Бремя доказательства: почему отчетов NSO недостаточно
Серия публикаций и интервью с основателем NSO Шалевом Хулио вновь подняли вопрос о контроле компании над использованием ее продуктов. Несмотря на отчеты о прозрачности и внутренние проверки, компания по-прежнему опирается лишь на собственные заявления, не предоставляя независимых доказательств.
Серия статей, опубликованных в последние дни об израильской компании NSO, а также интервью с ее основателем Шалевом Хулио, вышедшее в издании «Калькалист», вновь привлекают внимание к степени контроля компании над продаваемым продуктом и способами его использования. В NSO заявляют об ужесточении надзора, однако настаивают, что не участвуют в выборе целей клиентов, проводя проверки лишь постфактум и по факту поступления жалоб.
Отчет о прозрачности, опубликованный компанией около двух недель назад, стал очередным шагом в ответ на многочисленные сообщения и профессиональные исследования о злоупотреблении системой Pegasus против журналистов, адвокатов, правозащитников и оппозиционеров в странах, где демократия и свобода слова не являются приоритетом. Эти публикации вынудили компанию пересмотреть методы работы и создать более жесткие внутренние механизмы контроля за клиентами.
В начале июля NSO представила первый отчет о прозрачности, раскрывающий детали деятельности компании и борьбы с неправомерным использованием Pegasus. По данным компании, за последние три года «обвинения в злоупотреблении Pegasus составили менее 0,5% случаев, в которых система использовалась нашими клиентами». Согласно отчету, с 2016 года пять клиентов были отключены от системы по результатам расследований, а отношения еще с пятью были прекращены из-за «опасений по поводу прав человека». NSO оценивает потери доходов от расторжения этих контрактов в 100 миллионов долларов, а также заявляет об отклонении деловых возможностей на сумму 300 миллионов долларов в результате внутреннего аудита. Компания не уточняет, на чем основаны эти оценки.
В прошедшем году, как указано в отчете, компания начала 12 расследований по подозрению в злоупотреблении продуктами. Описывая процесс, NSO отмечает: «Расследование включало несколько встреч с клиентом, включая высокопоставленных лиц в агентстве, изучение местного законодательства уважаемой юридической фирмой в стране, а также анализ и решение NSO о том, использовался ли продукт в соответствии с условиями и соглашениями с компанией, включая обязательства в области прав человека». Результаты этих расследований не были детализированы.
«Если клиент не сотрудничает, можно удалить систему удаленно»
У NSO нет прямого доступа или доступа в режиме реального времени к использованию технологии клиентами. Однако, по словам представителей компании, при необходимости она может проводить следственные действия. «У нас есть возможность, с разрешения клиента, провести расследование», — заявил основатель и генеральный директор NSO Шалев Хулио изданию «Калькалист». — «Что такое расследование? Есть лог, в котором сохраняются все действия, совершенные клиентом. Можно запросить у клиента лог, получить данные и провести расследование. Он должен разрешить доступ. Это файл, к которому невозможно получить доступ, удалить его или тронуть. Это почти невозможно. Если клиент не сотрудничает, можно отключить систему удаленно. Никогда не случалось такого, чтобы мы хотели получить доступ к информации, а нам не дали разрешения».
NSO также отметила в отчете достижения своей технологии, такие как предотвращение терактов, выявление сетей педофилии, торговли наркотиками и людьми, поиск похищенных детей, обнаружение выживших под обломками зданий и картирование вспышек коронавируса. Отчет не касается напрямую многочисленных сообщений и исследований, в которых утверждалось, что различные правительства использовали технологию компании для слежки и преследования журналистов, правозащитников и оппозиционеров.
В 2019 году NSO обязалась интегрировать процедуры внутренней проверки благонадежности во все бизнес-процессы для выявления и управления рисками нарушения прав человека. Компания заявила о контрактных обязательствах клиентов ограничивать использование продуктов предотвращением и расследованием тяжких преступлений, включая терроризм, и сформулировала специальные процедуры для защиты лиц и групп с высокой степенью риска от произвольного цифрового мониторинга.
Однако все эти шаги, как и сам отчет о прозрачности, не решают фундаментальную проблему. В конечном счете, ответом компании являются лишь ее собственные утверждения. Критики NSO приводят свидетельства жертв, разрабатывают инструменты для идентификации активности Pegasus на устройствах и картируют инфраструктуру онлайн-активности. Хотя эти доказательства не всегда однозначны, методология, стоящая за ними, ясна и подлежит проверке и воспроизведению другими сторонами.
Существует обширный корпус исследований, которые любой специалист может проверить. А что есть у компании в ответ? Только слово, что все это неправда. NSO не представляет документы, не предоставляет форензические или иные доказательства, не приводит свидетельства клиентов и не представила независимых лиц, которых она якобы назначила для аудита своей деятельности. Все, что есть — это Хулио, который говорит: поверьте мне, все это ерунда.
NSO должна сделать гораздо больше, чтобы доказать свои утверждения
«Калькалист» беседовал с Хулио неоднократно за последние годы. На личном уровне он харизматичный и убедительный человек, излучающий веру в правоту пути компании. Но когда смотришь на записи, понимаешь, что в конечном итоге — это лишь его слово. Красивые заявления против волны свидетельств и улик от множества независимых источников, от уважаемых исследователей и людей, которые говорят о причиненном им ущербе.
Возможно, Хулио прав, что все публикации об NSO — это ложь и клевета. Но чтобы убедить в этом общественность, NSO должна сделать гораздо больше: раскрыть документы, предоставить доказательства, привлечь действительно независимых внешних аудиторов. Если, например, доктор Билл Марзак из института Citizen Lab Университета Торонто получит полный доступ, а затем подтвердит, что причин для беспокойства нет, этого будет достаточно. Но пока они этого не делают, единственная возможность — верить другой стороне. Слов NSO просто недостаточно.
