פרצה אחת בוואטסאפ ייצרה ל־NSO עשרות מיליוני דולרים
מסמכים שהוגשו לבית המשפט בתביעה של מטא מספקים הצצה נדירה לתפוצה ולהכנסות שהפיקה NSO מפגסוס; מ־NSO נמסר בתגובה: "הרשימה הינה פרשנות למידע שהוצאה מהקשרה, לצד חצאי אמיתות וטענות חד צדדיות"
לקוחות NSO ניצלו את הפרצה שזיהתה החברה בוואטסאפ כדי לתקוף באמצעות פגסוס מאות מטרות ב־51 מדינות – כך עולה ממסמכים שנמסרו בתביעה שהגישה אפליקציית המסרים המיידיים של מטא נגד מפתחת תוכנות הריגול הישראלית. מסמכים נוספים חושפים איך פרצה אחת ייצרה ל־NSO הכנסות של עשרות מיליוני דולרים, למי ניסתה החברה למכור את פגסוס בארצות הברית ומה המסרים השיווקיים שלה.
בדצמבר שעבר, פסק בית משפט פדרלי בקליפורניה לטובת מטא בתביעת הענק שהגישה נגד NSO בבית משפט פדרלי מחוזי בקליפורניה ב־2019. התביעה הוגשה, לדברי מטא, בעקבות השימוש שעשתה החברה בפרצה בוואטסאפ כדי לפרוץ למכשירי משתמשים ולעקוב אחרי פעילותם, ובהם 100 עיתונאים ופעילי זכויות אדם. בהחלטתו, דחה בית המשפט טענות של NSO, ובהן הטענה שפיתחה את הפרצה לפני שהסכימה לתנאי השימוש של וואטסאפ, וגם פסק שהחברה כשלה לספק מידע נדרש בשלב גילוי הראיות. NSO תחויב לשלם למטא פיצויים בסכום שייקבע בהמשך. NSO מתעתדת לערער על ההחלטה.
בסוף השבוע, הותרו לפרסום מסמכים שונים שקשורים לתביעה, שלא היו זמינים קודם לכן או שהמידע שבהם הושחר משמעותית. מסמכים אלו חושפים מידע חדש על היקף ואופי הפעילות של NSO ועל הכנסותיה. אחד המסמכים מציג את מספר המטרות של פגסוס בכל מדינה, שהותקפו באמצעות הפרצה בוואטסאפ. המסמך מונה 1,223 קורבנות, שמרביתם (423) היו במקסיקו. במקום השני ניצבת הודו עם 100 קורבנות, ולאחריה בחריין (82), מרוקו (69) ופקיסטן (58).
הימצאות מדינה ברשימה לא מעידה שהיא לקוחה של NSO. כך לדוגמה, המסמך מונה 11 קורבנות בסוריה, מדינה שאין ספק ש־NSO לא מכרה לה את פגסוס. המטרות במדינה, ייתכן, היו של רשויות ביון בישראל או מדינה אחרת. עם זאת, בחלק מהמקרים, כמו מקסיקו, הודו, בחריין ומרוקו, התפרסמו בעבר דיווחים שלפיהם מדובר בלקוחות NSO.
את החמישייה השנייה ברשימה פותחת אינדונזיה (54 קורבנות במדינה), ואחריה ישראל (51), אוזבקיסטן (43), אלג'יר (38) וקפריסין (31). מדינות בולטות נוספות הן טורקיה (26), אוגנדה (18) וטוגו (16). במעגל המיידי של ישראל, לצד סוריה, הרשימה זיהתה 9 קורבנות בלבנון ו־1 במצרים. באיחוד האמירויות מונה הרשימה 6 קורבנות ובקטאר 2.
מאפיין בולט ברשימה הוא המספר הגבוה יחסית של מטרות במדינות שאינן דמוקרטיות מערביות. הדמוקרטיה המערבית שנמצאת במיקום הגבוה ברשימה היא ספרד, במקום ה־12 עם 21 קורבנות. ב־2022 דווח שפגסוס שימשה למעקב אחרי ראש ממשלתה ושרת ההגנה שלה. החקירה בפרשה נסגרה בגלל חוסר שיתוף פעולה של ישראל. דמוקרטיות מערביות אחרות ברשימה כוללות את הולנד (11 קרבנות), צרפת (7) ובלגיה (4).
ולסיום, הרשימה מונה קורבן אחד בארצות הברית. NSO הצהירה בעבר שהיא לא מתירה להפעיל את פגסוס בעבור משתמשים אמריקאיים, אלא על ידי רשויות בארצות הברית. הממצא מעיד שלכאורה לפחות במקרה אחד עשתה רשות חוק במדינה שימוש מקומי בפגסוס, קרוב לוודאי לפני שהחברה נכנסה לרשימה השחורה של הממשל ב־2021.
מידע נוסף על פעילות החברה בארצות הברית עולה מתצהירו של עובד לשעבר בחברה בקבוצת NSO. לדבריו, בין 2016 ל־2018, כאשר תפקידו היה לשווק ולמכור את מוצרי NSO בארצות הברית וקנדה, הוא לא הצליח לסגור ולו עסקה אחת בארצות הברית.
מאמצי השיווק כללו, לפי התצהיר, גם את משטרות לוס אנג'לס, סן דייגו, סן פרנסיסקו, מחוז סן ברנרדינו וגופי אכיפת חוק באיידהו, וגופים פדרליים כמו מחלקת ההגנה וגופי מודיעין, גופי אכיפת עבירות סמים ובתי סוהר.
מסמך אחר שנחשף מציג את ההכנסות שייצרה NSO מפעילות פגסוס דרך הפרצה בוואטסאפ. לפי המסמך, שנכתב על ידי רואת חשבון מטעם מטא אך מתבסס בין השאר על נתונים של NSO, בין הרבעון השני של 2018 לרבעון השני של 2020, הפרצה בווטסאפ ייצרה ל־NSO הכנסות של 61.71 מיליון דולר ורווח של 21.31 מיליון או 40.24 מיליון דולר (בתלות האם הוצאות מו"פ נכללות בחישוב שולי הרווח). ברבעונים 2־4 של 2018 עמדו ההכנסות מהפרצה על 19.44 מיליון דולר, ב־2019 על 31.06 מיליון דולר, ובמחצית 2020 על 11.21 מיליון דולר. המספרים לא מציגים את כלל הרווחים של NSO בתקופה, אך ממחישים את הרווחיות העצומה שגלומה בזיהוי פרצה שמאפשרת להחדיר את פגסוס.
מ־NSO נמסר: "הרשימה שנשלחה להתייחסותנו היא פרשנות למידע שהוצאה מהקשרה, לצד חצאי אמיתות וטענות חד צדדיות של מטא — טענות שכבר הופרכו ויופרכו גם בהמשך ההליך המשפטי. כך למשל, העובדה שמכשיר הטלפון של חשוד בפשע או פעילות טרור מזוהה בטריטוריה מסוימת אין בה כדי ללמד על זהות הלקוח”.
