民間社会の構成員を監視するために使用されていたイスラエルのスパイウェアプログラムに関する新たな報告書を作成した研究者らは、この物議を醸している技術とオンタリオ州警察 (OPP)との間に「潜在的な関連性」を発見したと述べ、この技術が捜査に使用された可能性を示唆している。同警察はこの疑惑を否定していない。
トロント大学のCitizen Labが今週発表した報告書によると、研究者らはParagonソリューションズのカナダ 拠点の顧客のIPアドレスを、トロントにあるOPP本部の住所まで追跡したという。
Paragonは、国家安全保障を目的として、軍用レベルのスパイウェアプログラム「Graphite」を政府機関に販売しているが、近年、世界各国のジャーナリスト、活動家、その他の市民社会メンバーの携帯電話で、WhatsAppなどのコミュニケーションアプリが使用されていることが確認されている。
「オンタリオ州の警察機関において、スパイウェアのエコシステムが拡大していることを示唆する裁判記録も発見しました」と、シチズン・ラボの上級研究員で報告書の共著者であるケイト・ロバートソン氏はグローバルニュースに語った。
「これらの調査結果が示しているのは、カナダでスパイウェア技術がどの程度使用されているかについて、国民の認識に乖離が広がっていることです。」
パラゴンのGraphiteツールに接続されたサーバーを追跡した研究者たちは、共同倉庫、ストリップモール、醸造所、アパートなど、オンタリオ州の他の4つの住所にもスパイウェアが配置されている疑いのあるサーバーを発見した。
オンタリオ州警察（OPP）の広報担当者は、捜査目的でパラゴンと契約したかどうかについては明言を避けたが、グローバルニュースへの声明の中で、報告書の調査結果を否定しなかった。
「オンタリオ州警察は、市民とカナダへの訪問者の権利と特権を尊重しながら、公共の安全を維持し、犯罪を防止または捜査する義務を負っています」と、オンタリオ州警察の代理巡査部長は述べた。ジェフリー・デル・グイディス氏は、私的通信の傍受は「重大な犯罪捜査を進めるためにのみ使用される」も のであり、司法の承認が必要であると付け加えた。
「OPPは、カナダ権利自由憲章を含むカナダの法律を完全に遵守して捜査ツールと手法を使用しています。特定の捜査手法や技術に関する情報の公開は、進行中の捜査を危険にさらし、国民と職員の安全を脅かす可能性があります」と声明は続けた。
「OPPはカナダ権利自由憲章を尊重し、国民の信頼と信用を維持することに引き続き尽力します。」
パラゴンとは？ ----------------
Paragon Solutionsは、2019年にイスラエルの元首相エフード・バラク氏と、イスラエルのサイバー戦争・軍事情報部隊「Unit 8200」の元司令官エフード・シュネオルソン氏によってイスラエルで設立されました。
同社のスパイウェア製品「Graphite」は、NSOグループの「Pegasus」などの他のスパイウェアツールとは異なり、スマートフォン全体ではなく、標的デバイスのインスタントメッセージングアプリケーションへのアクセスをクライアントに許可するという点で独自性があるとされています。
Citizen Labは、エンドツーエンドの暗号化ソフトウェアであるにもかかわらず、WhatsAppがGraphiteユーザーによって「感染経路」として利用される可能性があると判断した後、昨年、OPPとの潜在的な関連性を確立したParagonのインフラストラクチャマッピングの詳細をMetaと共有したと述べています。
今年1月下旬、WhatsAppは、ジャーナリストやその他の市民社会のメンバーを含む24カ国以上の約90人のユーザーに対し、Paragonソフトウェアの標的となっている可能性が高いことを通知しました。
その後、同社は「ゼロクリック」の脆弱性を修正しました。この脆弱性により、Paragonは一般的なマルウェア攻撃のように感染リンクをクリックすることなくデバイスにアクセスできるようになりました。攻撃者はPDFなどの文書をWhatsAppグループにアップロードし、デバイスがそれを解析することでアクセスできるようになります。
WhatsAppの広報担当者はGlobal Newsに対し、「商業スパイウェアがジャーナリストや市民社会を標的としてどのように兵器化されるかを私たちは直接目にしてきました。これらの企業は責任を負わなければなりません」と述べています。
「当社のセキュリティチームは、脅威に先手を打つために常に取り組んでおり、人々がプライベートにコミュニケーションをとることができるよう、引き続き取り組んでいきます。」
Citizen Labの報告書は、イタリアのジャーナリストや人権活動家に対するParagonのスパイウェアの使用についても詳述しています。 イタリア政府は認めた 先月、この件についての知識を否定していたが、この顧客はパラゴンの顧客であった。この問題について、対外諜報機関長官は認めた同庁はGraphiteを複数回配備していた。
過去には、やはりイスラエルに拠点を置くNSOグループが2019年のWhatsAppアカウントへのスパイウェアハッキングの背後にいたことが判明し、2021年のその後の調査で、同社のペガサスプログラムが世界中のジャーナリストや活動家を標的にしていたことが判明しました。
パラゴン社は、昨年フロリダに拠点を置く投資グループAEインダストリアル・パートナーズに買収されたと報じられていますが、業界においてより責任ある企業の一つとして自らを位置づけようと努めてきました。
カナダにおけるスパイウェアの歴史はどのようなものですか？
カナダ王立騎馬警察（RCMP）は2022年に、捜査対象の暗号化された通信にアクセスするために2022年以来、スパイウェアツールを使用してきたことを公に認めました。
RCMPの広報担当者は、警察が依然としてスパイウェア（同局が「デバイス内捜査ツール」（ODIT）と呼ぶもの）を使用していることを確認したが、OPP（治安部隊）が強調したように、これらは司法当局の許可を得た上で「重大犯罪および国家安全保障に関する捜査」にのみ使用されている。
マリー＝イヴ・ブレトン氏は声明で、「RCMPの慎重かつ慎重なアプローチは、2017年から2024年にかけて、ODITが使用された捜査はわずか35件にとどまり、対象となったデバイスは合計57台に上ったという事実からも明らかです」と述べた。
「明確に申し上げますが、RCMPによるODITの使用は極めて稀で、限られたケースに限られています。常に対象を絞った使用です。常に期間限定で、不当な監視や大規模な監視を行うために使用されることは決してありません。これらのツールは秘密裏に使用されることはありません。」
RCMPは、スパイウェアが民間社会のメンバーを標的に使用されているのか、あるいはParagonの顧客なのかについては言及せず、具体的な調査やツールについてはコメントしないとした。
カナダ国会議員は、法執行機関によるスパイウェアツールの使用に関する調査を実施し、規制が必要であると結論付けた。カナダは、他の9つの同盟国と共に、2023年に商業スパイウェアの悪用に対抗し、国際的な規制を課すという、ジョー・バイデン前米国大統領の取り組みを支持した。
しかし、スパイウェアの使用に対処または規制するためのカナダの法律は未だ導入されていない。
デビッド・マクギンティ公安大臣事務所の報道官は、政府がそのような法律の制定に取り組んでいるかどうかについては言及せず、カナダ警察によるスパイウェアの使用に関するシチズン・ラボの調査結果に関する質問はオンタリオ州司法長官事務所に回した。オンタリオ州法務長官事務所はコメントを控えた。
ロバートソン氏は、国家安全保障を脅かす可能性のあるプログラムを通じて、市民社会のメンバーを標的とした攻撃に政府が関与しないよう徹底することが不可欠だと述べた。
「政府が、この急増するハッカー業界の買い手となる場合、カナダおよび世界中のすべての人々の不安と脆弱性に投資していることを理解する必要がある」と彼女は述べた。
「だからこそ、スパイウェアの使用についてどのような規制が必要かという問題だけでなく、そもそも自由で民主的な社会にお いて何が適切で許容できるのかという非常に重要な問題でもあるのだ。」
---ロイター提供資料より