メキシコのNGOとカナダの技術研究所による調査で、メキシコ政府がジャーナリスト、弁護士、活動家の携帯電話を違法に標的にし、スパイ活動を行っていることが明らかになった。
R3D、SocialTic、Article 19、CitizenLabは、政府が特定の個人の携帯電話にマルウェアのリンクを送信しており、通常は非常に個人的なメッセージで、クリックして騙されなかった場合は家族にまで送信していると報告している。
これらの攻撃は、適切な司法審査を受けずに実行されたことはほぼ確実で、イスラエルのNSOグループが開発し、政府専用に販売されている「ペガサス」というソフトウェアを使用している。
このマルウェアは、iOSやAndroidなどの一般的なオペレーティングシステムのゼロデイ脆弱性を悪用することで機能します。ユーザーにテキストメッセージやメールが送信され、リンクをクリックするように誘導されます。
携帯電話にスパイウェアをインストールするためのペガサスプロセス
メキシコで拡散されたマルウェアメッセージは、個人が関心を持つニュース記事を装うものから、自宅の外に武装した男たちの写真だとするもの、標的の1人の夫が同僚と性行為をしている動画だとするものまで、多岐にわたる。
偽の児童誘拐警報、メキシコの米国大使館から発信されたと称するメッセージ、偽の電話料金請求書など、被害者の興味をそそり、添付のリンクをクリックさせそうなものはすべてありました。
こうした取り組みの対象には汚職を報道するジャーナリストや残虐行為を調査する捜査官や人権弁護士などが含まれており、携帯電話への侵入を試みることには慣れているものの、リンクをクリックして空白ページが表示されて驚いたという報告が多数ある。
仕組み
しかし、その空白ページの背後には、NSOグループのPegasusソフトウェアを搭載したサーバーが存在します。このサーバーは、携帯電話で動作しているオペレーティングシステムを認識し、ゼロデイ脆弱性を突いてジェイルブレイク（脱獄）を実行します。
CitizenLab の調査では、3 つのゼロデイ脆弱性攻撃の連鎖が確認されました。1 つの脆弱性が次の脆弱性への扉を開き、最終的には外部の第三者が携帯電話のカメラやマイクにアクセスでき、送信されたメッセージをすべて記録し、携帯電話の位置を追跡できるようになります。
捜査官らは、ペガサスシステムの仕組み（このシステムは同社が特定のサーバーにインストールする必要があり、NSOグループは厳格な政府専用ポリシーを掲げている）から、メキシコのジャーナリストや弁護士に送られたメッセージは政府から発信されたものだと確信している。
この会社は2010年にイスラエルで、同国のエリート諜報部隊「8200」の元メンバーによって設立されました。何度か社名を変更しており、最近では米国のプライベートエクイティファンド、フランシスコ・パートナーズが1億2000万ドルで過半数の株式を取得した際に社名を変更しました。LinkedInのページによると、年間売上高は7500万ドル、従業員数は150人です。
スパイ機器の提供に対し、同社は高額な報酬を得ている。ニューヨーク・タイムズ紙は9月の報道で、NSOグループは設置料として50万ドル、その後はデバイスごとに料金を請求すると報じている。10ユーザーで65万ドル、100ユーザーで80万ドルだ。さらに10ユーザーで15万ドル、20ユーザーで25万ドル、50ユーザーで50万ドルと、料金は上がっていく。
Symbianユーザーは1ユーザーあたり6万ドルで最も安く、iPhoneとAndroidは1ユーザーあたり6万5000ドルとやや高く、Blackberryは1ユーザーあたり10万ドルでトップです。年間システム保守料は総額の17%です。
同社の文書によれば、このシステムは「標的のモバイル機器への無制限のアクセス」を提供し、「いかなる痕跡も残さない」と主張している。
優しく遊ぶ
同社は顧客に対し、同社のシステムを犯罪行為やテロ対策にのみ使用するという確約を求めているが、機器の所有者が望む相手に使用するのを阻止する力はない。
もし彼らが本当に政府を遮断したいと望んだとしても（それ自体難しい決断だが）、NSOグループはシステムにアップデートを送り続けることを拒否するしかなく、GoogleやAppleのような企業が穴を見つけて修正していくにつれて、時間の経過とともにシステムの機能が低下していくことになる。
調査を実施したメキシコのNGOは、メキシコ政府内の非公式勢力が、ほぼ確実に適切な司法審査手続きを経ずにハッキングを承認していることに疑いの余地はないと考えている。調査対象となった人々は、政府内の腐敗を公然と批判してきたことで際立っている。
「感染の試みは、特定の注目度の高い捜査やデリケートな問題に関する作業と重なることが多い」とCitizenLabは指摘している。メキシコ政府はハッキングについて一切知らないと否定している。
これらすべては、昔から言われているアドバイスに戻ります。「確信が持てないものは絶対にクリックしないでください。」®
