『ペガサス』（2023年）は、史上最も強力かつ悪質なサイバー監視ソフトウェアの実態を暴くため、世界中で展開されたスリリングな調査の全貌を描く。大規模なデータ流出が小さな独立系ニュースメディアにもたらされたことから始まり、Pegasusがどのように誕生し、何百人もの無実の人々からプライバシーを奪ってきたのか、そしてすべてをかけてこのスクープを世に問うた世界中の記者・編集者たちの姿を伝える。
この記事でわかること——史上最大のサイバーセキュリティ脅威の真実を暴いたジャーナリストたちの軌跡
自分のスマートフォンを想像してみてほしい。この小さなデバイスは、ある意味であなたの心の延長線上にある。思い出を記憶する脳のように、写真やメモを保存する。最もプライベートで親密な会話にも使う。常に身の回りにあり、あなたの居場所を追跡している。誰かに心の中を読まれたくなければ、スマホに誰かが完全アクセスすることを想像してみよう。届いたメッセージをリアルタイムで読まれ、写真を勝手にスクロールされ、カメラやマイクを密かにオンにされ、周囲のすべてを見聞きされる。これは、イスラエル企業NSOが開発・販売する最先端のサイバー監視ソフトウェア「Pegasus」に感染させられたとき、政府や組織、あるいは個人が実際にできることだ。
このソフトウェアに懸念を抱くのはあなただけではない。この露骨なプライバシー侵害の詳細が調査報道記者のローラン・リシャールとサンドリーヌ・リゴーにもたらされたとき、それは何ヶ月にも及ぶ世界的な調査の引き金となった。ここでは、その調査がどのように始まり、少人数のジャーナリストチームがいかにして史上最大級のサイバー監視の脅威に光を当てたのか、その舞台裏を紹介する。
流出したリストが、ペガサス調査の引き金となった
2020年、東ベルリンの小さな借家アパートで極秘の会合が開かれた。フランスの独立系報道ネットワーク「フォービドゥン・ストーリーズ」の調査報道記者ローラン・リシャールとサンドリーヌ・リゴーは、スマートフォンの電源を切って隣の部屋に置き、ドアを閉めるよう求められた。こうした警戒は大げさに思えるかもしれないが、会合の主催者であるアムネスティ・インターナショナルのセキュリティ・ラボ所属、クラウディオ・グァルニエリとドンチャ・オー・シアーイルは、これから共有するデータに関して一切のリスクを冒すわけにはいかなかった。彼らの手元には、流出したリストがあった。
そのリストには、最先端のサイバー監視プログラム「Pegasus」の潜在的な標的として選ばれたと思われる約5万件の個人の電話番号が載っていた。誰かがこれらの電話へのアクセスを望み、しかも所有者に知られないようにしたかったのだ。この技術の存在自体は新しい情報ではなかった。開発したイスラエルの営利企業NSOは、犯罪やテロと戦う目的で政府機関にのみライセンス供与していると主張していた。カルテルの首領や麻薬密輸業者、小児性犯罪者を捕まえるのは、彼らの電話のコピーを手に入れれば簡単だ。しかし、ジャーナリストと技術専門家がリストの分析を始めると、はるかに暗い真実が見えてきた。
標的となっていた電話番号は、悪党だけではなかった。多くは政府高官だった。学者。人権活動家。政治的反体制派。そして最大のグループ——120件以上——はジャーナリストだった。
このことが意味するところに、ローランとサンドリーヌは衝撃を受けた。NSOの顧客が無実の個人を標的にしているなら、言論の自由と民主主義の本質そのものが攻撃されていることになる。このリストを入手することの本当の危険性——なぜ秘密を保ち、電子機器を無効にしたのか——は、モロッコの顧客が選択した一連の番号を見たときに明らかになった。フランス政府関係者を標的にしていたのだ。特に目を引いた名前があった。マクロン。
フランス大統領エマニュエル・マクロン。世界で最も著名な指導者の一人をスパイする大胆さを持つ相手なら、その秘密を守るためにどんなことでもするだろう。二人のジャーナリストは、この話を公表しなければならないと悟った。使命は明確であると同時に困難だった。リスト上の情報を確固たる証拠に変えながら、世界最大級のサイバーセキュリティ企業とその強力な顧客から身を隠し続けることだ。
調査の第一歩は、ゆっくりと、体系的に、慎重に進められた
巨大な事件と世界中に散らばる5万件の手がかりを前に、何をすべきか。ローランとサンドリーヌは体系的に進めた。出所不明の電話番号リストからは何も得られない——それらの番号が実際にPegasus感染の標的となったかどうかを独自に検証する必要があった。最初は情報をフォービドゥン・ストーリーズとセキュリティ・ラボの小さなサークル内に留めた——知る人が増えるほど、奇襲性を失うリスクが高まるからだ。
家族や恋人にも言えなかった。しかし、任務の規模を考えると、いずれは輪を広げ、他国のジャーナリストに連絡を取る必要があった。技術専門家のクラウディオとドンチャは、調査に協力するジャーナリストたちが使える安全で暗号化された通信方法の開発に着手した。さらに、Pegasusの証拠をスマートフォンから抽出するためのフォレンジック・ツールも作成した。ローランとサンドリーヌの仕事は、5万人の標的のうちの誰かを説得して、検査のために自分のスマホを自発的に提供してもらうことだった。最初のボランティアは、メキシコの調査報道誌『プロセソ』のディレクター、ホルヘ・カラスコだった。
2016年、悪名高いパナマ文書に関係する実業家グループを報道していたとき、彼は不明の番号からテキストメッセージを受け取った。有名な報道ウェブサイトからの重要なメモにリンクしていると主張する内容だった。「誰ですか？」と返信したが、賢明にもリンクは開かなかった。しかし、ローランとサンドリーヌにとって幸運だったのは、彼がそのメッセージを削除しなかったことだ。ジャーナリストたちからスマホのデータ分析の許可を求められたとき、ホルヘは当然ながら慎重だったが、最終的に同意した。彼はフォービドゥン・ストーリーズと別のプロジェクトで協働しており、ローランと彼のチームが何をしているかを理解していたのだ。
謎のテキストメッセージは、流出リストにあったデータと完全に一致した。これは、データの真正性とフォレンジック・ツールの有効性の両方を初めて検証するものだった。長い旅の第一歩に過ぎなかったが、正しい道を進んでいることを確信した。
証拠の収集と、より多くのジャーナリストとの協働により、「ペガサス・プロジェクト」が形を成した
証拠の収集と裏付けに加えて、プロジェクトには、合意された日付に一斉に調査結果を公表する準備ができた世界中のパートナーが必要だった。2021年1月、コロナ禍のピークと大統領就任式の政情不安の中、ローランとサンドリーヌは『ワシントン・ポスト』の支援を得るために渡米した。すでにヨーロッパの大手ニュースメディア『ディー・ツァイト』『ズュートドイチェ・ツァイトゥング』『ル・モンド』の支援は得ていたが、アメリカにジャーナリストがいることがプロジェクトの成功に不可欠だと分かっていた。チームはデータに関して判明したことと判明する見込みのあることを明らかにし、『ポスト』の調査報道部門責任者ジェフ・リーンとの20分の話し合いの後、アメリカ最大級のニュースメディアのリソースと支援を得た。
その後の数ヶ月は、データの調査、そしてパートナーとの記事準備の調整と、指定された公開日まで誰も情報を漏らさないようにすることに費やされた。データの確認とPegasusの悪用の証拠は積み重なり続けた。モロッコ政府によるジャーナリストの監視。メキシコでの大統領に対する抗議と批判を抑圧しようとする試み。サウジアラビアによるジャーナリスト、ジャマル・カショギの親族への監視——彼が暗殺される直前のことだった。
公開日を前に、ローランとサンドリーヌは調査結果をNSOに提示し、報道が出る前に会社が声明を出せるようにした。最初の返答は素っ気なく否定的で、情報源が完全に嘘をついていると非難するものだった。一部のニュースメディアには、名誉毀損弁護士からの威嚇が事前に届いた。しかし、どの返答もプロジェクトの主張に直接反論するものではなかった。
関わったすべての編集者は、自社の記事の表現が明確かつ正確であるか、集めた証拠を超えた主張をしていないかを二重にチェックした。準備は整った。2021年7月18日、予定通り、ペガサス・プロジェクトは10カ国・17の主要メディアの一面を飾った。ここまで、ペガサス・プロジェクトの誕生、展開、公開の背後にある物語を紹介してきた。
最終まとめ
その後数日は、ローラン、サンドリーヌ、そしてすべてのパートナーにとって目まぐるしい日々となった。モロッコ王国は、フランス政府へのスパイ疑惑に関して、ローランとサンドリーヌを名誉毀損で訴えようとした。一方フランス政府は、リストを共有し情報源を明かさなければ法的措置を取ると、ローランを脅し始めた。しかし、報道倫理と誠実さが勝り、情報源は守られた。
NSOについては、当初は疑惑を激しく否定し、自社ソフトウェアの防犯上の重要性を擁護したが、やがて「もう十分だ」と述べ、メディアへの対応を拒否した。最終的にPegasusの売上は減少し、2022年半ばには同社が回復できないことが明らかになった。サイバー監視とプライバシー侵害が蔓延する現代において、誰が私たちの活動を監視し、どのような目的を持っているのかに警戒を怠らないことが重要だ。ローラン・リシャールとサンドリーヌ・リゴーのようなジャーナリストたちの懸命な働きのおかげで、プライバシー、尊厳、民主主義へのこうした脅威は、これからも公の光のもとに晒され続けるだろう。
