跨國/跨媒體研究：起碼有23名政府官員或新聞記者的手機感染了Pegasus間諜程式

由非營利組織禁忌故事（Forbidden Stories）負責協調，並在國際特赦組織（Amnesty International）安全實驗室（Security Lab）的技術支援下，來自全球10個國家、17個媒體組織的逾80名記者在本周發表了一份鑑識報告，指出由以色列駭客公司NSO Group所開發的間諜軟體Pegasus，儘管宣稱只會用在調查恐怖主義與犯罪行動，但實際上至少有23支屬於記者、工會代表、政治家，或異議人士的手機成功被滲透。

2010年於以色列創立的NSO Group主要研發網路情報技術，且強調只將相關技術授權給用來打擊犯罪及恐怖份子的政府，然而，加拿大多倫多大學的公民實驗室（Citizen Lab）在2018年的研究指出，全球已有36個組織於45個國家以Pegasus進行監控，且監控對象不乏記者或異議人士，抨擊NSO Group助長極權國家對人民的控制，然而，NSO Group卻堅稱只有為了調查犯罪及恐怖份子的合法政府組織，才能取得該公司產品的授權。

這次NSO Group顯然再度被打臉。Forbidden Stories將此一歷時數月的調查稱為Pegasus專案，起因為Forbidden Stories與Amnesty International 意外獲得了一個存放了5萬筆電話名單的資料庫，該資料庫為NSO Group客戶從2016年到2021年7月之間所監控的目標，當中有10家NSO Group客戶選中了位於20個國家的180名記者作為攻擊對象，由於Forbidden Stories並不確定名單中的目標是否已被滲透，於是籌畫了這項專案，實際取得並分析了其中的67支手機，發現有23支被成功植入了Pegasus，另有14支出現企圖滲透的痕跡。

出現在資料庫中的10個NSO Group客戶包括巴林、摩洛哥及沙烏地阿拉伯等極權國家，以及印度、墨西哥、匈牙利、亞賽拜然，以及非洲的多哥與盧安達。

Pegasus被資安社群視為史上最高明的間諜軟體，它可透過程式漏洞或誘導使用者造訪惡意網站，以安裝在Android或iPhone手機上，成功植入手機後，Pegasus理論上能夠存取手機上的所有資料並將它們傳送至遠端伺服器，從簡訊、電子郵件、WhatsApp聊天紀錄、照片、影片、GPS資料、行事曆到通訊錄等，而且還能夠啟用麥克風與攝影機，並記錄受害者的通話。

Amnesty International的分析顯示，專門報導國防及外交新聞的匈牙利記者Szabolcs Panyi的手機在2019年曾被植入Pegasus，遭到監控的時期長達9個月；專門撰寫印度商業與政治新聞的印度記者Paranjoy Guha Thakurta的手機也在2018年被駭，Thakurta說，當時他正在調查已故印度首富Drirubhai Ambani的財務狀況，而且印度至少有40名記者在攻擊名單上；而兩名與沙烏地阿拉伯被謀殺的記者Jamal Khashoggi關係密切的女性，同樣也出現在資料庫中。

此外，最近一次成功被滲透的手機是執行iOS 14.6的iPhone 12，這是蘋果甫於今年5月釋出的最新版iOS。

當媒體向NSO Group求證時，NSO Group所聘請的律師Thomas Clare向華盛頓郵報表示，禁忌故事與國際特赦組織所取得的電話名單，並非各國政府的Pegasus攻擊名單，而可能是NSO Group客戶作為其它用途的名單。

參與Pegasus專案的17個媒體涵蓋《衛報》（The Guardian）、《華盛頓郵報》、《The Wire》、《Le Monde》及《Direkt36》等。