השבוע הקשוח של NSO
האשמות בפעילות נגד האינטרסים הלאומיים של ארה״ב ובמעקב נגד פעילים פלסטיניים ובכירים ברשות, הפסד בערעור נגד תביעה של פייסבוק, ושימוש לרעה על ידי אזרח מקסיקני – וכל זה רק בשמונה ימים
REUTERS/Amir Cohen
השבוע החולף היה ככל הנראה המטלטל ביותר שעבר על קבוצת NSO מאז ההתפוצצות התקשורתית של ״פרויקט פגסוס״, בחודש יולי השנה. על חברת הסייבר ההתקפי מהרצליה – שגם ככה לא במיוחד נהנית מעודף פופולריות או אהדה בעין הציבורית – ניתכו מהלומות משמעותיות בזו אחר זו, וכבר נשמעים קולות שמעמידים בספק את המשך קיומה לאורך זמן, לפחות בקונסטלציה הנוכחית (עם או בלי המנכ״ל החדש-ישן). נעשה קצת סדר בהתפתחויות האחרונות.
1. פעילות נגד האינטרסים של ארה״ב: ביום רביעי ה-3 בנובמבר הודיעה מחלקת המסחר האמריקנית כי הוסיפה את קבוצת NSO וכן את קנדירו – חברה ישראלית נוספת העוסקת בסייבר התקפי, לרשימת הישויות הזרות העוסקות בפעילות המנוגדת לאינטרסים של הביטחון הלאומי או של מדיניות החוץ של ארה״ב. זאת, ״בהתבסס על ראיות שגופים אלה פיתחו תוכנות ריגול וסיפקו אותן לממשלות זרות שהשתמשו בכלים אלה כדי לפגוע בזדון בפקידי ממשל, עיתונאים, אנשי עסקים, פעילים, אקדמאים, ועובדי שגרירות״, נכתב בהודעה הרשמית.
״כלים אלה גם אפשרו לממשלות זרות לבצע דיכוי חוצה גבולות, נוהג של ממשלות סמכותניות המתמקדות במתנגדי משטר, עיתונאים ופעילים מחוץ לגבול הריבוני שלהן כדי להשתיקם. פרקטיקות כאלה מאיימות על כללי הסדר הבינלאומי״.
המשמעות? על פניו לפחות, כל חברה אמריקנית שתרצה לבצע פעילות עסקית כלשהי עם אחת משתי החברות הללו – ממכירת טכנולוגיה ועד לאספקת קפסולות קפה – תזדקק לרישיון מיוחד מטעם מחלקת המסחר, שממש לא צפוי להינתן בקלות. אבל זה לא הכול: לשון ההודעה מרמזת כי אולי תהיינה גם השלכות על פעילות החברות עם ממשלות המצויות בבריתות עם ארה״ב, וכאלה לא חסרות – מבריתות מולטילטרליות כמו נאט״ו ו-Five Eyes ועד לבריתות בילטרליות שונות עם עשרות מדינות.
קבוצת NSO מסרה כי היא ״נחרדת מההחלטה, בהתחשב בעובדה שהטכנולוגיות שלנו תומכות באינטרסים ובמדיניות הביטחון הלאומי של ארה״ב על ידי מניעת טרור ופשיעה״. על פי דיווחים, ישראל הוכתה בתדהמה מההחלטה האמריקנית, עליה עודכנה זמן קצר לפני פרסומה (עוד עודכנו מראש: דל ומיקרוסופט, כך על פי הניו יורק טיימס), והיא תפעל להפוך אותה בטענה שהטכנולוגיה הזו נחוצה לביטחון הלאומי. הסבירות שתצליח – לפחות כל עוד ג׳ו ביידן מכהן כנשיא – נמוכה.
2. מעקב אחר פעילים פלסטינים: ביום שני השבוע, פרסם ארגון זכויות האדם Front Line Defenders תחקיר לפיו נעשה שימוש בתוכנת ״פגסוס״ של NSO למעקב אחר שישה פעילים פלסטיניים, שלושה מהם מקושרים לארגונים עליהם הכריזה ישראל כעל ארגוני טרור בחודש שעבר. ששת הטלפונים הנגועים נמצאו לאחר בדיקה של 75 אייפונים (צוינה את העדר האפשרות הטכנית לבצע בדיקה דומה בטלפונים של אנדרואיד), שממצאיה אושרו גם על ידי אמנסטי אינטרנשיונל ו-Citizen Lab של אוניברסיטת טורונטו.
״ההתמקדות בכמה מהארגונים הוותיקים והמכובדים, וכן בבעלי פרופיל בינלאומי גבוה, משמש כאקט של הפחדה נגד ארגונים פלסטיניים אחרים״, נכתב בפרסום. ״יש לראות בפעולה זו התקפה כוללת על מגני זכויות האדם בחברה הפלסטינית והאזרחית, ובמיוחד על מאמציהם להשיג אחריותיות (accountability) וצדק״.
התגובה המופתעת כביכול שהציגו כלי תקשורת ברחבי העולם (היי תראו! ישראל עוקבת אחרי הפלסטינים!) היא מגוחכת מעט, ונועדה ללבות את האש ולייצר כותרות. הרי ברור שישראל, מדינה ריבונית מוקפת אויבים, תפעל בשלל דרכים על מנת לנטר פעולות טרור פוטנציאליות. לא חסרים ארגונים שמתהדרים בתואר ״מגני זכויות אדם״ ובפועל מהווים ארגוני טרור – ולא רק בישראל.
אבל הבעיה היא אחרת: חוסר השקיפות של הממשלה, היעדר היכולת להישיר מבט ולהשיב לטענות בקול יציב – וגם לקחת אחריות ולהודות בטעויות אם צריך, היכן שצריך. התגובה הרפה של שר החוץ יאיר לפיד לשאלת עיתונאים בנושא (״NSO היא חברה פרטית, אין לה דבר עם מדיניות ממשלת ישראל, איני חושב שיש מדינה נוספת בעולם שיש לה כללים כה נוקשים בתחום לוחמת הסייבר״), פשוט אינה מספקת ואינה מחזיקה מים.
הגישה המתחמקת הזו, שאינה רלוונטית יותר בעידן שפע המידע, נמצאת בעוכריה של אומת ההייטק שהייתה מעדיפה להיצרב בזיכרון העולמי כאחראית ווייז ודיסק-און-קי. מהחברה המסחרית הקרויה NSO ניתן רק לצפות שתעשה הכול כדי להגן על עצמה, אבל מהממשלה שבאה לשנות ניתן לצפות ליותר. וברשימת הדברים שיש לשנותם, צריכה לתפוס מקום של כבוד גם דעת הקהל העולמית.
2א. מעקב אחר בכירים פלסטינים: בהמשך לדיווח הקודם, הודיעה הרשות הפלסטינית היום (ה׳) כי תכנת ״פגסוס״ נמצאה בטלפונים סלולריים של שלושה בכירים במשרד החוץ הפלסטיני. זוהי הפעם הראשונה שהרשות מאשימה את NSO במעקב אחריה. סוכנות הידיעות AP מצטטת את תת שר החוץ לעניינים מדיניים, אחמד אל-דק, שאמר כי ״מוסד פלסטיני מקצועי״ זיהה את התוכנה. בשלב זה לא ברור אם גורמים נוספים אימתו את הממצאים, אבל אפשר להעריך בזהירות שהשבר המדיני-דיפלומטי של ישראל מול הרשות עוד יחמיר, אם לא תבוצע בקרת נזקים מיידית של הממשלה.
3. הפסד לפייסבוק: עוד לא יבש הדיו על שתי הידיעות הקודמות – וכבר יש עוד. ביום שלישי השבוע אישר בית המשפט הפדרלי התשיעי לערעורים (סן פרנסיסקו) לפייסבוק (מטא) להמשיך בתביעה שהגישה נגד NSO בסוף 2019, במסגרתה מואשמת האחרונה בניצול באג באפליקציית וואטסאפ כדי להתקין את ״פגסוס״ בטלפונים של כ-1,400 עיתונאים, מתנגדי משטר ופעילי זכויות אדם. בהחלטתו, דחה בית המשפט פה אחד (3:0) את הערעור שהגישה NSO בשנה שעברה, בטענה כי היא זכאית לחסינות במסגרת החוק המעניק חסינות לגופים הקשורים לממשלות זרות.
״זה היה מקרה קל, עצם הרישוי של ׳פגסוס׳ והתמיכה הטכנית שמציעה החברה לא מגן עליה מאחריות על פי החוק הפדרלי״, נכתב בהחלטה. ״כל מה שהלקוחות הממשלתיים של NSO עושים עם הטכנולוגיה והשירותים שלה לא הופך אותה ל׳סוכנות או כלי של מדינה זרה׳, ולפיכך, היא אינה זכאית לחסינות במסגרת ריבונות זרה״.
(מה אמר לפיד? שאין קשר בין המדיניות הממשלתית לקבוצה? ובכן, השופטים האמריקנים למעשה מתקפים את דבריו של שר החוץ הישראלי – בעוד ש-NSO דווקא כן מנסה לבסס קשר כזה, ולמתג עצמה כזרוע ששלחה מדינת ישראל).
4. מעצר איש העסקים המקסיקני: התביעה במקסיקו מסרה ביום ב׳ השבוע כי עצרה בשבוע שעבר איש עסקים באשמה שהשתמש בתוכנת ״פגסוס״ כדי לרגל אחר עיתונאי. סוכנות הידיעות AP דיווחה כי החשוד, חואן קרלוס גרסייה ריברה, היה קשור לחברות מסחריות שהיוו צד בחוזים בסך 61 מיליון דולר שנחתמו לכאורה בין NSO לבין מקסיקו.
האשמתו של ריברה, אזרח פרטי, בניצול לרעה של התוכנה, מתקשרת לתחקירים רבים שביצעו אנשי Citizen Lab ו-Forbidden Stories על הפעילות לכאורה של NSO במקסיקו ועל האופן המושחת לכאורה בו נעשה שימוש בטכנולוגיות שלה – לא רק על ידי הממשל הקודם, אלא גם על ידי גורמים שונים בעלי גישה, כשבראשם קרטלי הסמים והפשע.
יוזכר שמבין כ-50 אלף מספרי הטלפון שקיומם הודלף במהלך החשיפה של ״פרויקט פגסוס״, כ-15 אלף מהם היו משויכים לאזרחים מקסיקניים , כשכחמישים מהם מקושרים לאנשים במעגל הקרוב ביותר של בכיר האופוזיציה לשעבר אנדרס מנואל לופז אוברדור – כיום הנשיא המכהן.
האשמות בפעילות נגד האינטרסים הלאומיים של ארה״ב ובמעקב נגד פעילים פלסטיניים ובכירים ברשות, הפסד בערעור נגד תביעה של פייסבוק, ושימוש לרעה על ידי אזרח מקסיקני – וכל זה רק בשמונה ימים
REUTERS/Amir Cohen
השבוע החולף היה ככל הנראה המטלטל ביותר שעבר על קבוצת NSO מאז ההתפוצצות התקשורתית של ״פרויקט פגסוס״, בחודש יולי השנה. על חברת הסייבר ההתקפי מהרצליה – שגם ככה לא במיוחד נהנית מעודף פופולריות או אהדה בעין הציבורית – ניתכו מהלומות משמעותיות בזו אחר זו, וכבר נשמעים קולות שמעמידים בספק את המשך קיומה לאורך זמן, לפחות בקונסטלציה הנוכחית (עם או בלי המנכ״ל החדש-ישן). נעשה קצת סדר בהתפתחויות האחרונות.
1. פעילות נגד האינטרסים של ארה״ב: ביום רביעי ה-3 בנובמבר הודיעה מחלקת המסחר האמריקנית כי הוסיפה את קבוצת NSO וכן את קנדירו – חברה ישראלית נוספת העוסקת בסייבר התקפי, לרשימת הישויות הזרות העוסקות בפעילות המנוגדת לאינטרסים של הביטחון הלאומי או של מדיניות החוץ של ארה״ב. זאת, ״בהתבסס על ראיות שגופים אלה פיתחו תוכנות ריגול וסיפקו אותן לממשלות זרות שהשתמשו בכלים אלה כדי לפגוע בזדון בפקידי ממשל, עיתונאים, אנשי עסקים, פעילים, אקדמאים, ועובדי שגרירות״, נכתב בהודעה הרשמית.
״כלים אלה גם אפשרו לממשלות זרות לבצע דיכוי חוצה גבולות, נוהג של ממשלות סמכותניות המתמקדות במתנגדי משטר, עיתונאים ופעילים מחוץ לגבול הריבוני שלהן כדי להשתיקם. פרקטיקות כאלה מאיימות על כללי הסדר הבינלאומי״.
המשמעות? על פניו לפחות, כל חברה אמריקנית שתרצה לבצע פעילות עסקית כלשהי עם אחת משתי החברות הללו – ממכירת טכנולוגיה ועד לאספקת קפסולות קפה – תזדקק לרישיון מיוחד מטעם מחלקת המסחר, שממש לא צפוי להינתן בקלות. אבל זה לא הכול: לשון ההודעה מרמזת כי אולי תהיינה גם השלכות על פעילות החברות עם ממשלות המצויות בבריתות עם ארה״ב, וכאלה לא חסרות – מבריתות מולטילטרליות כמו נאט״ו ו-Five Eyes ועד לבריתות בילטרליות שונות עם עשרות מדינות.
קבוצת NSO מסרה כי היא ״נחרדת מההחלטה, בהתחשב בעובדה שהטכנולוגיות שלנו תומכות באינטרסים ובמדיניות הביטחון הלאומי של ארה״ב על ידי מניעת טרור ופשיעה״. על פי דיווחים, ישראל הוכתה בתדהמה מההחלטה האמריקנית, עליה עודכנה זמן קצר לפני פרסומה (עוד עודכנו מראש: דל ומיקרוסופט, כך על פי הניו יורק טיימס), והיא תפעל להפוך אותה בטענה שהטכנולוגיה הזו נחוצה לביטחון הלאומי. הסבירות שתצליח – לפחות כל עוד ג׳ו ביידן מכהן כנשיא – נמוכה.
2. מעקב אחר פעילים פלסטינים: ביום שני השבוע, פרסם ארגון זכויות האדם Front Line Defenders תחקיר לפיו נעשה שימוש בתוכנת ״פגסוס״ של NSO למעקב אחר שישה פעילים פלסטיניים, שלושה מהם מקושרים לארגונים עליהם הכריזה ישראל כעל ארגוני טרור בחודש שעבר. ששת הטלפונים הנגועים נמצאו לאחר בדיקה של 75 אייפונים (צוינה את העדר האפשרות הטכנית לבצע בדיקה דומה בטלפונים של אנדרואיד), שממצאיה אושרו גם על ידי אמנסטי אינטרנשיונל ו-Citizen Lab של אוניברסיטת טורונטו.
״ההתמקדות בכמה מהארגונים הוותיקים והמכובדים, וכן בבעלי פרופיל בינלאומי גבוה, משמש כאקט של הפחדה נגד ארגונים פלסטיניים אחרים״, נכתב בפרסום. ״יש לראות בפעולה זו התקפה כוללת על מגני זכויות האדם בחברה הפלסטינית והאזרחית, ובמיוחד על מאמציהם להשיג אחריותיות (accountability) וצדק״.
התגובה המופתעת כביכול שהציגו כלי תקשורת ברחבי העולם (היי תראו! ישראל עוקבת אחרי הפלסטינים!) היא מגוחכת מעט, ונועדה ללבות את האש ולייצר כותרות. הרי ברור שישראל, מדינה ריבונית מוקפת אויבים, תפעל בשלל דרכים על מנת לנטר פעולות טרור פוטנציאליות. לא חסרים ארגונים שמתהדרים בתואר ״מגני זכויות אדם״ ובפועל מהווים ארגוני טרור – ולא רק בישראל.
אבל הבעיה היא אחרת: חוסר השקיפות של הממשלה, היעדר היכולת להישיר מבט ולהשיב לטענות בקול יציב – וגם לקחת אחריות ולהודות בטעויות אם צריך, היכן שצריך. התגובה הרפה של שר החוץ יאיר לפיד לשאלת עיתונאים בנושא (״NSO היא חברה פרטית, אין לה דבר עם מדיניות ממשלת ישראל, איני חושב שיש מדינה נוספת בעולם שיש לה כללים כה נוקשים בתחום לוחמת הסייבר״), פשוט אינה מספקת ואינה מחזיקה מים.
הגישה המתחמקת הזו, שאינה רלוונטית יותר בעידן שפע המידע, נמצאת בעוכריה של אומת ההייטק שהייתה מעדיפה להיצרב בזיכרון העולמי כאחראית ווייז ודיסק-און-קי. מהחברה המסחרית הקרויה NSO ניתן רק לצפות שתעשה הכול כדי להגן על עצמה, אבל מהממשלה שבאה לשנות ניתן לצפות ליותר. וברשימת הדברים שיש לשנותם, צריכה לתפוס מקום של כבוד גם דעת הקהל העולמית.
2א. מעקב אחר בכירים פלסטינים: בהמשך לדיווח הקודם, הודיעה הרשות הפלסטינית היום (ה׳) כי תכנת ״פגסוס״ נמצאה בטלפונים סלולריים של שלושה בכירים במשרד החוץ הפלסטיני. זוהי הפעם הראשונה שהרשות מאשימה את NSO במעקב אחריה. סוכנות הידיעות AP מצטטת את תת שר החוץ לעניינים מדיניים, אחמד אל-דק, שאמר כי ״מוסד פלסטיני מקצועי״ זיהה את התוכנה. בשלב זה לא ברור אם גורמים נוספים אימתו את הממצאים, אבל אפשר להעריך בזהירות שהשבר המדיני-דיפלומטי של ישראל מול הרשות עוד יחמיר, אם לא תבוצע בקרת נזקים מיידית של הממשלה.
3. הפסד לפייסבוק: עוד לא יבש הדיו על שתי הידיעות הקודמות – וכבר יש עוד. ביום שלישי השבוע אישר בית המשפט הפדרלי התשיעי לערעורים (סן פרנסיסקו) לפייסבוק (מטא) להמשיך בתביעה שהגישה נגד NSO בסוף 2019, במסגרתה מואשמת האחרונה בניצול באג באפליקציית וואטסאפ כדי להתקין את ״פגסוס״ בטלפונים של כ-1,400 עיתונאים, מתנגדי משטר ופעילי זכויות אדם. בהחלטתו, דחה בית המשפט פה אחד (3:0) את הערעור שהגישה NSO בשנה שעברה, בטענה כי היא זכאית לחסינות במסגרת החוק המעניק חסינות לגופים הקשורים לממשלות זרות.
״זה היה מקרה קל, עצם הרישוי של ׳פגסוס׳ והתמיכה הטכנית שמציעה החברה לא מגן עליה מאחריות על פי החוק הפדרלי״, נכתב בהחלטה. ״כל מה שהלקוחות הממשלתיים של NSO עושים עם הטכנולוגיה והשירותים שלה לא הופך אותה ל׳סוכנות או כלי של מדינה זרה׳, ולפיכך, היא אינה זכאית לחסינות במסגרת ריבונות זרה״.
(מה אמר לפיד? שאין קשר בין המדיניות הממשלתית לקבוצה? ובכן, השופטים האמריקנים למעשה מתקפים את דבריו של שר החוץ הישראלי – בעוד ש-NSO דווקא כן מנסה לבסס קשר כזה, ולמתג עצמה כזרוע ששלחה מדינת ישראל).
4. מעצר איש העסקים המקסיקני: התביעה במקסיקו מסרה ביום ב׳ השבוע כי עצרה בשבוע שעבר איש עסקים באשמה שהשתמש בתוכנת ״פגסוס״ כדי לרגל אחר עיתונאי. סוכנות הידיעות AP דיווחה כי החשוד, חואן קרלוס גרסייה ריברה, היה קשור לחברות מסחריות שהיוו צד בחוזים בסך 61 מיליון דולר שנחתמו לכאורה בין NSO לבין מקסיקו.
האשמתו של ריברה, אזרח פרטי, בניצול לרעה של התוכנה, מתקשרת לתחקירים רבים שביצעו אנשי Citizen Lab ו-Forbidden Stories על הפעילות לכאורה של NSO במקסיקו ועל האופן המושחת לכאורה בו נעשה שימוש בטכנולוגיות שלה – לא רק על ידי הממשל הקודם, אלא גם על ידי גורמים שונים בעלי גישה, כשבראשם קרטלי הסמים והפשע.
יוזכר שמבין כ-50 אלף מספרי הטלפון שקיומם הודלף במהלך החשיפה של ״פרויקט פגסוס״, כ-15 אלף מהם היו משויכים לאזרחים מקסיקניים , כשכחמישים מהם מקושרים לאנשים במעגל הקרוב ביותר של בכיר האופוזיציה לשעבר אנדרס מנואל לופז אוברדור – כיום הנשיא המכהן.
