מכה ל-NSO: תאלץ להעביר את קוד המקור של פגסוס למטא  

עקפה את ההצפנה של וואטסאפ
הפרשייה החלה ב-2019 כשמטא (אז עוד פייסבוק) תבעה את NSO בבית משפט בקליפורניה. במסגרת כתב התביעה טענה אז מטא ש-NSO "פיתחה נוזקה, שנועדה להגיע להודעות ולמסרים אחרים לאחר שאלו פוענחו על המכשיר". כידוע, וואטסאפ משתמשת בהצפנה מקצה לקצה (E2EE), כלומר, ההודעה מוצפנת על גבי המכשיר ונשלחת מוצפנת למכשיר השני, כך שאין אפשרות לתוקף ליירט הודעות בדרך. אולם לאחר שההודעה התקבלה במכשיר היעד, היא מפוענחת (decrypted) ואז היא חשופה לתוקפים, אם הם השיגו שליטה על המכשיר.

על פי כתב התביעה, שיטת התקיפה היתה מתוחכמת והתבצעה על ידי שיחה קולית פשוטה דרך וואטסאפ. למעשה, כלי התקיפה היה כל-כך מתוחכם שהקורבן לא היה צריך לענות לשיחה, כדי שעל מכשירו יותקן כלי הריגול. בנוסף, לעיתים, השיחה היתה כל-כך קצרה, שהקורבן אפילו לא הספיק לראות שהיתה אליו שיחה. עוד נטען בכתב התביעה כי עד שמטא סתמה את הפרצה, הותקפו כך כ-1,400 משתמשי וואטסאפ.

עתה, לאחר יותר מ-4 שנים של דיונים, ולאחר שנפסלה הבקשה של NSO לפסול את התביעה על הסף, פסקה שופטת בית המשפט המחוזי בצפון קליפורניה, פיליס המילטון, לטובת מטא. בפסק הדין שלה קובעת השופטת ש-NSO Group צריכה להעביר למטא את קוד המקור של פגסוס ושל תוכנות ריגול נוספות שלה, בהן נעשה שימוש לתקיפה של משתמשי וואטסאפ בין 29 באפריל 2018 ועד 10 במאי 2020. בנוסף, צריכה NSO להעביר תיעוד ומידע נוסף של הרוגלות שלה. השופטת כן קיבלה את טענות NSO שהמוצרים שלה נמצאים תחת פיקוח של משרד הבטחון הישראלי, והיא לא חייבה אותה להסגיר את רשימת הלקוחות שלה או ארכיטקטורת השרתים שלה.

ממטא נמסר בתגובה לגרדיאן: "פסק הדין הזה של בית המשפט הוא ציון דרך חשוב במאבק ארוך השנים שלנו להגן על משתמשי WhatsApp מפני מתקפות לא חוקיות. חברות ריגול ותוקפים זדוניים אחרים צריכים להבין שניתן לתפוס אותם והם לא יוכלו לעבור על החוק". פנינו ל-NSO בבקשה לתגובה ונעדכן כשתתקבל.

על הכוונת של הממשל האמריקאי
כזכור, ב-NSO טוענים שהמכירות של החברה מפוקחות היטב על ידי משרד הבטחון, והתוכנה נמכרת רק לגופי אכיפת חוק, ומשמשים ללכידת טרוריסטים ועבריינים בעבירות קשות כמו רצח ופדופיליה. על פי פרסומים שונים באמצעי התקשורת, בין לקוחות NSO נמנים לכאורה גופי ממשל שונים בפולין, ערב הסעודית, רוואנדה, הודו, הונגריה ואיחוד האמירויות.

במהלך השנה האחרונה נקט הממשל האמריקאי במספר צעדים כנגד חברות סייבר התקפי בהן NSO. בין היתר נכנסה החברה ל"רשימה השחורה" של הממשל (ביחד עם חברה ישראלית נוספת Candiru), שאוסרת על חברות אמריקאיות למכור לה טכנולוגיות אמריקאיות. בנוסף, הודיע הממשל על הטלת מגבלות כניסה לארה"ב לעובדי החברות.

הרוטב הסודי נחשף?
לכאורה המסירה של קוד המקור של תוכנת פגסוס, מוצר הליבה המפורסם והמכניס ביותר של NSO, עלולה לפגוע קשות בחברה ובתוכנה. ברגע שחברות חיצוניות יודעות כיצד בדיוק פועל הכלי, ובאילו חולשות ופרצות נעשה שימוש, הן יכולות לחסום אותו תוך זמן קצר יחסית. עם זאת, חשוב לזכור שתוכנות כיום הן מוצר דינמי, שנמכרות לרוב כשירות (SaaS) וכוללות עדכונים תכופים, כך שקוד המקור כיום יכול להיות שונה משמעותית מהקוד לאחר כשנה. בנוסף, חשוב לזכור שדרך הפעולה של גורמי סייבר התקפי (חוקיים יותר וחוקיים פחות) כוללת לרוב ניצול של חולשות 0Day, כלומר פרצות לא ידועות, וברגע שהן מתגלות ומטופלות – גורמי הסייבר עוברים לוקטור תקיפה אחר. כך שנצטרך להמתין לערעור, שבוודאי יגיע, ואז לפסק הדין המפורט, כדי להבין יותר לעומק האם מדובר כאן במכה קשה למוצר הדגל של NSO או עוד מכה קלה בכנף.