Czy producent oprogramowania szpiegowskiego może uniknąć odpowiedzialności, twierdząc, że jedynie dostarcza narzędzie, a decyzję o jego użyciu podejmują służby państwowe?
Sprawa WhatsApp v. NSO Group pokazała, że odpowiedź nie zawsze będzie twierdząca. Amerykański sąd uznał izraelskiego producenta Pegasusa za odpowiedzialnego za wykorzystanie infrastruktury WhatsAppa do instalowania oprogramowania szpiegowskiego na telefonach użytkowników.
Rozstrzygnięcie ma znaczenie nie tylko dla branży spyware. Dotyczy również granic odpowiedzialności twórców technologii, którzy projektują narzędzie, obsługują jego działanie i wiedzą, w jaki sposób jest wykorzystywane.
Czym jest Pegasus?
Pegasus to zaawansowane oprogramowanie szpiegowskie stworzone przez izraelską spółkę NSO Group. Po zainstalowaniu na telefonie może uzyskać dostęp między innymi do wiadomości, mikrofonu, aparatu, lokalizacji i przechowywanych plików.
NSO przedstawia swój produkt jako narzędzie służące organom państwowym do zwalczania terroryzmu i najpoważniejszej przestępczości. Badania organizacji zajmujących się prawami człowieka wskazywały jednak, że Pegasus był wykorzystywany również wobec dziennikarzy, prawników, aktywistów, opozycjonistów i urzędników. Skuteczność Pegasusa nie polega na przełamywaniu szyfrowania komunikatora. Program przejmuje kontrolę nad urządzeniem końcowym, na którym wiadomość jest już odszyfrowana. Nawet najlepsze szyfrowanie nie ochroni korespondencji, gdy atakujący kontroluje cały telefon.
Na czym polegał atak na WhatsApp?
W 2019 roku WhatsApp wykrył kampanię wykorzystującą lukę w funkcji połączeń głosowych. Złośliwy kod mógł zostać dostarczony przez specjalnie przygotowane połączenie — w niektórych przypadkach bez konieczności jego odebrania przez użytkownika.
Ataki objęły około 1400 urządzeń. Wśród osób wytypowanych do inwigilacji mieli znajdować się dziennikarze, obrońcy praw człowieka, dyplomaci i przedstawiciele społeczeństwa obywatelskiego.
WhatsApp i Meta pozwały NSO Group oraz powiązaną spółkę Q Cyber Technologies. Zarzuciły im naruszenie amerykańskiej ustawy Computer Fraud and Abuse Act, przepisów kalifornijskich, warunków korzystania z komunikatora oraz bezprawną ingerencję w infrastrukturę techniczną.
„To nasi klienci używają systemu”
Podstawowa linia obrony NSO opierała się na twierdzeniu, że Pegasus jest sprzedawany organom państwowym, a cele operacji wybierają klienci.
Spółka argumentowała również, że powinna korzystać z immunitetu związanego z wykonywaniem działań na rzecz obcych państw. Sądy nie zaakceptowały tej argumentacji. NSO jest prywatnym przedsiębiorstwem, a nie organem państwa. Sam fakt, że jego klientami są rządy, nie zapewnia mu automatycznej ochrony przed postępowaniem przed amerykańskim sądem.
Znaczenie miała też rzeczywista rola spółki. NSO nie ograniczało się do przekazania klientowi gotowego programu. Firma rozwijała exploity, utrzymywała elementy infrastruktury oraz wspierała techniczne przeprowadzenie operacji. Im większa kontrola producenta nad sposobem działania narzędzia, tym trudniej sprowadzić jego rolę do neutralnego dostawcy technologii.
Sąd uznał odpowiedzialność NSO
W grudniu 2024 roku federalny sąd w Kalifornii wydał rozstrzygnięcie na korzyść WhatsAppa w zakresie odpowiedzialności. Uznał, że NSO naruszyło przepisy dotyczące nieuprawnionego dostępu do systemów komputerowych oraz warunki korzystania z platformy. Proces w 2025 roku dotyczył już przede wszystkim wysokości odszkodowania. Ława przysięgłych przyznała WhatsAppowi:
- 444 719 dolarów odszkodowania kompensacyjnego;
- ponad 167 milionów dolarów odszkodowania represyjnego.
Sąd później obniżył drugą kwotę do około 4 milionów dolarów, uznając pierwotną relację pomiędzy odszkodowaniem kompensacyjnym a represyjnym za nadmierną. Ostateczne orzeczenie opiewało na około 4,45 miliona dolarów. Znacznie ważniejsze od samej kwoty okazało się jednak orzeczone zabezpieczenie na przyszłość.
Zakaz dalszego atakowania WhatsAppa
W listopadzie 2025 roku sąd wydał trwały zakaz obejmujący wykorzystywanie infrastruktury WhatsAppa, atakowanie jego użytkowników oraz posługiwanie się kodem i technologiami zależnymi od platformy.
NSO argumentowało, że tak szeroki zakaz może zagrozić dalszemu funkcjonowaniu przedsiębiorstwa oraz utrudnić działania organów ścigania. Sąd uznał jednak, że szkody ponoszone przez WhatsAppa i jego użytkowników nie mogą zostać odpowiednio naprawione samym odszkodowaniem.
NSO zaskarżyło rozstrzygnięcia dotyczące odpowiedzialności, odszkodowania i zakazu. Postępowanie apelacyjne pozostaje w toku.
Czy NSO naruszyło sądowy zakaz?
W czerwcu 2026 roku WhatsApp poinformował o wykryciu kolejnych prób ataków powiązanych z NSO.
Tym razem miały one wykorzystywać socjotechnikę. Ofiary otrzymywały wiadomości zachęcające do kliknięcia złośliwego odnośnika prowadzącego poza WhatsApp. Spółka wykryła również konta i grupy testowe powiązane z przygotowywaniem kampanii.
WhatsApp wystąpił o uznanie NSO za winne naruszenia sądowego zakazu. NSO kwestionuje zarówno przypisanie mu tych działań, jak i zakres orzeczonego zakazu. Na 4 listopada 2026 roku wniosek dotyczący naruszenia zakazu pozostawał nierozstrzygnięty. Sąd sygnalizował możliwość wstrzymania decyzji do czasu rozpoznania apelacji.
Dlaczego ta sprawa jest przełomowa?
Proces przełamał kilka argumentów, na których przez lata opierała się branża komercyjnego oprogramowania szpiegowskiego.
Po pierwsze, producent spyware nie może automatycznie zasłonić się działaniami klienta, jeżeli sam tworzy sposób włamania i uczestniczy technicznie w jego przeprowadzeniu. Po drugie, sprzedaż technologii instytucjom państwowym nie nadaje prywatnej spółce immunitetu. Po trzecie, podmiot świadczący usługę komunikacyjną może wystąpić przeciwko producentowi narzędzia atakującego jego infrastrukturę. Nie musi czekać, aż każda z osób inwigilowanych samodzielnie rozpocznie postępowanie.
Sprawa przenosi więc ciężar odpowiedzialności z pojedynczej ofiary także na przedsiębiorstwo, które projektuje i komercjalizuje zdolność do przełamywania zabezpieczeń.
Czy można zakazać tworzenia oprogramowania szpiegowskiego?
Samo tworzenie narzędzi umożliwiających testowanie zabezpieczeń nie musi być bezprawne. Podobne technologie są wykorzystywane w badaniach bezpieczeństwa, testach penetracyjnych i legalnych działaniach organów państwa.
Kluczowe znaczenie ma jednak sposób ich wykorzystania, zakres kontroli producenta oraz jego wiedza o atakach. Inaczej należy oceniać program przekazany uprawnionemu podmiotowi do kontrolowanego testu, a inaczej system zaprojektowany do potajemnego przejmowania cudzych urządzeń i wdrażany przy aktywnym udziale producenta. Technologia może mieć legalne zastosowania, ale nie tworzy to immunitetu dla każdego sposobu jej wdrożenia.
Co sprawa oznacza dla cyberbezpieczeństwa?
Wyrok pokazuje, że odpowiedzialność za cyberatak nie musi kończyć się na bezpośrednim operatorze narzędzia.
Analizie mogą podlegać również działania podmiotu, który:
- wyszukuje lub kupuje luki bezpieczeństwa;
- tworzy exploit;
- utrzymuje infrastrukturę ataku;
- zapewnia klientowi wsparcie techniczne;
- aktualizuje narzędzie po zablokowaniu wcześniejszej metody;
- posiada wiedzę o celach i skutkach operacji.
Ma to znaczenie dla dostawców narzędzi ofensywnych, brokerów podatności oraz firm oferujących inwigilację jako usługę.
Odpowiedzialność będzie zależała nie od samej etykiety „producent oprogramowania”, lecz od rzeczywistego udziału w całym łańcuchu ataku.
Podsumowanie
WhatsApp v. NSO Group to jedna z najważniejszych spraw dotyczących odpowiedzialności producentów komercyjnego spyware.
Sąd odrzucił argument, że prywatna firma może uniknąć odpowiedzialności tylko dlatego, że jej klientami są państwa. Uznał również, że aktywny udział w projektowaniu i obsłudze ataku różni się od neutralnej sprzedaży technologii. Sprawa nie zakończyła działalności branży spyware. Pokazała jednak, że jej producenci nie funkcjonują poza prawem, a kod wykorzystywany do włamania może pozostawić nie tylko ślady cyfrowe, lecz także całkiem tradycyjny pozew.
Stan sprawy na dzień: 4 listopada 2026 roku
Zdjęcie: magnific.com
