec Predator en mode « zéro clic », de façon invisible, sans même que l’utilisateur ait à cliquer sur un lien malveillant.
Ils demandent si je peux les aider à faire de l’infection. […] Ils ont dit que si je viens, je repars avec un chèque.
Stéphane Salies, patron de Nexa, à Tal Dilian, patron d’Intellexa
Les tests effectués dans la capitale malgache sont un succès. « Quand on était là-bas avec l’Alpha Max, on voyait des trucs s’attacher » – autrement dit, l’appareil a pu se connecter à des téléphones –, confirmeront plus tard des cadres de Nexa.
Entre deux démonstrations, les Français s’octroient de bons moments. Le 11 novembre, Renaud Roques prend en photo la piscine du Radisson. Le 15 novembre 2020, il photographie les jardins du Rova, palais royal transformé en musée.
Le même jour, les équipes de Nexa semblent avoir ciblé une figure du journalisme malgache : Roland Rasoamaharo, dit « Lola », directeur et propriétaire de La Gazette de la Grande Île, et volontiers critique du président Rajoelina.
Dans le téléphone de Renaud Roques, les gendarmes ont trouvé un rapport de surveillance de sept pages consacré à Lola Rasoamaharo, estampillé « classifié » et créé le 15 novembre 2020. Le document détaille notamment son historique de géolocalisation et des données relatives à ses téléphones.
De retour en France, l’équipe est confiante. Roques consigne dans ses notes : « Voyage à Madagascar offre complète du portfolio et démos […] La signature devrait avoir lieu dans les prochains jours. » Il tient informé le patron d’Intellexa, Tal Dilian, qui fournit Predator à Nexa : « Nous devons reparler avec le président cette semaine. »
Mais durant de longs mois, les autorités malgaches hésitent sur l’équipement à acquérir. Elles optent finalement à la fois pour des outils d’écoute massive des communications et de piratage des téléphones. Le 18 mai 2021, Renaud Roques est optimiste : « Projet Loco. L’air très positif. Négociations du contrat final en cours. »
Mais l’histoire va prendre un tournant inattendu. Dans les jours qui suivent, le patron de Nexa, Stéphane Salies, reçoit un appel de ses interlocuteurs malgaches, visiblement pressants. « [Ils] réclament de l’aide pour une situation tendue et ils demandent si je peux les aider à faire de l’infection. […] Ils ont dit que si je viens, je repars avec un chèque », rapporte Stéphane Salies à Tal Dilian le 20 mai. Le patron d’Intellexa n’y oppose aucune objection. Il suggère de fournir à Madagascar une partie seulement des moyens de piratage, moyennant le paiement d’un acompte.
Dans une interview accordée à Forbes en 2019, cet ancien de la célèbre « Unité 81 » de cyber-renseignement de l’armée israélienne avait pourtant promis de ne plus jamais espionner d’individus sans avoir ni licence ni contrat, après avoir constaté qu’un raid militaire eut frappé un village sud-américain où il avait localisé deux téléphones à la demande des autorités, dans le cadre d’une démonstration commerciale. « On était jeunes. Aujourd’hui je dirais non », avait assuré Tal Dilian à Forbes.
Il a pourtant dit oui deux ans plus tard aux demandes du président malgache Andry Rajoelina. Contactés par l’EIC, Tal Dilian et Intellexa n’ont pas répondu.
Ce faisant, l’alliance franco-israélienne semble avoir violé la réglementation de plusieurs pays, dont la France. Nexa n’avait pas encore signé de contrat et n’avait pas obtenu de licence d’exportation. Cette licence est pourtant strictement obligatoire, même pour du matériel dit de « démonstration ».
Lors de sa garde à vue, Stéphane Salies a tenté de justifier cette entorse à la réglementation par l’urgence de déjouer une tentative de coup d’État : « C’est la solution qui a été choisie car il y avait un événement grave potentiel. » Sauf qu’il avait déjà fait la même chose l’année précédente, lors du séjour de son équipe à Madagascar, alors qu’aucun événement exceptionnel ne le justifiait.
Faire une mission avant d’avoir signé le contrat, Steph, t’as fait une connerie.
Renaud Roques, numéro 3 de Nexa, à son patron Stéphane Salies
L’absence de licence n’a en rien dissuadé les équipes de Nexa. Le président Rajoelina « est OK pour signer le contrat » et « faire le virement avant fin mai », indique le patron Stéphane Salies à son collègue Renaud Roques le 20 mai 2021. Mais le conseiller du président veut surtout que les Français « viennent tout de suite avec des équipements car il y a une dizaine de mecs qui essaient de faire une sorte de coup d’État ».
« Il veut qu’on les infecte tout de suite, c’est super important, c’est dramatique […] Il me dit “Vas-y viens avec un Alpha Max puis on fait une infection zéro clic” », poursuit le fondateur de Nexa. L’Alpha Max, c’est l’IMSI catcher capable d’injecter Predator dans les téléphones.
Le numéro 3 du groupe, Renaud Roques, réprimande son patron : « Putain, faire une mission avant d’avoir signé le contrat, Steph, t’as fait une connerie. » « Je sais, je sais », répond Stéphane Salies.
Sept jours plus tard, Renaud Roques a manifestement accepté de participer à cette « connerie ». Il est dans une voiture, devant l’ambassade de Madagascar, dans le XVIe arrondissement de Paris. Il y dépose discrètement plusieurs valises, contenant « un IMSI catcher et un intercepteur wifi », indiquera-t-il plus tard aux enquêteurs.
Pour contourner l’absence de licence, le matériel est envoyé à Madagascar par la valise diplomatique, qui ne peut être ni fouillée ni scannée.
« On prépare toutes les valises, il faut aller les déposer à l’ambassade pour que ça reparte en voyage diplomatique, […] comme la dernière fois », raconte Renaud Roques le 27 mai 2021 à sa compagne. « C’est le bordel », se plaint-il au téléphone, avant de s’interroger sur le meilleur endroit où acheter les cadenas pour fermer les bagages.
À l’ambassade, la tension est palpable. Le 30 mai, la première conseillère malgache appelle Renaud Roques, qui a déposé le matériel quelques jours plus tôt, en panique : elle ne peut plus prendre les batteries en cabine dans l’avion, car elle est déjà trop chargée. Il va falloir les placer dans les valises, déjà fermées par des cadenas.
Six ressortissants malgaches et français en détention
Renaud Roques propose de lui envoyer un collègue, qui procèdera à l’opération. La diplomate accepte mais insiste : le Français ne doit « surtout pas ouvrir » la valise « devant eux » – comprendre, les autres employés de l’ambassade. « Je ne voudrais pas du tout de risque », insiste-t-elle. « Ne vous inquiétez pas […], il est au courant de la confidentialité », tente de la rassurer le cadre de Nexa.
Interrogées par Mediapart, ni l’ambassadeur de Madagascar à Paris ni la présidence malgache n’ont répondu à nos questions.
Quelques jours plus tard, le 9 juin 2021, Renaud Roques achète un iPhone sur le site Leboncoin. Il procède le lendemain à un test d’infection destiné à préparer l’opération à Madagascar, comme il l’indiquera aux gendarmes. Le Security Lab de l’ONG Amnesty International, à qui nous avons fait analyser les messages reçus par le téléphone, a conclu que ces SMS contenaient un lien d’infection géré par l’infrastructure technique de Predator.
L’opération de piratage à Madagascar semble avoir été un succès. Deux mois plus tard, six ressortissants malgaches et français sont placés en détention pour « atteinte à la sûreté intérieure de l’État » et accusés d’avoir voulu assassiner le président.
À l’issue d’un procès express marqué par la disparition de nombreuses pièces à conviction (notamment l’ordinateur et les téléphones du principal accusé), ils sont condamnés à des peines allant jusqu’à vingt ans de travaux forcés. Le groupe a toujours clamé son innocence.
Les dirigeants de Nexa, eux, semblent avoir récolté les fruits de leurs efforts auprès du président malgache. En juin 2021, le contrat était « en cours de finalisation », pour un montant de l’ordre de 14 millions d’euros, selon un document interne.
Les données saisies par les enquêteurs français s’arrêtent là. Mais un deal a bien été conclu avec les autorités malgaches.
Deux enquêtes techniques suggèrent que Predator serait utilisé par le pouvoir malgache dans le cadre de la campagne présidentielle de 2023.
Le 16 décembre 2021, le Citizen Lab de l’Université de Toronto a annoncé avoir détecté de probables traces d’utilisation de Predator à Madagascar. Puis le 8 décembre 2022, le gouvernement grec a reconnu avoir accordé à Intellexa une autorisation d’exporter Predator à Madagascar en novembre 2021.
La vente est passée par la société britannique Signum, qui appartient à un homme d’affaires allemand nommé Oliver Bocking. Ce dernier entretient des liens avec Nexa, puisqu’il est actionnaire, aux côtés du groupe français, d’une société immatriculée aux Seychelles qui détient la propriété intellectuelle de l’Alpha Max.
Oliver Bocking a-t-il servi d’intermédiaire pour dissimuler l’implication de Nexa dans ce contrat ? Il ne nous a pas répondu. Les dirigeants du groupe français, Stéphane Salies et Olivier Bohbot, n’ont pas souhaité s’expliquer à son sujet.
Dans leur réponse à Mediapart, ils précisent que leur société Advanced Systems à Dubaï « agissait en qualité de revendeur/intermédiaire et n’avait pas la charge de l’export control », et que la responsabilité d’obtenir des licences d’exportation revenait exclusivement à Intellexa.
Stéphane Salies et Olivier Bohbot ajoutent qu’à la suite des perquisitions qu’ils ont subies en juin 2021, ils ont transféré à Intellexa tous les contrats en cours liés à Predator « avant que ceux-ci soient opérationnels », et qu’ils ont cessé toute activité dans le domaine du piratage des téléphones.
La une de La Gazette de la Grande Île, le 28 mars 2023, au lendemain de l’arrestation de son directeur Lola Rasoamaharo. ©️ La Gazette de la Grande Île
Quant au journaliste et patron de presse Lola Rasoamaharo, ciblé par les hommes de Nexa lors d’une démonstration en 2020, il a rencontré par la suite bien des difficultés. Le 10 novembre 2021, les locaux de La Gazette de la Grande Île sont visés par une explosion d’origine inconnue, qui provoque d’importants dégâts matériels.
En mars dernier, les locaux du journal sont perquisitionnés. Son directeur, Lola Rasoamaharo, est arrêté pour des factures impayées à la compagnie nationale d’eau et d’électricité datant de… 2016. Le 14 juin, il a été relaxé dans ce dossier, mais condamné à cinq ans de prison ferme pour « extorsion de fonds » dans une affaire de différend immobilier l’opposant à l’épouse d’un consul. Il est toujours emprisonné aujourd’hui.
Pour son journal, cela ne fait aucun doute: l’exécutif malgache lui a fait payer ses scoops concernant le chef de l’État et son entourage. Début mars, la Gazette avait révélé que le président Rajoelina détenait la nationalité française, ce qui était susceptible de compromettre sa candidature à l’élection présidentielle, dont le premier tour aura lieu le 9 novembre prochain.
Deux rapports techniques suggèrent que le pouvoir malgache aurait eu recours à Predator depuis le début de l’année pour faciliter la réélection d’Andry Rajoelina.
Le premier, publié le 2 octobre par la société de sécurité informatique française Sekoia, est basé sur l’étude des serveurs informatiques qui servent à pirater les téléphones avec Predator. Comme l’a indiqué Le Monde, Sekoia a repéré que cette infrastructure d’infection a créé et hébergé, à partir d’avril 2023, des sites internet usurpant l’adresse et l’identité de médias malgaches, L’Express de Madagascar et Midi Madagasikara, ainsi que plusieurs sites se présentant comme des blogs politiques pro-Rajoelina, comme Soutien à Rajoelina ou Emergence Mada.
Il est donc « plausible que des services du gouvernement de Madagascar – comme la police ou les services de renseignement intérieurs » utilisent « le logiciel espion Predator pour mener des opérations de surveillance politiques avant l’élection », conclut Sekoia.
Les conclusions de ce rapport sont confirmées par une enquête technique réalisée pour l’EIC par le Security Lab d’Amnesty International dans le cadre de notre enquête « Predator Files ». Amnesty International a repéré au moins huit sites malveillants liés à Madagascar, créés entre le 15 février et le 26 juillet 2023 au sein de l’infrastructure d’infection de Predator. Ces sites imitent notamment les adresses internet des journaux malgaches L’Express et Midi, mais aussi les adresses web de deux banques du pays, la BNI et la MCB.
Sur le terrain, la campagne électorale a été lancée ce mardi par Andry Rajoelina dans une ambiance délétère. Le président du Sénat, qui doit selon la Constitution exercer temporairement le pouvoir pendant la campagne, a indiqué lundi y avoir renoncé après avoir reçu des « menaces de mort » de membres du gouvernement – la présidence a démenti. Résultat : c’est le gouvernement qui exerce le pouvoir, ce qui fait craindre à l’opposition que le scrutin soit manipulé.
Onze des douze candidats en lice contre le président Rajoelina ont déclaré qu’ils ne prendraient pas part au scrutin tant qu’ils n’obtiendraient pas de garanties sur son impartialité. Les manifestations pacifiques qu’ils organisent tous les jours depuis le début du mois d’octobre ont été réprimées par le pouvoir.
Justine Brabant et Yann Philippin
