タグ: NSO Group（企業）

TechCrunch Global Affairs Projectとは、ますます複雑に絡み合うテクノロジー分野と世界政治の関係性を検証するためのプロジェクトである。

スパイウェアを購入するような政府には「公共の安全を脅かすテロなどの脅威と戦う必要性」という共通の口実がありがちである。しかし、独裁政権が最先端の監視テクノロジーを手に入れるとき、それは活動家、ジャーナリスト、学者など、脅威とみなされる反対派の声に対して使われる場合があるというのも周知の事実である。所有者の知らないうちに携帯電話やその他のハードウェアを感染させ、動きを追跡して情報を盗むために使われるスパイウェアプログラムは、銃と同じように確実に弾圧の道具となるのである。

21世紀に起きているこの現実を無視するには、あまりにも多くの事例が立証されている。しかし企業らは、それが何を意味するのかをあたかも知らないふりをしてスパイウェアを専制君主制の政府に売り続けている。この傾向は、世界中の政治的反体制者コミュニティを揺るがし、彼らを逮捕、さらにはもっと悪い事態に追いやっているのである。

我々はこういったテクノロジーの被害者になったことがあるため、この事実をよく知っている。サウジアラビアから帰化したアメリカ人と、イギリス人の学者として、同記事の共同筆者2人は、多くの同僚とともにこういったテクノロジーの被害にあったのである。

私たちの1人、Ali Al-Ahmed（アリ・アル・アハメッド）は、サウジアラビア政府がTwitter（ツイッター）から個人情報を盗み出し、それを使ってアハメッドのTwitterのフォロワーを追跡し、投獄し、拷問するのを目撃した。

もう1人のMatthew Hedges（マシュー・ヘッジス）は、アラブ首長国連邦に研究に来ていた大学院生で、後に入国前から当局に携帯電話をハッキングされていたことが発覚している。ヘッジスは2018年に逮捕された後にスパイ容疑で起訴され、当初は終身刑の判決を受けている。最終的には6カ月間拘束されたのだが、その間も手錠をかけられ、衰弱させる薬物が投与されていた。

こういった痛々しい体験は未だどこかで繰り広げられている。今私たちは米国や英国に住んでいるため比較的安全だが、これらの体験はあまりにも一般的なものなのになっている。権威主義的な政権が国際法や人権のあらゆる原則に反して、日々人々に与えている継続的かつ体系的な虐待を、これらの体験が浮き彫りにしているのである。

独裁政権が市民の行動を逐一追跡できるのは、それを可能にしているスパイウェアベンダーの責任でもある。自社の製品がこのように利用されていることに目をつぶっている企業を民主主義政府が確実に取り締まるまで、世界中の反体制派は背中を狙われることになるだろう。

米国を含む民主主義諸国は今、この乱用を抑制するために断固とした行動をとるべきなのである。西欧の民主主義国の指導者たちはビッグテックを抑制する必要性について議論を続けているが、政府の規制とテック企業の果てしない綱引きの中で「ユーザーが一番の犠牲者になっている」と、監視組織のFreedom House（フリーダムハウス）の新たな報告書は伝えている。いつでも自国の政府の餌食になるのは一般のオンライン市民なのである。

中国やロシアは国家ぐるみのハッキングや弾圧を行い、その規模の大きさから世界的にも注目されている。しかし、サウジアラビアのような米国の同盟国も、しばしば最悪の犯罪者であることが少なくない。

例えばサウジアラビア、アラブ首長国連邦、バーレーンなど、反体制派に対して最も冷酷な扱いをする中東の国々は、イスラエル企業のNSO Group（NSOグループ）からスパイウェアを購入している。これらの政府はNSOのPegasusソフトウェアを使って人権活動家や批評家の電話を次々とハッキングしており、その多くは自国の国境をも越えている。

ドバイの支配者、Sheikh Mohammed bin Rashid Al Maktoum（シェイク・ムハンマド・ビン・ラーシド・アル・マクトゥーム）氏のように、こうした政権を支配する独裁者が純粋に個人的な動機で動いている場合もある。イギリスの裁判所は、同氏がPegasusを使って元妻とその子どもたち数人をスパイしていたことを明らかにした。

これは、NSO Groupの関係者がある夜遅くにイギリスの著名な弁護士に電話をして、監視について密告したため世間に知られることになった。首長がPegasusを悪用したこともそうだが、同氏が自分たちの技術を不正に使っていたことをNSO Groupが認知していたというのはそれ以上に穏やかでない。このケースでは、上級管理職の人間も内部告発をするのに十分な露出度を感じていたようだが、同社は顧客による他の不正行為について明かしていない。

人権侵害で有名な警察や諜報機関にスパイウェアを売っているのは何もNSO Groupだけではない。イスラエルのCandiruやCyberbitも同様のビジネスをしているし、ドイツのFinfisherやイタリアのHacking Team（2015年のスキャンダルを経て現在はMemento Labsに改名）の製品も、虐待との関連が指摘されている。

NSOは、サウジアラビアとアラブ首長国連邦がPegasusを悪用したとして契約を打ち切ったと報じられているが、企業の自己強化だけでは十分ではない。民主主義国家はこれらの企業に対し、製品が人権侵害に使われれば輸出禁止の制裁が下り、企業幹部も制裁を受けることになるという明確なメッセージを送るべきだ。

もう1つの重要なステップとして、米国商務省と英国や欧州連合（EU）などの民主主義諸国が、乱用を可能にしている企業との取引を制限するためのブラックリストを拡大することが挙げられる。米国商務省はすでに、NSO Group、Candiru、ロシアのPositive Technologies、シンガポールのComputer Security Initiative Consultancyを「Entity List」に登録しており、これらの企業は特別なライセンスなしに米国の販売者から部品を購入することができない。しかし、こういったことを世界規模で行えば、さらなる効果を発揮するはずだ。

また、民主主義国はスパイウェアの使用に関するオープンで統一されたルールを確立すべきである。先週、ホワイトハウスでは、権威主義と戦い、人権を促進することを目的とした、世界のリーダーたちによるバーチャル「Summit for Democracy（民主主義サミット）」が開催された。この連合が活動を開始するにあたり、スパイウェアはその最重要議題となるべきだ。

電子諜報活動とデジタル抑圧の新時代に突入した今、規制や法的保護を強化することによってのみ、民主主義国家はその存続を確保することができ、言論の自由を実現し、市民の福利を守ることができるのである。

編集部注：Ali Al-Ahmed（アリ・アル・アーメド）氏はInstitute for Gulf Affairsの創設者でありディレクター。Matthew Hedges（マシュー・ヘッジ）博士は、エクセター大学の博士研究員として教鞭をとっている。

画像クレジット：filo / Getty Images

［原文へ］

（文：Ali Al-Ahmed、Matthew Hedges、翻訳：Dragonfly）

NSO Group（NSOグループ）が開発したスパイウェア「Pegasus（ペガサス）」によって携帯電話がハッキングされたジャーナリスト、活動家、人権擁護者などの既知のターゲットすべてを、初めて研究者がマッピングで表してみせた。

ロンドン大学ゴールドスミス校の人権侵害を調査する学術ユニット「Forensic Architecture（フォレンジック・アーキテクチャー）」は、人権団体から提出された数十の報告書を精査し、オープンソースの調査を実施。数十人の被害者本人にインタビューを行った結果、デバイスの感染状況を含む1000以上のデータを明らかにした。これらのデータは、NSOの顧客である各国政府が行ったデジタル監視と、被害者が実際に受けている脅迫、いやがらせ、暴力との関係やパターンを示している。

研究者たちは、これらのデータを独自のプラットフォームにマッピングすることで、Pegasusを使って被害者をスパイする国家が、そのネットワーク内の他の被害者をターゲットにすることもあり、さらにターゲットとされた人物だけでなく、その家族、友人、同僚も、攻撃、逮捕、偽情報キャンペーンの被害にどれだけ巻き込まれているかを示すことができた。

1000件を超えるデータは、各国政府によるPegasusの使用状況の一部に過ぎないが、このプロジェクトが目的としているのは、スパイウェアメーカーのNSOが極力表に出さないようにしている同社の世界的な活動に関するデータとツールを、研究者や調査員に提供することである。

イスラエルに拠点を置くNSOグループが開発したスパイウェアのPegasusは、その顧客である政府機関が被監視者の端末に、個人情報や位置情報を含めてほぼ自由にアクセスできるようにするものだ。NSOグループは、これまで何度も顧客名の公表を拒否してきたが、少なくとも45カ国で政府機関と契約を結んでいると報じられている。その中には、ルワンダ、イスラエル、バーレーン、サウジアラビア、メキシコ、アラブ首長国連邦など、人権侵害が指摘されている国の他、スペインなどの西欧諸国も含まれている。

今回の調査を担当したForensic Architectureの研究員であるShourideh Molavi（ショウリデ・モラビ）氏は「私たちの住むデジタル領域が、人権侵害の新たなフロンティアとなっており、そこで行われる国家による監視と脅迫が、現実空間における物理的な暴力を引き起こしていることが、調査結果から明らかになりました」と述べている。

このプラットフォームでは、政府の最も率直な批判者を標的としたキャンペーンから、どのようにして被害者がスパイウェアと物理的暴力の両方の標的となったかを、視覚的なタイムラインで示している。

モントリオールに亡命中のサウジアラビア人ビデオブロガーで活動家のOmar Abdulaziz（オマル・アブドゥルアジズ）氏は、2018年にマルウェアのPegasusによって自分のスマートフォンをハッキングされた。それはサウジの使者がアブドゥルアジズ氏に王国に戻るよう説得した直後のことだった。その数週間後、サウジアラビアに住む彼の兄弟2人が逮捕され、彼の友人たちも拘束された。

アブドゥルアジズ氏は、サウジアラビアの事実上の支配者であるMohammed bin Salman（ムハンマド・ビン・サルマン）皇太子が殺害を承認したWashington Post（ワシントン・ポスト紙）のジャーナリストでありJamal Khashoggi（ジャマル・カショギ）氏の親友であり、彼のTwitter（ツイッター）アカウントに関する情報も「国家が支援する」実行者に盗まれた。後にその犯人は、Twitterに勤務していたサウジアラビアのスパイであることが判明した。Yahoo! News（ヤフー・ニュース）が先週報じたところによると、この盗まれたデータには、アブドゥルアジズ氏の電話番号も含まれており、それを利用してサウジアラビアは彼の携帯電話に侵入し、カショギ氏とのメッセージをリアルタイムで読み取っていたという。

オマル・アブドゥルアジズ氏は、国家によるデジタル監視の被害者として知られる数十人のうちの1人だ。青色の点はデジタル的な侵入を、赤色の点は嫌がらせや暴力などの物理的な出来事を示す。（画像クレジット：Forensic Architecture）

メキシコ人ジャーナリストのCarmen Aristegui（カルメン・アリステギ）氏も、被害者として知られる1人で、2015年から2016年にかけて、メキシコである可能性が高いPegasusの顧客政府によって、携帯電話が何度もハッキングされていた。トロント大学のCitizen Lab（シチズン・ラボ）によると、彼女の息子で当時未成年だったEmilio（エミリオ）氏も、米国に住んでいる間に携帯電話が狙われていたという。アリステギ氏とその息子、そして彼女の同僚に対するデジタル侵入の時系列を見ると、彼女らがメキシコのEnrique Peña Nieto（エンリケ・ペーニャ・ニエト）大統領（当時）の汚職を暴露した後、ハッキング活動が激化したことがわかる。

「このマルウェアは、カメラやマイクなど、私たちの生活と不可分な機器を作動させることができます」と、このプロジェクトに協力したジャーナリストで映画監督の Laura Poitras（ローラ・ポイトラス）氏によるインタビューで、アリステギ氏は述べている。携帯電話を狙われた息子について、アリステギ氏は次のように語った。「ただ学校に通うだけの生活をしている子どもが狙われるということは、国家がいかに我々が対抗し得ない侵害を行うことができるかを物語っています」。なお、NSOは米国内の携帯電話を標的にしていないと繰り返し主張しているが、Pegasusと同様のPhantom（ファントム）と呼ばれる技術を、米国の子会社であるWestbridge Technologies（ウェストブリッジ・テクノロジーズ）を通じて提供している。

「国家が、あるいは誰かが、このような『デジタル暴力』のシステムを使うことで、ジャーナリズムの責務に途方も無いダメージを与えることができます」と、アリステギ氏はいう。「結局はそれがジャーナリストに大きな痛手を与え、社会が情報を維持する権利に影響を及ぼすことになるのです」。

タイムラインは、カルメン・アリステギ氏とその家族、同僚がデジタルで狙われた時（青）と、オフィスへの侵入、脅迫、デマ情報キャンペーン（赤）の発生が絡み合っていることを示している。（画像クレジット：Forensic Architecture）

このプラットフォームは、NSOグループの企業構造に関するAmnesty International（アムネスティ・インターナショナル）による最近の調査結果にも基づいている。この調査では、NSOのスパイウェアが、その顧客や活動を隠すために、複雑な企業ネットワークを利用して、国家や政府に拡散していったことを明らかにした。Forensic Architectureのプラットフォームは、2015年にNSOが設立されて以来の民間投資の痕跡を追っている。このような民間資本が、イスラエルの輸出規制によって、通常は制限されているはずの政府へのスパイウェアの販売を、NSOに「可能にさせた可能性がある」という。

NSOグループのスパイウェアであるPegasusは、イスラエルの軍産複合体による他の製品と同様、現在進行中のイスラエルによる占領下で開発された武器として考え、取り扱う必要がある。Forensic ArchitectureのディレクターであるEyal Weizman（エヤル・ワイツマン）氏は「世界中で人権侵害を可能にするために輸出されているのを見ると失望します」と語っている。

このプラットフォームが起ち上げられたのは、NSOが先週、最初のいわゆる透明性報告書を発表した直後のことだった。この報告書は、人権擁護団体や安全保障研究者から、意味のある詳細が何もないと批判されていた。アムネスティ・インターナショナルは、この報告書は「営業用パンフレットのようだ」と述べている。

NSOグループは声明の中で、実際に見ていない研究についてはコメントできないとしながらも「不正使用についての信憑性のある申し立てはすべて調査し、NSOは調査結果に基づいて適切な措置を取る」と主張している。

NSOグループは、同社の技術を「米国内でのサイバー監視に使用することはできないし、これまで米国の電話番号を持つ電話機にアクセスできる技術を与えられた顧客はいない」と主張し、政府系顧客の名前を明かすことは拒否した。

関連記事：ジャーナリスト36人以上のiPhoneが「ゼロクリック」スパイウェアにハックされていたことが発覚

カテゴリー：セキュリティ

タグ：スパイウェア、NSO Group、ハッキング、人権、暴力、個人情報、プライバシー

画像クレジット：Forensic Architecture / supplied

［原文へ］

（文：Zack Whittaker、翻訳：Hirokazu Kusakabe）