קבוצת NSO / צילום: Shutterstock
חברת הסייבר ההתקפי NSO נמצאת בלא מעט תסבוכות בימים אלו - כלכליות, משפטיות ותדמיתיות - שמאיימות על המשך קיומה. איום קיומי לא פחות גדול עבורה הוא נושא כוח אדם וגיוס העובדים לחברה. בימים שההייטק הישראלי מוצף בדרישה לעובדים, במיוחד במקצועות טכנולוגיים, מדוע למועמד לפנות דווקא לחברה השנויה במחלוקת, זאת שאפשר לקרוא מדי יום על איך כליה משמשים לריגול אחרי אזרחים?
פעם השימוש לרעה הזה ברוגלת פגסוס של NSO נקשר לפעילות במדינות מרוחקות ואקזוטיות. אולם לפי תחקיר של העיתונאי תומר גנון ב"כלכליסט" השבוע, שימוש לרעה כזה קורה גם פה בישראל: המשטרה משתמשת ברוגלת פגסוס של NSO ללא הבחנה וללא צווי בית משפט כנדרש.
במטרה לשפר את תדמיתה מול מועמדים פוטנציאליים, החלה בימים האחרונים NSO בקמפיין בלינקדאין, כלי הגיוס האולטימטיבי לעובדים כיום, במטרה להפריך מיתוסים לגביה. בכל יום מפרסמת NSO משפט שקרי אחר לגבי החברה ולצידו עובדה נכונה שמפריכה אותו, לכאורה. יצאנו לבדוק האם מה ש־NSO טוענת לגביה נכון, לפחות לפי המידע המוגבל שבידינו על פעילות החברה. שירות קטן למען מועמדים ששוקלים עדיין לעבוד בה.
טענה 1: NSO מבצעת ריגול ויש לה גישה למידע שנאסף
תגובת NSO: אנחנו מספקים רק את הטכנולוגיה ללקוחות ממשלתיים נבחרים, אך אף פעם לא משתמשים בה בעצמנו וחשופים בעצמנו למידע.
האמת: נושא זה הוא אחד המורכבים ביותר וכנראה שהמידע שבידינו על דרכי העבודה ב־NSO רחוק מלהיות שלם. למרות זאת, לפחות דיווח אחד, של האתר החוקר האמריקאי Vice מאפריל 2020, ציטט שורת עובדים לשעבר ב-NSO, שטענו כי עובדים טכניים בחברה יכולים להשתמש לרעה בתוכנת פגסוס ואין דרך למנוע זאת. במקרה המתואר בכתבה עובד של NSO הגיע לביקור תמיכה בסוכנות ביון באיחוד האמירויות. בזמן שהיה במקום, הוא פרץ למשרדו של הלקוח והשתמש במערכת כדי לרגל אחרי אישה שהכיר. העובד עוכב לחקירה במדינה.
אבל גם אם NSO מקפידה על מידור חמור ואכן רק מוכרת את הכלי ולא מבצעת את העבודה בפועל כטענתה, האם זה מסיר ממנה אחריות מוסרית לתוצאות השימוש בטכנולוגיה שלה, כפי שתגובת החברה רומזת?
טענה 2: NSO מוכרת את מוצריה לכל מי שמוכן לשלם
תגובת NSO: אנחנו מוכרים רק לממשלות שנבדקו ונתונות לפיקוח של משרד הביטחון הישראלי ולסטנדרטים האתיים שלנו.
האמת: ב-NSO אוהבים להתפאר בכך שדחו חוזים שמנים משיקולים של שמירה על זכויות אדם. לפי דוח השקיפות שפרסמה החברה בשנה שעברה, היא דחתה חוזים ב-300 מיליון דולר והגדירה רשימה של 55 מדינות שלהן היא מסרבת למכור. כל זה כמובן טוב ויפה אבל המדינות שלפי הפרסומים NSO מכרה להן את רוגלת פגסוס כוללות בין השאר את ערב הסעודית, איחוד האמירויות, מרוקו ורואנדה. לא בדיוק כוכבות על בשמירה על זכויות אדם בעצמן.
ככל הידוע ההצלחה של NSO במכירה למדינות דמוקרטיות ושומרות זכויות אדם מוגבלת יחסית. המשטרה הגרמנית אמנם קנתה את המערכת, אך בצרפת המגעים לא הבשילו. בארה"ב, שוק ענק ועמוס גורמי אכיפה, ל-NSO אין עסקים על אף ניסיונות יקרים וארוכים שלה לחדור אליו. כך שכדי שהעסק יעבוד ויכניס מזומנים, אין ממש ברירה ל-NSO אלא להתעסק גם עם לקוחות מפוקפקים. גם במדינות דמוקרטיות כמו ישראל, אי אפשר להיות בטוח שאכן לא נעשה שימוש לרעה במערכת, כפי שמעידים הדיווחים האחרונים.
בנוסף, אם הטענה של NSO נכונה ואכן החברה אינה חשופה למה לקוחותיה עושים במערכת בזמן אמת, הרי אז גם היכולת שלה לפקח עליהם נמוכה מאוד ומבוצעת בדיעבד בלבד על סמך האשמות שצצות ממקורות אחרים. בדבר אחד NSO בכל מקרה צודקת: האחריות והאשמה לשימוש לרעה לא נופלים רק עליה אלא גם על משרד הביטחון, שמאשר את העסקאות שלה.
טענה 3: NSO מאפשרת מעקב אחרי מספר לא מוגבל של טלפונים
תגובת NSO: הטכנולוגיה שלנו נמכרת עם מספר מוגבל של מספרים של חשודים שאפשר להשתמש בהם.
האמת: לטענה זו של NSO יש ביסוס מסוים, למשל מדיווח של "ניו יורק טיימס" מ-2016, שחשף מחירונים של החברה. לפי הדיווח, NSO גובה חצי מיליון דולר על התקנה ראשונה של המערכת ולאחר מכן מתמחרת את השירות לפי מספר השימושים, מספרי הטלפון שהלקוח בוחר לרגל אחריהם. התעריף ל-10 מספרים ראשונים עמד דאז על 650 אלף דולר.
אבל האם זה המודל העסקי היחיד של NSO? קשה לדעת, במיוחד שלא תמיד הלקוחות הממשלתיים חותמים על הסכמים ישירות מול NSO, אלא עם מגוון חברות קשורות שונות. בכל מקרה, את חבילת המספרים שעליהם מרגלים אפשר תמיד להגדיל (עוד 100 מספרים ב-800 אלף דולר) וללקוחות כמו ערב הסעודית אין ממש בעיה לשלם.
טענה 4: NSO היא חברת לפיתוח תוכנות ריגול (Spyware)
תגובת NSO :NSO היא חברת טכנולוגיית סייבר מובילה, שמפתחת פתרונות טכנולוגיים ייחודיים לרשויות חוק וסוכנויות ביון.
האמת: אם קוראים לזה סייבר או ריגול זאת בעיקר הבחנה סמנטית, אפשר לקרוא לכל העניין גם מודיעין עסקי אם רוצים, אבל המהות של מה בדיוק עושה NSO פחות או יותר ידועה לכולם בשלב הזה.
העובדה ש-NSO מוכרת לרשויות החוק הייתה יכולה להוות טיעון משכנע לפני חמש שנים בערך, אבל היום, כשידוע כי לקוחות של NSO ביצעו שימוש לרעה במערכות הריגול שלה כדי לעקוב אחרי עיתונאים, פעילי זכויות אדם ופוליטיקאים, די ברור שזאת כבר לא טענה מרגיעה בכלל.