NSOグループは政府に暗号化された携帯電話をハッキングするゼロクリックスパイウェアを販売した

2010年代後半までに、消費者向けメッセージングアプリはメッセージをエンドツーエンドで暗号化するようになり、警察や情報機関は犯罪者やテロリストが「暗闇に消える」ことができると不満を述べた。2010年に設立されたイスラエルの企業NSOグループは、Pegasusを開発した。これは元サイバー諜報員が、政府で磨いた技術を駆使して設計したスパイウェアで、iPhoneやAndroid端末を静かに乗っ取るものだった。メキシコは2011年、同社の設立から1年足らずで最初の海外顧客となった。

Pegasusは通信回線ではなく端末自体を攻撃することで機能する。攻撃はSMSやiMessage内の悪意あるリンクとして届くことがある。最近の「ゼロクリック」版は、通知を発生させないメッセージを送ることでスパイウェアを配信するため、標的は電話に触れる必要すらない。その後ソフトウェアは、ユーザーが読めるものすべて（メッセージ、写真、録音、パスワード、通話履歴、位置情報）を読み取り、リアルタイム監視のためにカメラやマイクを起動することもできる。強力なパスワードや暗号化はほとんど役に立たず、2016年の報告書で公表された手法は数時間以内に変更された。

NSOはPegasusを政府にのみライセンス供与した。40カ国の約60の情報機関、軍機関、法執行機関が対象で、輸出はイスラエル国防省の承認を得ていた。同社は顧客の人権記録を審査し、ソフトウェア自体は運用していないと述べた。この構造により、ベンダーと、顧客がツールで何をしたかとの間に距離が保たれた。NSOはこの製品を、暗号化の背後に隠れるテロリズムと組織犯罪への答えとして位置づけた。

2021年7月、Pegasus Project（The Washington Post、Forbidden Stories、および16のメディアパートナー）は、5万件を超える電話番号のリストについて報じた。アムネスティ・インターナショナルのSecurity Labによるフォレンジック分析では、ジャーナリスト、人権活動家、企業幹部、および殺害されたサウジアラビア人ジャーナリスト、ジャマル・ハショギに近い2人の女性に属する37台の電話に対する攻撃の試行または成功が確認された。記者たちは50カ国にわたりリスト上の1,000人以上を特定した。NSOはこの調査結果を根拠がないと非難したが、前年に虐待の申し立てを理由に2件の顧客契約を終了したことは認めた。

通信回線ではなく電話自体を攻撃する。静かなゼロクリック侵入には、クリックもパスワードも復号も不要である

暗号化は通信回線を保護するが、端末は保護しない。電話自体を侵害することで、Pegasusはパスワード、クリック、復号鍵を必要とせずに、最も強力な消費者向け保護を回避した。

ゼロクリック配信により人的ミスの要件が取り除かれたため、ジャーナリストや活動家のような慎重で技術的に洗練された標的でも、何もしていない間に感染させることができた。

世界水準のエクスプロイト工学を製品化し、数十の政府にライセンス供与することで、NSOは高額な研究開発費を償却し、国家レベルの電話ハッキングを購入可能なサービスに変えた。

顧客がソフトウェアを自ら運用したため、NSOは関与を否定し、フォレンジック証拠に異議を唱え、虐待が積み重なる間も販売を続けることができた。

暗号化が盗聴チャネルを閉ざすと、能力のある敵対者はエンドポイントへ移る。通信中のデータを保護するだけでは不十分であるため、端末自体を保護せよ。

Pegasus Projectは、商業スパイウェアの虐待に関する決定的な記録となった。NSOは調査結果を誇張であり根拠がないと述べたが、前年に2件の顧客契約を終了したこと（合計5件）は認め、審査に1億ドルかかったと述べた。アムネスティのフォレンジック手法はCitizen Labによる査読を受け、妥当と判断された。コンソーシアムの複数のジャーナリストは、自分自身または家族が感染していたことを発見した。iPhoneが主な標的だったAppleは、常に保護を追加していると述べ、スパイウェアメーカーと電話ベンダーの間のいたちごっこは続いた。