תוכנה פגסוס: תוכנת ריגול שפותחה על ידי NSO הישראלית

אס. או. טכנולוגיות">קבוצת אן. אס. או. טכנולוגיות (NSO Group). ניתן להתקין אותה באופן סמוי על מכשירי טלפונים ניידים (ומכשירים אחרים) אשר מריצים את רוב הגרסאות של iOS ואנדרואיד.

פגסוס

מערכת הפעלה	iOS, אנדרואיד
סוג רישיון	רישיון קנייני
קטגוריה	תוכנת ריגול

פרטים שהודלפו מתוכנת פגסוס, שפורסמו ב-2021, מצביעים על כך שהיא מסוגלת לנצל פרצות אבטחה בכל הגרסאות של ה-iOS עד גרסת iOS 14. על פי כלי תקשורת בולטים, שהמרכזי שבהם הוא העיתון האמריקאי ה"וושינגטון פוסט", פגסוס לא רק מאפשרת מעקב אחרי כל התקשורת מהטלפון (הודעות דוא"ל, חיפושים באינטרנט ועוד) אלא גם יכולה לעקוב אחרי שיחות טלפון, להשתלט על המצלמה והמיקרופון על מנת לצותת או לצלם תמונות, לעקוב אחרי מיקום המכשיר (בעזרת GPS), וכן לשלוח מסרים מהמכשיר.

חברת NSO שפיתחה את פגסוס מצהירה כי בעזרת התוכנה היא מספקת ל"ממשלות טכנולוגיה המסייעת להן להילחם בטרור ובפשיעה" ואף פרסמה חלקים של חוזים המחייבים את לקוחות החברה להשתמש במוצריה לחקירות פליליות ולחקירות ביטחוניות בלבד. אך בפועל, מדינות וגופים רבים מנצלים את התוכנה על מנת לעקוב אחרי עיתונאים, מנהיגי מדינות ופעילים למען זכויות אדם, וכן אחרי יעדי מודיעין משטרתי, חלקם לא חשודים בפשע.

תוכנת הריגול נקראה על שם הסוס המכונף פגסוס במיתולוגיה היוונית, דבר הרומז לעובדה שהתוכנה מתפקדת כסוס טרויאני.

ניצול פרצת אבטחה של iOS זוהה באוגוסט 2016, כאשר פעיל זכויות האדם האמירתי אחמד מנסור קיבל הודעת טקסט בה נכתב כי אם יכנס לקישור שבהודעה, הוא יוכל לקרוא על סודות מדינה בנוגע לעינויים בבתי הכלא באיחוד האמירויות הערביות. מנסור החליט לשלוח את ההודעה למעבדת מחשבים שחקרה את ההודעה וגילתה כי אם מנסור היה פותח את הקישור, תוכנת הריגול "פגסוס" הייתה מושתלת במכשירו. התוכנה ניצלה את מעמדו כפעיל זכויות אדם והשתמשה בטכניקת ההנדסה החברתית על מנת לפתות אותו לפתוח את הקישור (על פי אמנסטי אינטרנשיונל, התוכנה שימשה להפללה ומעצר של מנסור במרץ 2017). במשפט הואשם מנסור בשימוש ברשתות חברתיות לאיום על הסדר הציבורי ופרסום מידע כוזב, ונגזרו עליו 10 שנות מאסר וקנס בן מיליון דירהם.. בנוסף לכך, הניו יורק טיימס וטיימס אוף ישראל פרסמו כי איחוד האמירויות הערביות משתמשת ככל הנראה בפגסוס כבר מ-2013.

במספר תביעות שלא נענו מ-2018, נטען כי NSO סייעה ללקוחות בהפעלת התוכנה ובכך השתתפה בהפרות רבות של זכויות אדם שיזמו לקוחותיה. חודשיים לאחר הרצח של עיתונאי הוושינגטון פוסט, ג'מאל ח'אשוקג'י שהיה ידוע כפעיל זכויות אדם סעודי, הגיש מתנגד המשטר הסעודי, עומר עבד אל-עזיז שגר בקנדה, תביעה בישראל נגד קבוצת NSO והאשים אותה במסירת התוכנה למשטר הסעודי, שהשתמשה בה על מנת לרגל אחריו ואחרי בת זוגו. באפריל 2019 NSO הקפיאה את עסקאותיה עם ערב הסעודית, לאחר שדווח כי התוכנה שימשה את הסעודים במהלך רצח ח'אשוקג'י. בתחקיר מ-2021 נודע כי הסעודים ניסו לעקוב אחרי אשתו של ח'אשוקג'י, חנאן אל-עַתְר, חצי שנה לפני רציחתו, וכי גם הטלפון של ארוסתו, הטיג'ה ג'נגיז, נפרץ ימים ספורים לפני מותו.

ניתן להתקין את תוכנת הריגול במכשירים המריצים גרסאות מסוימות של iOS, מערכת ההפעלה הסלולרית של אפל, וכן בחלק ממכשירי האנדרואיד. פגסוס משתמשת בפרצות רבות במערכת ההפעלה כדי להשתלט על המערכת, החל מקישורים, גלריית התמונות במכשיר ואף אפליקציית ה-IMessage. בנוסף, התוכנה יכולה גם לפעול ללא כל אינטראקציה עם בעל המכשיר, ומסוגלת לעקוב אחר יומני השיחות, ההודעות, התמונות, היסטוריית הגלישה באינטרנט ואנשי הקשר של בעל המכשיר ואף לאסוף מידע מאפליקציות תקשורת כמו טלגרם, וואטסאפ, פייסבוק, ג'ימייל וסקייפ.

בפסגת אנליסטים שקיימה מעבדות קספרסקי חשפו חוקרי החברה כי פגסוס זמינה גם במכשירי האנדרואיד וזאת בנוסף ל-iOS. גוגל מתייחסת לגרסת האנדרואיד של פגסוס באופן נפרד, וקוראת לגרסה זו "קריסאור" על שם אחיו של פגסוס. הפונקציות של התוכנה באנדרואיד דומה לזו של גרסת ה-iOS, אך אופן התקיפה שונה. בגרסת האנדרואיד התוכנה מנסה להשיג את הגישה למכשיר בעזרת רוט.

התוכנה מסתירה את עצמה ככל האפשר מבעל המכשיר ומשמידה את עצמה בניסיון לטשטש ראיות אם היא לא מצליחה לתקשר עם שרת הפיקוד והבקרה שלה במשך למעלה מ-60 יום.

אף על פי שפגסוס נקבעה במקור כתוכנה שמיועדת לשמש כנגד עבריינים וטרוריסטים, בתקשורת דווח לעיתים קרובות על שימוש של ממשלות אוטוריטריות כדי לרגל אחר מתנגדי משטר.

במאי 2019 טענה חברת וואטסאפ ש-NSO השתמשה בתוכנת פגסוס כדי לחדור למכשירי הטלפון של יותר מ-100 עיתונאים ופעילי זכויות אדם ברחבי העולם, תוך ניצול חולשת אבטחה בשירות שיחות הווידאו של וואטסאפ. הרוגלה חדרה למכשיר גם ללא מענה של בעל המכשיר. באוקטובר 2019 הודיעה חברת האם פייסבוק כי היא תובעת את NSO בבית משפט המחוזי בקליפורניה, בטענה שעברה על החוק האמריקאי נגד ניצול והונאות מיחשוב, הפרה את החוזה שלה עם וואטסאפ ופייסבוק (בכך שהפרה את כללי השימוש באפליקציות אותן אישרה) וביצעה הסגת גבול בכך שפרצה לשרתים ומערכות המחשוב של וואטסאפ ופייסבוק.

בינואר 2020 התפרסם כי האו"ם אסר על עובדיו הבכירים להשתמש בוואטסאפ משיקולי אבטחה, וזאת ארבעה ימים לאחר שהארגון פתח בבדיקה האם חשבון וואטסאפ של מספר המקושר למוחמד בן סלמאן הדביק את הטלפון של ג'ף בזוס.

שימוש בהודו

בסוף 2019 פייסבוק יזמה תביעה נגד NSO בטענה כי פגסוס יירטה את תקשורת הוואטסאפ של מספר פעילי זכויות אדם ועיתונאים הודיים, מה שהוביל להאשמות כי ממשלת הודו מעורבת במבצע היירוט.

מספרי טלפון של שרים הודים, בהם מנהיגי האופוזיציה ומפקחי בחירות נמצאו על פי החשד במאגר של יעדים לפריצה במהלך פרויקט פגסוס ב-2021. 11 מספרי טלפון הקשורים לעובדת בבית המשפט העליון ההודי ולמשפחתה הקרובה, שהאשימו את השופט הראשי לשעבר של הודו, ראנג'אן גוגוי, בהטרדה מינית, נמצאים אף הם במאגר שהצביע על אפשרות לפיה הטלפונים היו אמורים להיות יעד של פגסוס.

מקסיקו

על אף שהתוכנה אמורה לשמש נגד עבריינים, פגסוס שימשה אנשי קרטלי סמים במקסיקו על מנת להפחיד ולהטריל עיתונאים מקסיקניים.

ב-2017 פורסם כי ממשלת מקסיקו השתמשה בתוכנה כדי לרגל אחרי האופוזיציה, ובין השאר אחרי עורכי הדין שחקרו את רצח 43 הסטודנטים באיגואלה. מלבד זאת, פורסם לאורך השנים כי הממשלה במקסיקו משתמשת בתוכנה על מנת לרגל אחרי עיתונאים הפועלים במדינה.

פרויקט פגסוס

ביולי 2021 פורסם תחקיר עיתונאי לפיו תוכנת הריגול פגסוס שימשה כדי לעקוב אחרי ראשי מדינות, פעילים, עיתונאים ומתנגדי משטר. בכך קבוצת NSO סייעה להפרות זכויות אדם ב-11 מדינות, כולל משטרים אוטוריטרים כגון איחוד האמירויות הערביות, בחריין וערב הסעודית. מעבר לכך, חקירה של למעלה מ-50,000 מספרי טלפון העלתה כי עיתונאים מאל ג'זירה, CNN, פייננשל טיימס, אי.פי, הניו יורק טיימס, וול סטריט ג'ורנל, בלומברג חדשות, ולה-מונד היו גם הם תחת מעקב. מספרי הטלפון שנכללו ברשימה שייכים לגורמים ב-45 מדינות. כ־15,000 מהמספרים במאגר היו ממקסיקו, למרוקו ואיחוד האמירויות היו 10,000 מספרים במאגר וכ-1,000 מהמספרים שייכים לגורמים ברחבי אירופה.

בין השמות שנחשפו במאגר היו מנהיגי המדינות: נשיא צרפת, עמנואל מקרון, ראש ממשלת מצרים, מוסטפא מדבולי, נשיא המועצה האירופית, שארל מישל, מלך מרוקו, מוחמד השישי, ראש ממשלת מרוקו, סעד א-דין אל-עות'מאני, ראש ממשלת פקיסטן, עימראן ח'אן, נשיא דרום אפריקה, סיריל רמפוזה, נשיא עיראק, ברהם צאלח, נשיא לבנון, סעד אל-חרירי, נשיא הנציבות האירופית לשעבר, רומנו פרודי, ראש ממשלת אוגנדה לשעבר, רוהאקנה רוגונדה, ראש ממשלת תימן לשעבר, אחמד עובייד בן דע'ר. גם פוליטיקאים ופעילי זכויות אדם נוספים, בהם שרים ומתנגדים פוליטיים של המנהיגים עצמם נמצאו ברשימה, המרכזיים שבהם רהול גנדי שהוא יריבו העיקרי של ראש ממשלת הודו, נרנדרה מודי, לוג'יין אל-הד'לול שפועלת למען זכויות נשים בערב הסעודית. יו"ר הפרלמנט של קטלוניה לשעבר, רוג'ר טורנט (אנ') ואנה גבריאל (אנ'), ששימשה כחברת פרלמנט בקטלוניה מטעם מפלגת CUP. מלבד אלו, גם נסיכה אמירתית מדובאי, לטיפה בינת-מוחמד אל-מכתום השנייה וגרושתו של ראש ממשלת איחוד האמירויות הערביות, מוחמד בן ראשד אאל מכתום, האיא בת חוסיין (אנ'). גם המספר של עיתונאי מקסיקני בשם ססיליו פינדה בירטו, שנרצח ב-2017, נכלל ברשימה, שמספרו הוכנס למאגר מספר שבועות לפני מותו.

לפחות 10 ממשלות שהיו לקוחותיה של NSO הכניסו מספרי טלפון לרשימה שהודלפה: אזרבייג'ן, בחריין, קזחסטן, מקסיקו, מרוקו, רואנדה, ערב הסעודית, הונגריה, הודו ואיחוד האמירויות הערביות.

משטרת ישראל

  ערך מורחב – פרשת השימוש ברוגלה במשטרת ישראל

בינואר 2022 פורסם בעיתון "כלכליסט" תחקיר עיתונאי בסדרת כתבות, לפיו משטרת ישראל השתמשה בתוכנה כדי לפרוץ מרחוק לטלפונים של אזרחים ישראלים, שאינם עבריינים או חשודים, ללא צווי חיפוש או צווי האזנה. בעזרת התוכנה, בוצע מעקב אחרי פעילים במחאה נגד ממשלת ישראל השלושים וחמש, בכירים במחאת הנכים, פעילים במחאות האתיופים, מנכ"לים של משרדי ממשלה, עובדים בחברה ממשלתית, עיתונאים, אנשי עסקים בכירים ואף בנו של ראש הממשלה, אבנר נתניהו. השימוש בתוכנה לא נמצא תחת פיקוח בית משפט, אך לפי המשטרה, נמצא "תחת פיקוח ובקרה באופן רציף, על ידי היועץ המשפטי לממשלה וגורמים משפטיים חוץ ארגוניים נוספים".

ספרד

מנהלת מרכז המודיעין הלאומי של ספרד, פס אסטבן לופס, פוטרה במאי 2022 לאחר שהתגלה שהסוכנות ריגלה באמצעות תוכנת פגסוס אחרי בדלנים קטלונים ובאסקים.

בנוסף נחקר בספרד חשד שהמכשירים הניידים של יותר מ-200 אנשים, כולל ראש ממשלת ספרד פדרו סנצ'ס ושרת הביטחון מרגריטה רובלס היו מטרה לפריצה באמצעות תוכנת פגסוס. לטענת הממשלה האחראי לכך הוא "כוח זר".

בעקבות פרסום התחקיר העיתונאי, חברת אמזון כיבתה תשתית של NSO שהתארחה בזרוע הענן של החברה, Amazon Web Services.

גם בצרפת התעוררה סערה לאחר פרסום התחקיר, וגורמי הביטחון במדינה טוענים שהמזמינים והמבצעים של המעקב אחר הטלפון של הנשיא מקרון הם שירותי הביון של מרוקו. למרות זאת, הממשל פרסם הודעה מתונה על מנת שלא לגרום לפגיעה ביחסים בין המדינות. בנוסף לכך, התובע הכללי של צרפת פתח בחקירה, בה ייבדקו הטענות של אתר התחקירים מדיהפאר לפיהן מרוקו היא זו שעומדת מאחורי הריגול אחרי בכירים צרפתיים. מספר ימים לאחר הפרסום החליט מקרון להחליף את מכשיר ומספר הטלפון שלו.

בישיבת הפרלמנט ההודי התחוללה מהומה, ובין השאר, קראו חברי האופוזציה קריאות נגד ראש הממשלה מודי ודרשו משר הפנים אמית שאה להתפטר מתפקידו.

  מדיה וקבצים בנושא פגסוס בוויקישיתוף

•   ניר דבורי, ‏"אחד ביום": סייבר כחול לבן - הסערה של NSO, באתר ‏מאקו‏, 20 ביולי 2021
• איתמר אייכנר, לא רק תדמית: חשש מנזק מדיני בגלל פרשת פגסוס, אלו האפשרויות שנשקלות, באתר ynet, 21 ביולי 2021
• שירות גלובס, ‏האיחוד האירופי על שימוש בתוכנות ריגול נגד עיתונאים: "לא מקובל", באתר גלובס, 19 ביולי 2021
• נבו טרבלסי, ‏ההתקפה של NSO פגעה במוניטין האבטחה של אפל, באתר גלובס, 21 ביולי 2021
•   רן בר-זיק, איך נדע אם הטלפון שלנו נפרץ באמצעות פגסוס? (אל) תתנו לחדשות 12 להסביר, באתר הארץ, 9 בפברואר 2022
•   רן בר-זיק, מדריך | איך תתגוננו מפני פגסוס ומפני תוכנות זדוניות מתוחכמות אחרות, באתר הארץ, 19 בינואר 2022