Amerykański sąd federalny wydał przełomowy wyrok, w którym izraelska firma NSO Group została zobowiązana do zapłaty 167,25 miliona dolarów na rzecz WhatsAppa i jego właściciela – firmy Meta. To pierwszy przypadek, gdy producent oprogramowania szpiegującego został pociągnięty do odpowiedzialności za zdalne włamania do smartfonów.
Decyzja sądu zapadła po sześcioletnim sporze prawnym toczonym w Kalifornii. Sprawa dotyczyła złośliwego oprogramowania Pegasus, opracowanego przez NSO Group i wykorzystywanego do przejmowania kontroli nad telefonami użytkowników aplikacji WhatsApp bez ich wiedzy – nawet bez konieczności odbierania połączeń.
Precedensowy wyrok
We wtorek ława przysięgłych w Oakland przyznała Meta odszkodowanie w wysokości 167 256 000 dolarów tytułem zadośćuczynienia karnego oraz 444 719 dolarów jako odszkodowanie wyrównawcze. Sędzia federalna Phyllis J. Hamilton już w grudniu 2023 roku orzekła, że NSO naruszyła amerykańską ustawę o oszustwach komputerowych (Computer Fraud and Abuse Act) oraz analogiczne przepisy obowiązujące w Kalifornii. Proces w 2024 roku dotyczył więc już wyłącznie wysokości należnych odszkodowań.
To najwyższa jak dotąd kara finansowa wymierzona firmie z sektora technologii inwigilacyjnych, będąca – zdaniem wielu ekspertów – sygnałem ostrzegawczym dla całej branży.
Pegasus i nielegalne inwigilacje
Pegasus to zaawansowane oprogramowanie szpiegujące sprzedawane rządom na całym świecie – oficjalnie do walki z przestępczością zorganizowaną i terroryzmem. Jednak jak pokazują śledztwa prowadzone przez m.in. Citizen Lab, Amnesty International czy międzynarodowe konsorcja dziennikarskie, technologia ta była wykorzystywana do szpiegowania polityków, dziennikarzy, aktywistów i działaczy opozycyjnych.
Lista ofiar miała obejmować m.in. prezydenta Francji Emmanuela Macrona, współpracowników zamordowanego dziennikarza Jamala Khashoggiego, urzędników brytyjskiego Foreign Office, a także ponad 180 dziennikarzy i aktywistów z całego świata. W 2021 roku międzynarodowe media ujawniły bazę 50 tysięcy numerów telefonów, które miały zostać zaatakowane przez Pegasus.
WhatsApp jako katalizator zmian
Sprawa sądowa została wniesiona w 2019 roku przez Meta po tym, jak Citizen Lab wykryło, że Pegasus wykorzystuje lukę w systemie połączeń WhatsAppa – wystarczyło jedno nieodebrane połączenie, by spyware zainstalowało się w telefonie ofiary. Według dokumentów sądowych, NSO zdołała w ten sposób zaatakować około 1400 urządzeń w latach 2018–2020, a wśród poszkodowanych byli m.in. dyplomaci, dziennikarze i obrońcy praw człowieka.
Meta argumentowała, że NSO działała z premedytacją – nawet po złożeniu pozwu firma modyfikowała metody ataków, by omijać nowe zabezpieczenia WhatsAppa. W trakcie procesu przedstawiciele Meta wykazali też, że firma poniosła realne koszty związane z przeciwdziałaniem atakom – m.in. wypłacając ponad 400 tysięcy dolarów pracownikom zaangażowanym w działania obronne.
– Dzisiejszy wyrok to ważny krok naprzód w walce o prywatność i bezpieczeństwo użytkowników – oświadczyła Meta. – To pierwsze zwycięstwo w sporze z nielegalnym oprogramowaniem szpiegującym, które zagraża bezpieczeństwu każdego z nas.
Meta zapowiedziała, że w przypadku skutecznego wyegzekwowania należności od NSO, środki zostaną przekazane organizacjom zajmującym się ochroną praw cyfrowych.
Linia obrony NSO
NSO Group konsekwentnie twierdzi, że jej oprogramowanie jest sprzedawane wyłącznie rządom i ma służyć zwalczaniu przestępczości.
– NSO pozostaje w pełni zaangażowana w rozwijanie technologii, które chronią bezpieczeństwo publiczne, działając wyłącznie w ramach obowiązujących przepisów i przy ścisłej współpracy z legalnymi rządami – podkreślił rzecznik firmy Gil Lainer.
W wypowiedzi dla sądu prawnicy NSO starali się dowodzić, że firma jedynie „przepuściła zainfekowane wiadomości przez serwery WhatsAppa” i nie wykonywała żadnego kodu na serwerach aplikacji ani nie naruszyła jej danych.
– Pegasus nie zabrał niczego z serwerów WhatsAppa – mówił adwokat Joseph Akrotirianakis. – Nie pozostawił po sobie śladów, nie usunął, nie zmienił ani nie uszkodził żadnych danych.
Obrona wskazywała też, że NSO jako firma poniosła już znaczne straty – 12 milionów dolarów w 2024 roku oraz 9 milionów w 2023 roku – i nie dysponuje środkami na wypłatę wielomilionowych odszkodowań.
Proces z historycznymi konsekwencjami
Proces przeciwko NSO był pierwszym przypadkiem, gdy amerykański sąd dopuścił do przesłuchania kadry kierowniczej izraelskiej firmy, dotąd skrzętnie unikającej rozgłosu. To również pierwszy wyrok, w którym producent narzędzi szpiegowskich został uznany za odpowiedzialnego za wykorzystanie luk w zabezpieczeniach smartfonów.
Decyzja ławy przysięgłych może mieć dalekosiężne konsekwencje – otwiera bowiem drogę do pozwów ze strony innych firm technologicznych, których platformy były celem Pegasusa. Przykładem może być Apple, które również wniosło pozew przeciwko NSO, choć sprawę wycofało po przejęciu przez władze izraelskie kodu źródłowego Pegasusa.
– Ten wyrok to nie tylko kwestia odszkodowania, ale także sygnał, że prywatność użytkowników nie może być bezkarnie naruszana przez prywatne firmy oferujące narzędzia dla służb specjalnych – skomentował badacz Citizen Lab John Scott-Railton.
Co dalej?
Meta zamierza ubiegać się o sądowy zakaz dalszego atakowania WhatsAppa przez NSO. Firma rozpoczęła także publikację materiałów z procesu, w tym zapisów zeznań wideo, by zwiększyć przejrzystość sprawy.
W branży bezpieczeństwa cyfrowego orzeczenie z Kalifornii traktowane jest jako ważny precedens – być może zapowiadający koniec ery bezkarności dla prywatnych producentów oprogramowania szpiegowskiego. Jak wskazują eksperci, kluczowe będą kolejne kroki rządów oraz gigantów technologicznych w reagowaniu na rosnące zagrożenie ze strony cyfrowych narzędzi inwigilacyjnych.
Sprawę skomentował Kamil Sadkowski, analityk laboratorium antywirusowego ESET
Choć NSO Group może jeszcze odwołać się od decyzji sądu, wyrok nakazujący zapłatę niemal 170 milionów dolarów odszkodowania jest ważnym sygnałem. Tak wysoka kara może być druzgocąca dla NSO Group i stanowi ostrzeżenie dla innych firm rozwijających zaawansowane narzędzia do cyberinwigilacji, takich jak Pegasus, znany z wykorzystywania do ataków na przeciwników politycznych, dziennikarzy i przedstawicieli różnych organizacji.
Kluczowe znaczenie w tym procesie miała decyzja Mety, której decydenci zdecydowali o ujawnieniu incydentów włamań do WhatsAppa. To pozwoliło kontynuować postępowanie sądowe i ostatecznie pociągnąć NSO Group do odpowiedzialności finansowej. Równie istotne były też: stały monitoring sytuacji i równolegle prowadzone dochodzenia przez organizacje społeczne, takie jak Amnesty International i Citizen Lab, które odegrały ważną rolę w ujawnianiu nadużyć związanych z oprogramowaniem szpiegowskim i zwiększaniu świadomości na temat zagrożeń. Niestety rynek inwazyjnych i złośliwych technologii nadal się rozwija.
Dosłownie w zeszłym miesiącu, podczas Paryskiego Forum Obrony i Bezpieczeństwa, państwa ze wszystkich kontynentów uzgodniły dobrowolny kodeks postępowania mający na celu regulację i ograniczenie rozprzestrzeniania się złośliwego oprogramowania szpiegowskiego. Choć porozumienie to jest dobrowolne, stanowi ważny sygnał dla społeczeństwa, że nie ma przyzwolenia rządzących na takie praktyki. Z drugiej strony, niestety znaczna część krajów kodeksu nie przyjęła, co może stanowić poważne wyzwanie dla cyberbezpieczeństwa międzynarodowego.
Niewątpliwie grupę osób najbardziej narażonych na działania cyberszpiegów stanowią politycy (zarówno szczebla krajowego, jak i lokalnego), liderzy biznesu, pracownicy organizacji i jednostek pożytku publicznego. Osoby te powinny ze szczególną starannością dbać o zabezpieczanie swoich urządzeń.
źródła: informacja prasowa, theverge.com, bbc.com, washingtonpost.com
Dodaj komentarz