Un jurado federal estadounidense ha condenado al proveedor israelí de programas espía NSO Group a pagar a WhatsApp 167.254.000 dólares en concepto de daños punitivos y 444.719 dólares en concepto de daños compensatorios por una campaña de 2019 dirigida a 1.400 usuarios de la aplicación de comunicación.
El veredicto se considera un caso histórico por ser la primera vez que un proveedor de software espía rinde cuentas ante un tribunal, y podría enviar ondas a través de la industria del software espía comercial.
"El veredicto de hoy en el caso de WhatsApp es un importante paso adelante para la privacidad y la seguridad, ya que supone la primera victoria contra el desarrollo y el uso de programas espía ilegales que amenazan la seguridad y la privacidad de todos", comentó Meta, propietaria de WhatsApp, en un comunicado.
"Hoy, la decisión del jurado de obligar a NSO, un notorio comerciante de spyware extranjero, a pagar daños y perjuicios es un elemento disuasorio crítico para esta industria maliciosa contra sus actos ilegales dirigidos a las empresas estadounidenses y la privacidad y seguridad de las personas a las que servimos."
Las multas se derivan de una campaña de mayo de 2019, cuando NSO intentó infectar a 1.400 usuarios de WhatsApp con su spyware Pegasus utilizando una vulnerabilidad de día cero de WhatsApp.
Más tarde se reveló que la vulnerabilidad que NSO aprovechó durante esta operación fue CVE-2019-3568, un desbordamiento de búfer en la pila VOIP de WhatsApp, que permitía a los atacantes enviar paquetes RTCP especialmente diseñados a un número de teléfono objetivo para lograr la ejecución remota de código.
Cuando los destinatarios recibían estas llamadas, aunque no contestaran, la vulnerabilidad se explotaba automáticamente, lo que permitía instalar Pegasus en los dispositivos.
Meta presentó la demanda contra NSO Group el 29 de octubre de 2019 ante el Tribunal de Distrito de los Estados Unidos para el Distrito Norte de California, alegando que NSO había explotado una vulnerabilidad en la función de llamadas de WhatsApp para entregar su software espía Pegasus a aproximadamente 1400 usuarios.
Aunque NSO Group afirma que sus productos son utilizados por las fuerzas de seguridad para hacer frente a delitos graves, Meta confirmó que entre los objetivos había activistas de derechos humanos, periodistas y diplomáticos.
El juicio, que incluyó los testimonios de ejecutivos de NSO, reveló que el proveedor de programas espía está directamente implicado en las operaciones de infección, por lo que tiene responsabilidad directa. Además, se vieron obligados a admitir que gastaron decenas de millones de dólares estadounidenses para desarrollar múltiples canales de infección además de WhatsApp.
Los documentos judiciales también revelaron que NSO Group utilizó al menos otra vulnerabilidad de día cero en el software de WhatsApp para atacar a los usuarios con programas espía incluso después de que se hubiera presentado la demanda de Meta.
El 23 de diciembre de 2024, la juez Phyllis J. Hamilton dictaminó que NSO Group es responsable de violar las leyes de piratería informática de Estados Unidos y las condiciones de servicio de WhatsApp, concediendo un juicio sumario parcial a favor de WhatsApp y trasladando el caso a un juicio con jurado para determinar los daños y perjuicios.
Por último, se concedió a WhatsApp una indemnización por daños punitivos de 167.254.000 dólares, además de una compensación extra de 444.719 dólares por la investigación del incidente, la aplicación de parches a las vulnerabilidades y la notificación a los usuarios.
El investigador de CitizenLab John Scott-Railton celebró la decisión del tribunal y advirtió a las empresas de software espía que podrían ser las siguientes.
Fuente: bleepingcomputer