NSO deve risarcire Meta: la sentenza che cambia il panorama della sorveglianza digitale

Il verdetto

Emesso a Oakland il 6 maggio 2025, il verdetto è il culmine di un lungo processo che ha visto confrontarsi Meta e NSO Group.

Già nel dicembre 2024 il giudice distrettuale Phyllis J. Hamilton aveva stabilito che il gruppo israeliano avesse violato il Computer Fraud and Abuse Act statunitense, oltre alla legislazione californiana sulla sicurezza informatica e ai termini di servizio di WhatsApp, che vietano l’uso dell’app per scopi dannosi.

Il caso è successivamente passato a un processo con giuria per determinare l’entità del risarcimento dovuto. Il tribunale ha condannato NSO a pagare 444.719 dollari di danni compensativi, corrispondenti alle spese sostenute da WhatsApp per indagini, mitigazione e patch di sicurezza, e 167.254.000 dollari di danni punitivi, quest’ultimi inflitti per “malizia” e condotta dolosa.

La causa di whatsapp contro Nso group

La causa, intentata da Whatsapp nel 2019, riguarda l’utilizzo non autorizzato di una vulnerabilità zero-day riscontrata nel sistema di chiamate vocali dell’applicazione.

Questa vulnerabilità è stata sfruttata dall’azienda israeliana per installare il proprio spyware su circa 1.400 dispositivi mobili iOS e Android, colpendo attivisti, giornalisti, avvocati e dissidenti politici in decine di Paesi.

Nonostante NSO Group abbia sempre sostenuto che Pegasus – venduto esclusivamente ad agenzie di intelligence governative – sia stato adoperato per fini legittimi, quali il contrasto al terrorismo e alla criminalità organizzata,
numerose inchieste condotte da Citizen Lab, Amnesty International ed altri watchdog internazionali hanno dimostrato un uso sistematico del software israeliano da parte di regimi autoritari per attività di repressione politica.

Tra i Paesi ad aver sfruttato Pegasus: l’India, l’Arabia Saudita, il Messico, la
Polonia, l’Ungheria, ma anche la Spagna, dove lo spyware ha permesso di monitorare leader separatisti catalani come Carles Puigdemont. Anche in Azerbaigian, l’utilizzo di Pegasus ha consentito di sorvegliare oppositori politici e giornalisti, alcuni dei quali sono stati anche arrestati o perseguitati per il loro lavoro.

Questo uso dello spyware ha suscitato l’indignazione di gruppi per i diritti umani come Human Rights Watch, che hanno denunciato il governo azero per la violazione della libertà di stampa e dei diritti politici.

Oltre all’allarme che richiama sull’uso di tecnologie di sorveglianza come strumento di controllo interno, la vicenda ha avuto anche implicazioni in ambito geopolitico, come nel caso tra Algeria e Marocco.

Nel 2021, l’Algeria ha infatti accusato il Marocco di essersi servita di Pegasus per spiare funzionari governativi e militari algerini, aggravando l’escalation di tensioni già in atto tra i due Paesi e contribuendo all’interruzione delle relazioni diplomatiche nell’agosto 2021.

La sentenza contro Nso group e il plauso di Meta

A seguito della pronuncia, Zade Alsawah, portavoce di Meta, ha definito la sentenza una “prima vittoria contro lo sviluppo e l’uso di spyware illegali”, e un “deterrente critico per tale settore dannoso e i suoi atti illeciti rivolti alle aziende americane e ai nostri utenti in tutto il mondo”.

Meta ha inoltre annunciato l’intenzione di destinare una parte dei risarcimenti alle organizzazioni per i diritti digitali che operano nella difesa degli utenti da attacchi di sorveglianza.

Tuttavia, la strada per la riscossione dei risarcimenti stabiliti potrebbe essere piuttosto lunga. Nso group ha infatti annunciato la volontà di presentare ricorso contro la sentenza, sostenendo che la giuria non ha avuto modo di considerare le prove a favore dell’uso legittimo della tecnologia.

“Crediamo fermamente che la nostra tecnologia svolga un ruolo fondamentale nella prevenzione della criminalità grave e del terrorismo e sia implementata responsabilmente da agenzie governative autorizzate”, ha affermato l’azienda israeliana.

“Questa prospettiva, convalidata da ampie prove e da numerose operazioni di sicurezza che hanno salvato molte vite, comprese vite americane, ha subito l’esclusione dall’esame della giuria in questo caso”, ha aggiunto Nso.

Le evidenze presentate da Meta

Ad indebolire la linea difensiva di Nso sono state le evidenze presentate da Meta. Durante il processo l’azienda proprietaria di WhatsApp ha infatti dimostrato che Nso investe annualmente oltre 50 milioni di dollari in ricerca e sviluppo per affinare le sue tecniche di infezione, cercando di sfruttare le vulnerabilità insite in servizi di messaggistica istantanea, browser e sistemi operativi.

Secondo John Scott-Railton, ricercatore senior del gruppo canadese Citizen Lab, “l’azienda israeliana emerge da questo processo gravemente danneggiata. A parte gli enormi danni punitivi, il maggiore impatto di questo caso è stato anche un duro colpo agli sforzi di Nso per nascondere le loro attività commerciali“.

In più, oltre a consolidare le accuse di condotta persistente e dolosa, tali rivelazioni hanno evidenziato come le attività di Nso group rimangano una minaccia per la privacy dei consumatori delle app di messaggistica.

Prospettive future

Le conseguenze della sentenza travalicano i confini di una semplice disputa legale. Infatti è la prima volta che uno sviluppatore di spyware è ritenuto responsabile dello sfruttamento delle debolezze delle piattaforme usate sui dispositivi.

Il successo di WhatsApp nel caso apre Nso a potenziali azioni legali da parte di altri giganti della tecnologia – tra cui Apple – le cui piattaforme sono state nel mirino dello spyware Pegasus.

Inoltre, Il governo di Israele, tradizionalmente schierato a favore di Nso come “fornitore strategico” in ambito cyber-difensivo, si trova ora in una posizione delicata, con il rischio che l’uso offensivo della tecnologia da parte di governi alleati o rivali diventi un punto di scontro nelle trattative multilaterali sulla cybersicurezza.

Il caso tra WhatsApp e Nso rappresenta molto più di una disputa tra due aziende del settore tech: è un punto di svolta nella cyber security globale e un monito per l’intera industria dello spyware.

Il verdetto della giuria di Oakland potrebbe infatti ridisegnare l’equilibrio tra privacy, sorveglianza e sicurezza.

Le implicazioni giuridiche e politiche della sentenza potrebbero spingere molti Stati a riconsiderare il loro impegno nei confronti di un settore che, seppur vitale per la sicurezza, è divenuto sempre più problematico e controverso.