被WhatsApp起訴還不怕　間諜軟體「飛馬」持續監控WhatsApp

美國陪審團近期裁定，以色列間諜軟體開發商NSO集團必須向Meta旗下的WhatsApp支付超過1.67億美元賠償金，結束了這起始於2019年10月、長達五年的訴訟。WhatsApp當初控告NSO利用該平台語音通話的漏洞，針對至少1,400名用戶進行間諜軟體攻擊，手段為無需使用者操作的「零點擊攻擊」，引發國際間資安社群關注。

根據《Tech Crunch》報導指出，根據WhatsApp律師佩雷茲（Antonio Perez）在庭上說法，NSO建立了專用的「安裝伺服器」，可透過假冒的WhatsApp來電發送惡意訊息，一旦手機接收訊息後即會連接第三方伺服器，自動下載名為Pegasus（飛馬）的間諜軟體。這類攻擊只需取得目標電話號碼即可實施，無需使用者進行任何操作。

而雖然WhatsApp早在2019年就提告，但期間NSO集團仍未停止相關行為。NSO研發副總裁加茲內利（Tamir Gazneli）在庭上承認，即使案件進行中，公司仍持續利用Pegasus監控WhatsApp用戶。他提及代號為「Erised」的攻擊版本持續至2020年5月，另有名為「Eden」與「Heaven」的變體，這三者統稱「Hummingbird」。

庭審中還揭露更多內部細節，包括NSO在以色列特拉維夫郊區赫茲利亞（Herzliya）設有總部，與Apple共用同一棟14層大樓，NSO占據頂樓五層，而iPhone正是Pegasus常見的攻擊目標。執行長索哈特（Yaron Shohat）對此笑稱「我們搭同一部電梯上樓。」

在庭審中也證實一件事情，Pegasus曾於2022年被用於美國號碼的測試。NSO律師阿克羅提利亞納基斯（Joe Akrotirianakis）表示，這是為向潛在美國政府客戶展示特製版Pegasus，唯一針對+1號碼開頭的例外。聯邦調查局（FBI）試用後並未部署該工具。

審判還揭露NSO與母公司Q Cyber員工總數為350至380人，Q Cyber約佔50人。2023年NSO虧損900萬美元，2024年虧損進一步擴大至1,200萬美元，公司現金流不穩，截至2024年帳戶餘額僅剩510萬美元。月支出約達1,000萬美元，主要用於員工薪資。Q Cyber則在同年帳戶中保有320萬美元。

NSO每年在研發上也投入鉅額資金。2023年研發部門支出為5,200萬美元，2024年更上升至5,900萬美元。Pegasus的使用授權費從300萬美元起跳，高者可達數倍，視客戶與需求而定。索哈特在法庭上坦言，公司現已面臨資金困境，無法負擔賠償金額，只能盡力維持營運。

NSO過去因Pegasus遭濫用監控記者、人權人士與政治異議人士而聲名狼藉，庭審過程除揭露其商業手法與資安手段，也引發外界對間諜技術擴散的深刻憂慮。儘管Meta在官司中取得法律勝利，但NSO仍表示將提出上訴，持續捍衛其業務正當性。

文章出處：CTWANT｜作者：廖梓翔