דו"ח טכנולוגי לא רק NSO וקנדירו נכנסו לרשימה השחורה, אלא כל ההייטק הישראלי
דו"ח טכנולוגי
לא רק NSO וקנדירו נכנסו לרשימה השחורה, אלא כל ההייטק הישראלי
משרד המסחר האמריקאי הודיע כי פעילותן של החברות הישראליות נוגדת את אינטרס הביטחון הלאומי של ארה"ב. NSO וקנדירו הן לא סתם חברות ישראליות. הן חברות ששגשגו בזכות תמיכה ממשלתית משמעותית ופעלו בהסכמה שבשתיקה של תעשיית ההייטק המקומי
לפעמים, כבר לא נשאר איפה להתחבא. כל ההצהרות, כל הספינים, כל השקרים הגדולים והקטנים כאחד, כל המצגות היפות, כל הקשרים מאחורי הקלעים – שום דבר כבר לא יעזור. לפעמים, האמת ברורה מדי וגלויה מדי. מספיק אנשים עם מספיק אמינות שאומרים את אותם הדברים ומבהירים בצורה שאי אפשר לחמוק ממנה מי הרעים ומי הטובים, מי משקר ומי דובר אמת.
בעבור NSO וקנדירו, מפתחות תוכנות הריגול הישראליות, רגע האמת הזה הגיע אתמול בהפתעה מוחלטת, כשמחלקת הסחר של ארה"ב הודיעה שהכניסה את החברות לרשימה השחורה של גופים שמהווים סכנה לביטחון הלאומי ולאינטרסים המדיניים של המדינה.
ההוספה לרשימה, אף שבפני עצמה אינה בגדר גזר דין מוות לחברות, לא מונעת מהן לחלוטין לעשות עסקים בארה"ב, וגם משאירה פתח לחברות אמריקאיות למכור להן מוצרים ושירותים. יש לה השלכות רוחב ועומק ניכרות, עבור החברות עצמן, עבור תעשיית הסייבר ההתקפי בישראל, אולי אפילו עבור תעשיית ההייטק הישראלית כולה. כי חשוב יותר מהמגבלות שההחלטה מטילה על NSO וקנדירו היא הפגיעה שהיא מייצרת במוניטין, של החברות ושל התעשייה הישראלית. ומוניטין, כמו שיכולה להעיד Meta (לשעבר פייסבוק)' יכול להיות נכס יותר יקר מכל דבר אחר. אובדנו – סימן ראשון לסוף הדרך.
תגובה ישירה לפרויקט פגסוס
מבחינת NSO, ההחלטה משרד התעשייה והביטחון (BIS) במחלקת הסחר מגיעה אחרי שנים של דיווחים וחשיפות סביב פעילות החברה. אף שלא נאמר כך במפורש, היא נראית כמו תגובה ישירה לפרויקט פגסוס, תחקיר נרחב של אמנסטי וקונסורציום העיתונאים פורבידן סטוריז, שבמרכזו רשימה מודלפת של 50 אלף מספרי טלפון שעוררו עניין בקרב לקוחות NSO, בהם עיתונאים, פוליטיקאים בכירים ואנשי עסקים, כאשר בחלק ניכר מהמקרים התברר שרוגלת פגסוס של החברה אכן הותקנה על מכשירי אותן מטרות. למרות הכחשות נמרצות של NSO, מאז פרסום התחקיר אוששו הממצאים על ידי גורמים חיצוניים, כמו מכון המחקר סיטיזן לאב של אוניברסיטת טורנטו, ממשלות צרפת ובלגיה, שמצאו עדויות לפעילות של פגסוס על מכשירים נוספים שהופיעו ברשימה. הגילויים שפגסוס שימשה את שליט דובאי לריגול אחרי רעייתו לשעבר, הנסיכה האיה מירדן, והצוות המשפטי שלה לא הוסיפו גם הם ליוקרה של החברה אף ש-NSO ניסתה לבצע ספין לפרשה ולהציג אותה כזיכוי של אופן פעילותה.
קנדירו זכתה לפחות תשומת לב תקשורתית, ובניגוד ל-NSO פורסם עליה רק תחקיר נרחב אחד, של סיטיזן לאב. עם זאת, התחקיר צייר דפוס שימוש לרעה דומה לזה של NSO והעלה שהתוכנה של קנדירו שימשה לריגול אחרי יותר מ-100 פעילי זכויות אדם, מתנגדי משטר, עיתונאים ואקדמאים ממדינות כמו איראן, לבנון, תימן, בריטניה, טורקיה ואפילו ישראל. ייתכן שהיה די בתחקיר מרשים זה על מנת לשים את החברה על הכוונת של ארה"ב.
קנדירו מסרבת להגיב או לפעול מול התקשורת, ולא הגיבה לתחקיר של סיטיזן לאב או להחלטה של מחלקת הסחר. NSO, מנגד, נוהגת להגיב בתקיפות ובנחרצות לפרסומים נגדה. לרוב, באמירה שמדובר בטענות לא מבוססות, שלא הוצגה שום ראיה להאשמות נגדה, בתוספת ספין שמפרסמי המידע מוטים או שהתוכנות שלה משמשות לעצירת מחבלים ופדופילים. זה אולי יכול לזרוע ספק כשמדובר בחוקרים אלמונים מקנדה, ארגון כמו אמנסטי שתדמיתו, מעצם היותו ארגון זכויות אדם, שלילית עבור רבים, או עיתונאים באירופה. זה יותר קשה ברגע שממשלות מתחילות לאשש את הפרסומים הללו, בלתי אפשרי כשארה"ב עושה זאת.
חקירה ואימות עצמאיים
מחלקת הסחר לא מקבלת החלטות סתם כי בא לה. ארה"ב לא מכניסה חברות לרשימה שחורה בגלל התקף רגעי, בטח כאשר מדובר בחברות של אחת מבעלות הברית הקרובות ביותר שלה. החלטה כזו מגיעה רק אחרי בדיקה עצמאית מעמיקה, עם אמצעים שלא זמינים לחוקרים באקדמיה או לעיתונאים, ואחרי דיונים ואימותים רבים.
כשמחלקת הסחר אומרת שהחברות הוכנסו לרשימה בהתבסס על הוכחות שהן פיתחו רוגלות שסייעו לממשלות זרות לעקוב אחר אנשי ממשל, עיתונאים, אנשי עסקים, פעילים, עובדי שגרירויות ואנשי אקדמיה, היא לא קובעת את זה על סמך ידיעה שהיא קראה בניו יורק טיימס. הקביעה שמכריזה: "הרוגלות אפשרו לממשלים אוטוריטריים לעקוב גם אחר מתנגדי משטר מחוץ לגבולות מדינותיהם. כלים אלו גם אפשרו לממשלות זרות לבצע פעולות דיכוי חוצות גבולות –לתקוף מתנגדים, עיתונאים ואקטיביסטים מחוץ לגבולותיהן כדי להשתיק התנגדות" - לא נאמרה כי במחלקת הסחר מאוד התרשמו מהדו"ח האחרון של סיטיזן לאב. היא מבוססת על חקירה ואימות עצמאיים.
אלו קביעות ברורות שלא משאירות ל-NSO ולקנדירו שום תירוץ להתחבא מאחוריו. שום תגובה או ספין לא יעשו את העבודה עכשיו, פרט להצגת הוכחות חותכות, כאלו שלא משתמעות לשני פנים ושניתן לאמת באופן עצמאי. כל דבר פחות מכך? ההנחה הבסיסית צריכה להיות שמדובר בשקר, בדיה או ספין.
דרישה לרישיון יצוא
השאלה המהותית כעת היא איך תשפיע הכנסת החברות לרשימה השחורה על הפעילות שלהן. ברמה המיידית ההשפעה דווקא לא ברורה לחלוטין. "מעתה, כל עסקה של יצוא, יצוא מחדש או העברה (בתוך המדינה) של מוצרים אמריקאיים לידי NSO וקנדירו, תהיה כפופה לרישיון ייצוא מטעם BIS", הסביר עו"ד עמיר כהנא, חוקר במכון הישראלי לדמוקרטיה. "סנקציות דומות הוטלו על יצוא מארה"ב לחברת וואווי (Huawei) במאי 2019. עם זאת, להבדיל מהמקרה של וואווי, נראה שהממשל לא מטיל סנקציות על יבוא מוצרים של NSO. יתר על כן, אין המדובר באיסור גורף כי אם בדרישה לרישיון יצוא – רישיון שיש לממשל שיקול דעת רחב אם לתת אותו ואם לא".
לצורך העניין, לפי מגבלות הרשימה השחורה, אם NSO או קנדירו רוצות לקנות מחשב חדש, אפילו לשדרג את מערכות ההפעלה שלהן, או אפילו לרכוש שירותי ענן מחברה אמריקאית החברה שמוכרת לה את המוצר – ורבות מחברות אלו הן אמריקאיות – הן צריכות לקבל קודם לכן רישיון ייצור מיוחד ממחלקת הסחר. יש צורך ברישיון זה גם במקרה שהחברות קונות את המוצרים מספק מקומי של החברה האמריקאית.
לפי דיווחי עבר, NSO עושה שימוש בשירותים ומוצרים של חברות אמריקאיות כמו אמזון, דל, סיסקו, אינטל ומיקרוסופט. אם החברות האלו ירצו להמשיך למכור ל-NSO, הן יידרשו לבקש רישיון מיוחד לשם כך. עד כמה הפגיעה בחברה תהיה חמורה? זה תלוי בשני גורמים.
ראשית, הנכונות של החברות לבקש את הרישיון. יכול להיות שהן יחליטו שהסערה סביב NSO גדולה מדי, וההשלכות האפשריות של זיהוי כספקיות של החברה חמורות מדי מכדי להמשיך לעשות אתה עסקים. שנית, מהותי יותר, יש את השאלה כמה חסמים יציב ממשל ביידן בדרך לקבלת הרישיון המבוקש. האם יהיה זה הליך פרוצדורלי בלבד, או שהממשל יעביר את החברות דרך חתחתים שתהפוך את עצם בקשת הרישיון לנטל משמעותי, אולי אפילו ידחה את הבקשות כולן או חלקן? האופן שבו יבחר ממשל ביידן לפרש את הכנסת החברות לרשימה השחורה תקבע במידה רבה את ההשפעה המיידית שתהיה למהלך.
"חתיכת מכה לשם הטוב"
אולם, מדאיגה לא פחות מההשפעה המיידית, הן ההשפעות ארוכות הטווח שתהיה להחלטה. "הבעיה היא שכניסה לרשימה לא פוגעת רק בכך שעכשיו החברות לא יכולות לקנות מוצרים מארה"ב, זה פוגע במוניטין", אמרה לכלכליסט ד"ר הדר ז'בוטינסקי, יועצת משפטית לענייני רוגולציה וחקיקה לחברות בשוק ההון, ומייסדת מכון הדר ז'בוטינסקי לחקר בין-תחומי של שווקי הון, משברים וטכנולוגיות. "להיות ברשימה שחורה של מוסד ממשלתי מרכזי בארה"ב, משהו שמפורסם בכל העולם, זו חתיכת מכה לשם הטוב".
לדברי ז'בוטינסקי, לפגיעה במוניטין יש גם השלכות מעשיות: "יהיה לחברות מאוד קשה לקבל מימון ממוסודת פיננסים בארה"ב. במדינות אחרות, יכול להיות שלקוחות או ספקים יחפשו את החברה בגוגל, יראו את הדיווחים על כניסה לרשימה ויגידו, 'אני לא מבין את זה, אולי הם קשורים להלבנות הון, אני לא מתעסק בדבר הזה'. אם חברה תרצה להכניס משקיעים או שותפים אסטרטגיים זה עשוי להרתיע. בטח אם מדובר באנשים שלא ממש מעורים בפרטים של הסוגיה, כי הם לא בהכרח יטרחו לבדוק. זה נכון במיוחד אם הן רוצות לפעול בארה"ב באירופה. אי אפשר לדעת איפה בסיבוב זה יחזור אלייך. בסופו של דבר הדברים האלו פוגעים בשורת הרווח".
לפי הערכות NSO נערכת להנפקה. זה יכול לפגוע בתוכניות?
"בוודאי. זה יכול להוריד את הערך של המניה. כשמנפיקים, מנסים למכור לגופים מוסדיים. אם הם מנפיקים בארה"ב, יש סיכוי שגופים מוסדיים גדולים לא ירצו להשתתף בהנפקה הזו. יכול להיות שיהיה קצת יותר קשה כי הם לא באים נקיים, והמוסדיים שם לא ירצו אולי לקנות".
הפגיעה במוניטין לא תעצור רק ב-NSO וקנדירו. חברות סייבר התקפי אחרות בישראל יתנהלו גם הן תחת עננה קבועה של חשד. במיוחד בהתחשב בכך שחלקן, כמו סייברביט, כיכבו בתחקירים של סיטיזן לאב, אבל החברות האלו היו כבר מסומנות כמו קודם.
רגולציה שמחייבת לשמור על חשאיות
ההשלכות משמעותיות יותר יכולות להיות על ישראל בכלל ותעשיית ההייטק המקומית בפרט. ישראל, במובנים רבים, היא שותפה שקטה של NSO, קנדירו ואחרות. כל פעילות היצוא שלהן כפופה לפיקוח רגולטורי של משרד הביטחון. פיקוח שמתנהל בצורה לא שקופה, על בסיס סטנדרטים לא ידועים, ושהמטרה שלו היא לשרת מטרות מדיניות, מודיעיניות, עסקיות ואחרות של מדינת ישראל, לא בהכרח לשמור על זכויות אדם או למנוע שימוש לרעה ע"י משטרים לא-דמוקרטיים.
מדינת ישראל העניקה ל-NSO סיוע בדמות רגולציה שמחייבת אותה לשמור בחשאיות הבטים שונים בפעילותה, כמו רשימת הלקוחות שלה, וכך למעשה העניקה לחברה פטור ממשלתי מהצורך להתמודד עם שאלות קשות סביב המדינות שלהן היא מוכרת את פגסוס. היא עמדה לצדה בעתירות ותביעות, כמו זו שדרשה להתלות את רישיון הייצוא שלה, ועשתה שימוש במסמכים חסויים על מנת לקדם את דחייתן.
NSO וקנדירו הן לא סתם חברות ישראליות. הן חברות ששגשגו בזכות תמיכה משמעותית של ממשלת ישראל, ושפעלו בחיבוק חם או בהסכמה שבשתיקה של תעשיית ההייטק המקומי. הן חלק אינטגרלי מאקוסיסטם שקיבל אותן, את המייסדים ואת העובדים שלהן לתוכו. חברות שונות קיבלו השקעות ממייסדי NSO, עובדיהן לשעבר לא הפכו למוקצים בתעשייה. יש כאן מערכת שלמה שקיבלה, תמכה וסייעה ישירות או בעקיפין לחברות האלו. במובן מסוים, לרשימה השחורה נכנסו לא רק NSO וקנדירו, אלא כל ההייטק הישראלי. והכתם הזה לא ימחה בקלות.
