לפני מספר חודשים התפרסם כי חור אבטחה בוואטסאפ, מאפשר לתוקף לבצע שיחת וידאו לנמען וגם אם הנמען לא השיב לשיחה – להזריק למכשירו קוד זדוני. כעת טוענים בוואטסאפ (כיום בבעלות פייסבוק יש להזכיר): NSO הישראלית היא מאחורי התקיפה, והוגשה נגדה תלונה לבית משפט פדרלי על עבירות מחשב.
במאמר שפרסם היום בוושינגטון פוסט, מאשים וויל קרטרייט, מנהל המוצר של וואטסאפ בפייסבוק את NSO הישראלית כי היא מאחורי יצירת הכלי הזדוני. לטענת קרטרייט, התוקפים השתמשו בשרתים ושירותים אשר זוהו בעבר עם NSO, לרבות חשבונות וואטסאפ מסויימים, שקושרו גם הם עם החברה. לטענת קרטרייט, על אף שהתקיפה הייתה מתוחכמת – כיסוי העקבות שלהם לא היה מוצלח.
ראוי לציין ששמה של NSO הישראלית נקשר בשורה של פרשיות מעקב, פרטיות והפרת זכויות אדם כאשר בראשן רצח העיתונאי הסעודי חקשוגי. זאת, על אף שהחברה הכחישה בעבר מעורבות בתקיפה הספציפית עליה מדבר קרטרייט, שהפרצה שאפשרה אותה נתגלתה ונסגרה על ידי וואטסאפ עוד במאי - ראו גם בהמשך.
עוד בנושא:
ברם, וואטסאפ כה בטוחה בטענותיה עד כי הגישה גם תביעה לבית משפט פדרלי כנגד NSO, על הפרת שורה של חוקים מדינתיים ופדרליים, ובראשם חוק המחשבים האמריקני, U.S. Computer Fraud and Abuse Act (חוק ההונאה והשימוש לרעה במחשבים).
עוד כותב קרטרייט במאמרו: "בוואטסאפ אנחנו מאמינים כי לאנשים יש זכות בסיסית לפרטיות ושלאף אחד לא צריכה להיות גישה לשיחות שלכם, אפילו לא אנחנו. טלפונים סלולריים הם כלי נהדר, אבל הם גם פונים נגדנו ויכולים לחשוף את מיקומנו, הודעות פרטיות ושיחות רגישות שלנו עם אחרים". עוד מוסיף קרטרייט כי הם פועלים כדי לשמר את אותה הפרטיות ומתקינים "מנעולים דיגיטליים", כפי שהוא מכנה זאת, ואילו חברות כדוגמת NSO מחפשות לעקוף את אותם המנעולים.
לבסוף, קורא קרטרייט במאמרו להטיל פיקוח על כלי פריצה ואבטחת מידע, ולהתייחס אליהם כמו אל כל נשק אחר שייצורו והפצתו נמצאים תחת פיקוח מדינתי.
כתב התביעה: תקפו 1,400 טלפונים
בכתב התביעה, שהוגש לבית המשפט הפדרלי במחוז הצפוני של קליפורניה, נאמר כי בין החודשים אפריל ומאי השנה, NSO השתמשו בשרתי וואטסאפ כדי לשלוח נוזקות ל-1,400 סמארטפונים והתקנים ("התקני מטרה", כפי שהם מכונים בתביעה), וכי הנוזקה נועדה כדי להדביק את המכשירים במטרה לבצע מעקב אחרי משתמשי וואטסאפ ספציפיים, וכמובן, הפרה של תנאי השימוש האוסרים ניצול של הפלטפורמה לצרכים לא חוקיים ולגישה לא מורשית.
מאחר ולא הצליחו לשבור את ההצפנה של וואטסאפ (כזכור, וואטסטפ משתמשת בהצפנת קצה אל קצה חזקה), ניצלו התוקפים, קרי NSO, כדי לגשת להודעות ומסרים אחרים במכשירי המטרה. במאי 2019 גילתה וואטסאפ את המתקפה ועצרה אותה.
וואטסאפ מבקשים מבית המשפט סעד לפי חוק המחשבים הפדרלי, ולפי חוק הגישה למידע מחשב והונאה של מדינת קליפורניה.
לטענת וואטסאפ, NSO עשו שימוש במוצר התקפי המכונה "פגסוס", המיועד לקבלת גישה מרחוק למכשירים ובהודעות "דיוג בחנית", של שליחת הודעות טקסט עם קישורים המכילים תוכנת מעקב זדונית. על פי פרסומים קודמים, NSO טענה בעבר כי ניתן להשתמש ב-"פגסוס" מבלי שהקורבן ינקוט בכל פעולה שהיא, כמו הקשה על קישור או פתיחת הודעה.
עוד מציינים וואטסאפ ופייסבוק בכתב התביעה, כי לשם ביצוע המתקפה השתמשה NSO במספרים הרשומים במדינות שונות, ביניהן קפריסין, ברזיל, אינדונזיה, שוודיה, הולנד וישראל. NSO, לטענת כתב התביעה, עשו שימוש בשרתי התקשורת של וואטסאפ, והחביאו קוד זדוני בתוך הקוד המשמש ליצירת שיחת וידאו של וואטסאפ על מנת שיושתל במכשיר המטרה של הקורבן – וזאת גם אם המשתמש לא ענה לשיחת הווידאו הנכנסת. וואטסאפ טוענים כי NSO ביצעו ביודעין שורה של עבירות על סעיפים שונים בחוק המחשבים הפדרלי וחוק המחשבים של קליפורניה, ולרבות ביצוע עבירות של חדירה למערכות מחשב.
לבסוף, מבקשים וואטסאפ ופייסבוק בתביעתם פיצוי על נזקים, לרבות קנסות וענישה ושכר טרחת עורכי דין בסכום אשר לא ננקב.
תגובות
באמנסטי ישראל אמרו כי: "טירוף המערכות של NSO נמשך, על (בית המשפט) המחוזי לחייב את משרד הביטחון לעצור את ההפקרות ולבטל את רישיון הייצוא הביטחוני שלה".
תגובת NSO:
"אנחנו חולקים על ההאשמות שפורסמו היום, בצורה שאינה משתמעת לשתי פנים, ונילחם בהן. המטרה היחידה של NSO היא לספק טכנולוגיה למודיעין מדינתי מורשה ורשויות אכיפת חוק במטרה לסייע להם להילחם בטרור ובפשע חמור. הטכנולוגיה שלנו לא מעוצבת או מורשית לשימוש נגד פעילי זכויות אדם ועיתונאים, ועזרה להציל אלפי בני אדם בשנים האחרונות.
האמת היא שמסדות (פלטפורמות) המוצפנות בחוזקה, משמשות לעיתים קרובות מעגלים של פדופילים, סוחרי סמים וטרוריסטים במטרה להגן על פעילותם העבריינית. ללא טכנולוגיות מתוחכמות, רשויות אכיפת החוק שמטרתן להגן על כולנו, עומדות בפני קשיים בלתי עבירים. הטכנולוגיות של NSO מספקות פיתרון פרופורציונלי וחוקי לסוגיה זו.
אנחנו מחשיבים כל שימוש במוצרינו שלא לצרכים כמו פיתרון פשעים חמורים ולוחמה בטרור שימוש לרעה, אותו אנו אוסרים חוזית. במידה ומתגלה שימוש כזה, אנחנו נוקטים בפעולה. הטכנולוגיה מקורה בהגנה על זכויות אדם – כולל הזכות לחיים, ביטחון ושלמות גופנית, ולכן הצבנו את עצמנו לפי העקרונות המנחים של האו"ם לעסקים וזכויות אדם, כך שהמוצרים שלנו יכבדו את כל זכויות האדם הבסיסיות".
[עדכון 23:55] - נתווספה תגובת NSO
סייע בכתיבת הידיעה: אסף גולן
לעוד חדשות טכנולוגיה - הצטרפו לערוץ הטלגרם שלנו
טעינו? נתקן! אם מצאתם טעות בכתבה, נשמח שתשתפו אותנו
