חברת NSO הישראלית, הידועה בזכות תוכנת הריגול פגסוס (Pegasus) שפיתחה למכשירי אייפון ואנדרואיד, ממשיכה לעורר סערה. בשבוע שעבר נקנסה החברה ביותר מ-167 מיליון דולר על ידי בית משפט בארצות הברית, לאחר שפגעה במשתמשי ווטסאפ.
כעת, דו"ח חדש של אתר TechCrunch, המבוסס על תמליל המשפט בן למעלה מ-1,000 עמודים, חושף כי NSO המשיכה לרגל אחר משתמשי ווטסאפ גם לאחר שהוגשה נגדה תביעה על ידי מטא, חברת האם של ווטסאפ, בשנת 2019.
תביעת מטא נגד NSO
באוקטובר 2019 הגישה ווטסאפ תביעה נגד NSO, בטענה שהחברה ניצלה פגיעות במערכת השיחות הקוליות של האפליקציה כדי להתקין תוכנת ריגול על מכשיריהם של יותר מ-1,400 משתמשים ברחבי העולם. התקיפה, שהתבצעה באמצעות תוכנת פגסוס, נחשפה על ידי מהנדסי ווטסאפ במאי 2019. התוכנה אפשרה גישה בלתי מורשית לנתונים אישיים, כולל שיחות טלפון, הודעות מוצפנות, מיקום המכשיר ואף הפעלה מרחוק של המיקרופון והמצלמה של המכשיר – כל זאת ללא ידיעת המשתמשים.
התביעה, שהתנהלה במשך למעלה מחמש שנים, הגיעה לשיאה בשבוע שעבר כאשר בית משפט פדרלי בקליפורניה הורה ל-NSO לשלם פיצויים של 167.25 מיליון דולר כפיצוי עונשי ו-444,719 דולר כפיצוי כספי למטא, עבור המאמצים שהשקיעה החברה בחסימת המתקפה. בנוסף, נדרשה NSO למסור לווטסאפ את הקוד של תוכנת פגסוס וכלי ריגול נוספים, וכן לספק מידע על פעילותם המלאה. מטא חגגה את התוצאה כ"צעד חשוב קדימה למען הפרטיות והאבטחה", והבטיחה לפרסם תמלילים לא רשמיים של המשפט לטובת חוקרים ועיתונאים.
NSO המשיכה לרגל למרות התביעה
לפי הדו"ח של טק-קראנץ', NSO לא הפסיקה את פעילותה נגד משתמשי ווטסאפ גם לאחר הגשת התביעה ב-2019. סגן נשיא מחקר ופיתוח של NSO, תמיר גזנלי, העיד כי גרסה של תוכנת הריגול, שכונתה "Erised", הייתה בשימוש מסוף 2019 ועד מאי 2020. גרסאות נוספות, שכונו "Eden" ו-"Heaven", היו חלק ממערך התקפות שזכה לכינוי הקוד "Hummingbird". התקפות אלה ניצלו פגיעות מסוג "אפס-קליק" (Zero-Click), שבהן אין צורך באינטראקציה מצד המשתמש כדי להדביק את המכשיר בתוכנה זדונית.
החשיפה מעידה על כך ש-NSO המשיכה לפעול בחוסר מעצורים, תוך התעלמות מההליכים המשפטיים נגדה. התקפות אלה נעשו תוך שימוש בשרת התקנה ייעודי של NSO, ששלח הודעות זדוניות דרך תשתית ווטסאפ, תוך חיקוי הודעות לגיטימיות. כל שהיה נדרש כדי להדביק מכשיר היה מספר הטלפון של הקורבן.
מכה קשה ל-NSO
פסק הדין מהווה מכה משמעותית ל-NSO, הן מבחינה כלכלית והן מבחינה תדמיתית. סכום הפיצויים העצום – 168 מיליון דולר – הוא תקדים בתעשיית תוכנות הריגול, והוא עשוי להרתיע חברות דומות מפני פעילות בלתי חוקית. בנוסף, חשיפת פרטים על פעילות החברה, כולל שמות לקוחות כמו מקסיקו, ערב הסעודית ואוזבקיסטן, פגעה בסודיות שהייתה חיונית לעסקיה.
מנכ"ל NSO, ירון שוחט, העיד במהלך המשפט כי החברה נמצאת בקשיים כלכליים משמעותיים, ואף הצהיר כי ייתכן שלא תוכל לעמוד בתשלום הפיצויים. הוא ציין כי תקציב המחקר והפיתוח של החברה עמד על 52 מיליון דולר ב-2023 ו-59 מיליון דולר ב-2024, וכי לקוחות שילמו בין 3 מיליון ל-30 מיליון דולר עבור גישה לתוכנת פגסוס.
מטא, מצידה, הודיעה כי בכוונתה לתרום את סכום הפיצויים לארגוני זכויות דיגיטליות שפועלים להגן על משתמשים מפני מתקפות ריגול. החברה גם מבקשת צו בית משפט שיאסור על NSO לתקוף את ווטסאפ בעתיד.
תעשיית הריגול והמאבק בפרטיות
NSO הפכה בשנים האחרונות לסמל של תעשיית תוכנות הריגול, שפועלות לעיתים בחוסר אחריות ומאפשרות לממשלות לפגוע בזכויות אדם. תוכנת פגסוס נקשרה למעקבים לא חוקיים אחר עיתונאים, פעילי זכויות אדם ומתנגדי משטר במדינות כמו ערב הסעודית, מקסיקו, ספרד ופולין. בין היתר, היא נחשדה במעורבות במעקב אחר מקורביו של העיתונאי הסעודי ג'מאל ח'אשוגי, שנרצח ב-2018.
המשפט חשף גם פרטים על פעילותה הפנימית של NSO. החברה מעסיקה כ-350-380 עובדים, מתוכם כ-50 עובדים בחברת האם Q Cyber. צוות המחקר שלה, המונה 140 עובדים, משקיע עשרות מיליוני דולרים בחיפוש אחר פגיעויות במערכות הפעלה ואפליקציות כמו ווטסאפ, דפדפנים ומערכות iOS ואנדרואיד.
ארגוני זכויות דיגיטליות, כמו Citizen Lab ו-Access Now, שיבחו את ווטסאפ על התמדתה במאבק המשפטי. ג'ון סקוט-ריילטון, חוקר בכיר ב-Citizen Lab, ציין כי התביעה סייעה להגביר את המודעות הציבורית לסכנות של תוכנות ריגול ולהביא לחקירות פרלמנטריות וציבוריות ברחבי העולם.
מה הלאה?
פסק הדין עשוי להשפיע על תעשיית תוכנות הריגול כולה, שכן הוא מציב תקדים משפטי לפיו חברות כאלה יכולות לשאת באחריות לפעולות לקוחותיהן. NSO הודיעה כי בכוונתה לערער על ההחלטה, אך מצבה הכלכלי והמוניטין הפגוע עשויים להקשות עליה להמשיך לפעול כבעבר.
במקביל, התגברות הרגולציה על תעשיית הריגול ממשיכה לצבור תאוצה. ארצות הברית הטילה סנקציות על NSO ב-2021, ואף הכריזה על הגבלות ויזה ליחידים המעורבים בשימוש לרעה בתוכנות ריגול. מדינות נוספות עשויות לאמץ צעדים דומים בעתיד.
עבור משתמשי ווטסאפ ומכשירים חכמים בכלל, המקרה מדגיש את החשיבות של עדכוני אבטחה שוטפים והגברת המודעות לסיכונים דיגיטליים. בעוד שמטא ממשיכה להשקיע במאבק נגד תוכנות ריגול, המשתמשים נדרשים להישאר ערניים כדי להגן על פרטיותם.
