טובעת בתביעות – אפל נגד NSO: "החברה הישראלית עקבה אחר המשתמשים"

עוד חזית משפטית נפתחה מול חברת הסייבר ההתקפי הישראלית: אפל תובעת את NSO ואת החברה האם שלה, OSY Technologies, בבית משפט פדרלי בקליפורניה – בשל מעקב שהתרחש לדבריה אחר משתמשי אפל באמצעות פגסוס, הרוגלה פרי פיתוחה.

בההודעה שפרסמה אמש (ג') טוענת אפל, כי "התביעה חושפת צדדים חדשים לגבי אופן פעולתה של NSO". לפי התביעה, NSO הדביקה מכשירים של משתמשים שלה ברוגלת פגסוס. לצד התביעה, אפל הגישה בקשה לצו מניעה קבוע, אשר יאסור על חברת הסייבר ההתקפי לעשות שימוש כלשהו במכשירים, בתוכנות ובשירותים של אפל, "כדי למנוע שימוש לרעה ופגיעה נוספת במשתמשים שלה".

"שחקנים שלוחי מדינות, דוגמת NSO", אמר קרייג פדריג'י, סגן נשיא בכיר להנדסת תוכנה באפל, "משקיעים מיליוני דולרים בטכנולוגיות מעקב מתוחכמות בלי שהם נושאים באחריות (לתוצאות) ובלא לתת על כך דין וחשבון. נדרש לשנות מצב זה". לדבריו, "במכשירי אפל יש את החומרה הצרכנית המאובטחת ביותר בשוק – אבל חברות פרטיות המפתחות רוגלות בחסות המדינה הפכו למסוכנות אפילו יותר. בעוד שאיומי אבטחת סייבר אלה משפיעים רק על מספר קטן מאוד מהלקוחות שלנו, אנו מתייחסים לכל התקפה על המשתמשים שלנו ברצינות רבה. אנו פועלים כל הזמן לחיזוק האבטחה ולהגנת הפרטיות ב-iOS כדי לשמור על אבטחת כל המשתמשים שלנו".

לפי אפל, "NSO יוצרת טכנולוגיית מעקב מתוחכמת בחסות המדינה, המאפשרת לרוגלות הממוקדות ביותר שלה לעקוב אחר קורבנותיה. מתקפות אלו מכוונות רק למספר קטן מאוד של משתמשים, והן משפיעות על אנשים על פני כמה פלטפורמות, כולל iOS ואנדרואיד. חוקרים ועיתונאים תיעדו בפומבי היסטוריה של ניצול לרעה של רוגלה זו, שכוונה נגד עיתונאים, פעילי זכויות אדם, מתנגדי משטר, אקדמאים ופקידי ממשל".

עוד על פי ענקית הטכנולוגיה, "NSO ולקוחותיה עשו שימוש לרעה בפגיעות בשם ForcedEntry. זו שימשה בעבר כדי לפרוץ למכשירי אפל של הקורבנות ולהתקין את הגירסה העדכנית ביותר של רוגלת פגסוס". הניצול זוהה במקור על ידי סיטיזן לאב (Citizen Lab), קבוצת מחקר לנושאי הגנת פרטיות וזכויות אדם באוניברסיטת טורונטו. אז, נטען, "ניתן היה ליצור חשבונות מזויפים של אפל, שעל בסיסם נשלח מידע זדוני, שאפשר להחדיר את פגסוס למכשירי אפל ולמכשירים מבוססי אנדרואיד".

"הקבוצה ולקוחותיה מקדישים את המשאבים והיכולות העצומים של מדינות לאום כדי לבצע התקפות סייבר ממוקדות ביותר", מציינת אפל, "מה שמאפשר להם לגשת למיקרופון, למצלמה ולנתונים רגישים אחרים במכשירי אפל ואנדרואיד".

אפל הדגישה בהודעתה, כי "על אף שנעשה בהם שימוש לרעה, שרתי אפל לא נפרצו או נפגעו בהתקפות".

"הצעדים (המשפטיים) שאנו נוקטים היום ישלחו מסר ברור: בחברה חופשית – לא מקובל לחמש רוגלות רבות עוצמה (שפותחו) בחסות המדינה נגד אלה המבקשים להפוך את העולם למקום טוב יותר", אמר איבן קרסטיץ', ראש הנדסת האבטחה של אפל.

בהודעתה שיבחה אפל ארגוני זכויות אדם, כמו סיטיזן לאב ואמנסטי, "על עבודתם פורצת הדרך לזיהוי ניצול לרעה של מעקב סייבר ולסיוע בהגנה על קורבנות". החברה הודיעה, כי "על מנת לחזק עוד יותר מאמצים כאלה, אפל תתרום 10 מיליון דולרים, כמו גם כל פיצוי כספי שיגיע מהתביעה, לארגונים העוסקים במחקר והסברה של ריגול בסייבר". עוד הודיעה אפל, כי תתמוך בחוקרי סיטיזן לאב – בסיוע טכני ובמודיעין איומים והנדסי, ותעשה זאת בלא תמורה, "כדי לסייע למשימת המחקר העצמאית שלהם. במידת הצורך, נציע אותו סיוע לארגונים אחרים שעושים עבודה קריטית במרחב זה".

לא רק אפל

ביולי השנה ספגה חברת הסייבר ההתקפי הישראלית ביקורות חריפות מרחבי העולם בעקבות תחקיר עיתונאי רחב היקף, שלפיו התוכנה שלה, פגסוס, משמשת למעקב אחרי פעילי זכויות אדם, עיתונאים ופוליטיקאים.

לפי התחקיר הבינלאומי, שמשותף ל-17 ארגוני חדשות מכובדים בעולם, פגסוס שימשה לפריצה לטלפונים חכמים רבים של פעילי זכויות אדם, עיתונאים ואנשי עסקים, ואף הייתה מעורבת בחיסולו של העיתונאי מתנגד המשטר הסעודי, ג'מאל חשוקג'י. עוד פורסם, כי בין המדינאים שנכללים ברשימת היעדים לריגול נמצאים נשיא צרפת, עמנואל מקרון (מה שגרם לצרפתים לפתוח חקירה בנושא), מלך מרוקו, מוחמד השישי, וראש הממשלה לשעבר של לבנון, סעד אל חרירי. את התחקיר הוביל אמנסטי אינטרנשיונל, בשיתוף ארגון פורבידן סטוריז, והיו שותפים לו יותר מ-80 עיתונאים מ-10 מדינות. NSO הכחישה את ממצאי התחקיר וטענה שהוא מלא בנתונים לא נכונים.

באוקטובר 2019 הגישה פייסבוק תביעה כנגד NSO. פייסבוק טענה, כי NSO ניצלה פרצה בווטסאפ, שנמצאת בבעלות פייסבוק, לצורך מעקב אחרי לפחות כ-100 עיתונאים, דיפלומטים, פעילי זכויות אדם, מתנגדים פוליטיים, בכירי ממשל ואחרים. כך, התוקפים יצרו קשר בשיחת וידיאו עם הקורבנות, שכלל לא היו אמורים להשיב לשיחה, ואז שתלו את רוגלת פגסוס, המספקת יכולת השתלטות על הטלפונים החכמים של הקורבנות. גם אם הקורבן לא השיב לשיחה, הרוגלה הותקנה במכשירו ואפשרה את הגישה למידע שבמכשיר. בנוסף, השיחה לא נרשמה בפירוט השיחות שנעשו מהמכשיר.