פגסוס: איך תוכנת הריגול חודרת לטלפון ומה עושים כשיש חשד

מהי פגסוס ומה היא יכולה לעשות בטלפון

פגסוס היא תוכנת ריגול שפיתחה החברה הישראלית NSO Group. היא מיועדת למעקב ממוקד באמצעות חדירה לטלפונים. אחרי הדבקה היא שולחת למפעיל מידע פרטי מהמכשיר, ובהם סיסמאות, אנשי קשר, אירועי יומן והודעות טקסט, וגם שיחות קוליות מאפליקציות הודעות. המפעיל יכול גם להפעיל את המצלמה והמיקרופון ולעקוב אחרי המיקום. היכולות מתוארות במחקר של Citizen Lab על פגסוס.

החברה מוכרת את המערכת ללקוחות ממשלתיים. לפי המחקר, Citizen Lab זיהתה יותר ממאה מקרים של פגיעה בפעילי זכויות אדם ובעיתונאים בלפחות 20 מדינות, וגם מקרים קודמים נגד עורכי דין וגורמי אופוזיציה.

ניתוח של מעבדת האבטחה של אמנסטי מ־16 ביולי 2026 נשען על חומרי הדרכה ומסמכים פנימיים של NSO שנחשפו בתביעה האזרחית של WhatsApp ומטא נגד החברה. לפי הניתוח, NSO בונה את כלי הניצול ואת התשתית, והלקוח מפעיל את המערכת. הדוח מתאר גם שימוש בחולשות באנדרואיד ובאייפון.

המידע רלוונטי בעיקר למי שעוסקים בעבודה ציבורית או רגישה ולמי שקיבלו התרעת ריגול. לפי Apple, הרוב הגדול של המשתמשים לעולם לא יהיו יעד לתקיפות כאלה. התרעה אישית דורשת התייחסות רצינית ופנייה לעזרה מקצועית.

איך המערכת פועלת: מספר טלפון, הדבקה ואיסוף מידע

לפי ניתוח אמנסטי, מפעיל המערכת מזין מספר טלפון, והמערכת בודקת את המכשיר: מערכת ההפעלה, הרשת, מצב נדידה והאפליקציות המותקנות. הרישיון מגביל באילו מדינות ולכמה יעדים מותר להפעיל אותה.

הדבקה מתבצעת באחת משתי דרכים: ללא פעולה של המשתמש, או אחרי שהמשתמש לוחץ על קישור. כשההדבקה מצליחה, לוח הבקרה מציג את המידע לפי קטגוריות, כמו שיחות, הודעות, דוא"ל ותמונות, וכן נתוני חשבונות ענן. מודול פקודות יכול להפעיל פעולות כמו צילום, הפעלת מיקרופון ודיווח מיקום.

אמנסטי מציינת שניסיונות כושלים עלולים להשאיר עקבות במכשיר. זו אחת הסיבות שבדיקה פורנזית מקצועית יכולה למצוא ממצאים גם כשההדבקה לא הצליחה.

איך מתרחשת הדבקה בלי לחיצה על קישור

במחקרי פגסוס תועדו דרכי חדירה שונות, בהן ניצול חולשות ושכנוע בהונאה. מחקר Citizen Lab מתאר, למשל, הודעה על חבילה מזויפת שנשלחה ב־2018 לאדם מהקרובים לג'מאל חשוקג'י.

תועדו גם תקיפות ללא לחיצה, המכונות Zero-click. בחולשה שנחשפה ב־WhatsApp במאי 2019 אפשר היה להחדיר את התוכנה בעצם חיוג למספר היעד. התקיפה מנצלת עיבוד אוטומטי של תוכן במכשיר, ולכן המשתמש לא צריך לפתוח קישור או להתקין יישומון.

דוגמה היסטורית נוספת היא FORCEDENTRY, שרשרת תקיפה דרך iMessage ש־Citizen Lab תיעדה ב־13 בספטמבר 2021 אצל פעיל סעודי. החוקרים זיהו ניצול של רכיב לעיבוד תמונות, ו־Apple פרסמה באותו יום עדכון שתיקן את החולשה. דוח המחקר מתאר את המקרה, והוא אינו מעיד שאותה חולשה עדיין פועלת במכשיר מעודכן. Citizen Lab קראה אז לעדכן מיד את כל מכשירי Apple.

הימנעות מקישורים חשודים מועילה נגד איומים רבים, ואפשר להיעזר בהסבר על זיהוי הודעות פישינג. מול תקיפה ללא לחיצה נדרשים גם עדכוני אבטחה והגנות במכשיר.

גם הודעות מוצפנות עלולות להיחשף במכשיר שנפרץ

גישה למכשיר יכולה לחשוף גם הודעות שהועברו בהצפנה. התוכן זמין לקריאה במכשיר של המשתמש, ופגסוס יכולה להגיע למידע בנקודת הקצה הזאת. מכאן אי אפשר להסיק שפוענחה ההצפנה של שירות ההודעות עצמו.

במחקר שפורסם ב־2 בספטמבר 2026, Citizen Lab אישרה הדבקה בפגסוס באייפון של אדם מתנועת מחאת הסטודנטים בסרביה. לפי המחקר, ההדבקה בוצעה באמצעות ניצול ללא לחיצה ב־iMessage. סימני ההדבקה נמצאו בין דצמבר 2025 לינואר 2026, והחוקרים ציינו שהדבר אינו שולל הדבקות נוספות. נראה ש־Apple תיקנה את הפרצה ב־iOS 18.4.1.

החוקרים תיארו גישה אפשרית למידע פרטי, ובהם הערות, תמונות והודעות מוצפנות, וכן להפעלה חשאית של המיקרופון והמצלמה. ההדבקה אינה נראית למי שהותקף. תיאור היכולת אינו קובע שכל פריט מידע נאסף בתקיפה מסוימת.

קרן SHARE תיעדה לפחות 14 מקרים של התרעות איום מ־Apple בקרב סטודנטים, אנשי חברה אזרחית וחבר פרלמנט מהאופוזיציה. באותו מחקר נמצאה גם גרסה חדשה של NoviSpy, תוכנת ריגול לאנדרואיד, אצל חבר בתנועה.

מה התרעת ריגול אומרת, ומה אפשר לבדוק

Apple מתארת את התרעות האיום שלה כהתרעות ברמת ביטחון גבוהה למשתמשים שייתכן שהיו יעד לתוכנת ריגול שכירה, וממליצה להתייחס אליהן ברצינות. היא אינה מפרטת מה מפעיל אותן ואינה מייחסת תקיפה לתוקף או לאזור מסוים. לפי ההסבר של Access Now, ההתרעה אינה מראה אם התקיפה הצליחה, מי עומד מאחוריה ומה המניע. Access Now משווה אותה להתרעת אש: היא מסמנת סכנה אפשרית וצריך עזרה מקצועית כדי לחקור.

היעדר סימנים גלויים אינו מעיד על ביטחון. לפי Access Now, בודקים כמעט אינם נותנים הצהרה גורפת או ערובה לכך שהמכשיר בטוח לחלוטין. סריקה נקייה באפליקציית אבטחה אומרת רק שלא נמצאה התאמה לקבוצה הקטנה של סימנים מוכרים, ואפליקציות צרכניות אינן סורקות את כל המכשיר. מי ששוקל בכל זאת הגנה צרכנית יכול לבדוק מה כולל מנוי McAfee לפני התשלום.

כלי MVT של אמנסטי מנתח מכשירי אייפון ואנדרואיד ומחפש עקבות של פגיעה. אמנסטי מבהירה שהכלי מיועד למומחי טכנולוגיה, ושייתכן שאינו מזהה בוודאות את איומי הריגול המתקדמים האחרונים בלי ידע וסימנים נוספים. התקנת הכלי לבדה אינה תחליף לפענוח הממצאים.

מה לעשות אם קיבלתם התרעה או יש חשד ממוקד

אם קיבלתם התרעה, התחילו באימות שלה ובקבלת עזרה. ההנחיות הרשמיות של Apple מסבירות כיצד לזהות הודעה אמיתית ומה לעשות בעקבותיה.

1. היכנסו באופן עצמאי לאתר חשבון Apple בכתובת account.apple.com ובדקו אם מופיעה התרעה בראש העמוד. התרעה אמיתית אינה מבקשת שתלחצו על קישור, תפתחו קובץ, תתקינו יישומון או פרופיל, או תמסרו סיסמה או קוד אימות. התרעה יכולה להופיע גם כהודעה באייפון או כדוא"ל מהכתובת threat-notifications@email.apple.com.
2. פנו למומחה מהימן לבדיקת ריגול בטלפונים. Apple ממליצה על קו הסיוע לאבטחה דיגיטלית של Access Now, הפועל מסביב לשעון. הקו תומך באנשי החברה האזרחית, ובהם עיתונאים עצמאיים, בלוגרים, פעילים ומגיני זכויות אדם, ואינו יכול לסייע למי שמחוץ לתחום הזה.
3. אל תמחקו את המכשיר כתגובה ראשונה. Access Now ממליצה לשמור גיבוי כדי לשמר ראיות אפשריות, ומזהירה שמחיקה אינה בהכרח מונעת הדבקה חוזרת.
4. עדכנו את התוכנה והפעילו מצב נעילה אם הוא מתאים לכם. אם כבר מתבצעת בדיקה מקצועית, תאמו עם הבודק את שימור הראיות.

מצב נעילה של Apple מיועד למעטים שעלולים להיות יעד אישי לתקיפות מתוחכמות מאוד. הוא חוסם רוב סוגי הקבצים המצורפים בהודעות, חוסם קישורים ותצוגות מקדימות של קישורים וחוסם טכנולוגיות גלישה מורכבות, ולכן אתרים מסוימים עלולים להיטען לאט או לא לפעול כראוי. שיחות FaceTime נכנסות נחסמות, אלא אם התקשרתם לאותו אדם ב־30 הימים האחרונים. המכשיר צריך להיות פתוח כדי להתחבר לאביזרים או למחשב, ורשתות 2G ו־3G כבויות באייפון.

שיחות טלפון, הודעות טקסט רגילות וקריאת חירום ממשיכות לפעול. אפשר להחריג אתרים, אפליקציות או אנשי קשר, אבל זה מקטין את ההגנה. את המצב מפעילים בהגדרות, תחת פרטיות ואבטחה, בכל מכשיר בנפרד. הוראות מצב הנעילה מפרטות את ההגבלות ואת דרך ההפעלה.

לשגרה, Apple ממליצה לעדכן מכשירים, להשתמש בקוד גישה או בזיהוי ביומטרי, להתקין אפליקציות רק מ־App Store, להשתמש בסיסמאות חזקות וייחודיות ולהפעיל אימות דו־שלבי. אפשר להיעזר במדריך להפעלת אימות דו־שלבי להגנת חשבונות נוספים.