悪名高いスパイウェアメーカーNSOグループが静かに復活を企んでいる

大晦日、世界で最も高度なサイバー兵器の1つであるペガサススパイウェアを開発したイスラエルの企業NSOグループが、ひっそりと新たな透明性レポートを発表した。

27ページにわたるこの文書は、言葉遣いに細心の注意が払われ、謝罪の意さえ込められており、同社の人権コンプライアンス・プログラムをさらに強化するための回復力、進歩、そして責任を示すことを目的としている。文書によると、同社は「製品の不正使用の疑いに関する19件の調査を開始」し、その結果、6件の顧客アカウントが「停止または解約」されたという。さらに、この文書にはジャーナリストに関する専用セクションが設けられている。ペガサスの標的となっている世界中の5万人にも及ぶ人々の中で、ジャーナリストは重要なグループであり、このリストには50カ国以上の活動家、国家元首、その他の著名人も含まれている。

NSOグループの新たな透明性レポートは、2年以上ぶりとなる。スパイウェアベンダーであるNSOグループが、傷ついたイメージを刷新し、事業に打撃を与えた米国の規制を撤廃しようと躍起になっている中で発表された。この目標達成のため、サイバーインテリジェンス企業は数百万ドル規模のロビー活動を展開し、自社のスパイウェアを世界規模のセキュリティに不可欠なものと位置付けようとしている。

NSOの広報担当者はWIREDに対し、この報告書は「同社の継続的な人権擁護への取り組みと倫理基準の順守を強調するものであり、同時に顧客が公共の安全を維持できるようにしている」と語ったが、同社の慣行を調査した人々は同社の主張に懐疑的な見方を示している。

「これは全く意味のある透明性報告書ではありません」と、国連の言論・表現の自由の促進と保護に関する特別報告者として同社のポリシーを精査してきたカリフォルニア大学アーバイン校の法学教授、デビッド・ケイ氏は述べている。「これは主に、NSOグループが自社の活動を宣伝し、商用スパイウェア業界における自社のブランドを確立するために提示してきた既存の弁護や声明を焼き直したものに過ぎません。」

NSOグループは、2021年6月に1度だけ透明性レポートを発表しており、市民社会からは、同社製品の深刻な人権への影響に関する有意義な情報を提供する機会を逃したと広く批判されています。今回の最新の透明性レポートは、同社にとって数年にわたる波乱万丈の後に発表されました。2021年のペガサス事件の発覚を受け、米国政府は2021年11月にこのスパイウェアベンダーをエンティティリストに掲載しました。これは、政府の明確な承認なしに米国からの投資を受けることができないことを意味します。その後、同社は財務的に急落し、5億ドルの債務不履行を辛うじて回避したと報じられています。ブルームバーグによると、NSOの経営陣は事業売却を検討していました。

2022年8月、当時のCEOであるシャレブ・フリオ氏が辞任し、COOのヤロン・ショハット氏を後任に指名するとともに、100人の従業員を解雇した。債権者による強制的なリストラを経て、共同創業者のオムリ・ラヴィ氏がルクセンブルクに拠点を置くデュフレーヌ・ホールディングスを通じて、2023年5月にNSOの新たな所有者となった。こうした混乱の中、ジョー・バイデン米大統領は2023年3月、連邦政府機関による商用スパイウェアの使用を禁止する大統領令を発令した。2023年6月、ホワイトハウスはNSOの資産買収に関心を持つ米国企業に対し、買収が米国政府への対諜報活動上の脅威となる可能性があるとして警告を発した。

その後、ハマスがイスラエルを攻撃しました。それ以来、NSOは紛争状況においてペガサスのようなツールの価値を具体的に示す立場にあります。報道によると、このサイバーインテリジェンス企業は、同じく米国からブラックリストに載せられているNSOの競合企業カンディルと共に、ハマスに拉致された人々の追跡においてイスラエルの治安機関を支援するためにボランティア活動を行っています。

「イスラエル国内外の政府関係者は、なぜNSOが必要なのかを以前よりずっとよく理解している」と、NSOの活動を直接見てきた内部関係者は11月にAxiosに語ったと報じられている。

NSOはこの機会を捉え、「善玉」の側としてブランドイメージを刷新し、バイデン政権との関係を進展させ、最終的には自社製品の販売禁止措置を覆そうとしているようだ。ロビー活動に関する開示文書によると、このスパイウェアベンダーはイメージ回復を成功させるため、政府広報会社Chartwell Strategy Groupや、Paul Hastings LLP、Steptoe、Pillsbury Winthrop Shaw Pittmanといった法律事務所を含む複数の広報コンサルティング会社や法律事務所と提携している。過去3年間、NSOは英国のBluelight StrategiesとCherie Blair氏のOmnia Strategyにもサービス提供している。

「NSOグループは複数の企業と契約を結んでいましたが、これは珍しいことではありませんが、同社の影響力行使活動の複雑さを反映していると言えるでしょう」と、米国の政治支出を追跡する非営利団体OpenSecretsの研究員、アナ・マッソグリア氏は述べている。OpenSecretsによるロビー活動開示法（LDIA）および外国代理人登録法（FARA）の提出書類の分析によると、NSOは2020年以降、ワシントンへのロビー活動に総額310万ドルを費やしている。そのうち少なくとも89万7000ドルは2023年だけで支出されており、年末の数か月分の支払いもまだ報告されている。

ロビー活動は主に親イスラエル派の共和党員を対象としているが、それだけではない。「NSOグループに所属する外国のエージェントは最近、こうした活動の一環として大統領府や議会の関係者にも接触したと報告している」とマソグリア氏は述べている。

11月7日、ポール・ヘイスティングス法律事務所はNSOを代表して書簡を送り、アントニー・ブリンケン米国務長官および他の国務省関係者との緊急会談を要請し、「イスラエル、中東、そして世界における現在の安全保障状況は、サイバーインテリジェンス技術の活用の必要性と緊急性を改めて浮き彫りにしている」と強調した。

今のところ、NSOによるワシントンの好意を取り戻そうとする努力はほとんど効果を上げていないようだ。「圧力はあったものの、こうしたキャンペーンの効果は限定的だ」と、カーネギー国際平和財団のシニアフェロー、スティーブン・フェルドスタイン氏は言う。「スパイウェアの害は周知の事実であり、企業が本質的に侵入的で権利を侵害するソフトウェアの利点を巧みに利用する方法には限りがある」

11月にポリティコの取材に応じたバイデン政権高官によると、NSOグループに対する米国政府の制裁政策が変更される可能性は低いという。「この規則が変更されない限り、NSOの将来の（米国）市場における潜在力は非常に制限される」とフェルドスタイン氏は述べている。それでも、NSOはグローバルな事業展開を継続するために、ロビー活動、広報活動、透明性向上のための取り組みに投資する必要がある。

「NSOのビジネスモデルは、新規顧客の獲得とスパイウェアの増殖による利益に依存しています。これが成長モデルであり、必然的にスパイウェアは悪用者の手に渡ることになります。そして、彼らはそれを放棄する気配を見せていません」と、トロント大学シチズン・ラボの上級研究員で、NSOグループの製品の暴露に尽力してきたジョン・スコット＝レールトン氏は語る。「ちなみに、NSOが最後に透明性レポートを発表したのは、その後数年にわたる悪用スキャンダルが続いた後のことでした。」

米国では、エンティティリストは「大手スパイウェア企業に悪質な行為に対する潜在的な影響について戦慄を抱かせている」が、フェルドスタイン氏は、欧州や輸出管理規則がより緩い他の国を経由して輸出するなど、回避策は存在すると述べている。例えば、キプロスはEU加盟国の中で唯一、ワッセナー・アレンジメントに参加していない。ワッセナー・アレンジメントは、スパイウェアを含む武器や技術の販売を規制することを目的とした、42カ国が署名した多国間輸出管理体制である。

EUレベルの法整備の弱さも、スパイウェアの蔓延を許しています。12月に予備投票を通過した欧州メディア自由法（EMFA）は、EU加盟国が一定の条件下でスパイウェアを展開できることを明確に規定しています。デジタル権利擁護団体は、暫定合意文書に国家安全保障上の例外規定が残されたことで、EU加盟国はEU法の保護枠組みの外でジャーナリストに対してスパイウェアを展開できる可能性があると強調しています。

「EMFAは完璧ではありませんが、少なくともそのようなツールの普及を制限しようとしています」と、EU議員ハンナ・ノイマン氏はWIREDに語った。彼女はさらに、自身もメンバーだった欧州議会のスパイウェア調査委員会の多くの委員が、欧州委員会が抜け穴を塞ぐための立法提案を提示していないことに「不満を抱いている」と付け加えた。

2022年時点で推定120億ドル規模の世界的なスパイウェア業界は、今後も事業継続のためにあらゆる手段を講じ続けるだろう。「スパイウェア企業を締め出そうとする圧力が高まるにつれ、スパイウェア企業は市場維持のためにさらに努力を強めている」とカー​​ネギー研究所のフェルドスタイン氏は述べている。

NSOグループのような有名企業が倒産したとしても（確かに可能性は低いでしょうが）、スパイウェア市場が消滅することはないはずです。フェルドスタイン氏は、むしろ分散化が進み、小規模な企業がその穴を埋める機会が増えると考えています。「需要と資金がある限り、企業はこうした契約を求めるでしょう」と彼は言います。