NSO | פרשנות

אפל יודעת על פגסוס כבר שנים. למה היא נזכרה עכשיו לתבוע את NSO?

אפל גילתה כבר ב-2016 שהטכנולוגיה של NSO משתמשת לפריצה של מכשירי אייפון, אך רק לאחר שלשכת הסחר האמריקאית סימנה את חברת הסייבר ההתקפי הישראלי, אפל בחרה לתבוע אותה - והיא כנראה לא האחרונה • גם סוכנות הדירוג מודי'ס מציינת כי גל תביעות מגדיל את הסיכון של NSO להגיע לחדלות פירעון

משרדי NSO / צילום: Associated Press, Sebastian Scheiner
משרדי NSO / צילום: Associated Press, Sebastian Scheiner

העובדה שהטכנולוגיה של חברת הסייבר ההתקפי הישראלית NSO משמשת כדי לפרוץ את מכשיריה אינה חדשות טריות עבור אפל. כבר ב-2016 קיבלה ענקית הטכנולוגיה האמריקאית דיווח ממכון סיטיזן לאב הקנדי כי NSO ניסתה לנצל פגיעות כדי להשתיל את הרוגלה פגסוס למכשיר האייפון של פעיל זכויות אדם באיחוד האמירויות. תחקיר שפורסם באותה שנה בניו יורק טיימס חשף אפילו את התעריף לשירות כזה: 650 אלף דולר עבור ריגול אחרי עשרה משתמשי אייפון, לא כולל חצי מיליון דולר עלות הקמה ראשונית.

בעבר אפל העדיפה לאמץ גישה פסיבית לעניין ולהסתפק בשחרור תיקון אבטחה שפותר את הפגיעות. גם בחודש ספטמבר שחררה אפל תיקון אבטחה בעקבות דיווחים על פריצה למכשירי האייפון של עיתונאים ופעילים בצרפת, הודו ורואנדה באמצעות פגיעות בשם FORCEDENTRY . אלא שהפעם אפל לא הסתפקה רק בכך והשבוע הגישה לראשונה תביעה נגד NSO והחברה-האם שלה Q cyber לבית המשפט בקליפורניה.

גם אם NSO תיפול, ענף הסייבר ההתקפי כאן כדי להישאר

נראה שגל התביעות והסקנדלים שאופף את NSO בעת האחרונה מתגלגל לכדי כדור שלג שיש ביכולתו לשנות את חברת הסייבר ההתקפי.

בימים אלה עושה NSO כל שבידה כדי לצאת מהרשימה השחורה של משרד המסחר של ארה"ב שקובעת כי היא "עומדת בניגוד למדיניות החוץ והאינטרסים הביטחוניים של ארה"ב". החברה עובדת עם ארגוני ביטחון רבים בארה"ב. הכנסתה לרשימה השחורה מסכלת פעילות זו ומחייבת אותה לעבור תהליך רגולטורי ארוך וקשה על מנת להמשיך ולעבוד עמן.

אם מנכ"ל החברה, שלו חוליו, לא יצליח לשכנע את גורמי הממשל לחזור בהם, אזי - מעריכים בכירים בענף הסייבר - החברה עשויה להחליט ולמכור את פגסוס, תוכנת הפריצה שלה, לחברת אחרת שפעילה במגזר הממשלתי. המשמעות היא ש-NSO תהפוך לחברת סייבר המסייעת לממשלות להגן על תשתיות קריטיות מפני מדינות אויב. במקרה שכזה, החברה כנראה תשנה את שמה ותהפוך למעין גרסה ישראלית של פלנטיר, חברת שירותי הביטחון האמריקאית המסייעת לממשלות ולגופים ביטחוניים.

גם אם NSO תשנה את עורה, הרעיון שעומד מאחוריה לא ימות בקרוב. עשרות חברות אחרות בארץ ובעולם מציעות מוצרים דומים ומאפשרים לגורמי ביטחון לחדור לפרטיות הדיגיטלית של אזרחים, בשם הביטחון או בשם שיקולים אחרים. עליהן, איש בממשל האמריקאי או באפל לא מדבר. אם NSO תצא מעולם הסייבר ההתקפי, תיסגר או תימכר, מישהו אחר יקח את ההובלה.

NSO, אם תרצו, היא ה"קוקה קולה" של ענף הסייבר ההתקפי. הבולטות התקשורתית שלה, הטכנולוגיה הייחודית שנחשבת לחסינה ביותר מפני שדרוג מערכות ההפעלה של יצרניות הסלולר, והרכיב הפולשני המתקדם שלה, הפכו אותה למותג המוביל בתחום, אבל בוודאי לא היחיד.

קוואדרים הישראלית-קפריסאית לדוגמה, שמבקשת לחקות את המוצר של NSO ומצויה בקשר עם מספר מדינות ערביות. ובל נשכח את ה-N של NSO: ניב כרמי, ממייסדי החברה הישראלית שעזב זמן קצר לאחר הקמתה. הוא כיום מנכ"ל פולוסטק (Polustech) שמספקת לממשלות כלי איסוף מבוססי רשת סלולרית לאיסוף מודיעין מטלפונים.

ישראל לא לבד: חברות סייבר התקפי הוקמו ברחבי העולם. היכן שישנן יחידות מודיעין שמתמחות בטכנולוגיית סייבר התקפי, יקומו גם חברות פרטיות שמוכרות אותן.

בתביעה דורשת אפל פיצוי כספי, שאותו היא מתכוונת לתרום לגופי מחקר הפועלים נגד חברות ריגול, אך גם צו מניעה קבוע שיאסור על NSO משימוש בתוכנה, שירותים ומכשירים של אפל. לפי התביעה של אפל, NSO יצרה חשבונות מזויפים של אפל כדי לאפשר ללקוחותיה לבדוק האם היעדים הפוטנציאליים משתמשים במכשירי אפל כשלב מקדים לפריצה אליהם.

את השינוי בגישה אפשר במידה מסוימת לייחס לשינוי בתפיסה ובמיתוג של אפל עצמה. הענקית האמריקאית רואה עצמה כיום עוד יותר מבעבר כמגנת הפרטיות של לקוחותיה, עניין שהיא חוזרת ומדגישה בתביעה. אלא שמעבר לנושא זה, שתי התפתחויות משמעותיות במיוחד בנוגע ל-NSO מהחודש האחרון הובילו את אפל ככל הנראה להגיש את התביעה.

ההתפתחות הראשונה היא הכנסתה של NSO לרשימה השחורה של לשכת המסחר האמריקאית בתחילת החודש, שמספקת נימוק משמעותי לתביעה של אפל. "בעוד הנתבעים (NSO) טוענים שהטכנולוגיה שלהם עזרה למנוע פשעים, ההכנסה של NSO לרשימה מבהירה שהשימושים הראויים לשבח של הטכנולוגיה אינם היחידים ש-NSO מאפשרת", כותבת אפל בתביעה.

הכניסה לרשימה המפוקפקת, בה מככבת גם יצרנית התקשורת הסינית וואווי, נתפסה אולי כצעד סמלי בתחילה. בעקבות הכניסה לרשימה כל מכירה טכנולוגיה ל-NSO דורשת אישור מהרשויות האמריקאיות, אך לא בטוח עד כמה החברה הישראלית באמת נשענת על ציוד מארה"ב. עם זאת, להכנסה לרשימה הזאת מסתבר יש השלכות רוחב גם במישור המשפטי.

ההתפתחות השנייה, אותה גם כן מציינת אפל במסמכי התביעה, היא דחיית הערעור של NSO בנוגע לתביעה שהגישה נגדה פייסבוק. כמה ימים לאחר שהוכנסה לרשימה השחורה, דחה בית משפט לערעורים בסן פרנסיסקו בהחלטה פה אחד של שלושה שופטים את הטענה של NSO כי היא משמשת בעצם שלוחה של לקוחותיה, ממשלות זרות, ולכן נהנית מהחסינות השמורה למדינות ריבוניות ולא ניתן לתבוע אותה. דחיית טענה זו מפוררת את קו ההגנה הראשון של NSO נגד תביעות נגדה בארה"ב.

את התביעה של אפל אפשר להאשים כמובן בצביעות. אפל מאשימה את NSO בכך שהיא "חברת טכנולוגיית מעקב בתמיכת מדינה" (state-sponsored surveillance technology), אך מסיבות כלכליות ברורות אינה מפנה אצבע מאשימה נגד אותן מדינות שהן הלקוחות שבעצם תומכים ומשתמשים בטכנולוגיה של NSO. היא גם לא מפנה אצבע מאשימה נגד ממשלת ישראל שמאשרת את יצוא מוצרי NSO. צביעות או צביעות, שתי ההתפתחויות שהובילו לתביעה של אפל עשויות בהחלט לקדם שרשרת תביעות נוספת נגד NSO, שידרדרו את החברה במורד המדרון.

האפשרות של שורת תביעות נוספות הייתה גם אחת הסיבות שהובילו את סוכנות הדירוג מודי'ס  להוריד את הדירוג של NSO השבוע מרמת B3, המסמנת חוב בסיכון גבוה, לרמה של Caa2, המסמנת כבר סיכון אשראי גבוה מאוד. זוהי הפעם השנייה שמוד'יס מורידה את דירוג החוב של NSO בתוך כמה חודשים, לאחר שעד חודש מאי היא קיבלה דירוג B2.

להורדת הדירוג של מוד'יס יש סיבות פיננסיות טהורות: NSO צריכה להחזיר הלוואות בגובה 500 מיליון דולר ב-2024 ו-2025, אך נכון ליולי הכסף הזמין בקופתה היה 29 מיליון דולר בלבד. אף שלחברה היו הכנסות של 243 מיליון דולר אשתקד, תזרים המזומנים החופשי שלה היה שלילי וצפוי להישאר שלילי גם ב-2021. אך מודי'ס מסמנת גם את הסכנה מתביעות נגד NSO ואובדן לקוחות כתוצאה מכניסה לרשימה השחורה בתור סכנות נוספות לכך שהחברה שמעסיקה 750 עובדים תגיע לחדלות פירעון ולא תוכל לעמוד בכיסוי חובותיה.

צרו איתנו קשר *5988