All'interno di NSO, il gigante israeliano degli spyware da miliardi di dollari

La società di sorveglianza più famigerata al mondo dice di voler ripulire il suo atto. Avanti, stiamo ascoltando. Di

• Patrick Howell O'Neill pagina di archivio

19 agosto 2020

Ariel Davis

Maâti Monjib parla lentamente, come un uomo che sa di essere ascoltato.

È il giorno del suo 58esimo compleanno quando parliamo, ma c'è poca celebrazione nella sua voce. La sorveglianza è infernale, mi dice Monjib. È davvero difficile. Controlla tutto ciò che faccio nella mia vita.

Questa storia faceva parte del nostro numero di settembre 2020

• Vedi il resto del problema
• sottoscrivi

Professore di storia all'Università Mohammed V di Rabat, in Marocco, Monjib ricorda vividamente il giorno del 2017 in cui la sua vita è cambiata. Accusato di mettere in pericolo la sicurezza dello stato dal governo che ha ferocemente e pubblicamente criticato, era seduto fuori da un'aula di tribunale quando il suo iPhone si è improvvisamente illuminato con una serie di messaggi di testo da numeri che non riconosceva. Contenevano collegamenti a notizie salaci, petizioni e persino offerte commerciali del Black Friday.

Un mese dopo, un articolo che lo accusava di tradimento è apparso su un popolare sito di notizie nazionale con stretti legami con i sovrani reali del Marocco. Monjib era abituato agli attacchi, ma ora sembrava che i suoi molestatori sapessero tutto di lui: un altro articolo conteneva informazioni su un evento pro-democrazia a cui avrebbe dovuto partecipare ma di cui non aveva parlato quasi a nessuno. Una storia ha persino proclamato che il professore non ha segreti per noi.

Era stato hackerato. I messaggi avevano tutti portato a siti Web che secondo i ricercatori erano stati creati come esche per infettare i dispositivi dei visitatori con Pegasus, lo spyware più famoso al mondo.

Pegasus è il prodotto di successo di NSO Group, una società di sorveglianza israeliana segreta da miliardi di dollari. Viene venduto alle forze dell'ordine e alle agenzie di intelligence di tutto il mondo, che utilizzano gli strumenti dell'azienda per scegliere un bersaglio umano, infettare il telefono della persona con lo spyware e quindi impossessarsi del dispositivo. Una volta che Pegasus è sul tuo telefono, non è più il tuo telefono.

L'accademico marocchino e attivista per la libertà di parola Maâti Monjib è stato tenuto d'occhio dal suo governo per anni. La sorveglianza è infernale, dice.

GETTY

NSO vende Pegasus con la stessa pece che usano i trafficanti di armi per vendere armi convenzionali, posizionandolo come un aiuto cruciale nella caccia a terroristi e criminali. In un'era di tecnologia onnipresente e crittografia avanzata, tale hacking legale è emerso come un potente strumento per la sicurezza pubblica quando le forze dell'ordine hanno bisogno di accedere ai dati. NSO insiste sul fatto che la stragrande maggioranza dei suoi clienti sono democrazie europee, anche se dal momento che non pubblica elenchi di clienti e i paesi stessi rimangono in silenzio, ciò non è mai stato verificato.

Il caso di Monjib, tuttavia, è uno di una lunga lista di incidenti in cui Pegasus è stato utilizzato come strumento di oppressione. È stato collegato a casi tra cui l'omicidio del giornalista saudita Jamal Khashoggi, il prendere di mira scienziati e attivisti che spingono per la riforma politica in Messico e la sorveglianza del governo spagnolo dei politici separatisti catalani. Messico e Spagna hanno negato di aver usato Pegasus per spiare gli avversari, ma le accuse di averlo fatto sono supportate da prove tecniche sostanziali.

L'argomento di base di NSO è che è il creatore di una tecnologia che i governi utilizzano, ma che poiché non attacca nessuno di per sé, non può essere ritenuto responsabile.

Alcune di queste prove sono contenute in una causa intentata lo scorso ottobre in California da WhatsApp e dalla sua società madre, Facebook, in cui si afferma che Pegasus ha manipolato l'infrastruttura di WhatsApp per infettare più di 1.400 telefoni cellulari. Gli investigatori di Facebook hanno trovato più di 100 difensori dei diritti umani, giornalisti e personaggi pubblici tra gli obiettivi, secondo i documenti del tribunale. Hanno scoperto che ogni chiamata che veniva ricevuta inviava codice dannoso attraverso l'infrastruttura di WhatsApp e faceva sì che il telefono del destinatario scaricasse spyware dai server di proprietà di NSO. Questa, ha affermato WhatsApp, era una violazione della legge americana.

Storia correlata

All'interno di NSO, il gigante israeliano degli spyware da miliardi di dollari La società di sorveglianza più famigerata al mondo dice di voler ripulire il suo atto. Avanti, stiamo ascoltando.

NSO ha affrontato a lungo tali accuse in silenzio. Affermando che gran parte della sua attività è un segreto di stato israeliano, ha offerto pochi preziosi dettagli pubblici sulle sue operazioni, clienti o salvaguardie.

Ora, però, l'azienda suggerisce che le cose stanno cambiando. Nel 2019, NSO, che era di proprietà di una società di private equity, è stata rivenduta ai suoi fondatori e a un'altra società di private equity, Novalpina, per 1 miliardo di dollari. I nuovi proprietari hanno deciso una nuova strategia: emergere dall'ombra. La società ha assunto società di pubbliche relazioni d'élite, ha elaborato nuove politiche sui diritti umani e sviluppato nuovi documenti di autogoverno. Ha anche iniziato a mostrare alcuni dei suoi altri prodotti, come un sistema di tracciamento covid-19 chiamato Fleming, ed Eclipse, che può hackerare i droni considerati una minaccia alla sicurezza.

Per diversi mesi ho parlato con la dirigenza della NSO per capire come funziona l'azienda e cosa dice di fare per prevenire le violazioni dei diritti umani perpetrate utilizzando i suoi strumenti. Ho parlato con i suoi critici, che lo vedono come un pericolo per i valori democratici; a coloro che sollecitano una maggiore regolamentazione del business dell'hacking; e alle autorità di regolamentazione israeliane responsabili di governarlo oggi. I leader dell'azienda hanno parlato del futuro di NSO e delle sue politiche e procedure per affrontare i problemi e hanno condiviso documenti che descrivono in dettaglio il suo rapporto con le agenzie a cui vende Pegasus e altri strumenti. Quello che ho trovato è stato un fiorente trafficante d'armi: all'interno dell'azienda, i dipendenti riconoscono che Pegasus è un'arma genuina, alle prese con nuovi livelli di controllo che minacciano le fondamenta dell'intera sua industria.

Un compito difficile

Dal primo giorno in cui Shmuel Sunray si è unito alla NSO come consigliere generale, ha dovuto affrontare un incidente internazionale dopo l'altro. Assunto pochi giorni dopo che la causa di WhatsApp era stata intentata, ha trovato altri problemi legali in attesa sulla sua scrivania non appena è arrivato. Erano tutti incentrati sulla stessa accusa di base: gli strumenti di hacking del gruppo NSO sono venduti e possono essere abusati da regimi ricchi e repressivi con poca o nessuna responsabilità.

Sunray aveva molta esperienza con la segretezza e le controversie: il suo precedente lavoro era quello di vicepresidente di un importante produttore di armi. Nel corso di diverse conversazioni, è stato amichevole quando mi ha detto che è stato incaricato dai proprietari di cambiare la cultura e le operazioni di NSO, rendendola più trasparente e cercando di prevenire violazioni dei diritti umani. Ma era anche ovviamente frustrato dalla segretezza che sentiva gli impediva di rispondere alle critiche.

È un compito difficile, mi ha detto Sunray al telefono dalla sede dell'azienda a Herzliya, a nord di Tel Aviv. Comprendiamo il potere dello strumento; comprendiamo l'impatto dell'uso improprio dello strumento. Stiamo cercando di fare la cosa giusta. Abbiamo sfide reali che riguardano il governo, le agenzie di intelligence, la riservatezza, le necessità operative, i limiti operativi. Non è un classico caso di violazione dei diritti umani da parte di un'azienda, perché non gestiamo i sistemi - non siamo coinvolti nelle operazioni effettive dei sistemi - ma comprendiamo che esiste un rischio reale di uso improprio da parte dei clienti. Stiamo cercando di trovare il giusto equilibrio.

Ciò è alla base dell'argomento di base di NSO, comune tra i produttori di armi: l'azienda è la creatrice di una tecnologia utilizzata dai governi, ma non attacca nessuno di per sé, quindi non può essere ritenuta responsabile.

Tuttavia, secondo Sunray, ci sono diversi livelli di protezione in atto per cercare di assicurarsi che le persone sbagliate non abbiano accesso.

Fare una vendita

Come la maggior parte degli altri paesi, Israele ha controlli sulle esportazioni che richiedono che i produttori di armi siano autorizzati e soggetti alla supervisione del governo. Inoltre, la NSO svolge la propria due diligence, afferma Sunray: il suo staff esamina un paese, esamina la sua documentazione sui diritti umani e esamina le sue relazioni con Israele. Valutano il track record dell'agenzia specifica in materia di corruzione, sicurezza, finanza e abusi, oltre a tenere conto di quanto ha bisogno dello strumento.

A volte i negativi vengono valutati rispetto ai positivi. Il Marocco, ad esempio, ha un record in peggioramento dei diritti umani ma una lunga storia di cooperazione con Israele e l'Occidente in materia di sicurezza, oltre a un vero problema di terrorismo, quindi una vendita sarebbe stata approvata. Al contrario, NSO ha affermato che Cina, Russia, Iran, Cuba, Corea del Nord, Qatar e Turchia sono tra le 21 nazioni che non saranno mai clienti.

Infine, prima che venga effettuata una vendita, il comitato di governance, rischio e conformità di NSO deve firmare. La società afferma che il comitato, composto da manager e azionisti, può rifiutare le vendite o aggiungere condizioni, come restrizioni tecnologiche, che vengono decise caso per caso.

Prevenire gli abusi

Una volta concordata una vendita, afferma la società, i guardrail tecnologici prevengono determinati tipi di abuso. Ad esempio, Pegasus non consente che i numeri di telefono americani vengano infettati, afferma NSO, e i telefoni infetti non possono nemmeno essere fisicamente localizzati negli Stati Uniti: se uno si trova all'interno dei confini americani, il software Pegasus dovrebbe autodistruggersi.

NSO afferma che anche i numeri di telefono israeliani sono protetti, anche se chi altro ottiene protezione e perché rimane poco chiaro.

Quando arriva una segnalazione di abuso, un team ad hoc composto da un massimo di 10 dipendenti della NSO viene riunito per indagare. Intervistano il cliente sulle accuse e richiedono i registri dei dati di Pegasus. Questi registri non contengono il contenuto estratto dallo spyware, come chat o e-mail (NSO insiste sul fatto che non vede mai informazioni specifiche), ma includono metadati come un elenco di tutti i telefoni che lo spyware ha cercato di infettare e le loro posizioni in quel momento.

Secondo un recente contratto che ho ottenuto, i clienti devono utilizzare il sistema solo per l'individuazione, la prevenzione e l'indagine su crimini e terrorismo e assicurarsi che il sistema non venga utilizzato per violazioni dei diritti umani. Devono notificare all'azienda un potenziale uso improprio. NSO afferma di aver risolto tre contratti in passato per infrazioni, incluso l'abuso di Pegasus, ma si rifiuta di dire quali paesi o agenzie fossero coinvolti o chi fossero le vittime.

Non siamo ingenui

La mancanza di trasparenza non è l'unico problema: le tutele hanno dei limiti. Mentre il governo israeliano può revocare la licenza della NSO per violazioni della legge sull'esportazione, le autorità di regolamentazione non si prendono la responsabilità di cercare abusi da parte di potenziali clienti e non sono coinvolti nelle indagini sugli abusi della società.

Anche molte delle altre procedure sono semplicemente reattive. La NSO non ha un team interno permanente per gli abusi, a differenza di quasi tutte le altre aziende tecnologiche da miliardi di dollari, e la maggior parte delle sue indagini vengono avviate solo quando una fonte esterna come Amnesty International o Citizen Lab afferma che c'è stata un'attività illecita. Il personale della NSO intervista le agenzie e i clienti sotto controllo ma non parla con le presunte vittime e, sebbene la società spesso contesti i rapporti tecnici offerti come prova, afferma anche che sia il segreto di stato che la riservatezza aziendale le impediscono di condividere più informazioni.

Anche i registri Pegasus che sono cruciali per qualsiasi indagine sugli abusi sollevano molte domande. I clienti di NSO Group sono hacker che lavorano per agenzie di spionaggio; quanto sarebbe difficile per loro manomettere i registri? In una dichiarazione, la società ha insistito sul fatto che ciò non è possibile, ma ha rifiutato di fornire dettagli.

Se i registri non vengono contestati, NSO e i suoi clienti decideranno insieme se gli obiettivi sono legittimi, se sono stati commessi crimini autentici e se la sorveglianza è stata eseguita secondo il giusto processo o se i regimi autocratici hanno spiato gli oppositori.

Sunray, udibilmente esasperato, dice di sentirsi come se la segretezza lo costringesse a operare con le mani legate dietro la schiena.

È frustrante, mi ha detto. Non siamo ingenui. Ci sono stati abusi. Ci saranno abusi. Vendiamo a molti governi. Anche il governo degli Stati Uniti, nessun governo è perfetto. Può verificarsi un uso improprio e dovrebbe essere affrontato.

Ariel Davis

Ma Sunray torna anche alla risposta standard dell'azienda, l'argomento che sta alla base della sua difesa nella causa WhatsApp: NSO è un produttore, ma non è l'operatore dello spyware. Noi costruito ma essi ha fatto l'hacking e sono nazioni sovrane.

Questo non è abbastanza per molti critici. Nessuna azienda che crede di poter essere il cane da guardia indipendente dei propri prodotti mi convince mai, afferma Marietje Schaake, una politica olandese ed ex membro del Parlamento europeo. L'idea che abbiano i propri meccanismi mentre non hanno problemi a vendere spyware commerciale a chiunque voglia acquistarlo, sapendo che viene utilizzato contro difensori dei diritti umani e giornalisti, penso che mostri la mancanza di responsabilità da parte di questa azienda di più che altro.

Allora perché la spinta interna per una maggiore trasparenza ora? Perché il diluvio di rapporti tecnici da parte di gruppi per i diritti umani, la causa WhatsApp e il crescente controllo governativo minacciano lo status quo di NSO. E se ci sarà un nuovo dibattito su come regolamentare il settore, vale la pena di avere una voce potente.

Scrutinio crescente

L'hacking legale e lo spionaggio informatico sono cresciuti enormemente come attività negli ultimi dieci anni, senza segni di ritirata. I precedenti proprietari di NSO Group hanno acquistato la società nel 2014 per 130 milioni di dollari, meno di un settimo della valutazione per la quale era stata venduta l'anno scorso. Anche il resto del settore si sta espandendo, traendo vantaggio dalla diffusione della tecnologia delle comunicazioni e dall'aggravarsi dell'instabilità globale. Non c'è dubbio che qualsiasi stato abbia il diritto di acquistare questa tecnologia per combattere la criminalità e il terrorismo, afferma il vicedirettore di Amnesty International, Danna Ingleton. Gli Stati sono legittimamente e legalmente in grado di utilizzare questi strumenti. Ma ciò deve essere maggiormente accompagnato da un sistema normativo che prevenga gli abusi e fornisca un meccanismo di responsabilità quando si è verificato un abuso. Far brillare una luce molto più brillante sull'industria dell'hacking, sostiene, consentirà una migliore regolamentazione e una maggiore responsabilità.

All'inizio di quest'anno Amnesty International era in tribunale in Israele sostenendo che il Ministero della Difesa avrebbe dovuto revocare la licenza di NSO a causa degli abusi di Pegasus. Ma proprio mentre il caso stava iniziando, ai funzionari di Amnesty e ad altri 29 firmatari è stato detto di lasciare l'aula: un ordine di bavaglio era stato imposto al procedimento su sollecitazione del ministero. Poi, a luglio, un giudice ha respinto il caso a titolo definitivo.

Non credo, in linea di principio e in diritto, che la NSO possa rivendicare una totale mancanza di responsabilità per il modo in cui i loro strumenti vengono utilizzati, afferma la relatrice speciale delle Nazioni Unite Agnès Callamard. Non è così che funziona secondo il diritto internazionale.

Callamard fornisce consulenza alle Nazioni Unite sulle esecuzioni extragiudiziali ed è stato esplicito riguardo al gruppo NSO e all'industria degli spyware da quando è emerso che Pegasus veniva usato per spiare amici e collaboratori di Khashoggi poco prima che fosse assassinato. Per lei, il problema ha conseguenze di vita o di morte.

Se NSO perde il caso WhatsApp, dice un avvocato, mette in discussione tutte quelle aziende che si guadagnano da vivere trovando difetti nei software e sfruttandoli.

Non stiamo chiedendo qualcosa di radicalmente nuovo, dice Callamard. Stiamo dicendo che ciò che è in atto al momento si sta rivelando insufficiente e quindi i governi o le agenzie di regolamentazione devono passare rapidamente a una marcia diversa. L'industria si sta espandendo e dovrebbe espandersi sulla base di un quadro adeguato per regolamentare gli abusi. È importante per la pace globale.

Ci sono state richieste per una moratoria temporanea sulle vendite fino all'adozione di una regolamentazione più forte, ma non è chiaro come sarebbe quel quadro giuridico. A differenza delle armi convenzionali, che sono soggette a varie leggi internazionali, le armi informatiche non sono attualmente regolate da alcun accordo mondiale sul controllo degli armamenti. E mentre sono stati suggeriti trattati di non proliferazione, c'è poca chiarezza su come misurerebbero le capacità esistenti, come funzionerebbero il monitoraggio o l'applicazione o come le regole starebbero al passo con i rapidi sviluppi tecnologici. Invece, la maggior parte del controllo oggi avviene a livello legale nazionale.

Negli Stati Uniti, sia l'FBI che il Congresso stanno esaminando possibili hack di obiettivi americani, mentre un'indagine condotta dall'ufficio del senatore Ron Wyden vuole scoprire se qualche americano è coinvolto nell'esportazione di tecnologia di sorveglianza verso governi autoritari. Un recente progetto di legge sull'intelligence statunitense richiederebbe un rapporto del governo sullo spyware commerciale e sulla tecnologia di sorveglianza.

La causa WhatsApp, nel frattempo, ha preso di mira il cuore dell'attività di NSO. Il gigante della Silicon Valley sostiene che prendendo di mira i residenti della California, ovvero WhatsApp e Facebook, NSO ha conferito al tribunale di San Francisco la giurisdizione e che il giudice del caso può impedire all'azienda israeliana di tentare in futuro di utilizzare in modo improprio le reti di WhatsApp e Facebook. Ciò apre la porta a un sacco di possibilità: Apple, il cui iPhone è stato un obiettivo fondamentale dell'NSO, potrebbe in modo fattibile organizzare un attacco legale simile. Anche Google ha individuato NSO che prende di mira i dispositivi Android.

E i danni finanziari non sono l'unica spada che pende sulla testa di NSO. Tali azioni legali portano con sé anche la minaccia di essere scoperti in tribunale, che ha il potenziale per portare i dettagli degli affari e dei clienti di NSO all'occhio del pubblico.

Molto dipende esattamente da come si pronuncia il tribunale e da quanto ampiamente caratterizza la violazione che NSO avrebbe commesso qui, afferma Alan Rozenshtein, un ex avvocato del Dipartimento di Giustizia ora alla University of Minnesota Law School. Come minimo, se NSO perde questo caso, mette in discussione tutte quelle aziende che realizzano i loro prodotti o si guadagnano da vivere trovando difetti nei software di messaggistica e fornendo servizi che sfruttano tali difetti. Ciò creerà abbastanza incertezza giuridica che immagino che questi aspiranti clienti ci penseranno due volte prima di contrattare con loro. Non sai se l'azienda continuerà ad operare, se verranno trascinati in tribunale, se i tuoi segreti verranno svelati. NSO ha rifiutato di commentare il presunto hack di WhatsApp, poiché è ancora un caso attivo.

Siamo sempre spiati

In Marocco, Maâti Monjib è stata oggetto di almeno altri quattro attacchi di hacking nel corso del 2019, ciascuno più avanzato del precedente. Ad un certo punto, il browser del suo telefono è stato reindirizzato in modo invisibile a un dominio sospetto che i ricercatori sospettano sia stato utilizzato per installare malware silenziosamente. Invece di qualcosa come un messaggio di testo che può dare l'allarme e lasciare una traccia visibile, questo è stato un attacco di iniezione di rete molto più silenzioso, una tattica apprezzata perché è quasi impercettibile tranne che per gli investigatori esperti.

Il 13 settembre 2019 Monjib ha pranzato a casa con il suo amico Omar Radi, un giornalista marocchino che è uno dei più aspri critici del regime. Quello stesso giorno, secondo un'indagine in seguito, Radi fu colpito dallo stesso tipo di attacchi di iniezione di rete che avevano intrappolato Monjib. La campagna di hacking contro Radi è durata almeno fino a gennaio 2020, hanno affermato i ricercatori di Amnesty International. Da allora è stato oggetto di continue molestie da parte della polizia.

Almeno altri sette marocchini hanno ricevuto avvertimenti da WhatsApp sull'uso di Pegasus per spiare i loro telefoni, inclusi attivisti per i diritti umani, giornalisti e politici. Sono questi i tipi di obiettivi di spionaggio legittimi - terroristi e criminali - previsti nel contratto firmato dal Marocco e da tutti i clienti della NSO?

A dicembre, Monjib e le altre vittime hanno inviato una lettera all'autorità per la protezione dei dati del Marocco chiedendo un'indagine e un'azione. Non ne è venuto fuori nulla di formale, ma uno degli uomini, l'economista pro-democrazia Fouad Abdelmoumni, dice che i suoi amici in alto all'agenzia gli hanno detto che la lettera era senza speranza e lo hanno esortato ad abbandonare la questione. Il governo marocchino, intanto, ha risposto minacciando di espellere Amnesty International dal Paese.

Ciò che sta accadendo in Marocco è emblematico di ciò che sta accadendo nel mondo. Sebbene sia chiaro che le democrazie sono i principali beneficiari dell'hacking legale, un lungo e crescente elenco di indagini credibili, dettagliate, tecniche e pubbliche mostra che Pegasus viene utilizzato in modo improprio da regimi autoritari con lunghi precedenti di abusi dei diritti umani.

Il Marocco è un paese sotto un regime autoritario che crede che persone come Monjib e me debbano essere distrutte, dice Abdelmoumni. Per distruggerci, avere accesso a tutte le informazioni è fondamentale. Consideriamo sempre di essere spiati. Tutte le nostre informazioni sono nelle mani del palazzo.

Per saperne di più

L'uomo che ha costruito un impero di spyware dice che è ora di uscire dall'ombra Shalev Hulio, co-fondatore e CEO di NSO, afferma che il suo settore è pieno di aziende che cercano di evitare il controllo. nascondere