ABD'de mahkeme, WhatsApp'ın Pegasus üreticisi NSO'nun yasağı çiğnediği iddiasında kanıtları yetersiz buldu

ABD’nin Kaliforniya Kuzey Bölge Mahkemesi’nde hakim Phyllis Hamilton, WhatsApp’ın Pegasus casus yazılımının üreticisi NSO Group hakkında açtığı mahkemeye itaatsizlik (contempt) başvurusunu 16 Ekim’de reddetti. Karar 19 Ekim’de basına yansıdı.

Dava 2019’a uzanıyor. O yıl NSO’nun, hiçbir şeye tıklamayı gerektirmeyen Pegasus yazılımıyla yaklaşık 1.400 WhatsApp kullanıcısını hedef aldığı ortaya çıkmıştı. WhatsApp ve sahibi Meta davayı kazandı. Aynı hakim 2025 Ekim’inde NSO’nun WhatsApp altyapısını kullanıcılara saldırmak için kullanmasını yasaklayan kalıcı bir tedbir kararı verdi ve şirkete 4,4 milyon dolar ceza kesti.

WhatsApp’ın iddiası

WhatsApp Haziran 2026’da, NSO’nun bu yasağa rağmen kullanıcılarını hedef almaya devam ettiğini açıkladı. Şirkete göre bu kez sıfır tıklamalı saldırılar değil, kullanıcıları WhatsApp dışındaki zararlı sitelere yönlendiren bağlantılarla yapılan hedefli oltalama söz konusuydu. Saldırılar, kullanıcıların şüpheli hareketleri bildirmesiyle fark edildi. WhatsApp NSO’ya ait olduğunu düşündüğü test hesaplarını ve grupları kapattı ve mahkemeden NSO’nun yasağı çiğnediğinin tespit edilmesini istedi.

Mahkemenin gerekçesi

Kararda üç iddia tek tek ele alınıyor: NSO’nun yeni hesap açması, eski hesapları kullanmaya devam etmesi ve tek tıklamayla çalışan zararlı bağlantılar göndermesi. Hakim üçü için de “açık ve ikna edici kanıt” standardının karşılanmadığına hükmetti.

WhatsApp’ın elindeki tek kanıt, Meta’nın tehdit istihbarat ekibinden araştırmacı Andrew Blaich’in beyanıydı. Blaich, yasaktan sonra açılan en az 23 hesapta Meta’nın daha önce NSO’nun testleriyle ilişkilendirdiği “teknik ve davranışsal izler” bulduğunu söylüyordu. Hesap kaydetme biçimleri, cihaz bilgileri ve NSO’nun kontrolündeki altyapıyla bağlantılar bunlar arasındaydı. Ancak WhatsApp hesapların adlarını, telefon numaralarını ya da bu izlerin ayrıntısını paylaşmadı. Gerekçesi, tespit yöntemlerini açıklamanın gelecekte casus yazılım şirketleriyle mücadeleyi zorlaştıracak olmasıydı.

Hakim bunu WhatsApp’ın “bilerek aldığı bir risk” olarak niteledi. Kararda, mahkemeden altta yatan kanıtı görmeden Blaich’in güvencesini kabul etmesinin istendiği belirtiliyor. Eski hesaplar konusunda hakim, yasağın metnini “en iyi ihtimalle belirsiz” buldu ve metni WhatsApp hazırladığı için belirsizliği WhatsApp’ın aleyhine yorumladı. Zararlı bağlantılar konusunda ise NSO’nun bağlantıya tıklandıktan sonraki aşamadaki rolüne dair kayıtların yetersiz olduğunu belirtti.

Tepkiler

Dijital haklar kuruluşu Access Now’dan Natalia Krapiva, WhatsApp’ın kendi araştırma ve tespit yöntemlerini açıklamasının NSO’ya, yabancı istihbarat servislerine ve açık geliştiricilerine büyük fayda sağlayabileceğini söyledi. Krapiva’ya göre NSO’nun hesap vermesi için bu tür açıklamaların şart koşulması, casus yazılım sektörüne “tam bir cezasızlık” getirir.

Benzer bir ikilem daha önce de yaşanmıştı. Apple, Eylül 2024’te NSO’ya açtığı davayı, davayı sürdürmenin “hayati güvenlik bilgilerini” açığa çıkarma riski taşıdığını söyleyerek geri çekmişti. WhatsApp ve NSO, The Record’un yorum isteğine haber yayımlandığında yanıt vermemişti.