Last Updated on 2024-07-04 08:35 by admin
2024年3月2日、アメリカの裁判所は、イスラエルのスパイウェアベンダーであるNSO Groupに対し、Pegasusおよびその他の製品のソースコードをMeta（旧Facebook）に提供するよう命じた。この判決は、Metaが2019年10月にNSO Groupを訴えた訴訟の中での大きな法的勝利である。訴訟は、NSO Groupが2019年4月から5月にかけて約1,400台のモバイルデバイスにスパイウェアを配布するためにWhatsAppのインフラを使用したと主張している。攻撃対象には、24人のインドの活動家やジャーナリストも含まれていた。これらの攻撃は、当時のゼロデイ脆弱性（CVE-2019-3568、CVSSスコア：9.8）を利用し、音声通話機能のバッファオーバーフローのバグを介して、通話をかけるだけでPegasusを配信した。さらに、攻撃チェーンには、検出を回避するために着信通話情報をログから消去する手順が含まれていた。
裁判所の文書によると、NSO Groupは、攻撃が行われたとされる期間の1年前から1年後（2018年4月29日から2020年5月10日まで）に関する「関連するスパイウェアの完全な機能に関する情報」を提供するよう求められている。ただし、WhatsAppが「関連するスパイウェアの完全な機能から同じ情報を得ることができる」として、この時点でサーバーアーキテクチャに関する具体的な情報の提供は求められていない。より重要なことに、NSO Groupは顧客の身元を明かさなくてもよいことになった。
アムネスティ・インターナショナルのセキュリティラボの責任者であるDonncha Ó Cearbhaillは、「裁判所の決定は前向きな発展であるが、不法なターゲティングに責任があるNSO Groupの顧客の身元を引き続き秘密にしてよいとされたことは残念である」と述べた。NSO Groupは2021年に、外国政府にサイバー兵器を開発・供給し、これらのツールを使用して政府関係者、ジャーナリスト、ビジネスマン、活動家、学者、大使館職員を悪意を持って標的にしたとして、アメリカによって制裁を受けた。
また、Recorded Futureは、Intellexa Allianceによって管理される傭兵型モバイルスパイウェアであるPredatorに関連する新しい多層配信インフラストラクチャを明らかにした。このインフラストラクチャネットワークは、アンゴラ、アルメニア、ボツワナ、エジプト、インドネシア、カザフスタン、モンゴル、オマーン、フィリピン、サウジアラビア、トリニダード・トバゴなどの国々におけるPredatorの顧客と高い確率で関連している。ボツワナとフィリピンのPredator顧客はこれまで特定されていなかった。
【ニュース解説】
2024年3月2日、アメリカの裁判所は、イスラエルのスパイウェア開発会社であるNSO Groupに対し、同社が開発したスパイウェア「Pegasus」およびその他の製品のソースコードを、ソーシャルメディア大手のMeta（旧Facebook）に提供するよう命じました。この判決は、Metaが2019年10月にNSO Groupを訴えた訴訟における大きな法的勝利となります。Metaは、NSO GroupがWhatsAppのインフラを利用して、2019年4月から5月にかけて約1,400台のモバイルデバイスにスパイウェアを配布したと主張しています。これには、インドの活動家やジャーナリスト24人も含まれていました。
この事件の背景には、WhatsAppの音声通話機能に存在したゼロデイ脆弱性（CVE-2019-3568、CVSSスコア：9.8）が利用され、通話をかけるだけでPegasusスパイウェアを配布することが可能でした。さらに、攻撃者は検出を回避するために着信通話情報をログから消去する手段を講じていました。
裁判所の決定により、NSO Groupは攻撃が行われたとされる期間の1年前から1年後までの「関連するスパイウェアの完全な機能に関する情報」を提供することが求められました。ただし、WhatsAppがスパイウェアの完全な機能から同じ情報を得られるため、サーバーアーキテクチャに関する具体的な情報の提供は必要ないとされました。また、NSO Groupの顧客の身元については明かさなくても良いとされましたが、これには批判の声も上がっています。
この事件は、スパイウェアを用いた監視活動がどのように進行しているか、そしてそれがどれほど広範囲に及んでいるかを示しています。スパイウェアの存在は、個人のプライバシー保護とセキュリティに対する深刻な脅威となっており、政府や企業、個人に対する不正な監視や情報収集の手段として利用されています。
このような背景の中、スパイウェアのソースコードの提供命令は、スパイウェアの仕組みや機能を理解し、それに対抗するための対策を講じる上で重要な意味を持ちます。しかし、スパイウェア開発企業の顧客情報が秘匿され続けることは、不正な監視活動の根絶に向けた取り組みにおいて障壁となり得ます。
長期的な視点では、このような判決がスパイウェアの使用に対する法的な規制や国際的な枠組みの強化につながる可能性があります。また、スパイウェアの開発や使用に対する社会的な認識の高まりが、プライバシー保護とセキュリティ強化に向けた取り組みを加速させることが期待されます。
from U.S. Court Orders NSO Group to Hand Over Pegasus Spyware Code to WhatsApp.
“裁判所、NSO GroupにPegasusソースコード提供を命令：Metaの法的勝利” への1件のコメント
このニュースについて、私はいくつかの観点から意見を述べたいと思います。まず、裁判所によるNSO Groupへのソースコード提供命令は、スパイウェアによる不正な監視活動に対する強いメッセージとなり、個人のプライバシー保護の観点からは前向きなステップだと考えます。私たちの電気店でも、お客様からセキュリティ対策についてよく相談を受けます。Pegasusのような高度なスパイウェアが存在することを知ると、多くの人々が自分の情報の安全に対して不安を感じていることがわかります。
しかし、NSO Groupの顧客の身元が明かされないままである点については、私も不満を感じます。スパイウェアの使用者が誰であるかを知ることは、不正な監視活動の根絶に向けた取り組みにおいて非常に重要です。特に、政府関係者やジャーナリストなどが標的にされている場合、誰がこれらのツールを使用しているのかを把握することは公共の利益に資するはずです。
さらに、この事件は、スパイウェアがどれほど広範囲に及んでいるかを改めて示しています。私たちのような小さな電気店でも、セキュリティ対策に関する知識を持つことが重要だと感じます。お客様に安心してデバイスを