מחקר: NSO השתמשה במידע של 32 אלף אזרחים, בהם ישראלים

NSO שוב בכותרות, והפעם בגלל מחקר בריטי שקובע שהחברה הישראלית השתמשה במידע של 32 אלף אזרחים, בהם ישראלים, כשהציגה לממשלות וללקוחות פוטנציאליים נוספים ברחבי העולם את התכונה שלה, בראשית ימי הקורונה. אלה התעניינו בתוכנה כדי לעקוב אחרי חולי קורונה, בניסיון למגר את המגיפה. הפעם מדובר בתוכנת פלמינג ולא בתוכנה המפורסמת שלה, פגסוס.

המחקר בוצע על ידי קבוצת החוקרים Forensic Architecture, שבראשה עומד הישראלי ד"ר איל ויצמן. החוקרים בחנו את אפליקציית פלמינג, שהושקה במרץ השנה וזכתה לגיבויו של נפתלי בנט, שהיה אז שר הביטחון. הם מצאו כי כדי להדגים את היישומון בפני רוכשים פוטנציאליים, NSO השתמשה במידע על אנשים אמיתיים – טענה שאותה החברה מכחישה. בעבר טענה NSO כי מדובר בדמו שהוצג לנציגי יותר מ-100 מדינות ולעיתונאים בארץ ובעולם, וכי הוא כולל "מידע אקראי, ולא מכיל כל מידע מזהה אישי, שממילא לא מצוי בידי החברה". אלא שהחוקרים מצאו כי החברה השתמשה במידע שהתקבל מיותר מ-500 אלף "נקודות נתונים" שבהן נמצאו מעל 30 אלף מכשירים סלולריים, וכי היא עשתה זאת במשך שישה שבועות – בין 10 במרץ ל-13 באפריל השנה. ימים אלה היו שיא תקופת הסגרים הראשונים של הקורונה במדינות רבות בעולם, בהן בארץ.

"נקודת נתונים", מציינים החוקרים, "מספקת מידע אודות מרווחי הזמן השונים שבהם נצפתה מטרה מסוימת במיקום מסוים. בחלק מ-'נקודות הנתונים' האמורות מצוינים זמני ההתחלה והסוף, או הזמן האחרון שבו הן נצפו".

החוקרים פנו לאורן גנץ, מנהל ב-NSO, וקיבלו ממנו תגובה ש-"הדמו של פלמינג לא מבוסס על מידע אמיתי. מדובר באילוסטרציה של מידע מעורבל, שלא כוללת כל מידע אישי מזהה מכל סוג שהוא". החברה גם הכחישה כי היא קנתה נתונים על מיקום של אנשים מברוקרים של מידע.

שוב תחת ביקורת. NSO

החוקרים טוענים כי התגובה של NSO "לא ברורה וסותרת את עצמה". לדבריהם, "מידע מעורבל" הוא בעצם "מידע אמיתי" שעובר תהליך של שינוי מרחב וזמן, כדי לעכב זיהוי או לשחזר את המידע. לאחר שהמידע ותגובת ה-NSO עוררו את החשד של החוקרים, הם חקרו האם הנתונים שהיו מצויים בידיהם היו של אנשים אמיתיים, חפים מפשע, ואם כך – האם הם עורפלו באופן שלא יאפשר את זיהוים, כמו שטוענים ב-NSO. החוקרים מצאו שלא כך הדבר, ושהנתונים שהובאו אליהם הגיעו ממכשירים בישראל, ערב הסעודית, בחריין, איחוד האמירויות הערביות ומדינה לא מזרח תיכונית אחת – רואנדה. בכל המדינות הללו דווח בעבר כי נעשה שימוש בתוכנת פגסוס. כמו כן, החוקרים פיתחו תוכנת קוד פתוח בשם TimeMap ודרכה מצאו שדפוסי התנועה של האנשים שמכשיריהם נכללו באותו דמו הם כמו של אנשים אמיתיים.

NSO: "יש לתהות על מסקנות הבדיקה"

מ-NSO נמסר כי "לא ראינו את הבדיקה לכאורה שנעשתה ויש לתהות על מסקנותיה, שכן בניגוד גמור לנטען, אנחנו עומדים מאחורי תגובתנו המקורית שלפיה הדמו שהוצג לכלל אמצעי התקשורת לא היה מבוסס על מידע אמיתי של חולים בקורונה. המידע שעל בסיסו נבנה הדמו לא כלל כל מידע אישי מזהה של אדם כזה או אחר. הדמו, כאמור, היה סימולציה שנבנתה ממידע מעורבל".

עוד אומרים בחברה כי "מערכת פלמינג פותחה ככלי אנליטיקה שנועד לסייע למקבלי החלטות להתמודד עם התפשטות מגפת הקורונה. NSO לא אוספת מידע עבור הפעלתה ובנוסף, אין לחברה כל גישה למידע שנאסף על ידי משתמשי הקצה המדינתיים".

ענקיות טק נגד NSO

NSO נמצאת כבר מזה זמן תחת ביקורת על הפעילות שלה. בין היתר נטען שתוכנת פגסוס, שבחברה אומרים שמשמשת כוחות ביטחון למלחמה בפשיעה ובטרור, משמשת בפועל ממשלים למעקב אחרי גורמי אופוזיציה, עיתונאים, פעילי זכויות אדם ואחרים. פייסבוק הגישה בשנה שעברה תביעה נגד החברה הישראלית, בטענה שהיא ניצלה פרצה בווטסאפ כדי לעקוב אחרי משתמשים. מיקרוסופט, גוגל, סיסקו, VMware ואיגוד האינטרנט בוושינגטון – שמייצג עשרות חברות, ובהן אמזון, פייסבוק וטוויטר – הצטרפו בשבוע שעבר לתביעה זו. נשיא מיקרוסופט, בראד סמית', קרא לנשיא הנבחר של ארצות הברית, ג'ו ביידן, לתמוך בתביעה וכינה את NSO "שכירי חרב של המאה ה-21".

מוקדם יותר החודש פורסם מחקר של קבוצת סיטיזן לאב מאוניברסיטת טורונטו, שגילו שבוצעה פריצה למכשירים של עשרות עיתונאים של רשת אל ג'זירה באמצעות תוכנת פגסוס. החוקרים סבורים "במידה בינונית" כי מזמינות הפריצה היו ממשלות איחוד האמירויות וערב הסעודית – שתי מדינות שנמצאות בסכסוך עם קטאר, שאל ג'זירה הוקמה על ידי השליט שלה. ב-NSO טענו אז שהחוקרים לא מצאו כל ראיות שתומכות בטענותיהם.