פייסבוק נגד NSO: מה עומד מאחורי התביעה המפתיעה?

חברת NSO הישראלית, שמפתחת טכנולוגיה לסייבר התקפי, סופגת הרבה ביקורת בעולם. שמה נקשר במהלך השנים בשורה של פרשיות, במסגרתן נחשף כי התוכנה שימשה לכאורה לריגול אחרי עיתונאים, פעילי זכויות אדם ומתנגדי משטר במשטרים אפלים ברחבי העולם. החברה, שמייצאת את התוכנה שלה תחת רישיון לסחר בנשק שניתן לה על ידי משרד הביטחון ומשרד החוץ, הודפת את הטענות ומדגישה פעם אחר פעם שהיא מוכרת את הטכנולוגיה לגופי מודיעין ואכיפת חוק ושהיא לא מבצעת את התקיפות בעצמה. במקביל היא עושה מאמצים רבים כדי לשפר את פעילותה, או לפחות את תדמיתה, באמצעות ועדת אתיקה ואימוץ של כללי האו"ם.

אולם מהלך חריג של חברת פייסבוק - תביעה נגד החברה הישראלית - מאיים לחשוף עוד טפח מפעילותה של NSO, לערער את הטענות שלה ובאופן כללי להכניס אותה למלכוד. מה הקשר בין פייסבוק ל-NSO? בחודש מאי האחרון הודיעה חברת ווטסאפ, שנמצאת בבעלות פייסבוק, כי גילתה חולשה באפליקציה שאפשרה לחברה הישראלית להתקין תוכנת ריגול על מכשירי אייפון ואנדרואיד.

ב"פייננשל טיימס" פורסם בחודש מאי כי מקור שנכח בפגישה עם בכירי NSO, סיפר כי הם התרברבו שהפרצה מאפשרת להם לגשת לכל המידע בטלפון של הקורבן, להפעיל את המיקרופון ולהקליט את סביבתו, וכן לבצע שיחות טלפון ללא ידיעתו.

אתמול התקדמה פייסבוק צעד אחד נוסף - היא הודיעה על הגשת תביעה נגד החברה והאשימה אותה שריגלה אחרי עיתונאים ופעילי זכויות אדם. ב-NSO הכחישו גם במקרה הזה את המעורבות שלהם בתקיפות עצמן. יותר מכך - ויל קת'קארט, שעומד בראש ווטסאפ, פרסם מאמר ב"וושינגטון פוסט" שבו כתב כי "זאת צריכה להיות קריאת השכמה לכולנו: אמצעים שמאפשרים מעקב על חיינו הפרטיים משומשים לרעה על ידי חברות וממשלות בלתי אחראיות ששמות את כולנו בסכנה". 

פייסבוק לא הסתפקה בתביעה ואף מחקה את חשבונות הפייסבוק והאינסטגרם של עובדי NSO, בצעד שנוי במחלוקת שחושף את כוחה ועוצמתה של הרשת החברתית.

1. נטל ההוכחה על NSO

"אנו מתייחסים לכל שימוש במוצרינו שאינו מיועד למלחמה בטרור ופשיעה כשימוש לרעה, ואוסרים זאת במסגרת החוזים שלנו. אם אנו מאתרים שימוש לא ראוי אנו פועלים בהתאם", המשפט הזה הופיע בתגובת NSO לתביעה, וזה המסר עליו חוזרת החברה בכל פעם. אם כך, NSO צריכה לעשות מאמצים כדי לאתר את המתקפה עליה מדברת ווטסאפ, ולהפסיק את הקשר עם הלקוחות שעשו שימוש בטכנולוגיה שלה כדי לתקוף פעילי זכויות אדם ועיתונאים.

רק בחודש שעבר פרסמה NSO כי היא מתאימה את עצמה לכללים המנחים של האו"ם והדגישה כי היא חברת הסייבר הראשונה לעשות זאת. מסמך מדיניות בנוגע לזכויות אדם אושר על ידי דירקטוריון והנהלת החברה, וכן הוכן מסמך מדיניות לתהליך של "מלשינון" - הגשת תלונות על ידי גורמים חיצוניים לחברה. אם כך, להלן התלונה של ווטסאפ, ועכשיו ש-NSO תוכיח כי היא אכן עומדת בסטנדרטים שהיא מתיימרת לקבוע לעצמה. בווטסאפ, אגב, טוענים כי הותקפו כ-1,400 איש, קנה מידה נרחב גם ביחס ל-NSO.

2. האם ל-NSO יש אחריות על השימוש בטכנולוגיה שלה?

ב-NSO נוהגים כאמור להדגיש כי הם מספקים את הטכנולוגיה לגופי מודיעין ואכיפת חוק, וכי השימוש בטכנולוגיה בפועל אינו באחריות החברה. כלומר, הם לא אלו שמבצעים את התקיפות עצמן. ניתן להניח כי פייסבוק לא תיסוג מהתביעה שהגישה נגד NSO בבית המשפט, דבר שרק יפגע בתדמית של פייסבוק עצמה. לכן, בית המשפט יצטרך לדון באחריותה של NSO - גם כשהיא לא מבצעת את התקיפות בפועל. ואגב, בווטסאפ טוענים כי החקירה שלהם העלתה מסקנות אחרות וכי ל-NSO יש לכאורה תפקיד יותר רחב ממה שהיא טוענת.

לא ניתן להקביל את NSO לחברה שמייצרת אקדחים, שיכולה לטעון שאין לה אחריות לעמוד בכללי השימוש בנשק. תקיפות טכנולוגיות נמצאות במקרה הטוב בשדה האפור. NSO אמנם מספקת את הנשק ולא זאת שלוחצת על ההדק, אבל כדי לעשות שימוש באותו נשק היא צריכה לעשות פעולות בלתי חוקיות כמו לפרוץ למכשירים: פעם אלו יכולים להיות מכשירים של טרוריסטים שמאפשרים להציל חיי אדם, ופעם אלו יכולים להיות (לכאורה) מכשירים של פעילי זכויות אדם, שנרדפים על ידי משטרים אפלים - כך לפי תחקירים שפורסמו ברחבי העולם ו-NSO נוהגת להכחיש. בחודש מאי האחרון הוגשה עתירה של ארגון אמנסטי לבית המשפט המחוזי בתל אביב בדרישה לבטל את רישיון היצוא של NSO, בשל טענה כי נעשה ניסיון להשתלט על מכשיר של איש בארגון. ואולם, הדיון במקרה הזה - במיוחד אם פייסבוק תלך עד הסוף ולא תסתפק בתביעה לצורך יחסי הציבור - עשוי להיות עקרוני ולהגדיר מחדש את כללי המשחק בעולם הווירטואלי.

3. האם לפייסבוק יש קייס משפטי?

לא במקרה פייסבוק היא החברה הראשונה שתובעת את NSO, ששמה נקשר בעבר בנוגע לניצול חולשות של סוגי מכשירים ותוכנות נוספים. אפל, למשל, הייתה יכולה לתבוע על ניצול חולשות במכשירי אייפון. יכול להיות שלא הצליחו עד כה לעקוב אחר מיהם הגורמים שהמכשירים שלהם נפרצו. אם אלו היו טרוריסטים למשל, סביר להניח כי גם ככה NSO או המשתמשים בטכנולוגיה שלה לא היו נתבעים. אולם לא בטוח שזאת הסיבה היחידה. כך למשל, לא ברור של מי האחריות - של זה שניצל את החולשה או של זה שפיתח את הפלטפורמה שבה קיימת חולשה.

גם במקרה הזה צפויה פייסבוק להתמודד עם קושי להוכיח את טענותיה. היא רוצה להוכיח כי נעשתה הפרה של חוק ששמו The Computer Fraud and Abuse Act, אך לפי מאמר באתר Wired"", שכלל ניתוח של החוק האמריקאי - זאת לא צפויה להיות משימה פשוטה. בווטסאפ יצטרכו להוכיח שהם יעד התקיפה ולא המשתמשים עצמם, ואולם לא נעשתה פריצה לשרתי ווטסאפ. מה שכן יכול לסייע לה בכך זה המאמצים להסוות את הפריצה כתעבורה רגילה.

לפי המאמר, שני דברים יקשו על פייסבוק במשפט: הראשון, שווטסאפ לא הזהירה את NSO לפני כן (פייסבוק כן זכתה בעבר בתביעה שהגישה בנוגע להפרת אותו סעיף, אך רק מכיוון שבאותו מקרה סיפקה אזהרה לאותה חברה מפרת חוק); והשני, שטענה להפרת תנאי השירות של אפליקציה - אחד הטיעונים האפשריים של ווטסאפ - לא נחשבת להפרת חוק. בווטסאפ מסרו בתגובה למאמר כי יש להם טיעונים נוספים, אך יציגו אותם רק בבית משפט.

4. פייסבוק דווקא מוכיחה את כוחה המופרז

במשך מספר שנים פייסבוק נחשבה לבשורה חיובית לדמוקרטיה - אך זאת כבר מזמן אינה התדמית של פייסבוק. היכולת לנצל את הרשת החברתית כדי להשפיע על בחירות ברחבי העולם, ובפרט פייק ניוז, הפכו אותה לאחד האתגרים הגדולים לדמוקרטיה בעולם. המלחמה שלה ב-NSO, שלכאורה מובילה לפגיעה בזכויות אדם, חייבת להיבחן בקונטקסט הזה. אולם לא בטוח שהדרך היא מחיקת החשבונות של עובדי NSO ברשתות החברתיות שבבעלות פייסבוק. בענקית הטכנולוגיה מנסים לשכנע שהם חלק מהפיתרון ולא חלק מהבעיה - אך יכול להיות שזה דווקא יחזק את התפיסה שהיא מחזיקה בכוח מופרז.