イスラエル企業のスマホ向けスパイウェア「Pegasus」のコードをWhatsAppに引き渡すよう裁判所が命じる

イスラエルのソフトウェア企業であるNSO Groupが開発したスパイウェア「Pegasus」は、スマートフォンに感染して通話内容や位置情報を含むさまざまなデータを収集することが可能であり、世界中で政治活動家やジャーナリストの監視に用いられていたことが判明しています。新たにアメリカの裁判所が、NSO Groupに対してPegasusのソースコードをMeta傘下のWhatsAppへ引き渡すよう命じました。
Court orders maker of Pegasus spyware to hand over code to WhatsApp | WhatsApp | The Guardian
https://www.theguardian.com/technology/2024/feb/29/pegasus-surveillance-code-whatsapp-meta-lawsuit-nso-group

WhatsApp finally forces Pegasus spyware maker to share its secret code | Ars Technica
https://arstechnica.com/tech-policy/2024/03/whatsapp-finally-forces-pegasus-spyware-maker-to-share-its-secret-code/
NSO Group must hand over Pegasus source code, court rules
https://appleinsider.com/articles/24/03/02/whatsapp-gains-pegasus-source-code-access-in-court-victory
Pegasusはひとたびスマートフォンに感染すると、テキストメッセージ・写真・通話履歴・ソーシャルメディア上での投稿・パスワード・連絡先・ムービー・録音ファイル・閲覧履歴といったありとあらゆるデータを収集できます。また、カメラやマイクを勝手に有効化したり、通話内容を傍受したりすることも可能です。
NSO Groupはイスラエル国防省と密接な関係を築いていると考えられており、ガザ地区との軍事紛争に関連してイスラエル国防省がNSO Groupに協力を要請したことも報じられています。The Guardianによると、NSO Groupのスパイウェア製品のソースコードは国家機密のように扱われており、スパイウェアの販売はイスラエル国防省によって厳しく監視され、承認を受けた外国の政府機関や諜報機関にのみ販売されているとのこと。長年にわたる調査により、ポーランド・サウジアラビア・ルワンダ・インド・ハンガリー・アラブ首長国連邦などが、人々を監視するためにNSO Groupのスパイウェアを使っていたことが確認されています。
NSO GroupはあくまでPegasusを「法執行機関や諜報機関がテロリストや児童虐待などの犯罪者と戦い、国家安全保障を守るためのツール」と主張しています。しかし、実際にはさまざまな国々で反体制派の政治活動家やジャーナリスト、さらに国家元首などの監視に用いられていたことがわかっています。また、2018年にトルコのサウジアラビア総領事館内で殺害されたサウジアラビア人ジャーナリストのジャマル・カショギ氏の妻のスマートフォンも、Pegasusにより監視されていたことが報じられました。
スマホ監視ソフト「Pegasus」が20カ国で180人以上のジャーナリスト監視に用いられていた可能性 - GIGAZINE

そんな中、メッセージングアプリのWhatsAppはNSO Groupを相手取り、WhatsAppおよびFacebookのシステムへのアクセスを永久に差し止めることを要求する裁判を起こしました。WhatsAppの主張は、「NSO GroupがPegasusを用いて1400人ものWhatsAppユーザーをスパイし、暗号化されたメッセージを含む機密データに不正にアクセスした」というもので、その中でPegasusの全機能を調査するためにソースコードの引き渡しを求めています。
暗殺や脅迫を生み出した世界規模のハッキングを巡りWhatsAppがイスラエルのテクノロジー企業を提訴 - GIGAZINE

当初、NSO Groupは「アメリカとイスラエルの間にあるさまざまな制限」に基づいてデータ開示は免除されると主張しましたが、この包括的な要求は却下されました。その後、NSO Groupは「Pegasusのインストール層の情報」のみを開示するだけで十分だと主張しましたが、アメリカ連邦地方裁判所のフィリス・ハミルトン判事はこの主張も拒否しました。
ハミルトン氏は2024年2月下旬の判決で、「関連するスパイウェアのインストール層のみの機能を示す情報では、原告は関連するスパイウェアがデータにアクセスして抽出する機能をどのように実行するかを理解できません」と述べ、2018年4月29日～2020年5月10日にわたるスパイウェアの全機能に関する情報開示を命じました。一方、NSO Groupのサーバーアーキテクチャや顧客の名前については、開示しなくてよいと判断されたとのことです。
WhatsAppの広報担当者は、「今回の裁判所の判決は、WhatsAppユーザーを違法な攻撃から守るという、当社の長期的な目標における重要なマイルストーンです。スパイウェア企業やその他の悪意のあるアクターは逮捕される可能性があり、法律を無視することはできないと理解する必要があります」とコメントしました。
なお、裁判自体は継続中であり、公判は2025年3月3日に開始される予定です。