Lighthouse Reports 透過外洩追蹤資料與假買家圈套揭露 First Wap

First Wap 是一家總部設於雅加達、由歐洲高階主管經營的手機追蹤公司，二十年來一直販售監控軟體。其 Altamides 工具利用已有數十年歷史的電信協定 SS7，可在數秒內定位全球任何一個電話號碼——裝置上不留任何痕跡——還能攔截訊息並入侵加密應用程式。客戶透過來路不明的中間人與該公司接洽，而監控產業的一貫說法是，這類工具只會提供給打擊重大犯罪的政府，濫用只是罕見的例外。

Lighthouse Reports 沒有簡單的方法可以檢驗這種說法。Altamides 不會在受害者手機上留下任何鑑識痕跡，受害者鮮少知道自己被追蹤，而供應商大可直接否認濫用。裝置鑑識等標準的間諜軟體揭弊手法，並不適用於一家在聚光燈外潛伏了二十年的網路層級公司。

2024 年春季，一名 Lighthouse 記者在深網上發現了一份外洩檔案：150 萬列追蹤操作紀錄、超過 14,000 個電話號碼、目標遍及 160 多個國家。十多名記者用 OSINT 工具分析這些數據，只有在多個獨立資料點相互吻合時才接受一項身分識別，最終指名了超過 1,500 個高可信度的目標。將在時間與空間上相關聯的目標聚類後，揭露了協同濫用的情形：盧安達反對派人物在相隔數分鐘內被追蹤、奈及利亞選務官員在 2011 年大選前被跟監、一名報導梵蒂岡貪腐的記者每小時被定位一次。

記者接著建立假身分——一家設於英屬維京群島的南非「研究顧問公司」——並於 2025 年 6 月在布拉格舉行的 ISS World 上與 First Wap 的銷售總監會面，推銷該公司公開排除的業務：監控海外反對者、破解 WhatsApp、為一名受制裁的礦業大亨監視環保抗議者。在隱藏攝影機前，這名銷售人員表示交易會透過雅加達進行，並以空殼公司掩蓋紙上痕跡：「我們可以找到辦法。」這項調查於 2025 年 10 月由 14 家媒體的 70 多名記者發表，讓每個合作夥伴都能將這份檔案在地化。

在間諜科技展上假扮買家，讓供應商自家的銷售人員在鏡頭前承認規避制裁

這份檔案是一套紀錄系統：150 萬列操作紀錄來自供應商自家系統，因此調查結果並非建立在任何線人的說法之上。

要求每項身分識別都須有多個獨立資料點，將 14,000 個匿名號碼轉化為超過 1,500 個具名目標，而依時間與空間聚類則揭露了協同濫用。

臥底交易進入了供應商自家的銷售現場，其員工主動說明他們會如何規避制裁——直接牴觸該公司公開聲稱會審查每一位客戶的說法。

在 14 家媒體聯合發表，將一份檔案化為數十則地方報導，每一則都有當地的新聞編輯室在家鄉追查線索。

當供應商的說法無法接受外部驗證時，就假扮成買家，拍下其員工的自白，並以被指控者自家的紀錄為基礎建構報導。

這項調查於 2025 年 10 月 14 日發表，由包括《明鏡周刊》、《世界報》、NRK 在內的 14 家媒體聯合刊出。First Wap 否認任何非法活動或侵犯人權，稱布拉格的那些說法是關於技術可行性的「誤解」，並重申其工具是為執法機關服務。列支敦斯登電信表示已暫停與 First Wap 的業務關係。合作夥伴持續報導各地的線索——奧地利的 Red Bull 高階主管、挪威的一名前 Telenor 高階主管——而這份檔案仍是關於一家網路層級手機追蹤公司營運狀況最完整的公開紀錄。