NSO Group 2010-2026: Pegasus, Хашоггі і вирок WhatsApp

За чотири дні до того, як її майбутній чоловік увійшов до саудівського консульства в Стамбулі й не вийшов звідти живим, телефон Хатідже Дженгіз почав передавати кожне її повідомлення невидимому слухачеві. Жамаль Хашоггі ще писав колонки для The Washington Post. Він ще будував плани на весілля. А програма під назвою Pegasus уже читала листування людей навколо нього — мовчки, без жодного натискання, без підозрілого посилання, яке треба було б відкрити.

Це не сцена з трилера. Це висновок криміналістичної лабораторії Amnesty International, підтверджений на реальному пристрої. Зброю, що зробила це можливим, створила ізраїльська компанія з нейтральною трибуквеною назвою — NSO Group. За п’ятнадцять років вона перетворила зламування смартфонів на експортний товар, продала його урядам від Мексики до Угорщини й опинилася в центрі найбільшого скандалу цифрового стеження століття. А тепер, після вироку американського суду на 167 мільйонів доларів і боргу в пів мільярда, її тихо купили американські інвестори. Історія Pegasus — це історія про те, як приватна фірма отримала владу, якої раніше не мала жодна розвідка світу.

Троє з Герцлії та зброя, яка не залишає слідів

NSO заснували 2010 року в ізраїльському містечку Герцлія троє людей, чиї ініціали й дали назву компанії: Нів Кармі, Шалев Хуліо та Омрі Лаві. Кармі пішов рано. Хуліо й Лаві лишилися й побудували бізнес на одній простій ідеї: правоохоронцям усе важче читати листування злочинців, бо месенджери шифрують усе наскрізно. Поліція бачить, що два телефони обмінюються даними, але не бачить змісту. NSO запропонувала рішення — не ламати шифрування, а залазити в сам телефон, де повідомлення вже розшифровані для власника.

Так народився Pegasus. Спершу він потребував, щоб жертва клікнула на посилання. Потім інженери NSO довели його до стану, який у галузі називають zero-click — «нульовий клік». Жодної дії від жертви не треба. Достатньо відправити повідомлення в iMessage чи дзвінок у WhatsApp, на який можна навіть не відповідати. Найвідоміший такий експлойт, який дослідники назвали FORCEDENTRY, використовував дві помилки в обробці зображень в iMessage, щоб без жодного сліду встановити повний контроль над iPhone.

Що означає «повний контроль»? Мікрофон, камера, геолокація, фотографії, листи, паролі, історія дзвінків, зашифровані чати — усе. Телефон у кишені перетворюється на пристрій стеження, який жертва носить добровільно й заряджає щовечора. Материнську структуру назвали Q Cyber Technologies. Офіційна легенда не змінювалася ніколи: інструмент продають лише перевіреним урядам, лише для боротьби з тероризмом і тяжкою злочинністю. Ця фраза стане рефреном усієї подальшої історії — і кожна нова витік документів робитиме її дедалі менш переконливою.

Бізнес-модель тут варта окремої уваги. NSO не шпигує сама. Вона продає інфраструктуру — і відмиває руки, кажучи, що за зловживання відповідає клієнт. Це та сама логіка, яку ми вже бачили в інших гравцях індустрії стеження, як-от ізраїльська Black Cube — приватна розвідка з ветеранів Моссаду. Технологія нейтральна, кажуть продавці. Питання лише в тому, кому ти вкладаєш її в руки.

П’ятдесят тисяч номерів

Влітку 2021 року стіна мовчання тріснула. До паризької некомерційної організації Forbidden Stories та лабораторії безпеки Amnesty International потрапив список із приблизно 50 000 телефонних номерів. Це були номери, які потенційно становили інтерес для клієнтів NSO. Forbidden Stories роздала дані консорціуму з понад 80 журналістів із 17 медіа в 10 країнах — The Washington Post, The Guardian, Le Monde, Die Zeit, Haaretz та інших. Розслідування назвали Pegasus Project.

У списку були лідери опозиції, правозахисники, адвокати, журналісти й дисиденти. Не терористи. Не наркокартелі. Люди, чия єдина провина полягала в тому, що вони заважали комусь при владі. Криміналістична лабораторія Amnesty брала телефони тих, до кого вдавалося дістатися, й шукала сліди зараження. Знаходила їх знову й знову.

«Проєкт Pegasus оголює, як шпигунська програма NSO стала зброєю вибору для репресивних урядів, що прагнуть заглушити журналістів, атакувати активістів і придушити інакодумство, наражаючи незліченні життя на небезпеку.»

Аньєс Калламар, генеральна секретарка Amnesty International, заява від 18 липня 2021 року

NSO відповіла стандартно: список не має стосунку до її клієнтів, цифра 50 000 «перебільшена», журналісти неправильно зрозуміли дані. Компанія погрожувала позовами. Але цифри говорили самі за себе — і кожна нова країна в розслідуванні додавала імен, дат і зламаних телефонів. Те, що ми бачили з даними виборців у справі Cambridge Analytica, було грубим інструментом порівняно з тим, що Pegasus робив на рівні окремого пристрою.

Хашоггі: вбивство, за яким стежили в прямому ефірі

Повернімося до Стамбула, 2 жовтня 2018 року. Жамаля Хашоггі вбили й розчленували всередині саудівського консульства. Світ дізнався про це через дні. Але цифрові сліди розповіли більше, ніж офіційні версії.

Лабораторія Amnesty встановила, що Pegasus успішно встановили на телефон нареченої Хашоггі, Хатідже Дженгіз, лише за чотири дні після вбивства. Раніше були атаковані телефони людей із його близького кола, зокрема його дружини Ханан Елатр. Хтось хотів знати, що казатимуть найближчі до вбитого журналіста люди — до й після того, як його не стане.

Саудівська Аравія була одним із найбільших клієнтів NSO. Це підводить нас до людини, чиє ім’я неможливо відокремити від цієї історії — спадкоємного принца Мухаммеда бін Салмана. Розслідування ЦРУ дійшло висновку, що операцію проти Хашоггі санкціонував саме він. Ми докладно розбирали його методи в окремому матеріалі про імперію MBS — від готелю Ritz до проєкту NEOM. Pegasus був лише одним інструментом у наборі, але саме він показав, що цифрове стеження й фізичне насильство — це не дві різні історії. Це одна.

NSO заперечувала, що її технологію використовували проти Хашоггі. Доказів зворотного ставало дедалі більше.

Європа під ковпаком: прем’єри, сенатори й каталонці

Хтось досі думає, що цифрове стеження — проблема далеких автократій. Європа довела протилежне. І зробила це на найвищому рівні — на рівні чинних глав урядів.

В Іспанії криміналістика підтвердила, що Pegasus заразив мобільний телефон прем’єр-міністра Педро Санчеса 25 травня 2021 року, а телефон міністерки оборони Маргарити Роблес — 3 червня. Це не опозиціонери. Це діючий уряд країни-члена ЄС і НАТО, чиї телефони хтось читав. Той самий Санчес, який сьогодні бореться з власними корупційними скандалами навколо дружини, кілька років тому сам був жертвою шпигунської програми.

А ще раніше в Іспанії розгорнулася операція, яку дослідники Citizen Lab назвали CatalanGate. Понад шістдесят постатей каталонського руху за незалежність — політики, юристи, активісти — виявилися мішенями Pegasus і спорідненої програми Candiru. Криміналістика Citizen Lab зафіксувала, що телефон регіонального президента Пере Арагонеса заражали Pegasus щонайменше двічі протягом 2020 року.

У Польщі історія була не менш брудна. Лабораторія Amnesty підтвердила 33 зламування телефона Кшиштофа Брейзи — сенатора від опозиційної «Громадянської платформи». Ключова деталь: його телефон зламували в розпал виборчої кампанії 2019 року, коли Брейза керував передвиборчим штабом опозиції. Викрадені з його телефона повідомлення потім з’явилися в перекрученому вигляді на державному телебаченні. Стеження перетворилося на пряме втручання у вибори.

Угорщина Віктора Орбана використовувала Pegasus проти журналістів-розслідувачів і власників медіа. Список країн-клієнтів усередині ЄС виявився таким довгим, що Європарламент створив спеціальний комітет PEGA для розслідування. Його висновок був прямим: шпигунські програми використовували для політичного контролю, а національні уряди блокували розслідування, прикриваючись «національною безпекою». Та сама ширма «безпеки», за якою ЄС намагається протягнути й тотальне сканування приватних чатів — історію, яку ми розбирали в матеріалі про Chat Control і архітектуру масового стеження.

Тут варто сказати прямо. Європейські уряди люблять читати лекції світу про права людини. Водночас вони купували ізраїльську зброю стеження й наводили її на власних громадян, журналістів і навіть колег-міністрів. Подвійний стандарт тут не побічний ефект. Він — суть.

Америка завдає удару: Entity List, Apple і вирок WhatsApp

Поки Європа дискутувала, США діяли інструментами, які реально болять. У листопаді 2021 року Міністерство торгівлі США внесло NSO Group до Entity List — чорного списку компаній, з якими американський бізнес фактично не може мати справ. Підстава: технологію використовували іноземні уряди для «зловмисних кібератак» проти журналістів, активістів і чиновників. Для компанії, що залежала від американських технологій і репутації, це був удар у саме серце.

Далі підключилися техногіганти. WhatsApp, що належить Meta, ще 2019 року подав позов: Pegasus зламав близько 1 400 його користувачів через уразливість у дзвінках. Apple пішла слідом у листопаді 2021-го, звинувативши NSO та Q Cyber у зламах iPhone через FORCEDENTRY.

Apple, утім, відступила першою. У вересні 2024 року компанія добровільно попросила закрити власний позов. Причина прозвучала несподівано чесно: продовження справи ризикувало розкрити третім сторонам цінні дані про загрози, а отримати потрібну інформацію від NSO усе одно не вдавалося. Apple послалася на липневий звіт The Guardian 2024 року: ізраїльські чиновники ще в липні 2020-го вилучили документи з офісів NSO, аби завадити передачі даних про Pegasus за кордон. Держава прикрила свою компанію.

WhatsApp виявився впертішим. Справа дійшла до присяжних у Каліфорнії. І в травні 2025 року присяжні винесли вердикт: NSO Group має сплатити 167 254 000 доларів штрафних збитків плюс 444 719 доларів компенсації за роботу інженерів WhatsApp, які закривали діри. Уперше виробника шпигунської програми притягли до фінансової відповідальності в суді.

«Цей вердикт — критичний стримувальний сигнал для індустрії шпигунських програм проти їхніх незаконних дій, спрямованих проти американських компаній і приватності та безпеки людей, яким ми служимо.»

Заява WhatsApp (Meta), 6 травня 2025 року

Тріумф вийшов недовгим. У жовтні 2025 року суддя залишила в силі заборону NSO атакувати користувачів WhatsApp, визнавши, що програма завдає «прямої шкоди», але різко зрізала суму штрафу — зі 168 мільйонів до 4 мільйонів доларів. Підстава: суд не побачив «достатньої основи» для початкового розрахунку присяжних. Сто шістдесят чотири мільйони випарувалися одним рішенням.

І це ще не кінець. У червні 2026 року Meta звинуватила NSO в порушенні судової заборони — компанія нібито знову намагалася атакувати користувачів WhatsApp через фішингові схеми, цього разу націлені на людей в Йорданії та Лівані. Заборона суду виявилася папірцем, який не зупиняє того, для кого стеження — це і є бізнес.

Пів мільярда боргу й тихий перехід під американський прапор

Чорний список Міністерства торгівлі зробив із NSO фінансового прокаженого. Компанія, за оцінками, опинилася у «вільному падінні» й мало не оголосила дефолт за боргом у 500 мільйонів доларів. Інвестори тікали. Попередні власники — серед них європейський фонд Novalpina Capital, а ще раніше американська Francisco Partners — давно намагалися позбутися токсичного активу. Репутаційний тягар став важчим за прибуток.

А потім сталося те, що в цій історії звучить майже як сюжетний поворот. У жовтні 2025 року NSO підтвердила: контрольний пакет викупає група американських інвесторів. Очолив консорціум Роберт Саймондс — голлівудський продюсер, засновник телестудії STX Entertainment. Сума угоди — «десятки мільйонів доларів». Співзасновник Омрі Лаві покидає компанію.

Вдумаймося. Компанію, яку американський уряд офіційно вніс до чорного списку за допомогу в атаках на журналістів, купують американські інвестори — попри федеральну заборону. Штаб-квартира й ключові операції лишаються в Ізраїлі, угода потребує схвалення ізраїльського агентства експортного контролю DECA. Чорний список нікуди не зник. Але гроші завжди знаходять обхідний шлях. Питання, яке ніхто з покупців не любить чути вголос: навіщо купувати інструмент, репутацію якого вже не відмити, якщо не плануєш ним і далі користуватися?

Ця схема — токсичний актив, ізраїльські розвідувальні корені, тиха зміна власників і держава, що прикриває своїх, — нагадує іншу історію цифрового краху, яку ми розбирали: справу Wirecard і її втікача Яна Марсалека. Розвідки, гроші й технології переплетені так щільно, що відокремити приватний бізнес від державного інтересу майже неможливо.

Гідра не вмирає: Paragon, Graphite і нова хвиля

Найбільша помилка — думати, що історія закінчується на NSO. Падіння одного гравця лише звільнило ринок для наступного. Apple це визнала прямо, пояснюючи відмову від позову: ринок шпигунських програм диверсифікувався, інші компанії продовжують працювати, тож удар по одній NSO уже не настільки важливий.

На сцену вийшла інша ізраїльська фірма — Paragon Solutions, з продуктом під назвою Graphite. На початку 2025 року Citizen Lab опублікувала першу криміналістику цієї нової зброї. І знову мішенню стали журналісти.

1 лютого 2025 року з’ясувалося, що Франческо Канчеллато — головний редактор італійського видання Fanpage — потрапив до понад 90 людей по всьому світу, чиї акаунти WhatsApp зламали через Graphite. За ним відкрилися інші імена: журналіст Чіро Пеллегріно, керівник неапольської редакції Fanpage; засновник організації порятунку мігрантів Mediterranea Saving Humans Лука Казаріні та співзасновник Беппе Каччья. Прокуратури Рима й Неаполя встановили, що телефони заразили в перші години 14 грудня 2024 року.

«Цей новий випадок журналіста, атакованого шпигунською програмою Graphite, підтверджує широке використання незаконного стеження.»

Лабораторія безпеки Amnesty International, заява про Італію, червень 2025 року

Скандал ударив по уряду Джорджі Мелоні. Парламентський комітет Італії підтвердив, що Graphite використовували обидві розвідки країни — і зовнішня, і внутрішня. Paragon у відповідь заявила, що розриває контракт з Італією, бо влада відмовилася від технічної перевірки, яка б показала, чи справді атакували Канчеллато. Виробник публічно дистанціювався від клієнта — рівно той самий маневр, який роками виконувала NSO.

Бачите закономірність? Ізраїльська фірма продає zero-click зброю. Європейський уряд купує її «для боротьби з тероризмом». Зброю наводять на журналістів і активістів. Citizen Lab і Amnesty ловлять на гарячому. Виробник каже, що він ні до чого. Уряд мовчить, прикриваючись «безпекою». Цикл повторюється з новою назвою на коробці. Та сама логіка нормалізації стеження, яку ми бачимо в експансії Palantir із її контрактами з ЦРУ, ICE та арміями — тільки тут це робить компактна ізраїльська індустрія, яка продає інструмент будь-кому з державним гербом і чековою книжкою.

Чому це стосується кожного, хто читає це з телефона

Легко відмахнутися: я не журналіст-розслідувач, не каталонський сепаратист, не опозиційний сенатор — кому я цікавий? Це самозаспокоєння й воно небезпечне.

По-перше, технологія zero-click не розрізняє «важливих» і «звичайних». Вона працює на будь-якому смартфоні, до якого дотягнеться оператор. По-друге, межа між «терористом» і «незручною людиною» проводиться тим, хто тримає в руках пульт. У Польщі незручним був голова виборчого штабу. В Угорщині — журналісти. В Італії — редактор, який копав під урядову партію. Для української діаспори в Німеччині, Польщі чи США це не абстракція: ви живете в юрисдикціях, де ці інструменти вже застосовували проти громадян, і де дискусія про законні межі стеження досі не закрита.

Захиститися від zero-click повністю майже неможливо — у цьому й суть. Базова гігієна все ж знижує ризик: регулярні оновлення системи, перезавантаження телефона раз на день (деякі імпланти не виживають перезавантаження), режим блокування (Lockdown Mode) на iPhone для людей у групі ризику, окремі пристрої для чутливого спілкування. Але головна оборона — не технічна. Вона політична. Поки виробників не притягують до реальної відповідальності, а уряди прикривають їх «національною безпекою», ринок винаходитиме нову назву щоразу, коли стара згорить.

NSO Group побудувала бізнес на простій обіцянці: ми дамо вам бога в кишені ворога. Покупців знайшлося достатньо. Жертв — тисячі, від нареченої вбитого журналіста до чинного прем’єра ЄС. А коли одна вивіска впала під вагою скандалів і боргів, її викупили нові власники, і поруч уже стояла наступна фірма з наступною програмою. Вирок на 167 мільйонів зрізали до чотирьох. Чорний список обійшли американськими грошима. Заборону суду порушили за кілька місяців.

Питання не в тому, чи зламають ваш телефон сьогодні. Питання в тому, хто вирішує, що ви — мішень, і кому за це доведеться відповісти. Поки відповідь на друге — «нікому», відповідь на перше залишається лише питанням ціни.

• Share on Bluesky
• Share on Facebook
• Share on LinkedIn
• Email this Page
• Print this Page
• Share on Reddit
• Share on Tumblr
• Share on WhatsApp
• Share on Viber
• Share on Threads
• Share on Telegram
• Share on X

Незалежні новини від News Group – Дякує Вам за підтримку та активність, ми цінуємо кожного, та хвилюємось за Вас, якщо ви бажаєте підтримати наш проєкт або додати пропозицію.

Для звʼязку переходьте за посиланнями:

• Mastodon
• Bluesky
• LinkedIn
• X

Приєднуйтесь до соціальної мережі для інвесторів та підприємців VIR.GROUP — live-стрічка проектів, ескроу-угоди, VIR AI аналітика і Matrix-чат.

VIR.GROUP is available on Google Play VIR.GROUP is available on the App Store

Наша захищена Мережа Mastodon