كيف الحكومات تراقب هاتفك؟ برنامج بيغاسوس

تخيل تصلك رسالة على جوالك مكتوب فيها أسرار جديدة عن التعذيب داخل سجون الدولة ومعها رابط. أي صحفي أو ناشط حقوقي راح يضغط على الرابط فوراً. ولكن ه الرسالة ما كانت خبر، كانت باب لبرنامج تجسس اسمه بيجاسوس. برنامج يدخل هاتفك بدون تثبيت، بدون إذن، أحياناً حتى بدون ما تضغط على أي شيء. بعدها يتحول جوالك لجهاز مراقبة. صورك، مكالماتك، رسائلك، موقعك الجغرافي، كل شيء يصير مكشوف.

الأخطر من كل هذا أنه هذا البرنامج ما صممته له عصابة هاكرز هاوية. صنعته شركة رسمية تبيع أدواتها لحكومات حول العالم. إن إس أو جروب. قصة اليوم بلشت من رسالة واحدة فقط، ولكنها فتحت الباب على شبكة تجسس عالمية كاملة.

في هذا الفيديو رح نكمل قصة الباحث جون سكوت رايلتن من مختبر سيتيزن لاب في جامعة تورنتو. جون وفريقه قضوا سنوات يلاحقون نوع معين جداً من الهجمات. هجمات تستهدف المجتمع المدني. طبعاً المجتمع المدني هم الصحفيين، والناشطين، والباحثين، أي شخص يتعامل بالشان العام خارج سلطة الدولة. وجود هذول الأشخاص مهم في أي مجتمع، وغالباً هم أول مين يتم استهدافه لما يصير أي حدث مهم أو حساس.

أحياناً كان الفريق يستقبل رسائل تطلب مساعدة، وأحياناً هم بأنفسهم يكتشفون آثار الهجمات أثناء تتبع البنية التحتية للتجسس حول العالم. خلال ه السنوات كان في اسم تكرر معهم أكثر من مرة. ناشط حقوقي من بلد عربي ما راح نذكر اسمه. في عام 2011 وصلت له محاولة اختراق باستخدام أداة تجسس حكومية اسمها فين فيشر. بعدها بسنة تعرض لهجوم جديد عبر أدوات شركة ثانية اسمها هاكينج تيم. خلال سنوات قليلة فقط، أكثر من جهة حاولت تخترق هاتفه. وطبعاً صار واضح لفريق سيتيزن لاب أنه إذا في شخص مرشح دائماً ليكون هدف لهجمات من نوع متقدم، فهو هذا الناشط.

في عام 2016 تواصل هذا الناشط معهم مرة ثانية وقال: "أتوقع أنهم يحاولون اختراقي مرة ثانية". ه المرة كانت معه رسالتين مكتوبات باللغة العربية: "أسرار جديدة عن التعذيب داخل سجون الدولة". ومرفق معها رابط. رسالة مثل هي كفيلة أنها تخلي أي صحفي يضغط فوراً. ولكن هذا الناشط الحقوقي ما ضغط. أرسل الرسالة مباشرة مثل ما هي لجماعة سيتيزن لاب. ومع هي الخطوة بلشت القصة تتغير.

قبل فترة من ه الرسائل، كان فريق سيتيزن لاب ملاحظ شيء غريب أثناء تتبعهم لبعض النطاقات الإلكترونية المشبوهة. النطاق الإلكتروني أو الدومين ممكن يتحول لبصمة توصلك للجهة المسؤولة عن الهجوم، مو مجرد عنوان لموقع إلكتروني. الفريق لقى مجموعة نطاقات تبين مرتبطة ببنية تحتية جديدة. بعضها كان مسجل بطريقة تدل لارتباط محتمل بشركة إن إس أو جروب. رح أحكي لك عنها أكيد بعد شوي. ولكن المشكلة كانت أنهم ما يعرفون وقتها من الضحية، ولا كيف تشتغل الأداة، ولا حتى إذا كان هي مجرد فرضية أو بداية اكتشاف ضخم.

بعدين وصلت رسالة الباحث الحقوقي العربي. الرابط الموجود داخل الرسالة كان يأخذ مباشرة لواحد من ه الدومينات يلي كانوا يدرسونها أصلاً. لأول مرة بلشت الصورة توضح. كان أمام الفريق خيارين: إما يضغطون على الرابط مباشرة والمخاطرة بإصابة جهاز حقيقي، أو تجربة الاختراق داخل بيئة مراقبة. اختاروا الطريقة الثانية طبعاً. جابوا جهاز آيفون نظيف تماماً بعد ما مسحوه بالكامل، وأنشأوا بيئة مراقبة للشبكة بحيث يقدرون يشوفون كل حركة اتصال تصير أثناء الضغط على الرابط. خلال لحظات حصلوا شيء ما كان في حدا بالعالم تقريباً شافه بهذاك الوقت. نسخة كاملة من برنامج بيجاسوس. طبعاً انتهت مرحلة الشك، وما عاد الحديث عن نطاقات مجهولة، ولا رسائل غامضة، ولا فرضيات تقنية. صار عندهم دليل مباشر على وجود أداة تجسس متقدمة جداً، وعندهم أيضاً أول ضحية مؤكدة ساعدتهم على كشف ه الأداة.

كان عند فريق سيتيزن لاب جهاز آيفون جاهز للتجربة. ولكنهم ما كانوا أمام رابط عادي، ولا حتى محاولة اختراق تقليدية. هم كانوا يعرفون أنه أي ضغط غلط ممكن تضيع عليهم الدليل كله. لذلك قبل ما يلمسون الرابط جهزوا المشهد كأنه عملية جراحية دقيقة داخل مختبر. ثبتوا أدوات تراقب كل شيء يطلع ويدخل من الجوال على الإنترنت. هذا الشيء يسمونه حركة الشبكة. البيانات اللي يرسلها الجهاز ويستقبلها من السيرفرات والمواقع، حتى البيانات المشفّرة يلي المفروض ما حدا يقدر يفهمها بسهولة. جهزوا طريقة يلقطونها ويفككونها عشان يعرفون بالضبط شو قاعد يصير. بعدها خذوا لقطات كاملة لحالة الجوال قبل التجربة عشان يقارنونها بعدين بأي تغيير ممكن يصير داخل النظام أو الملفات. باختصار، كانوا مستعدين لكل تفصيلة. حتى أنهم راقبوا كل حركة ممكن تظهر على الشاشة لمدة لحظات وتختفي. كل شيء صار جاهز. ضغطوا على الرابط وانتظروا ثواني قليلة. انهار المتصفح فجأة. باللحظة اللي بعدها بلش الجوال يتصرف بطريقة غريبة. الجهاز فجأة يبدأ يرسل إشارات لسيرفرات مرتبطة بإن إس أو جروب، كأنه يقول لهم: "أنا وصلت، تم الاختراق بنجاح".

في عالم الأمن السيبراني يسمون هذا السلوك "بيكونينغ". الجهاز المصاب يبدأ يتواصل بالسر مع سيرفرات المهاجمين ويثبت لهم أنه عملية الاختراق تمت. في هذيك اللحظة أدركوا فداحة الموقف اللي هم فيه. هم ما كانوا يتعاملون مع مجرد رابط مشبوه. كانوا يشوفون عملية كسر حماية كاملة تمت عن بعد على جهاز آيفون. كسر الحماية أو الجيل بريك معناه أنه القيود الصارمة اللي حطتها آبل على الجهاز انكسرت، وصار بإمكان المهاجمين تشغيل أشياء ما تسمح فيها الشركة أصلاً. هذا شيء خطير جداً، لأنه قوة الآيفون أساساً مبنية على فكرة أنه النظام مغلق ومحمي. وإذا انفتح بالقوة، كل شيء بعده يصير ممكن.

الأخطر من هذا كله أنه الفريق ما اكتفى بمشاهدة الاختراق، بل أيضاً أمسك بالحملة الخبيثة نفسها أو البايلود، يعني البرنامج التجسسي الحقيقي يلي يتم تنزيله بعد نجاح الاختراق. هي كانت لحظة نادرة جداً، لأنهم ما عادوا يتعاملون مع آثار جريمة فقط. صار عندهم سلاح الجريمة نفسه. في البداية حتى هم ما كانوا فاهمين كل شيء. اللي شافوه كان متطور لدرجة تخلي أي باحث أمني يوقف مذهول من اللي يشوفه أمامه. لذلك تعاونوا مع شركة اسمها لوك آوت سكيورتي، شركة مختصة بحماية الهواتف وتحليل البرمجيات الخبيثة. بدأ التشريح الرقمي طبقة ورا طبقة حتى وصلوا للحقيقة كاملة. يلي كان أمامهم ما كان فيروس عادي ولا برنامج تجسس بسيط. كان بيجاسوس. قطعة تجسس شديدة التعقيد، مصممة باحتراف، خفية وذكية بشكل مرعب.

الفريق اكتشف أنه الهجوم هذا يعتمد على شيء يسمونه "سلسلة من ثغرات اليوم الصفري" أو زيرو داي إكسبلويتس. طبعاً حكينا عنها أكثر من مرة. ثغرة الزيرو داي هو خلل أمني موجود داخل النظام، ولكن الشركة المصنعة ما تعرف عنه أصلاً. بالتالي ما عندها أي تحديث أو حل يسده. يعني المهاجم عنده مفتاح سري لأحد أبواب الشركة، والشركة ما تدري أصلاً أنه هذا الباب موجود. المرعب أكثر أنه بيجاسوس ما استخدم ثغرة واحدة، بل استخدم سلسلة كاملة من الثغرات. كل واحدة تفتح الطريق للي بعدها، كأنه أمام عملية اقتحام احترافية تمر من عدة أبواب متتالية حتى تصل لهدفها.

الهجوم كان يستخدم أجهزة آيفون محدثة بالكامل، أحدث إصدار وأحدث حماية. هذا بحد ذاته كان رسالة مخيفة. حتى الأجهزة اللي يثق الناس فيها أنها آمنة كانت قابلة للاختراق. البداية كانت بسيطة جداً. الضحية يدخل على الرابط. بمجرد ما يفتح، يشتغل متصفح سفاري بداخله محرك اسمه ويب كيت، مسؤول عن تشغيل صفحات الإنترنت. هناك يبدأ الكود الخبيث بالعمل. يستغل ثغرة تسمح له يزرع أول جزء من الهجوم داخل الجهاز. بعدين تبدأ المرحلة الأخطر. نظام آيفون مصمم بحيث أنه ما يشغل أي برنامج من خارج الأب ستور. ولكن بيجاسوس تجاوز ه القاعدة تماماً، لأنه استغل ثغرات داخل الكيرنل، الجزء الأعمق في نظام التشغيل. بهذا الاختراق نفذ جيل بريك للجهاز. طبعاً هذا الشيء يغير كل المفاهيم اللي حكيناها. بعد كسر الحماية، ما عاد الهاتف ملتزم بقواعد آبل. صار قادر على تشغيل أي برنامج، حتى لو كان برنامج تجسس.

بعدين جت المرحلة الأخيرة. اشتغل بيجاسوس داخل الهاتف بكل هدوء، كأنه تطبيق عادي. ولكنه بالحقيقة كان يحول الجهاز لجهاز مراقبة متكاملة، ما ينقصها شيء أبداً. يشغل المايك، يفتح الكاميرا، يقرأ الرسائل، يتابع المكالمات، يراقب الموقع الجغرافي لحظة بلحظة. وكل هذا يصير بدون أي إشعار، بدون ما يحس الضحية أنه هاتفه ما عاد ملكه أبداً.

الشيء اللي خلى بيجاسوس مرعب فعلاً مو بس قدراته العالية، بل حجم الجهد اللي انحط في هذا البرنامج. ثلاث ثغرات زيرو دي متتالية ضد أجهزة آيفون محدثة بالكامل. هذا مو شغل هكر واحد بسيط، ولا حتى مجموعة هكر متطورة. هذا مشروع يحتاج خبرة عالية وميزانيات ضخمة. في سوق الثغرات، مثل ما حكينا في فيديو سابق رح أترك لك إياه في صندوق الوصف، سلسلة مثل ه الثغرات ممكن تقدر بمئات آلاف الدولارات، وأحياناً يتجاوز سعرها مليون دولار. ولكن المفارقة مو بالسعر. المفارقة بالبساطة. كل هذا التعقيد يختصرونه في خطوة واحدة: ترسل رابط وتنتظر الضحية حتى تدخل عليه. طبعاً هذا الشيء يبين لك خطورة كورة بيجاسوس الحقيقية. يبين عادي من برا، ولكن وراه منظومة تجسس كاملة، سلاح متطور جداً تحول لزر واحد فقط.

بهذيك الأيام فريق سيتزن لاب كان يعيش على أعصابه. ولكن الشيء اللي كان أثقل من التعب نفسه هو الإحساس أنهم ما عادوا أمام أداة تجسس عادية. اللي كشفوه ه المرة كان أعقد بكثير من كل شيء شافوه من قبل. أخطر من أدوات مثل هاكينج تيم وفين فيشر. هي المرة التجسس ما عاد يجي من كمبيوترات مكتبية أو رسائل تقليدية بسيطة. بل دخل أكثر جهاز شخصي في حياة الناس، الجوال. جون وزملائه حسوا أنهم فتحوا باب جديد بالكامل لفهم كيف تتم المراقبة الحديثة. مع هذا الاكتشاف جا شعور ثاني خطير أيضاً. إذا كانوا حالياً يتعاملون مع شيء متطور إلى هذا الحد، فلازم هم أيضاً يرفعون حمايتهم. لأنك لما تقرب من أدوات صنعتها جهات بهي الاحترافية، فأنت ما تعود مجرد باحث، أنت تصير هدف محتمل بأي لحظة. أحياناً الإنسان نفسه يصير هو جدار الحماية الأول، يصير مثل أنتيفيروس بشري بدون ما يملك أي برامج أو أي ميزانيات. ولكن لمجرد أنه انتبه باللحظة المناسبة.

المهم، بعد ما انتبهوا لخطورة هذا الشيء اللي يتعاملون معه، ما عاد في وقت للتردد أبداً. السؤال كان: كم شخص ممكن يكون انضرب قبل ما نسكر هذا الباب؟ فريق سيتيزن لاب تحرك بسرعة كبيرة. تواصلوا مباشرة مع آبل وبلغوهم بكل شيء. طبيعة الهجوم، وطريقة الاختراق، والبرمجية اللي قدروا يلقطونها. آبل بدورها أيضاً بلشت فوراً التحقيق والشغل على إصدار تحديث أمني يسد ه الثغرات. في عالم التقنية، لما شركة مثل آبل تطلع باتش أو تحديث أمني، فهذا يعني أنها تبعث تصليح رقمي يسكر الثغرات اللي كان المهاجمين يدخلون منها. في نفس الوقت، كان فريق الباحثين يشتغل على مسارين مع بعض. الأول هو تشريح البرمجية الخبيثة وفهم قدراتها بالتفصيل. والثاني هو تجهيز تقرير علني يكشف اللي صار أمام العالم. الفكرة كانت أنه التقرير يطلع بالتزامن مع التحديث الأمني من آبل، عشان الناس لما يعرفون بالخطر اللي صار، بنفس الوقت يعرفون أيضاً أنه صار متاح تحديث أمني ولازم يثبتونه فوراً.

ولكن الشيء اللي ما كانوا مستوعبينه في هذيك اللحظة أنه قصة إن إس أو جروب ما كانت مجرد اكتشاف عابر. كانوا يفكرون أنهم اكتشفوا هجوم خطير وانتهى الموضوع. ولكن الحقيقة أنهم كانوا في بداية سيل كامل من القضايا والضحايا والملفات اللي راح تنفجر بعد فترة من كل الاتجاهات. بمجرد ما صار عندهم بيجاسوس، بدأ التحقيق بالاتجاه الطبيعي لأي عملية تجسس رقمي. من وين جا الفيروس؟ ولوين وده يصل؟ كل برمجية تجسس تحتاج مكان تتواصل معه. تحتاج سيرفرات أو خوادم. الأجهزة أو الأنظمة اللي تستقبل البيانات وترسل الأوامر لأجهزة الضحايا. فإذا بدنا سيرفرات، أيضاً نحتاج عناوين آي بي، اللي هي أرقام تعريفية للأجهزة على الإنترنت، وتحتاج أيضاً نطاقات أو دومينات، أسماء المواقع والعناوين اللي استخدمها الهاكرز لتوجيه الاتصال.

فريق سيتيزن لاب ه الخطوط بكل هدوء. فحصوا شبكة من عناوين الآي بي والنطاقات أو الدومينات المرتبطة بالهجوم. بعدين استخدموا أدوات تحقيق رقمية تقليدية جداً مثل "هوز لوك أب" و"ريفرس دي إن إس لوك أب". إذا مبسطها، "هوز" هو موقع إلكتروني يشبه سجل ملكية على الإنترنت يسمح لك تعرف غالباً مين سجل أي نطاق، أو على الأقل أي شركة أو أي جهة مسؤولة عن أي موقع إلكتروني. أما "ريفرس دي إن إس" بدل ما تسأل هذا الدومين لأي عنوان، تسأل هذا العنوان الرقمي لأي اسم أو خدمة يرجع من خلال ه التحريات. ظهرت أمامهم نقطة حاسمة. في موقعين معروفات ومملوكات بشكل واضح لجهة اسمها إن إس أو جروب. طبعاً هذا الشيء يخلي الصورة تتماسك أكثر. الموضوع ما عاد ظن أو احتمال. صار عندهم ارتباط تقني مباشر بين البنية التحتية للهجوم وبين ه الشركة الإسرائيلية الغامضة. لذلك نشروا نتائجهم في تقرير رسمي، وهم واثقين تماماً أنه إن إس أو جروب هي مسؤولة عن العملية وهي الجهة المصنعة لبيجاسوس.

ولكن مين هي إن إس أو جروب أصلاً؟ هي شركة إسرائيلية أسسها ثلاث أشخاص. واحد اسمه نيف، وواحد شليف، وواحد اسمه عمري. من أوائل حروف أسمائهم جاء اسم إن إس أو. أحياناً كانت الشركة تتحرك تحت أسماء ثانية مثل "كيو سايبر تكنولوجيز"، كأنها تفهم جداً أنه السمعة بهذا النوع من الشغل تكاد تكون أهم من المنتج نفسه. فكانت تتحرك بكل سوق تشتغل فيه باسم مختلف. الشيء الأساسي اللي تبيعه الشركة هو برمجيات تجسس متقدمة جداً على الهواتف المحمولة. زبائنها مو أفراد ولا شركات عادية، الحكومات.

طريقة البيع كانت ذكية ومزعجة في نفس الوقت. الشركة تقول للحكومات تقريباً: "شوفوا، أنتم عندكم وسائل تقليدية للمراقبة، مثل التنسط القانوني على المكالمات وغيره. ولكن العالم تغير. الناس اليوم تستخدم تطبيقات مشفرة وهواتف ذكية ورسائل صعب جداً اعتراضها بالطرق القديمة. نحن رح نعطيكم حلول أحسن ومتطورة أكثر". طبعاً كلمة التشفير بهذا السياق مهمة جداً. التشفير ببساطة يعني أنه الرسائل والبيانات تتحول لشكل سري ما يقدر حدا يقرأه إلا الطرف المرسل والمستقبل. وهذا هو السبب اللي يخلي تطبيقات مثل واتساب وسيجينال وغيره تصعب مهمة المراقبة التقليدية. الحل اللي جابته إن إس أو أنه بدل ما تكسر تشفير الرسالة وهي بالطريق، تكسر تحصين الجوال نفسه. إذا سيطرت على الجهاز، فانت ما عاد تحتاج تكسر التشفير، لأنك ببساطة تقرأ الرسالة قبل ما تتشفر، أو بعد ما يفك تشفيرها. يعني إذا الضحية عندك هو الشخص المرسل، فانت تشوف جواله قبل ما الرسائل ترسل أصلاً. وإذا الضحية هو المستقبل، بس تصل الرسالة تشوفها بعد ما تفك تشفيرها مباشرة من شاشة الضحية نفسها.

جزء من عرضهم التسويقي بحسب الوصف كان مرعب جداً. يقول: "ما تحتاج تكون عبقري تقني ولا هكر محترف. فقط اقعد أمام لوحة تحكم، واجهة برنامج فيها أدوات وأزرار للديرة العملية، وحط رقم أي هاتف وبدك تراقبه. وبعدها يبدأ سحب البيانات من الجهاز". طبعاً هذا الشيء يخليك تعرف طبيعة المنتج الحقيقي. يعني مو مجرد برنامج ينباع وخلص انتهى الموضوع، ولا مجرد خدمة اختراق تتنفذ لمرة واحدة. بلا المنتج هو الشغلتين مع بعض. مزيج من الاختراق كخدمة، أو الهاكينج أز سيرفس، ومنصة تجسس جاهزة للاستخدام. يعني هم ما يبيعونك بس الأداة، يبيعون القدرة نفسها. القدرة على استهداف أي جوال تقريباً، وأنك تدخل عليه وتظل جوا لفترة طويلة. في عالم التجسس يسمون هذا الموضوع "بيرسيستنس" أو الاستمرارية داخل الجهاز. يعني مو بس تدخل مرة وتطلع، بل تستقر، تقعد تثبت وضعك وتراقب وتجمع المعلومات بدون ما يتم اكتشافك. هذا الشيء يفهمنا شيء أخير ومهم. أنه بيجاسوس ما كان مجرد اسم برمجية خطيرة. كان المنتج الرئيسي في إمبراطورية كاملة بنت تجارتها على تحويل الهواتف لأجهزة تجسس على أصحابها.

أغلب الوقت كانت إن إس أو بعيدة تماماً عن الإعلام. ولكن مع ذلك صرحوا في بعض المقابلات مع جهات إعلامية معروفة. من أكثر اللحظات اللي لفتت الانتباه كانت مقابلة صارت في عام 2019 داخل مكاتبهم في إسرائيل. حاولت الشركة تقدم نفسها بصورة مألوفة جداً ولطيفة، كأنها مجرد شركة تقنية عادية. شركة حديثة من شركات القرن الـ 21. مكاتب مرتبة وأجواء عمل مريحة. حتى أظهروا لك تفاصيل توحي أنه المكان طبيعي جداً، مثل أي شركة فيها ألعاب وأماكن لاستراحة الموظفين وتمارين وغيره. ولكن ورا هذا المشهد الهادي كان في شيء واضح جداً وأقوى من أي ديكور. الشركة ها فيها سرية شديدة جداً. المراسلين الصحفيين ما كان مسموح لهم يصورون على راحتهم. الوجوه نفسها للموظفين كانت مخفية. كثير من الموظفين بحسب الصحافة جايين من خلفيات استخباراتية عسكرية. أما من أجهزة الموساد، أو الوحدة 8200 اللي حكينا عنها قبل فترة، أو غيره. الموساد طبعاً هو جهاز الاستخبارات الخارجية الإسرائيلي، واحد من أشهر وأخطر أجهزة التجسس بالعالم. يعني الجماعة بالإن إس أو مو مجرد مطورين أو جماعة من خلفيات أكاديمية مدنية. بيئة العمل خليط بين التقنية العالية والاستخبارات.

الأخطر من هذا كله أنه ما كانوا يعاملون بيجاسوس كمنتج برمجة عادي. كان يحتاج موافقة من وزارة الدفاع الإسرائيلية قبل ما يتم ترخيصه لأي عميل. هذا التصرف يعني أنه البرنامج هذا ما يعاملونه كبرنامج حماية أو كأداة تقنية، بل كأنه سلاح. ما في أي منتج ثاني يحتاج ترخيص وزارة الدفاع للدولة اللي تاخذها إلا الأسلحة. لما تساوي صفقة أسلحة، أكيد وزارة الدفاع راح توافق أو ما توافق. هي التفصيلة وحدها تشرح لك طبيعة الشيء اللي كانت تبيعه الشركة فعلاً.

طبعاً الصحفيين الغربيين لما كانوا يسألون جماعة الإن إس أو، كانوا يسألون أسئلة يعني مثل أسئلة المجتمع الغربي: "هل ممكن تبيعون ه التقنية لدول تنتهك حقوق الإنسان؟ هل وصلت أدواتكم إلى أنظمة تسجن الصحفيين وتطارد الناشطين؟" الإجابة ما كانت "لا" ولا "لا" بشكل صريح. كانت جملة واحدة يكررونها دائماً: "قال: نحن نبيع برنامج بيجاسوس من أجل مكافحة الإرهاب والجريمة". هذا هو الخطاب الرسمي للشركة من سنوات. هم يقولون أنه زبائنهم حكومات وأجهزة أمنية، وأنه الهدف من تقنيتهم هو منع الجرائم وإحباط العمليات الإرهابية. من ناحية ظاهرية بتشوف أنه ها الرواية مبينة قوية، لأنه أي شخص يسمع عبارة "مكافحة الإرهاب" يتردد قبل ما يحكي أي شيء. خلص يقول: "بلا ما أفوت بهالسالفة كلها". وهذا كان مربط الفرس في خطابهم كله. يعني مو بس يبرر لك المنتج، بل يغلفه أيضاً بطابع أخلاقي. أنه نحن جماعة ضد الكذا، ونحن نرتب الكوكب من هالجو. حتى أحد مؤسسي الشركة قال أنه من أهم أهداف الشركة إنقاذ الأرواح. سألوه: "كم عدد الأرواح اللي أنقذتها الشركة أو اللي أنقذها بيجاسوس؟" فجاء الرد بكل ثقة: "عشرات الآلاف". عشرات الآلاف من الأرواح اللي أنقذها برنامج التجسس بيجاسوس. رقم ضخم، ضخم لدرجة يخليك تبلش تشك بنفسك تقول: "أكيد هذول الجماعة فعلاً شغالين". ولكن المشكلة أنه هذا النوع من الادعاءات ما له أي طريقة لإثباته، لأنه العمليات اللي تنجح في عالم الاستخبارات رح تظل سرية للأبد. بينما الحالات اللي تتحول لفضائح هي اللي تطلع على الإعلام. الرواية الرسمية للشركة مبنية على ادعاءات وسوالف، بينما صورة الضرر اللي يصير من ه البرامج مبنية على ضحايا نقدر فعلاً نشوفهم ونسمع رواياتهم.

جماعة سيتزن لاب وكل الباحثين اللي انضموا للتحقيق هذا، كان عندهم اعتراض واضح أنه الفكرة مو بالتقنية اللي تستخدم أحياناً في قضية جنائية أو أمنية حقيقية. هذا وارد. السؤال الحقيقي: كيف نقيس قيمة ه التقنية أخلاقياً؟ لأنه أي شركة تبيع أداة تجسس بهذا المستوى، تقدر دائماً تقول أنه "نحن ننقذ حياة الناس". ولكن هذا ما يعني أنه في آلاف الحالات الثانية اللي يلي ممكن تكون انضرت من هي التقنية. صحفيين ونشطاء وأشخاص ضعفاء ما كان عندهم حتى القدرة على إيصال صوتهم، ولا يشكلون تهديد أمني، ولا لهم علاقة بالجريمة ولا شيء. فإذا اللي ممكن فعلاً ينقذ الناس ويكافح الجريمة والإرهاب هو الأشخاص اللي ممكن يشتغلون بهذا البرنامج ومنظومتهم الأخلاقية اللي تجبرهم يطبقون القانون بشكل عادل. الشرطة والجهات الأمنية إذا اشتغلوا طبعاً ضمن القانون، ممكن يحمون المجتمع. ولكن نفس هجمات لو تم استخدامها بطريقة سيئة، تتحول التقنية من أداة مساعدة لأداة شيطانية مؤذية جداً. هذا يكشف لك التناقض الحقيقي. الشركة تحب تحكي عن النجاحات النظرية أو السرية. ولكن الوقائع العلنية اللي اللي يعرفها العالم حالياً أغلبها وقائع ضرر ووقائع فضائح.

بعد قصة الناشط الحقوقي العربي، ما عاد موضوع مجرد ضحية واحدة، أو رابط واحد، أو حتى دولة واحدة. الخيوط بلشت تمتد، والتحقيق خذاهم لمكان بعيد جداً جغرافياً، ولكنه قريب من جوهر القصة. المكسيك. هناك بينت مؤشرات تقول أنه بيجاسوس ما كان مجرد أداة مطاردة ضد مجرمين كبار أو زعماء كارتيلات المخدرات. بل صار حاضر أيضاً داخل مشهد معقد جداً. التبرير الرسمي كان سهل التسويق. بلد مثل المكسيك عنده عصابات شرسة وقيادات إجرامية مثل التشابو، ما تتحرك إلا من خلال شبكات أمنية ضيقة تستخدم هواتف وتطبيقات مشفرة، وتعرف كيف تتفادى المراقبة التقليدية. في مثل ه الحالة، تبين أداة بيجاسوس أداة مغرية جداً للأجهزة الأمنية، لأنها تعطيهم طريق مختصر لقلب الهدف نفسه، أو للدائرة المحيطة فيه.

الرواية المتداولة إعلامياً وقتها قالت أن السلطات المكسيكية يمكن استخدمت بيجاسوس للوصول لخواكين جوزمان المعروف باسم التشابو، من خلال مراقبة هواتف أشخاص كانوا على التواصل معه خلال فترة هروبه. أحياناً الوصول لشخص شديد الخطورة مثل التشابو يمكن ما يصير من خلال أنك تراقبه هو نفسه مباشرة، بل تراقب أشخاص يثق فيهم. صحفي، ممثل، محامي، حدا من أقاربه، من أصدقائه، أشخاص ممكن يكونون أبرياء بالكامل من الناحية الجنائية، ولكنهم يصيرون ممر باتجاه الهدف الحقيقي. طبعاً يطلع السؤال الأخلاقي الثقيل: إذا كان هدفك تصل لمجرم خطير، هل مبرر أنك تخترق حياة أشخاص آخرين ما ارتكبوا أي جريمة أصلاً؟ هل هذا الهدف يسمح لك أنك تراقبهم وتنتهك خصوصيتهم؟ هذا النوع من الشغل معروف أحياناً بشكل مبسط بالاستهداف غير المباشر في عالم الاستخبارات. يعني أنك ما تضرب الشخص الأساسي مباشرة، بل تدخل عليه من خلال الحلقة القريبة منه. طبعاً الفكرة بحد ذاتها موجودة بالتحقيقات التقليدية أيضاً. ولكن لما تدخل فيها أداة بحجم بيجاسوس، الأمور تتغير. لأن في ه المرحلة ما نحكي بس عن تنسط تقليدي محدود. نحن نتكلم اختراق كامل لهاتف الشخص وسحب حياته الخاصة كلها. حتى لو تم استخدام ه التقنية فعلاً في ملاحقة مجرمين خطيرين، هذا ما يعني أنه ما في حالات ثانية تم إساءة استخدامها. موضوع تمكين أجهزة الأمن من ه التقنية بحد ذاته مو مشكلة. ولكن المشكلة في غياب الرقابة والمحاسبة. أي سلطة بدون إشراف واضح أكيد راح تنحرف. وهذا الشيء ما له علاقة بقضية المكسيك فقط، ولا بقضية الإن إس أو فقط، ولا حتى التجسس الرقمي وحده. أي شيء بالحياة إذا ما خضع للرقابة، احتمال كبير ينحرف عن مساره.

بالمكسيك تحديداً، كل ما بلش الباحثين يحققون أكثر، كانت السلسلة تتسع أكثر. سلسلة كاملة من الاستخدامات السيئة، بعيدة تماماً عن رواية الإن إس أو في مكافحة الإرهاب والجريمة. خذ هالمثال: فريق سيتزن لاب اكتشف أنه أشخاص يشتغلون في مجال الصحة العامة والدفاع عن المستهلك تعرضوا للاستهداف ببرنامج بيجاسوس بالمكسيك. هذول الأشخاص ما كانوا زعماء عصابات ولا خلايا إرهابية ولا مطلوبين خطيرين. كانوا باحثين في مجال الصحة ويدافعون عن حقوق المستهلك. ولكن كانوا يشتغلون على ملف واحد: المطالبة بزيادة الضرائب على المشروبات الغازية لتقليل السمنة عند الأطفال. الموضوع هذا يخليك تشوف القصة من زاوية مختلفة. أنه ما عادت إساءة استخدام فردية. ليش تستخدم أداة تجسس من مستوى أدوات دول ضد أشخاص يحكون عن السكر كخطر وصحة الأطفال؟ ما في أي جواب واضح. ولكن الربط بين الأسماء أعطى تفسير منطقي واحد: المستهدفين هذول كانوا يشكلون تهديد اقتصادي على شركات كبيرة. بتشوف أنه الضرائب على المشروبات الغازية راح تشكل خطر على أرباحها. فتكونت نظرية احتماليتها واردة جداً أنه احتمال في جهة مرتبطة بالناس اللي عندهم بيجاسوس بالمكسيك استخدموا أداة سيادية لخدمة مصالح تجارية شخصية. هذا التجسس ما له أي علاقة بالأمن أو السياسة. امتد بوضوح حتى يخدم نفوذ اقتصادي ولوبيات ضغط. اللوبيات معروفة أصلاً بالسياسة. ولكن إذا طلع هذا التفسير مضبوط، فالموضوع تجاوز الضغط التقليدي لمستوى ثاني تماماً. استخدام هذا السلاح التجسسي السيادي ضد خصوم مدنيين بمجال الاقتصاد. هذا الشيء يخلي الرواية الرسمية تنهار مرة ثانية. إذا كانت ه الأداة مخصصة لمكافحة الإرهاب، فشو وصلها لاستهداف باحثين بمجال الصحة بس لأنهم يحاولون تقليل استهلاك السكر، خاصة عند الأطفال؟

ه اللحظة كانت من أكثر اللحظات اللي كشفت طبيعة الخطر الحقيقي. ممكن تختلف الناس أخلاقياً على استهداف أشخاص قريبين من مجرم خطير، وممكن هذا الشيء يخليهم يدخلون في نقاش طويل عن الضرورة والمصلحة العامة، وأنه الضرورات تبيح المحظورات. ولكن لما يصل التجسس لعلماء بمجال الصحة ونشطاء مدنيين، هذا الشيء يخلي مساحة الالتباس تختفي تماماً، ويخلي المشكلة مو بمجرد وجود أداة قوية، بل في سهولة انحراف استخدامها وهشاشة الخط الفاصل بين الأمن القومي والمصلحة الخاصة، وبين التحقيقات والتجسس المشروع والضغط السياسي والاقتصادي.

القصص اللي صارت بالمكسيك باستخدام بيجاسوس ما كانت إساءة استخدام فردية أو جانبية. تحولت لنموذج كامل للنتائج الكارثية اللي ممكن تنشأ عن هذا السلاح الفتاك. السلاح اللي المفروض الدولة اشترته حتى تحمي المجتمع، تحول بلحظة معينة لسلاح ضد المجتمع نفسه. أول ما بدأ فريق سيتزن لاب يفتح الملف المكسيكي، صارت الأسماء تتكاثر بشكل مخيف. صحفيين، محامين يمثلون عائلات ضحايا اختطاف نفذتها الكارتيلات، زوجة صحفي مقتول، زملاء صحفيين، وحتى أطفال قاصرين بالمكسيك وخارج المكسيك أيضاً. كلهم كانوا داخل دائرة الاستهداف في برنامج بيجاسوس. وهذا الشيء خلى القضية كلها تتغير بالكامل.

طريقة اكتشاف هذا كله كانت ذكية جداً. الفريق ما كان يشتغل من برج عاجي بعيد عن الناس. بالعكس، تعاون مع منظمات محلية على الأرض. أعطوهم إشارات واضحة لشكل الرسائل المشبوهة، طبيعة الروابط. بعدها بلشوا يقارنون كمية كبيرة من الرسائل مع البنية التحتية المرتبطة سابقاً بالإن إس أو، مثل الدومينات والسيرفرات اللي استخدموها بالهجمات. بمعنى ثاني، صار عندهم بصمة رقمية للهجوم، وكل رسالة تشبه هي البصمة كانت توسع الصورة أكثر. في وسط ه الفوضى، لازم نفهم نقطة أساسية جداً بالقصه. بحسب الرواية الرسمية، الن إس أو نفسها ما كانت هي اللي تقعد وترسل الرسائل للضحايا. واحد. الشركة تصنع الأداة وتبيعها وتعطي ترخيص للحكومات اللي تشتريها. بعدها الجهة اللي تملك النظام داخل البلد، ممكن يكون جهاز أمني أو جهة استخباراتية، هي اللي تختار الهدف وترسل الرسالة وتنتظر أنه يدخل على الرابط. وبعدها تستقبل البيانات.

لما يضغط الضحية على الرابط ويتحول جواله لجهاز مراقبة، المعلومات حسب الرواية الرسمية ما تروح مباشرة للإن إس أو. تروح للمشغل المحلي للحكومة اللي تدير النظام داخل الدولة. وهذا كان دائماً خط الدفاع الأخلاقي للشركة. للإن إس أو يقولون: "نحن ما نعرف مين تم استهدافه بهي الأداة ولا كيف استخدموها. نحن فقط نوفر التقنية ونعطيهم ترخيص وخلص". ولكن حتى هذا الدفاع يفتح سؤال أخطر. إذا كنت تصنع أداة تعرف تماماً أنها قادرة على هذا المستوى من الاختراق، فهل فعلاً تقدر تقول أنك خارج العملية وأنك ما لك علاقة؟

أول حالة بارزة قادتهم لهذا العالم كانت لصحفي مكسيكي اسمه رافائيل كابريرا. كان يتلقى رسائل على أساس أنها من تلفزيون محلي اسمه أونو تي في. تعرض عليه تحديثات عن فضيحة سياسية كبيرة جداً بالمكسيك. الرسالة كانت تضرب بالمكان الصحيح. فضول صحفي يتابع قضية ممكن تهز البلد. بعدين تبين أنه الصحفية كارمن أريستيغوي هي من أبرز الناس اللي كشفوا ه الفضيحة. كانت أيضاً هدف لنفس النوع من الرسائل. طبعاً هذا الشيء خلى النمط يصير واضح. الرسائل ما كانت عشوائية. كانت مصممة خصيصاً لكل شخص بحيث تلامس اهتماماته وتخوفاته وعلاقاته أو لحظات ضعفه. بعض الرسائل كانت تقول: "بنتك تعرضت لحادث سيارة" وتذكر اسم البنت الحقيقي واسم مستشفى معين موجود فعلاً. رسالة ثانية تدخل في حياته الجنسية الخاصة بلغة مستفزة. رسائل تجي كإشعارات بنكية مثل: "تم خصم 3000 دولار من بطاقتك. راجع التفاصيل من هنا". أو مثلاً إشعارات خدمات: "في مشكلة في دفعتك الفلانية. اضغط هنا لمعرفة المزيد". أحياناً تكون الرسالة مبنية على وضع حقيقي يعرف الضحية فعلاً. مثل شخص عنده معامل تأشيرة مع السفارة الأمريكية في مكسيكو سيتي. اتصلوا رسالة تشبه موقع السفارة تماماً تقول: "اكتشفنا مشكلة في طلب الفيزا. راجع التفاصيل فوراً". يعني ما عاد الموضوع نصب بسيط مثل الرسائل اللي تجينا تبع الملياردير اللي بنيجيريا اللي بده حدا يساعده بموضوع حساب البنك. هذا صار جداً مكشوف. الموضوع أما في ه الحالة، هندسة اجتماعية، تلاعب بثقة الإنسان ومشاعره. بدل مهاجمة الجهاز بشكل مباشر، المهاجم قرر ما يكسر القفل، قرر يقنعك أنك تعطيه المفتاح بيدك. السلوك البشري هو ثغرة الزيرو دي الأشهر. الخوف، الفضول، القلق، المسؤولية تجاه العائلة. كلها أزرار وروابط تقدر تضغط عليها بكل سهولة. وهذا بالضبط اللي كانت تسويه الرسائل. ترفع التوتر العاطفي لدرجة تخليك تضغط الرابط قبل ما تفكر أصلاً.

فوق هذا كله، الرسائل وحدها ما كانت بس هي مزعجة بحد ذاتها. الأسلوب نفسه كان جداً مزعج ومستفز. أحياناً كانت الرسائل وقحة بلطجية منحطة بطريقة تكشف عقلية الناس اللي أرسلوها. رسائل عن وفيات، جنازات، اختفاء أطفال، صور جنسية، فضائح إعلامية. حتى رسائل تحكي عن صحفيين مذبوحين، رؤوس مقطوعة. وصل الاستهداف إلى ابنها الصحفية كارمن أريستيغوي اللي حكينا عنه. ابنها القاصر هو طالب في مدرسة داخلية داخل الولايات المتحدة. تخيل طفل اتصلت له رسائل تحكي عن المخدرات وتهديدات مرتبطة بقتل صحفيين بس لأنه ابن صحفية حكت عن قضية بالبلد. الناس اللي كانوا يشغلون هي الأداة في بعض الحالات ما كانوا يتصرفون كجهة منضبطة تحكمها حدود قانونية واضحة. كانوا كأنهم بلطجية معهم تقنيات على مستوى الدولة بس عشان يخلونا الضحية تدخل على الرابط. هذا الشيء طبعاً مشكلة منفصلة عن مشكلة بيجاسوس بحد ذاته. هي مشكلة بالعقل اللي يستخدم ه الأداة. لأنه التقنية رغم كل قذارتها، هي ما تكتب الرسائل. البرنامج هذا ما يقرر أنه يستغل موت أب أو خوف أم أو قلق صحفي على أولاده. ولكن يكون في بشر خلف الشاشات يستخدمون هي الأساليب. يقعدون ويصممون ه الرسائل ويختبرون أي نوع من الألم أكثر فاعلية في اصطياد الضحية.

من بين كل الأسماء، كان في اسم واحد ظل عالق في ذاكرة أكثر من غيره. خافيير فالديز. فالديز كان ناشر بصحيفة صغيرة اسمها ريو دوسي في ولاية سينالوا. منطقة معروفة جداً بسبب نفوذ كارتلات المخدرات فيها. ولكن خطورته كانت بدوره داخل ه الصحيفة. كان يكشف هالفساد الرسمي ويربط بين بعض المسؤولين الحكوميين وعصابات المخدرات، ويفتح ملفات كل المجتمع يعرف أنها ملفات قاتلة. هذا النوع من الصحافة في أماكن مثل المكسيك مو بس يعتبر شجاعة، بل أنه يكون يعرض نفسه يومياً للموت حرفياً. مع ذلك، كان الرجل معروف بإصراره وعناده وعدم خوفه أبداً. إلى أن جا اليوم اللي وقف به كل شيء. كان خافيير خارج مكتبه، قريب من سيارته. تم استدراجه من قبل شخصين، وبعدها انهالت عليه الرصاصات حتى تمزق جسده حرفياً. الأهم بهذا المشهد أنهم خذوا جواله ولاب توبه وتركوه ينزف في وسط الشارع. مشهد سرقة اللاب توب والجوال يعطيك فكرة مهمة عن هدف اغتياله، ويخليك تتساءل: شو كان في داخل ه الأجهزة؟ مين كان يخاف من المعلومات اللي مع هذا الصحفي؟ وهل القتل كان بس لأنهم مزعوجين منه، ولا لمحاولة إخفاء حقيقة لسه ما ظهرت؟ ما حدا يعرف على وجه اليقين شو كان موجود بهي الأجهزة، لأنه الأجهزة نفسها اختفت خلاص. راحت. كل اللي نعرفه بعدها كان كافي حتى يزيد الطين بلة. بالايام اللي جت بعد مقتل الخفير فالديز، كانت زوجته وأولاده في فترة الحداد يحاولون يفهمون شو صار ومين قتلوه، ويطالبون السلطات بالحقيقة. بلشت حملة استهداف جديدة، ولكن ه المرة كانت ضد زوجته الأرملة وزملائه. وكانت الأداة بيجاسوس. ملاحظ أنه القصة تصير أبشع كل ما مشينا بالأحداث. ضحايا عملية المراقبة ه المرة امرأة فقدت زوجها، وصحفيين زملائه يحاولون يفهمون جريمة قتل صديقهم. الاستهداف صار في فترة كان في هذول الأشخاص يشتكون علناً من أنه التحقيق الرسمي ما يتحرك مثل ما لازم. الجهة اللي المفروض أنها تحقق بجريمة القتل بينت كأنها تراقب الناس المكلومين وتترك الجاني بدون أي عقاب.

في طرق قانونية وإنسانية وطبيعية: مقابلات، استجواب، شهادات. ولكن تزرع برنامج تجسس داخل الهاتف يعني أنت ما عاد تريد أسئلة وأجوبة، بل ودك حياة الشخص بالكامل بكل ما فيها من أسرار ومحادثات وصور وتحركات. وهذا فرق هائل بين التحقيق في قضية معينة والافتراس. هذا أبسط تعبير ممكن تقوله عن هذا السلوك. طيب، في ه الحالة، على مين نحمل المسؤولية؟ هل الذنب على الإن إس أو لأنها صنعت الأداة وباعتها؟ ولا على الحكومة المكسيكية؟ ولا الجهة داخل الحكومة المكسيكية اللي استخدمت ه الأداة بطريقة خاطئة؟ نظرياً، الإن إس أو دائماً تختبئ خلف نفس الجدار: "نحن ما لنا علاقة، ما نشغل الأداة، نحن نبيعها وبس". ولكن على الأرض، ما تقدر تفصل الأداة عن نتائجها بسهولة. في هذا المشهد برز اسم واحد داخل الدولة المكسيكية. توماس زيرون. كان بهذاك الوقت مدير جهاز الاستخبارات بالمكسيك. يعني هو رأس جهاز التحقيقات، وهو اللي ساوى رخصة استخدام بيجاسوس. توجهت له اتهامات من الإدارة المكسيكية الجديدة لها علاقة بالتعذيب والإخفاء القسري. بعدها صدر بحقه مذكرة توقيف عبر الإنتربول. ولكن زيرون كان شال، غادر المكسيك. آخر حركة مسجلة له بحسب ما ورد كانت دخوله إلى إسرائيل في أغسطس عام 2019. وهناك اختفى تماماً عن الأنظار.

طيب، هذا الشيء خلينا نصفن شوي أكثر بالقصه. مسؤول أمني متهم بانتهاكات جسيمة، مرتبط بشراء واحدة من أخطر أدوات التجسس بالعالم. بعد البلبله والشربكة اللي ساواها، ينتهي فيها المطاف بالدولة نفسها اللي صنعت ه الأداة. ممكن هذا الحدث يكون دليل لشيء معين، ولكنه بكل الأحوال، هذا المشهد يحمل رمزية سوداوية جداً. كأنه الخيوط مهما بعدت، كانت تعرف كيف ترجع لنفس المركز. المركز اللي يسبب كل ه الفوضى. الخطر الحقيقي في قصة بيجاسوس ما كان قدرة البرنامج على اختراق الهواتف، بل كان بالبيئة السياسية والأمنية اللي تستقبله وتعيد توجيهه. لأنه الأداة مهما كانت ذكية، تظل بالنهاية امتداد لإيد اللي يستخدمها. إذا كانت الإيد نفسها متورطة بالقمع والفساد والممارسات السيئة، فالنتيجة ما راح تكون إيجابية أبداً. تكون سلطة تصنع الناس، بعدين تراقبهم من خلال أدوات تجسسية. المشكلة في وجود سوق كامل يتحرك باتجاه واحد: بيع أكثر لجهات أكثر بأسرع وقت ممكن. لما يصير في طلب عالمي على أدوات اختراق جاهزة، وشركات تبني نموذجها التجاري على تلبية هذا الطلب، فإساءة استخدام ه الأدوات ما تعود احتمال جانبي ممكن يصير وممكن لا، تصير نتيجة شبه أكيدة وشبه متوقعة. كل توسع بالبيع يعني توسع في عدد الأيدي اللي تمسك هذا السلاح. وكل إيد جديدة تعني فرصة جديدة للانحراف ولسوء الاستخدام وللقمع المغلف بلغة مكافحة الإرهاب.

وطبعاً هذا الشيء خلينا نشوف أكثر التناقض الأخلاقي الكبير في هذا النوع من الشركات. المفروض شركات الأمن تبيع حماية، تبيع القفل أو تبيع العلاج. ولكن صار النموذج الربحي قائم على العكس تماماً. بدل ما تبيع العلاج، تبيع القدرة على زرع المرض في أجهزة الآخرين، على زرع الفيروس. والمشكلة الأكبر أنه هذا السوق لسه يتحرك في مساحة رمادية قانونياً على مستوى العالم. ما في إطار دولي واضح يحدد مين مسموح يبيع ه الأدوات ومين مسموح يشتريها، وشو نوع الرقابة اللي لازم تسبق البيع وترافق الاستخدام. في هذا الفراغ، القرار يصير عملياً بيد الشركة نفسها فقط. هل نبيع ولا نرفض؟ هل ندقق فعلاً بالعميل المحتمل ولا نتجاهل ونخلص؟ نمشي؟ هذا موضوع مقلق لأبعد درجة. لأنك بهذ الطريقة ما تعتمد على نظام محاسبة عالمي أو قواعد معينة متفق عليها وملزمة. تعتمد على تقدير بائع السلاح لنفسه، منظومته الأخلاقية الشخصية.

في إحدى المقابلات الصحفية، سألوا أحد مؤسسي الإن إس أو: "ماذا لو كان تعريف الإرهاب عند بعض العملاء يختلف عن تعريفكم؟ ممكن مثلاً يشمل المعارضة السياسية مثلاً؟" طبعاً يعطونك ردود جميلة ومنمقة ومدروسة. "هذا لا يحدث. حدث عملاؤنا يستهدفون فقط الأشخاص الذين يهددون الأمن، الأبرياء، ويغيرون الأجندات السياسية باستخدام العنف". ويقولون أنهم أصلاً يرفضون يبيعون ها التقنية لأكثر من 100 دولة حول العالم. بعدين يعطونك الرقم الأهم في روايتهم: "يقولون خلال ثمان سنوات ما تسجل إلا ثلاث حالات إساءة استخدام من بين آلاف الحالات. والباقي كلياتها ساعدت في إنقاذ الأرواح ومكافحة تحت الإرهاب وإحلال السلام". رواية مرتبة ومطمئنة. ولكنها.

تصطدم مباشرة بالحقيقة والواقع. الباحثون بسيتيزن لاب وثقوا بالمكسيك فقط 25 حالة إساءة استخدام. موضوع المصداقية مضروب تماماً. نصدق الشركة التي تبيع الأداة وتربح منها، ولا نصدق الباحثين والضحايا والتقرير الذي تم توثيق الأسماء، الماء، الرسائل، والبنية التحتية للهجمات بالأدلة.

الآن، إن إس أو فقدت جزء كبير من مصداقيتها عند الصحفيين والباحثين. مو لأن الناس ضدها مسبقاً، يعني نحن قاعدين نحكي عن صحفيين وباحثين غربيين وأمريكان، يعني المفروض يتعاطفون مع إن إس أو. ولكن نمط ردود الشركة كان يعتمد على النفي المتكرر. بعد فترة يبين أن هذا النفي كله كان كذب وادعاء بشكل واضح. وهذا أخطر شيء في ملف بهذا الحجم. لأنه المجتمع إذا فعلاً رح يقبل بوجود أدوات اختراق متقدمة بأيد ناس معينين، فهو يحتاج على الأقل اعتراف واضح بالمشكلة لما تظهر بحالات إساءة الاستخدام.

المفروض إذا صار شيء، حالة تقول الشركة: "نعم، صار خلل، وهذه خطواتنا لمعالجة الموضوع". أو الدولة نفسها التي اشترت التقنية تقول: "نعم، نحن في عنا أفراد تصرفوا بشكل فردي وأخطأوا، ونحن راح نعمل كذا". لأنه الموضوع... ولكن اللي صار بحسب هذا المسار كان مختلف تماماً. إنكار كامل من إن إس أو، إنكار ورا إنكار. فتتحول الرواية لحديث عن إنقاذ الأرواح ومحاربة الإرهاب مرة ثانية. هذا الأسلوب ما يحل المشكلة، بالعكس يضاعف المشكلة أكثر. لأنه يسحب أهم عنصر ممكن يبني الثقة أصلاً، الشفافية والمحاسبة.

إن إس أو دائماً تحاول تقدم نفسها كجهة مسؤولة. قالوا إنه عندهم ثلاث طبقات من التدقيق قبل الموافقة على أي عميل. الطبقة الأولى من وزارة الدفاع الإسرائيلية، والثانية من لجنة أخلاقيات داخل الشركة، والثالثة من خلال عقود يوقعونها مع العميل أنه النظام راح يستخدم فقط ضد الإرهاب والجريمة. على الورق هذا الشيء جيد، ولكن أول ما تدقق فيه تحس إنه كلام بولشت. لأنه العقد مهما كان نصه جميل، ما يمنع النظام إذا كان هو ناوي يكون استبدادي إنه يكذب ويوقع أي عقد. لجنة الأخلاقيات داخل الشركة هي بالنهاية لجنة داخل الشركة نفسها، يعني ما هي جهة مستقلة ولا قضاء خارجي ولا هيئة رقابية دولية محايدة. أما بالنسبة لموافقة وزارة الدفاع الإسرائيلية، يعني ما أدري هذا يزيد التهمة على الشركة ولا يعطيها مصداقية.

رد الشركة كان أنه المسألة مو أبيض وأسود. أنه في بعض الحالات يكون البلد يواجه تهديدات إرهابية حقيقية، ولكن عنده أيضاً مشاكل فساد. بهي الحالات يصير القرار معقد. هل تقدمت تقنية لهذا البلد لأنه يواجه خطر أمني، ولا تمنعها عنه لأنه ممكن يسيء استخدامها؟ مرة ثانية، هذا الخطاب تحسه عقلاني، ولكنه يخفي شيء أخطر بكثير. لأنه فعلياً هي الرواية كلها ممكن تكون لمحاولة تبرير عملية البيع والربح. أنه تمام، هي الدولة صحيح فيها فساد، بس ولكن هي تواجه إرهاب، المفروض نساعدهم، المفروض نحن ندعمهم. موضوع الفساد والأخطاء الفردية اللي ممكن تصير، نحكي فيه فيما بعد. ولكن نحن لازم نقدم لهم هذه التقنية. فتتحول الأخلاق مرة ثانية من نظام حماية فعلي لنوع من التبرير الإداري المنظم. نقاشات داخل غرف مغلقة بين أشخاص داخل نفس المنظومة يقررون أنه احتمال الضرر اللي ممكن يصير مقبول، لأنه في احتمال ثاني أنه الأداة راح تنقذ أرواح بريئة. الضحايا بالنهاية ما تقدر تحميهم بالاحتمالات. الضحايا بحاجة وجود حدود حقيقية.

اللعب على وتر إنقاذ الأرواح ومكافحة الإرهاب مو جديد أبداً. هذا السيناريو مر علينا من قبل. بعد 11 سبتمبر استخدموه لتوسيع سلطات المراقبة والقمع بشكل ضخم. وسمعناه أيضاً من أنظمة سلطوية قمعية كثيرة. الأنظمة اللي استعملت الخوف كأداة لتبرير قمع لشعوبها وتقديم الوطنية والطاعة كحل لكل شيء. المشكلة في ه اللغة أنها خطيرة وفعالة فعلاً. يعني هي لغة تحطك أخلاقياً في زاوية صعبة. إذا انتقدت الأداة، فكأنك ضد الأمن وتحب أنه يضل الفوضى. البلد طيب، إذا طالبت برقابة على ه الأداة، كأنك تضعف قدرة الدولة على حماية الناس. إذا سألت عن الضحايا، يقولوا لك: "ليش ما تسأل عن الأرواح اللي أنقذناها؟". هذا هو الفخ. لأنه المجتمع إذا بلع هذا الطعم، ه اللغة من غير تفكير نقدي، يبلش بدون ما يحس يدعم عالم قائم على السلطة وتوسيع النفوذ. وتتمكن ه السلطة أكثر ويستخدم هذا النفوذ في مهاجمة الناس اللي المفروض تحميهم.

نحن طبعاً ما نقول أبداً أنه ممنوع السلطات تمارس دورها وتراقب المجرمين. بالعكس تماماً، هذا الشيء ضروري، وهذا الشيء أصلاً يصير كل يوم. ولكن المخيف في جهات مثل إن إس أو هو شيء محدد جداً، انعدام المساءلة. الشركة ما تخضع لأي محاسبة حقيقية كافية. بل صار مشاكل أيضاً بالمحاكم الأمريكية بينها وبين شركات أمريكية. رح أحكي لك اياها بعد شوي، منها واتساب مثلاً.

طيب، مين يسيطر على ه الشركة؟ أول شيء، الناس على الأقل كان عندهم فرصة واحدة للنجاح. لا تضغط على الرابط. هي كانت القاعدة البسيطة. انتبه، شك، لا تفتح الرسالة، لا تلمس الرابط. ممكن تنجو. ولكن في ربيع عام 2019 ظهر شيء أسوأ بكثير، شيء غير قواعد اللعبة كلها.

أحد المحامين اللي كانوا يمثلون ضحايا بيجاسوس بلش يلاحظ شيء غريب جداً على هاتفه. بنص الليل يصحى على إشعار مكالمة فيديو فائتة على واتساب. شوف الإشعار، ينام. مرة ثانية، الصبح الصبح، لما يرجع يفتح الجوال، ما في أي أثر للمكالمة أصلاً. لا بسجل للمكالمات، ولا بالإشعارات، ولا شيء أبداً. يتكرر هذا الموضوع مرة بعد مرة. مكالمة فيديو تبين حقيقية، تختفي كأنها ما صارت أبداً. بلش يشك، لأنه اختفاء الإشعار علامة مو جيدة أبداً. بلشوا الباحثين يراقبون جهازه ليفهمون شو اللي صار، وشافوا الحقيقة المرعبة. الرجل كان مستهدف بشيء اسمه "زيرو كليك إكسبلويت" عبر واتساب. زيرو كليك يعني ببساطة اختراق ما يحتاج منك أي نقرة أو أي ضغط ولا أي تفاعل على أي رابط ولا تفاعل من أي نوع. بالسابق كان المهاجم يحتاج يخدعك برسالة أو رابط أو إشعار حتى تضغط بنفسك. أما مع هذا التحديث، حتى ه التفاعلات البسيطة منك ما عادت مطلوبة. يكفي أنه يرسل لك مكالمة أو حزمة بيانات خبيثة عبر التطبيق، فيتم استغلال ثغرة داخل النظام نفسه ويبدأ الاختراق. سواء رديت على المكالمة أو ما رديت، ضغطت أو تجاهلت. وهي نقلة مرعبة جداً في عالم التجسس الرقمي. لأنها تسحب من الضحية آخر سلاح نفسي كان يملكه، اللي هو الحذر. ما عاد ينفع تكون ذكي، ولا ينفع أنك تكون شكاك. ما عاد ينفع تتجنب الروابط. لأنهم هذه المرة ما في داعي يخدعونك لتفتح الباب. الباب نفسه ينكسر وأنت نايم. الأسوأ من كل هذا أنه الأثر اللي استخدمه بالعدوى يقدرون يحذفونه بعد ما يتم اختراق الهاتف. مثل إشعار مكالمة الفيديو اللي يختفي بعد ما يؤدي وظيفته.

فريق سيتيزن لاب أبلغ واتساب بالشيء اللي اكتشفه. ولكن المفاجأة أنه واتساب أصلاً كانوا يحققون في نشاطات مشابهة داخل بروتوكولاتها. كلمة البروتوكول بهذا السياق هي ببساطة الطريقة الداخلية اللي يتفاهم فيها التطبيق مع نفسه ومع أجهزته وسيرفراته. يعني القواعد التقنية اللي تخلي المكالمات والرسائل والاتصالات تشتغل بشكل منظم. إذا كان في خلل داخل هذا المستوى، فالمشكلة تكون عميقة جداً. واتساب تحركت بسرعة وسكرت الثغرة من خلال تطبيق أمني. ولكن أثناء التحقيق، تبين شيء أخطر. هذا النوع من الاختراق ما كان مجرد حادثة عشوائية ولا تجربة محدودة. بل كان جزء من منتج ينباع وينشر. يعني إن إس أو اتفقنا أنه كان عندها طريقة لاختراق أجهزة الآيفون من خلال الروابط. حالياً صار عندها أيضاً طريقة لاختراق مستخدمي واتساب بشكل مباشر. لأنه واتساب موجود على نسبة هائلة من هواتف العالم. إذا كنت تبيع أداة تجسس عالمية، فأنت تحتاج أكثر من باب للدخول. باب للآيفون، باب للأندرويد، باب للمتصفحات، باب لبعض التطبيقات الأكثر استخداماً. مثل بهي الطريقة صار بيجاسوس أشبه بوحش متعدد الرؤوس. كل ما تسكر باب، يدخل عليك من باب ثاني. كل ما تقطع راس، يهاجمك راس ثاني.

بعد هذا الاكتشاف، دخلت واتساب الحرب قانونياً ورفعت الدعوة ضد إن إس أو. ولازم نتذكر بهي المرحلة أنه واتساب ما كانت وحدها. لأنها مملوكة لفيسبوك بهذاك الوقت. هذا يعني أنه كان عندهم جيش ضخم من المحامين والموارد والقدرة على خوض معركة طويلة ومعقدة. ولكن الأهم بالقضية ما كان بس اسم الشركة اللي ادعت، اللي هي واتساب. بل كان أيضاً الشيء اللي بدأ يظهر داخل مرافعات المحكمة.

لسنوات كانت إن إس أو تعتمد على نفس الحجة: "نحن ما نشغل الهجمات بأنفسنا، نحن فقط نبيع الأداة والعميل هو اللي يستخدمها". هي كانت الجملة اللي تبعد عنها المسؤولية بشكل مباشر. ولكن الشيء اللي ظهر لاحقاً في بعض الملفات القضائية هز ه الرواية من جذورها. الوثائق أشارت أنه إن إس إي كانت تملك وتدير بعض السيرفرات والبنية التحتية المستخدمة في تنفيذ الاختراقات. البنية التحتية يعني كل الأنظمة والسيرفرات والروابط والأدوات التقنية اللي يعتمد عليها الهجوم حتى يشتغل فعلياً بالعالم الحقيقي. يعني مو مجرد فكرة أو كود محفوظ في ملف. الشبكة الفعلية اللي ينطلق منها الاختراق ويتصل من خلالها بالضحية كان موجود عند إن إس أو. لو صح هذا الادعاء، هذا شيء خطير جداً. بهي الحالة إن إس أو ما عاد مجرد بائع سلاح ما له علاقة بالعمليات اللي تصير بعد التسليم. إن إس أو رسمياً صار أقرب للجهة اللي تقدم الاختراق كخدمة، أو "الهايكينغ أز سيرفس". يعني العميل ما يشتري بس المنتج، بل يعتمد على الشركة نفسها في جزء مهم من التنفيذ أو التشغيل أو البنية الداعمة للهجوم. وهذا يغير كل شيء.

إذا كانت إن إس أو تدير فعلاً جزء من الخوادم المستخدمة بالاختراق، فهذا يهدم أهم خطوط دفاعاتها الأخلاقية والقانونية. هذا يعني أيضاً أنه الشركة كانت قادرة أنها تشوف شو اللي يسوونه عملائها وعلى مين يوجهون الهجمات ومين يتم اختراقه وبأي ساعة وبأي طريقة. شركة خاصة ربحية قد تكون قادرة عن نظر من فوق كتف عملائها الحكوميين اللي هم جهات الاستخبارات بدول ذات سيادة، وتقدر هي الشركة الخاصة أنها تعرف مين يتم استهدافه بهي الأدوات. مو بس الحكومات صار عندها قوة غير مسبوقة، بل حتى الشركة الخاصة الأجنبية اللي تبيع ه القوة تملك نافذة سرية على الشيء اللي يصير. وهذا الموضوع ما عاد مجرد بيع برنامج أو بيع سلاح، حتى صار أقرب رب لشبكة سيطرة معقدة فيها بائع ومشغل وسيرفرات وبيانات، ويمكن معرفة أوسع بكثير بكل الأشياء اللي اعترفت فيها الشركة أو انفضحت بالصدفة.

في عام 2019 تم رفع القضية ضد إن إس أو في سان فرانسيسكو، ولكنها ما تحولت مباشرة لمحاكمة نهائية. حاولت إن إس أو أنها تفوت بطريق معروف بالمعارك القانونية الكبرى، إيقاف القضية قبل ما تصل لمرحلة كشف الأدلة الكاملة. من وجهة نظر قانونية، ه المرحلة شديدة الحساسية. لأنها لو بلشت فعلاً ممكن تجبر الأطراف على تبادل وثائق ومعلومات واتصالات داخلية تكشف كيف كان كل شيء يشتغل وراء الكواليس. لذلك كان من مصلحتها إن إس أو أنها تغلق القضية أو تضاعفها قبل ما تصل لهي المرحلة. ولكن الشيء اللي خلى المعركة أكبر من مجرد نزاع بين شركتين هو أنه عدد هائل من كبرى شركات التقنية دخلت بكل ثقلها لجانب قضية واتساب. فيسبوك طبعاً الشركة الأم بهذاك الوقت، مايكروسوفت، سيسكو، جوجل، لينكد إن، جيت هاب، في إم وير، وغيرها. هي قضية تمس أساس مهم في مستقبل التقنية كلها. هل تقدر شركة تجسس خاصة أنها تخترق منصات عالمية ومستخدميها، بعدين تختفي خلف حصانة مبهمة وتقول: "نحن ما لنا علاقة"؟

بعد كل القضايا وكل الإنكارات وكل محاولات تخفيف من حجم الكارثة، رجع اسم إن إس أو للواجهة مرة ثانية، ولكن هذه المرة على نطاق أكبر بكثير. طلع شيء اسمه "مشروع بيجاسوس". تحقيق ضخم شارك فيه عشرات الصحفيين ومؤسسات إعلامية من دول مختلفة. كلهم اجتمعوا على هدف واحد: تتبع خريطة هذا الوحش ومحاولة فهم لاي مدى وصل.

أثناء العمل، ظهرت قائمة مسربة فيها حوالي 50,000 رقم هاتف. أوبا! موضوع انفجر على مستوى العالم. لأنه الأسماء المحتملة داخل ه الدائرة ما كانت عادية. صحفيين، ناشطين، مدافعين عن حقوق الإنسان، مسؤولين حكوميين، وحتى شخصيات على أعلى مستوى. ولكن لازم ننبه لنقطة مهمة جداً. وجود الرقم في ه القائمة ما يعني بالضرورة أنه الهاتف قد تم اختراقه فعلاً. الأدق أن نقول هي كانت أرقام أنه محل اهتمام، مهتمين فيها، أو أرقام يشتبه أنها دخلت ضمن نطاق الاستهداف اللي ممكن يصير. يعني أشخاص خاص كانوا على رادار حدا عنده برنامج بيجاسوس. طبعاً هذا بحد ذاته مرعب. لأنه مجرد أنه يدخل رقمك في قائمة اهتمام الأداة مثل بيجاسوس، يعني تقدر تفهم أنك صرت هدف قابل للاقتحام في أي لحظة.

شليف هوليو، أحد مؤسسي إن إس أو، سألوه بأحد المقابلات الصحفية عن ه القائمة. قالوا له: "الـ 50,000 رقم ما له أي علاقة بالإن إس أو أصلاً، وأنه الشركة من الأساس ما عندها ه القائمة". بحسب روايته، هي الأرقام ممكن تكون طلعت من شيء تقني ثاني اسمه "إتش إل آر لوك أب". الـ "إتش إل آر" هو اختصار لـ "هوم لوكيشن ريجستر". هو ببساطة نوع من قواعد البيانات تستخدمه شركات الاتصالات للتحقق أنه رقم الهاتف موجود فعلاً ومسجل ويشتغل. يعني أشبه بنظام فحص أولي للتأكد من صلاحية الرقم قبل التعامل معه. الفكرة أنه بعض الأدوات ممكن تستخدم هذا الفحص التقني ضمن خطواتها. ولكن هوليو كان حاب يوصل فكرة أنه القائمة مو دليل على تشغيل بيجاسوس، ويمكن هي مجرد أثر تقني جانبي من نظام ثاني ما لنا علاقة. مثل العادة.

المشكلة أنه الرواية نفسها بلشت تتناقض مع نفسها بسرعة. لأنه في نفس السياق تقريباً قال أنه تم إبلاغه قبل نشر القصة بأسابيع بأنه أحد سيرفرات إن إس أو في قبرص تعرض للاختراق، وأنه قائمة أهداف إن إس أو بالكامل تمت سرقتها. أيوه، هي عقدة حقيقية. إذا كانت إن إس أو تقول أنها ما عندها أصلاً قائمة مركزية للأهداف، لأنه كل عميل يشغل نسخته الخاصة من بيجاسوس على بنيته التحتية الخاصة، فكيف يتكلم مؤسس الشركة عن قائمة أهداف إن إس أو انسرقت؟ ينسى حاله هو أنه مصرح أنه "نحن ما عندنا داتا". من باب المظلومية يقول: "نحن أحد سيرفراتنا انسرقت في قبرص وتسربت أهدافنا". ما أنت بالأساس ما عندك أهداف! إذا كانت القائمة مو موجودة أصلاً، كيف انسرقت؟ وإذا انسرقت، فكيف تنكر وجودها أصلاً؟ هي المرحلة من الحوار ما عادت تناقض بسيط، صار كأنه الشركة شركتين تقول شغلتين مختلفات تماماً في نفس الوقت. هي النوعية من التناقضات هي اللي تخلي الشك ما يتراجع أبداً تجاه ه الشركة، حتى من الدول اللي عادة يكونون حلفائهم.

الشك كان يكبر مع كل تصريح. الأغرب من ذلك أنه إن إس أو نفسها كانت نشرت قبلها بفترة أول تقرير لها عن الشفافية والمسؤولية. كان الهدف من التقرير تحسين الصورة وإقناع العالم أنه الشركة تضبط نفسها وتعرف بالضبط شو يشتغل عملائها. ولكن داخل هذا التقرير بينت معلومة شديدة الأهمية. الشركة تقول أنه العملاء ملزمين تعاقدياً بتقديم سجلات تشغيل للإن إس أو. طبعاً سجلات التشغيل أو "اللوجز" كلمة مهمة جداً. السجلات في عالم الأنظمة الرقمية هي بيانات توثق أي شيء حدث داخل النظام. أي منتج تم استخدامه ومتى وكيف، ولمدة كم، وليش، وحتى مين تم استهدافه. طيب، إذا كان هذا الكلام صحيح، فمعناه أنه إن إس أو عندها آلية لجمع معلومات من العملاء بعد ما استخدموا الأداة. وإذا كانت تملك آلية لجمع ه المعلومات، فمعناها أنه عندها بشكل معين مكان تجمع فيه هي البيانات، أو على الأقل تمر من خلاله. طيب، نرجع للسؤال الأول مرة ثانية. كيف تقول الشركة أنها ما عندها مستودع مركزي للأهداف، بينما وثائقها نفسها تقول أنه العملاء يرسلوا لنا تقارير فيها كذا وكذا وكذا؟ يعني المشكلة ما عادت بس بالتسريب، بل بالفجوة بين الشيء اللي تقوله الشركة علناً، والشيء اللي تعترف فيه في وثائقها الخاصة.

الجهة اللي فجرت قصة الـ 50,000 رقم كانت منظمة العفو الدولية ضمن إطار التحقيق الأوسع اللي سووه. ولكنها ما كشفت كيف حصلت على ه القائمة. طبعاً السبب مفهوم. في مثل ه القضايا، حماية المصدر مسألة حياة أو موت أحياناً. التحقيق ربط مؤشرات بيجاسوس بـ 11 دولة ظهرت عليها علامات قوية تدل على الاستخدام المحتمل للأداة. طبعاً من بينها المكسيك، والهند، وتوجو، ورواندا، وغيرها. هذا الشيء يخلي تتشكل صورة مرعبة عندك أنه هي الحالات مو ملفات معزولة ومنفصلة واستثنائية.

على سيرة رواندا، من أكثر الأمثلة اللي تكشف منطق هذا السلاح. الشيء اللي ظهر برواندا، الاشتباه ما كان بس في مراقبة معارضين أو شخصيات سياسية سابقة، بل أيضاً وصل لدائرة أوسع وأكثر إيلاماً. العائلة نفسها. من القضايا اللي اشتهرت بهذا الموضوع، استهداف بنت مدير فندق معروف في رواندا اسمه "هوتيل رواندا". بنته عندها جنسية أمريكية. وهذا الرجل صار لاحقاً في نظر كثيرين أنه ناشط حقوقي أكثر من كونه مجرم، مثل ما تحاول السلطة ببلده تصويره. طبعاً بهي القصة يتكرر نفس النمط اللي شفناه سابقاً. بأماكن ثانية، بالمكسيك مثلاً، لما السلطة ودها توصل لشخص ما تقدر تهاجمه بشكل مباشر، تمد يدها على محيطه، أبناؤه، أقاربه، الدوائر القريبة. رواندا نفت رسمياً أنها تملك بيجاسوس أو تستخدمه أصلاً. ولكن بالمقابل كان في مؤشرات خطيرة. مسؤول استخباراتي سابق تحول لمعارض وتم وضعه تحت المراقبة. أكثر من ناشط حقوقي كان واضح أنهم مستهدفين. تقارير ثانية رسمت صورة أكثر سوداوية. تحكي عن معارضين أو منتقدين يختفون تماماً، أو يتم سجنهم، أو يهربون من البلد، أو يتم تصفيتهم. نفس الأثر ونفس النمط اللي تكرر مع بيجاسوس في كل مكان تقريباً. هي الأداة ما نشوفها بالبيئات الصحية والمؤسسات الشفافة المستقرة اللي عندها محاسبة ومراقبة. دائماً نلاحظها موجودة بالأماكن اللي تكون فيها المحاسبة ضعيفة والخوف عالي جداً، والسلطة مستعدة تخلط الأمن بالبلد مع الانتقام.

في تقرير الشفافية نفسه اللي نشرته إن إس أو، قالوا أنه عندهم 60 عميل في 40 دولة. 40 دولة رقم ضخم جداً. تقريباً يعني خمس دول العالم عنده ه الأداة. يعني تقدر تلاحظ أنه بيجاسوس ما عاد أداة تجسسية نخبوية نادرة. صرنا نحكي عن سوق عالمي واسع. خمس العالم موجود عنده ه الأداة. بعد ما انفجرت قصة قائمة الـ 50,000 رقم، ردت إن إس أو بمقال رسمي على موقعها بعنوان "إنفاز إنف" (Enough is Enough)، يعني طفح الكيل، كفى. عنوان كانه يريد ينهي النقاش، خلص. ولكن محتوى البيان كان بالواقع بداية أسئلة جديدة. الشركة قالت أنه تقرير بيجاسوس بروجكت تجاهل الحقائق بالكامل، وقالت أنها ما راح ترد بعد اليوم عن استفسارات الإعلام لا عن الموضوع. يعني شو هذا الشيء المضحك؟ الإعلام أصلاً كان يشتكي من سنوات من صعوبة الحصول على أي رد منهم أو تصريح للإعلام. فالإعلان أنه "نحن زعلنا ولن نرد بعد الآن".

خلينا نحكي عن مقارنة مهمة جداً. في عالم الجرائم الرقمية التقليدية، لو شخص صنع برنامج اختراق بقصد إيذاء الناس، غالباً يتحمل مسؤولية قانونية كبيرة. أحياناً أكبر حتى من الأشخاص اللي استخدموا البرنامج لاحقاً. الفكرة بسيطة: صانع الأداة مو محايد دائماً، خاصة إذا كان يعرف طبيعتها ويعرف كيف ممكن يتم استخدام ه الأداة. وهذا بالضبط السؤال اللي بدأ يلاحق إن إس أو. هل هي مجرد شركة تبيع أداة، ولا جهة صنعت سلاح رقمي خارق واستمرت تبيعه رغم ظهور نمط متكرر من الضرر وإساءة الاستخدام؟

في يوليو عام 2021 صار شيء مميز. مسؤولين من الحكومة الإسرائيلية زاروا مكاتب إن إس أو نفسها. الزيارة كانت مرتبطة بحسب ما ظهر على الإعلام بمراجعة تراخيص التصدير الخاصة بالشركة. تجي جهة حكومية لتراجع الوثائق والتراخيص، فهذا مو إجراء روتيني عادي. غالباً يكون إشارة لشيء تحت المراجعة الجدية. شو اللي صار وشو اللي تغير بعدها؟ ما حدا يعرف بشكل واضح. ولكن في عالم الشركات الأمنية الحساسة، مجرد دخول الحكومة بهذ الطريقة للملفات الداخلية نادراً حتى يكون الخبر خبر عادي.

ممكن البعض يفكر أنه كل ه الثغرات اللي انكشفت سابقاً، سواء بالايفون أو واتساب، انتهت بعد تحديثات الشركة التقنية. ولكن الواقع كان مختلف تماماً. لأنه بيجاسوس ما كان يعتمد على ثغرة واحدة فقط. كان يعتمد على مجموعة كاملة من المسارات التقنية للدخول للهاتف. بمعنى آخر، إغلاق باب ما يعني أنه نحن صرنا آمنين تماماً من خطر بيجاسوس. لأنه غالباً يعرف باب ثاني وثالث، ويمكن باب مو مكتشف أصلاً أنه موجود. لذلك حتى بعد كل التحديثات الأمنية، يظل السؤال موجود: إذا كانت ه النسخة تصلحت تماماً، فكم نسخة ثانية كانت تشتغل بالخلفية بدون ما نحس؟

كل مرة تكشف فيها طريقة اختراق جديدة يستخدمها بيجاسوس، يصير شيء متوقع ظاهرياً، ولكنه تقنياً معقد جداً بالحقيقة. تظهر التقارير وتنتشر التفاصيل وتغلق الثغرة تماماً. بعدين تقول إن إس أو أنها عادت للعمل بثغرات جديدة. في عالم الأمن السيبراني، لما تكشف طريقة الاختراق علناً، تعتبر انتهت صلاحيتها تقريباً. لأنه الشركات المصنعة للأنظمة مثل آبل وواتساب فوراً راح تبلش تغلق ه الأبواب والثغرات. وهذا يعني أنه الشركة اللي تعتمد على ه الثغرة تخسر استثمار تقني ضخم وتخسر وقت وتخسر أموال طائلة وتخسر قدرة تشغيلية كانت تعتمد عليها. ولكن بحسب رواية الباحثين، يبدو أنه إن إس أو تتعامل مع هذا النوع من الخسائر بطريقة عادية جداً. تعتبره جزء من تكلفة العمل نفسها. مثل شركات ثانية تدفع غرامات قانونية وتعتبرها بند عادي بالميزانية. كأنه كشف الثغرة مو نهاية العالم، مجرد محطة في دورة إنتاج مستمرة. كل ثغرة يكتشفها الباحثين كانت تعني خسارة مباشرة لشركة مثل إن إس أو. لأنه كشف الثغرة يعني إغلاقها. وإغلاقها يعني فقدان أداة اختراق فعالة. وفقدان أداة يعني خسارة تشغيلية ويمكن مالية أيضاً. لذلك صار واضح ليش كان اهتمام إن إس أو الشيء اللي ساويه فريق السيتيزن لاب كبير جداً. ولكن سيتيزن لاب ما كانت وحدها. منظمات ثانية مثل لوك أب سكيورتي ومنظمة العفو الدولية كانت أيضاً تنشر تحليلات تقنية وتقارير موسعة عن نشاط بيجاسوس. يعني المسألة ما عادت بحث أكاديمي محدود، بل شبكة مراقبة مضادة تتابع نشاط الأداة عالمياً.

يا بهي النقطة ترجع القصة فجأة لنقطة قديمة، ولكنها خطيرة جداً. شركة بلاك كيوب، شركة استخبارات خاصة تشتغل بنظام التعاقد. شركة إسرائيلية يعني ما تتحرك عادة من نفسها. تتحرك لما حدا يدفع لها. لما كان جون سكوت رايلتن، اللي حكينا عنه بالقصه الماضية، وزميله في سيتيزن لاب، إضافة طبعاً لمحامين وصحفيين، لما كانوا يدعمون ضحايا بيجاسوس، ومن ضمنهم الناشط الحقوقي العربي اللي حكينا عنه ببداية الفيديو، كانوا كلهم أهداف لمحاولات جمع معلومات. بلش السؤال الطبيعي يكون واضح جداً. بلشت الصورة توضح تماماً. مين اللي كان يحاول يعرف شو في معلومات عند هذول الأشخاص؟ ومين اللي كان وده يعرف شو اللي قاعد يصير داخل القضايا القانونية ضد إن إس أو؟ التحقيقات الصحفية كشفت أنه الاستهداف ما كان ضد حالة واحدة، بل كان ضد عدة أشخاص يشتغلون كلهم في دعم ضحايا بيجاسوس قانونياً وإعلامياً. طيب، جهة تملك موارد مالية كبيرة تحاول تضعف قدرة هذول الضحايا أنه يوصلون للعدالة. مثل الأطفال مثلاً اللي بالمكسيك، أو محامينهم، أو الصحفيين. نحن ما قاعدين نتكلم عن شخصيات نافذة أو حدا مهم ولوبيات ضد بعض. ناس بسيطة جداً. ليش شركة بهي القوة والنفوذ المالي والتقني تحاول تمنع هذول الناس أنه يحصلون على العدالة؟ طيب، هل كانت إن إس أو هي اللي دفعت لشركة بلاك كيوب حتى تراقب أبطال القصة الماضية؟ النمط كان واضح جداً ومشابه لسياسة وثقافة إن إس أو. باحثين ومحامين وصحفيين وأشخاص مرتبطين بقضايا قانونية ضد الشركة نفسها. طبعاً أنت بهي الحالات ما تحتاج لتصريح رسمي حتى تتأكد. يكفي أنك تربط الوقائع مع بعض وراح تفهم الموضوع. إذا كانت شركة تقول دائماً أنها ما تتجسس بنفسها، بعدين يبين احتمال أنها مولت عملية جمع معلومات ضد منتقديها، فهذا يغير طبيعة النقاش كله. لأنه المسؤولية بهي الحالة ما عادت على العملاء. ه المرة المسؤولية على الشركة نفسها. وهذا الشيء يحط الشركة في منطقة مختلفة تماماً. لأنه دفاعها الأساسي كل الوقت كان أنه "نحن بس نصنع الأداة وما لنا علاقة باستخدامها. العملاء هم اللي يستخدمونها". ولكن بهي الحالة ما في عملاء. راح يكون الحديث عن قرار مباشر من داخل الشركة نفسها.

القصة ما وقفت بالشرق الأوسط وأوروبا وأمريكا اللاتينية، بل بلشت مؤشرات تبين أنه بيجاسوس كان يقرب حتى من أمريكا نفسها. تقارير تقول أنه الشركة حاولت تسوق تقنياتها لجهات أمنية هناك مثل شرطة سان ديجو، ولكن باسم مختلف، "ويست بريدج تكنولوجيز". بنفس الوقت بلشت تقارير ثانية تقول أنه الـ "إف بي آي" كان يحقق في نشاط الشركة. جزء من التحقيق كان متعلق بسؤال حساس جداً: هل حصلت إن إس أو على بعض تقنياتها من مصادر أمريكية؟ وجزء ثاني يتعلق بسؤال أخطر: هل تم استخدام ه الأدوات ضد مواطنين أمريكيين؟ القانون الأمريكي واضح في نقطة أساسية: الدخول غير المصرح فيه لهاتف شخص أو جهازه يعتبر جريمة. ولكن المشكلة مع أدوات مثل بيجاسوس أنها تنباع باعتبارها تقنية اعتراض قانوني. أداة يفترض أنها تستخدم بس لما يسمح القانون بذلك وبموافقة الجهات القضائية المختصة. على أرض الواقع شو يصير؟ لما تستخدم الأداة خارج هذا الإطار، مين يعاقب؟ الجهه اللي استخدمتها؟ ومين يثبت أصلاً أنه تم استخدامها؟ ومين يحمي الشخص اللي تم استهدافه إذا كان الطرف الثاني جهاز حكومي مثلاً؟ طبعاً هذا الشيء يخليك تشوف المشكلة الحقيقية في قصة بيجاسوس، مو بس قوة الأداة نفسها، بل الفراغ القانوني اللي تتحرك داخله لما يتم استخدامها في دول مختلفة وأنظمة مختلفة.

بالنهاية، واحدة من أكثر الأفكار اللي تظهر بوضوح في ه المرحلة من القصة هي الحقيقة البسيطة: المواجهة مو متكافئة أبداً. فرد واحد بسيط حامل جواله مقابل شركة بمليارات الدولارات، مقابل أجهزة استخبارات، ومقابل شبكة تقنية كاملة مصممة خصيصاً لاختراقه. حتى لو حاول هذا الشخص أنه يكون حذر، وحتى لو حدث أنظمته، وحتى لو تجنب الروابط، تظل المعادلة غير متكافئة. لذلك صار النقاش العالمي عن بيجاسوس يتحول تدريجياً من سؤال تقني أنه "كيف يتم الاختراق؟" لسؤال سياسي وقانوني وأخلاقي: "مين المفروض يحميك لما تصير أنت الهدف؟".

أراكم الأسبوع القادم في قضية جديدة. إلى اللقاء.