Meta заявила, что зафиксировала новые атаки NSO на WhatsApp, хотя американский суд уже запретил израильской NSO Group трогать сам мессенджер и его пользователей. Для русскоязычной IT-аудитории это не очередная драма больших корпораций, а показательный кейс: даже после многомиллионного иска и постоянного судебного запрета рынок коммерческого шпионского ПО продолжает искать обходные тропинки.
По данным Ars Technica, WhatsApp обнаружил и сорвал targeted-атаки, связанные с NSO: злоумышленники пытались через социальную инженерию заставить пользователей перейти по вредоносным ссылкам, ведущим на внешние сайты вне самого мессенджера. Meta также утверждает, что поймала NSO на создании тестовых аккаунтов и групп внутри WhatsApp и оперативно их удалила. Теперь компания просит суд признать NSO нарушившей permanent injunction, то есть бессрочный судебный запрет, который прямо запрещал компании когда-либо снова нацеливаться на WhatsApp и его аудиторию.
Контекст здесь важнее, чем обычная новостная развязка в стиле «компания А обвинила компанию Б». История тянется с 2019 года, когда WhatsApp подал иск против NSO, утверждая, что та использовала инфраструктуру сервиса для доставки вредоносного кода примерно на 1400 смартфонов и других устройств. Речь шла не о массовом спаме, а о точечных заражениях для последующего наблюдения за владельцами устройств. В постановлении судьи Филлис Хэмилтон по Северному округу Калифорнии было указано, что ответчики реверс-инжинирили код WhatsApp, создали модифицированную версию клиентского приложения и применяли ее для установки своего ПО на целевые устройства через серверы WhatsApp. Суд также пришел к выводу, что NSO не раз переделывала свои инструменты, чтобы обходить защитные меры и не попадаться на детекте.
Финансовая часть дела тоже выглядит показательно, хотя деньги здесь, похоже, давно перестали быть главной интригой. Изначально присяжные присудили WhatsApp более 167 млн долларов компенсации, но федеральный судья сократил сумму до 4 млн долларов, одновременно оставив в силе сам судебный запрет. Для Meta ключевым оказалось именно это: не столько выбить чек, сколько получить юридический механизм, который можно предъявлять всякий раз, когда NSO снова появляется рядом с платформой. И Meta теперь делает ровно это, заявляя, что NSO не просто ведет агрессивную деятельность, а фактически игнорирует решение американского суда.
Самой NSO этот запрет явно бьет по живому. В одном из судебных документов компания жаловалась, что injunction ставит под угрозу Pegasus, ее основной продукт, на который пришлось 100% продаж NSO в 2025 году. Цифра звучит почти как антикейс для любой продуктовой стратегии: вся выручка завязана на один инструмент, а вокруг него уже выстроен и политический, и юридический периметр. Напомним, еще в 2021 году власти США внесли NSO в Entity List, указав, что компания разрабатывала и поставляла spyware иностранным правительствам, которые затем использовали его для злонамеренной слежки за чиновниками, журналистами, бизнесменами, активистами, учеными и сотрудниками посольств. После этого разговор о Pegasus окончательно перестал быть темой только для исследователей безопасности и превратился в вопрос внешней политики, регулирования и цифровых прав.
Отдельно важно, что Meta описывает нынешний эпизод не как сложную zero-click-эксплуатацию, а как попытки социальной инженерии и one-click-фишинга. Это неприятное, но трезвое напоминание: даже самые громкие игроки на рынке offensive-инструментов не всегда заходят через дорогие эксплойты уровня кинематографа. Иногда хватает старой доброй схемы с вредоносной ссылкой, вынесенной за пределы контролируемой платформы. Для разработчиков мессенджеров и корпоративных коммуникационных систем это означает, что защита не может ограничиваться патчингом ядра приложения. Приходится смотреть на всю цепочку атаки: пользовательские жалобы, поведенческие сигналы, аномальную регистрацию тестовых аккаунтов, создание групп, доставку ссылок, репутацию доменов и координацию с командами trust & safety.
Для бизнеса вывод тоже довольно приземленный. Юридическая победа сама по себе не выключает противника из розетки. Если у атакующей стороны есть коммерческий стимул, клиенты и уже построенный R&D-контур, она будет искать обходы: не через прямую эксплуатацию уязвимости в продукте, так через смежные каналы. В этом смысле атаки NSO на WhatsApp после судебного запрета выглядят почти учебным примером того, почему compliance, судебные решения и санкционные списки работают только вместе с постоянным техническим мониторингом. Хороший пресс-релиз не заменяет нормальную детекцию, а permanent injunction не заменяет SOC.
Есть и более широкий отраслевой слой. В прошлом месяце в деле против апелляции NSO выступил с amicus brief Институт Найт при Колумбийском университете. Организация назвала распространение коммерческого шпионского ПО серьезной угрозой свободе выражения мнений и свободе прессы, а Pegasus описала как инструмент почти идеального наблюдения. И это, пожалуй, главный нерв всей истории: спор идет не просто о нарушении условий суда между двумя компаниями, а о том, можно ли технически и юридически сдержать индустрию, которая продает заказчикам практически полный контроль над смартфоном цели, включая геолокацию, контакты, сообщения, звонки, заметки, историю браузера, файлы и пароли.
Сейчас NSO пытается оспорить запрет в Апелляционном суде девятого округа США, а Meta, наоборот, подталкивает суд к более жесткой реакции за его возможное нарушение. Для отрасли это превращается в тест на исполнимость цифрового права: если даже после громкого процесса, санкционного статуса и прямого судебного запрета коммерческий вендор spyware продолжает искать вход в крупнейший мессенджер мира, следующий вопрос будет уже не о репутации NSO, а о том, насколько вообще рынок готов принуждать такие компании к реальному соблюдению правил.