米連邦地裁、WhatsAppによるスパイウェア開発企業の法廷侮辱認定請求を却下　ユーザー標的化の疑い

米カリフォルニア州北部地区の連邦地裁判事は、著名なスパイウェア企業が差し止め命令に違反したことをWhatsAppは立証できなかったと判断しました。この命令は、同社がメッセージアプリのインフラを使って利用者を狙った監視攻撃を仕掛けることを禁じるものです。

判断は金曜日、フィリス・ハミルトン判事が示しました。WhatsAppが6月に申し立てた請求への回答です。Meta傘下のWhatsAppは、NSO Groupを法廷侮辱で処罰するよう判事に求めていました。NSO Groupは、ゼロクリック型の強力なスパイウェア「Pegasus」の開発元で、2019年には1,400人のアプリ利用者に対して同ソフトを使用しました。WhatsAppは今回、個人を狙ったスピアフィッシング攻撃があったと主張していました。

ハミルトン判事は2025年、NSOに対する差し止め命令を出し、440万ドルの罰金を科しました。スパイウェア企業がWhatsAppのインフラを不正に悪用し、利用者を標的にして、場合によっては端末をスパイウェアに感染させたとするWhatsAppの主張を認めた形です。

しかし、訴訟全体では勝訴したものの、WhatsAppはNSOが差し止め命令に違反したとハミルトン判事を納得させることはできませんでした。不正行為の疑いについて「明白かつ説得力のある証拠」が十分に示されなかったためだと、判事は述べています。

ハミルトン判事の意見書は次のように指摘しています。「当裁判所の見解では、原告は裏付けとなる証拠の詳細度を抑えるという、計算されたリスクを取った」 

WhatsAppが提出した証拠は、Metaの脅威インテリジェンスチームでセキュリティエンジニア兼調査担当を務めるアンドリュー・ブレイク氏の証言のみに依拠していました。

ブレイク氏は宣誓供述書で、新たに23件のWhatsAppアカウントを確認したと主張しました。意見書が引用する同氏の供述書によると、これらのアカウントには

「アカウント登録のパターン、端末などの関連情報、既知のNSO管理下インフラとの

接続など、MetaがこれまでNSOのテストと関連付けてきた技術的・行動上の特徴」が見られたといいます。

WhatsAppはハミルトン判事に対し、ブレイク氏が活動を発見した方法の詳細を示すことに懸念があると説明しました。手法を明かせば、今後このIT大手がスパイウェア企業と戦うことが著しく難しくなる恐れがあるためです。

2024年9月には、Appleが訴訟の継続によって「重要なセキュリティ情報」が露呈しかねないとして、NSOに対する訴えを取り下げています。

デジタル権利の擁護団体は、金曜日のハミルトン判事の判断を批判しました。WhatsAppが追跡の仕組みを公にすれば、自らの首を絞めることになると指摘しています。

Access Nowのシニア・テクノロジー顧問、ナタリア・クラピバ氏はRecorded Future Newsにテキストメッセージで次のように述べました。「スパイウェア訴訟を担当する判事は、こうした判断を下す際に次の点を考慮すべきだ。WhatsAppが自社の調査・検知手法を明らかにすれば、NSOにとって非常に大きな利益になりかねない。外国の情報機関やエクスプロイト開発者、犯罪者も、高度なスパイウェアがどう検知され、プラットフォームがどう機能するかを知ることができてしまう」

クラピバ氏は、NSOの責任を問うためにこうした開示を求めれば、「スパイウェア業界の完全な免責につながる」と警告しました。

WhatsAppとNSO Groupは、コメントの求めにすぐには応じませんでした。