דו"ח: כלי הריגול של NSO הדביקו משתמשים בישראל

כלי הריגול של NSO הישראלית הדביקו משתמשים ב-45 מדינות שונות, ובראשן גם ישראל - כך לפי דו"ח נרחב של מעבדת המחקר Citizen Lab מאוניברסיטת טורנטו, שפורסם היום (ג') בצהריים. מדובר בפרסום הנרחב ביותר עד היום על היקף הפריסה של הרוגלות של NSO, שחושף את היקף השימוש הגלובלי שלהן. ממצאי הדו"ח מתפרסמים ב"כלכליסט" במקביל לפרסומו בעולם. מ-NSO נמסר בתגובה: "הדו"ח מרובה ליקויים, אי דיוקים והאשמות חסרות בסיס".

לדברי ד"ר ביל מרזק, עמית מחקר בכיר בסיטיזן לאב וחוקר באוניברסיטת קליפורניה, ברקלי, שהוביל את חיבור הדו"ח, ממצאי המחקר מעלים חשד שהרוגלה של NSO, שמכונה פגסוס, שימשה לריגול אקטיבי אחרי משתמשים ישראלים. "זיהינו ארבעה מפעילים נפרדים שנראה שמרגלים רק אחרי מטרות בישראל", הוא אמר ל"כלכליסט". "הסבר אפשרי אחד הוא שהמשטרה משתמשת ברוגלה כדי לחקור פשעים או פעילות טרור, אבל יכול להיות גם שגורם אחר משתמש בזה למטרות אחרות".

מרזק ציין אמנם שקיימת אפשרות שמדובר בחלק מפעילות פנימית של NSO לבדיקת הפיתוחים שלה או למטרות הדגמה, אך הוסיף: "זיהינו ארבעה מערכות נפרדות. אני מניח שתהיה להם מערכת אחת או שתיים לבדיקה. אני לא רואה סיבה שיהיו ארבע מערכות נפרדות, ובמרבית המקרים המטרות עשו שימוש בספקיות אינטרנט שונות. הם בדקו הרבה מטרות שונות אצל הרבה ספקיות שונות לאורך תקופת זמן? אני לא בטוח. החשד שלי הוא שנעשה שימוש בתוכנה על ידי המשטרה או גורמים אחרים".

משרדי חברת NSO בהרצליה צילום: אוראל כהן

בין המדינות האחרות שבהן זוהתה פעילות של התוכנה נמנות דמוקרטיות מערביות כמו ארה"ב, בריטניה והולנד, אך גם מדינות שידועות ברדיפה של פעילי זכויות אדם וגורמי אופוזיציה, כמו סעודיה, טוגו, איחוד האמירויות ובחריין. אף שהמחקר חושף את מיקום המטרות בלבד ולא את מיקום הגורמים שהפעילו את הרוגלה, להערכת מרזק כאשר מזוהה מפעיל שמתמקד במטרות במדינה אחת אפשר להניח שמדובר בגורם שפועל מאותה מדינה - כלומר, ש-NSO סיפקה את תוכנת הריגול לגורם במדינה זו.

Citizen Lab היא הגוף המוביל בעולם בחשיפת האופן שבו ממשלות שונות עושות שימוש בכלי ריגול מקוונים שמפותחים ומשווקים על ידי חברות פרטיות. מרזק, היה זה שחשף לפני כשנתיים כיצד עובדים כלי הריגול של NSO. בדצמבר שעבר, מחקר שהוביל גילה איך כלי ריגול מתוצרת אלביט הישראלית שימשו כדי לרגל אחרי מתנגדי משטר באתיופיה. לפני כחודש וחצי חקירה משותפת של סיטיזין לאב בהובלת מרזק ואמנסטי אינטרנשיונל חשפה שימוש ברוגלה של NSO כדי לרגל אחרי חוקר של הארגון ושל פעיל זכויות אדם מסעודיה.

הגילויים שמפורסמים עתה מקורם בחקירה שהחלה ב-2016, בעקבות פנייה שקיבל מרזק מפעיל זכויות אדם באיחוד האמירויות. ממצאיה הראשונים של חקירה זו, שפורסמו לפני שנתיים, התמקדו באופן פעילותה של תוכנת פגסוס. במסגרת אותה חקירה אפיינו החוקרים חתימה התנהגותית של שרתי השליטה שמשמשים את לקוחות NSO ולזהות 237 שרתים כאלו.

מייסד ומנכ"ל חברת NSO, שלו חוליו

לפני שפורסמו הממצאים הראשוניים הורידה NSO את כל השרתים שזוהו. "ואולם, בשבועות שאחרי פרסום הדו"ח שלנו הבחנו שמספר קטן של שרתי פגסוס חזרו לפעול, אבל הם כבר לא תאמו לחתימה שלנו. פיתחנו חתימה חדשה, והתחלנו לבצע באמצעותה סריקות קבועות", נכתב בדו"ח שהתפרסם היום. בין אוגוסט 2016 לאוגוסט 2018 זיהו החוקרים 1,091 כתובות IP ו-1,014 דומיינים (כתובות אתרים) שתאמו לחתימה, וקיבצו אותם ל-36 מערכות מובדלות שכל אחת מהן מופעלת על ידי גורם אחר. ב-33 ממערכות אלו הצליחו החוקרים לזהות את המדינות שבהן התמקדה פעילות הריגול.

"בשלב הראשון סרקנו את השרתים ששימשו לשליטה במכשירים נגועים", הסביר מרזק. "לכל אחד משרתים אלו מקושר דומיין, שמשמש את המכשיר הנגוע כדי לגשת לשרת". ואולם, הזיהוי האמיתי של שרת הוא לא דומיין, אלא כתובת IP, רצף ייחודי של מספרים שיכול להיראות כך: 230.66.254.193.

ההבדל בין דומיין לכתובת IP הוא כמו ההבדל בין שם של איש קשר למספר הטלפון שלו. מה עושים כשלא יודעים את הטלפון של איש מסוים? גולשים או מתקשרים למודיעין. המקבילה לאיתור IP היא שרת DNS - מאגר מקוון שמחבר בין כתובות IP לדומיינים. ברשת קיים מספר גדול של שרתי DNS. חלקם גלובליים, כמו זה של גוגל, ואולם ברירת המחדל בעבור כמעט כל הגולשים היא שרת DNS מקומי שמופעל על ידי ספקית האינטרנט שלהם. זה היה המפתח לזיהוי המיקום של קרבנות פגסוס.

באמצעות שיטה שמכונה DNS Cashe Probing, שלא תוסבר כאן כיוון שתיאורה טכני ומורכב, יכלו החוקרים לנטר שרתי DNS של ספקיות אינטרנט בכל העולם (חלק ניכר משרתים אלו פתוח לניטור), והצליחו לראות לאיזה מהם הוגשו בקשות לגישה לשרתים של הגורמים השונים שמפעילים את פגסוס. "ההנחה היא שאם מכשיר נגוע ברוגלה הוא יבקש ליצור קשר עם שרת השליטה באופן קבוע, כי הוא שולח מידע או מקבל פקודות", הסביר מרזק. לפיכך, אם מזוהות בקשות רבות לשרת DNS של ספקית אינטרנט בטוגו, למשל, ההנחה היא שיש במדינה מכשירים נגועים בפגסוס.

באופן זה, זוהו מכשירים נגועים בתוכנת הריגול של NSO ב-45 מדינות שונות, החל מדמוקרטיות מערביות ועד מדינות שפחות מעריכות זכויות אדם: אוגנדה, אוזבקיסטן, אלג'יריה, איחוד האמירויות, ארה"ב, בחריין, בנגלדש, ברזיל, בריטניה, דרום אפריקה, הודו, הולנד, זמביה, חוף השנהב, טאג'יקיסטן, טוגו, טוניסיה, טורקיה, יוון, ירדן, ישראל, כוויית, לטביה, לבנון, לוב, מצרים, מרוקו, מקסיקו, סינגפור, עומאן, עיראק, סעודיה, פקיסטן, פולין, צרפת, קטאר, קירגיזסטן, קזחסטן, קניה, קנדה, רואנדה, שווייץ, תאילנד ותימן.

כמה מהממצאים היו מטרידים במיוחד. ב-2017, למשל, נחשף שפגסוס שימשה על מנת לרגל אחרי עשרות עורכי דין, עיתונאים, פעילי זכויות אדם, אנשי אופוזיציה ולוחמי שחיתות במקסיקו. החשיפה הובילה לחקירה פלילית במדינה, שטרם הסתיימה. ואולם, במסגרת הבדיקה הנוכחית התברר שנכון ליולי 2018 לפחות שלושה גורמים נפרדים הפעילו מערכי ריגול שמרוכזים במקסיקו.

כן זוהתה התרחבות משמעותית של פעילות הריגול באמצעות תוכנות NSO במדינות המפרץ, באמצעות שישה גורמים לפחות. שניים מהם התמקדו באיחוד האמירויות, אחד בבחריין ואחד בסעודיה. שלושה גורמים אחרים ניהלו פעילות ריגול גם מחוץ למזרח התיכון, כולל בקנדה, צרפת, יוון, בריטניה וארה"ב. "זה מעניין שהצלחנו לאתר פעילות של הרוגלה בכל כך הרבה מדינות, כולל כאלו שבהן יש פוטנציאל לניצול לרעה שלה", אמר מרזק. "אנחנו רואים את זה בסעודיה, בחריין, איחוד האמירויות. אלו מדינות שהפנו בעבר כלי ריגול נגד אקטיביסטים".

ד"ר ביל מרזק

פעילות של חמישה גורמים זוהתה באפריקה, כולל גורם אחד שהתמקד בטוגו, שנחשבת לבת ברית קרובה של ישראל. "במקרה של טוגו נעשה שימוש בדומיינים עם מוטיבים פוליטיים, כמו politicsinformation או newpresident. נשיא טוגו מכהן כבר 13 שנה ויש הרבה מחאות נגדו. יש הרבה לקוחות מדאיגים מבחינת היחס לזכויות אדם, וזה מדגים את חוסר הרגולציה בשוק הרוגלות העולמי", הוסיף מרזק.

"השימוש הרחב שזיהינו ברוגלות של NSO מדאיג, שכן למדינות רבות יש עבר מפוקפק בנוגע לזכויות אדם, או היסטוריה מתועדת היטב של שימוש לרעה במעקב כדי לפגוע במבקרים", כתבו החוקרים. "מדאיגה במיוחד הפעילות המתמשכת של שלושה מפעילים במקסיקו, לאור הדיווחים הקודמים שלנו על שימוש נרחב לרעה בכלי ריגול. גם מפעילים חדשים שזוהו כפועלים באזורים עם משטרים מדכאים כמו טוגו ובחריין מדאיגים, במיוחד בהתחשב בניחוח הפוליטי של הדומיינים בהם הם עושים שימוש".

מ-NSO נמסר בתגובה ל"כלכליסט": "חברת NSO מפתחת מוצרים שנמכרים אך ורק לגורמי ממשל מורשים ומוסמכים למטרה הבלעדית של חקירה ומניעה של פשע וטרור, והכל בהתאם ובכפוף לחוקי הייצוא הביטחוני. מוצרי החברה סייעו להציל את חייהם של אלפי בני אדם בשנים האחרונות, כולל מניעת פיגועי התאבדות, מעצר והרשעת ראשי קרטלי סמים, חקירת פשעים מורכבים, והשבת ילדים חטופים להוריהם.

"הדו"ח של Citizen Lab מרובה ליקויים, אי דיוקים והאשמות חסרות בסיס. בראש ובראשונה - רשימת המדינות בהן NSO לכאורה פועלת. הרשימה איננה נכונה; החברה איננה מוכרת ברבות מהמדינות המוזכרות. המוצר שלנו ניתן לשימוש רק במדינות שמאושרות לפי חוקי הייצוא הביטחוני ובהתאם למדיניות שלנו, וכל פעולה מחוץ למדינות המאושרות איננה אפשרית, לא חוזית ולא טכנולוגית. ועדת האתיקה של NSO, שהינה ועדה בלתי תלויה וכוללת מומחים חיצוניים ממגוון תחומים, כמו משפט ויחסים בינלאומיים, בוחנת ומאשרת כל חוזה ומוסמכת לדחות עסקות או לבטל חוזים במקרה של שימוש בלתי ראוי.

"המדיניות שלנו היא לחקור כל טענה על שימוש בלתי ראוי במערכת ולכן NSO פנתה ל-Citizen Lab מספר פעמים בבקשה להיפגש ולספק להם מידע נוסף לגבי המוצר שלנו. כל הבקשות לא זכו להתייחסות. אם אנשי Citizen Lab באמת מחוייבים למחקר עובדתי מקיף ומדוייק, היינו מצפים מהם לפעול בצורה מקצועית ואובייקטיבית, לשמוע את עמדתנו או להיפגש איתנו, אך גם הפעם הם התעלמו ובחרו לפרסם שוב דו"ח שגוי ומטעה".

בתשובה לתגובת NSO הבהיר מרזק ל"כלכליסט" שהדו"ח רק מאפיין מיקומים של מטרות. "העובדה שמטרה ממוקמת במדינה לא אומרת בהכרח שהממשלה באותה מדינה משתמשת ברוגלה, יכול להיות שהמשתמש הוא מטרה של ממשלה אחרת", אמר. כן ציין מרזק שאין לסיטיזן לאב שום תיעוד שלפיו NSO הציעה להיפגש אתם לפני מקרה זה.