החוקר שחקר את הפריצה של NSO מדבר: "בכל מקום שאנחנו בודקים, מדינות מרגלות נגד אזרחים"

עבור ג'ון סקוט־ריילטון, חוקר בכיר במכון Citizen Lab של אוניברסיטת טורונטו, שחקר את הפריצה של NSO לשיחות ווטסאפ, הדרך להכרה בעבודתו היתה ארוכה. במשך שנים הוא ועמיתיו פרסמו בעקביות מחקרים על טכנולוגיית הריגול של NSO והאופן שבו נעשה בה שימוש כדי לרגל אחרי פעילי זכויות אדם, אנשי אופוזיציה ועיתונאים. הם עוררו מעט רעש, אבל בפועל, שום דבר לא השתנה, ו־NSO המשיכה לפעול כרגיל.

הכל השתנה בשבוע שעבר כשפייסבוק תבעה את NSO על פריצות שביצעה החברה באמצעות אפליקציית ווטסאפ. בראיון ל"כלכליסט" מספר סקוט־ריילטון: "עד עכשיו חברות רוגלה יכלו להשתמש בהרבה שיטות - כולל מערכת המשפט - כדי להקשות על ארגוני חברה אזרחיים לגרום להן לשאת באחריות. עכשיו המצב התהפך".

ג'ון סקוט־ריילטון

סקוט־ריילטון וסיטיזן לאב שיתפו פעולה עם פייסבוק בחקר הפריצה, וסייעו לחברה לזהות את קורבנות המתקפה. "אחרי החשיפה הראשונה, במאי, סיטיזן לאב התנדבה לעבוד עם ווטסאפ כדי להבין מה קרה. גילינו לפחות 100 מקרים ב־20 מדינות שבהם פעילי חברה אזרחית היו מטרה לריגול מסיבות שלא קשורות לאכיפת חוק".

איך זיהיתם את האנשים האלו?

"במסגרת הסכם חשאיות, ווטסאפ סיפקה לנו אינדיקציות שאפשרו לנו לזהות ולהבין מי המטרות. זה כלל עיתונאים, שדרנים מוכרים, אקדמאים, פעילי אופוזיציה, עורכי דין שמייצגים קורבנות של הפרת זכויות אדם, נשים בולטות שהיו קורבנות של אלימות מקוונת. מצאנו מנהיגים דתיים מאמונות שונות, מקרים של אנשים שהיו מטרה לניסיונות התנקשות ומשפחות של קורבנות התנקשות".

אתם חוקרים את NSO בקביעות, ומכירים את הטיעונים שלהם על כך שהתוכנה לא מיועדת למעקב אחרי עיתונאים ופעילי זכויות אדם, ושהם פועלים תחת קוד אתי נוקשה. מה המקרה הזה מלמד על הטענות שלהם?

"תעשיית הרוגלות אוהבת לפעול במרחב אפור של בריחה מאחריות. היא רוצה את הכוח ואת המוניטין שמגיע מאספקת כלים לממשלות, ובו בזמן רוצה להתנער מאחריות לשימוש לרעה במוצרים שלה. ווטסאפ מנקבת את הבועה: היא מבהירה ש־NSO היתה יותר קרובה למה שהתרחש, ושהיא יכולה וצריכה לשאת באחריות לפריצה. זה מקרה תקדימי. במשך שנים חברות סייבר, NSO היא רק אחת מהן, עשו דברים מבלי להתמודד עם השלכות מהמגזר הפרטי".

האם התביעה מתייחסת לפעילות שלכם בהיבט הרחב יותר?

"אנחנו חוקרים איומים דיגיטליים יותר מ־15 שנה. רוב העבודה שלנו מתמקדת בפעילות של ממשלת סין נגד הפזורה הטיבטית ואחרות, אבל בשנים האחרונות התחוור לנו שיש מדינות שמבצעות מעקב בשיטת פנקס צ'קים: הן לא יכולות לפתח את היכולת בעצמן, אז הן קונות אותה. זה הוביל לעבודה נרחבת כדי להבין מה ההיקף וקנה המידה של הבעיה. גילינו שבכל מקום שבו אנו בודקים, יש מעקב נגד פעילים אזרחיים.

"קבוצות כמו NSO אומרות: 'ארגוני חברה אזרחית טוענים שיש שימוש לרעה, אבל הטכנולוגיה משמשת גם לחקירות לגיטימיות של אכיפת חוק נגד קבוצות לא מוסריות'. אבל יש צד שלישי, והוא שמדינות משתמשות בטכנולוגיה כדי לרגל אחרי מדינות אחרות. הסוגיה אינה האם אנחנו מקבלים מספר מסוים של מקרי שימוש לרעה בתמורה לחקירות פליליות לגיטימיות. השאלה היא עד כמה היכולת של מספר הולך וגדל של מדינות להשתמש בכלי ריגול מתוחכמים נגד מי שהן רוצות, פוגעת באבטחת הסייבר העולמית".

כשיצאו הדו"חות הראשונים כמעט אף אחד לא התייחס אליהם. לאורך השנים העבודה זכתה ליותר הכרה ותשומת לב, ונראה שהגענו לשיא משמעותי. אתה מרגיש שזה היה שווה את זה?

"אנשים היו קורבנות הטכנולוגיה הזו במשך שנים, והתייחסו לעדותם בזלזול. כעת ברור שלא מדובר בהמצאה. NSO נרכשה השנה, והרכישה כללה קמפיין תקשורתי שלפיו החברה פתחה דף חדש, ואם היו מקרים של שימוש לרעה, הם חלפו. המקרה הזה מבהיר שהשימוש לרעה לא הפסיק, והוא מתרחש כל יום".

התביעה תשנה משהו? עד כה השינויים ב־NSO היו שטחיים וסמליים.

"עצם קיום התביעה הוא ניצחון לזכויות אדם ולהגנה על פרטיות. ברור שהתעשייה והשחקנים בתעשייה לא רוצים להיות שוטרים של עצמם ולא מסוגלים לכך. אם הדבר הטוב ביותר ש־NSO יכולה לעשות זה להפיק מסמך שעוסק במחויבות שלה לזכויות אדם, שהרבה אנשים כולל מפקח מיוחד מטעם האו"ם אמרו שהוא לא מספק, ברור מאוד שהם מחפשים עונשים שונים".

אתה חושב שיש בעייתיות מסוימת בכך שפייסבוק, שמובילה עכשיו את ההסתערות נגד NSO, היא בעצמה חברת ריגול ענקית?

"זו שאלה מעניינת. כל מי שמשתמש בטכנולוגיה צריך לשאול האם החברה שומרת על הגב שלו. ווטסאפ שילבה הצפנה. במקרה הזה היא אומרת, לא רק שאנחנו עובדים מאחורי הקלעים כדי להגן על משתמשים, אלא שנפעיל את הפרקליטים שלנו ונלך עם זה לבית המשפט".

NSO טענה שהיא מפתחת את טכנולוגיית הריגול כדי לסייע לרשויות חוק לתפוס פדופילים, סוחרי סמים וטרוריסטים שמנצלים את ההצפנה של פלטפורמות שונות על מנת לחמוק מרשויות אכיפת חוק. זו טענה לגיטימית.

"לחברות כמו פייסבוק יש מנגנונים שמאפשרים לממשלות להגיש להן בקשות לגיטימיות. כאן המנגנונים האלו נעקפו. ברור שממשלות עושות הרבה שימושים בטכנולוגיה הזו, לא רק למטרות שמציינת NSO. בסופו של דבר, אפילו אם רשויות החוק משתמשות בטכנולוגיה כדי לסייע לתפוס פושעים, מה שמעניין את בית המשפט הוא האם הן עברו על החוק. ווטסאפ טוענת ש־NSO הפרה חוקים באופן שבו היא התנהלה.

"NSO טענה מההתחלה שיש אנשים לא מוסריים ושמדינות צריכות כלים להתמודד איתם. אבל הסוגיה היא לא האם מדינות צריכות להיות מועצמות מבחינה טכנולוגית לחקור, אלא איך זה נעשה ומה תוצאות הלוואי. שוב ושוב אנחנו נחשפים למספר הולך וגדל של מקרים, שמבהירים שאי אפשר להצדיק מכירת טכנולוגיה עם יכולות מובנות של ניצול לרעה, רק באמצעות טענה שחלק מהשימושים לגיטימיים. הצלחה ועזרה לא מלבינות ניצול לרעה".