Шпионское ПО: как частные компании продают слежку государствам

В 2025 году коммерческие поставщики шпионского ПО впервые обошли государственные хакерские группы по числу атак с использованием уязвимостей нулевого дня. Их покупатели — спецслужбы, полиция и иммиграционные ведомства. Официально такие системы используют для расследований, борьбы с терроризмом и преступностью.

Google Threat Analysis Group зафиксировала в 2025 году 90 уязвимостей нулевого дня, примененных в реальных атаках. В 2023 году таких уязвимостей было 100, в 2024-м — 78. Происхождение удалось установить для 42 уязвимостей. Пятнадцать из них связали с коммерческими поставщиками, включая NSO Group, Intellexa и Candiru.

Такие компании называют Commercial Surveillance Vendors, или CSV. Они продают государственным заказчикам готовые комплексы для скрытого доступа к телефонам и компьютерам. В пакет входят способы заражения, цепочки уязвимостей, серверы управления и программы для анализа собранных данных. Google отслеживает около 40 компаний этого типа.

Их продукты позволяют читать сообщения, отслеживать местоположение, записывать разговоры, включать микрофон и камеру. Правозащитные организации и исследовательские группы фиксировали применение таких систем против журналистов, активистов и политиков.

Израильская NSO Group разработала Pegasus — программу для удаленного заражения устройств на iOS и Android. С 2016 года компания поставляла ее спецслужбам, правоохранительным органам и военным. Среди заказчиков были государственные органы 14 стран Евросоюза, а также ОАЭ, Саудовской Аравии, Мексики и Марокко.

В 2021 году NSO Group внесли в санкционный список США. В 2025 году суд обязал компанию выплатить Meta $167 млн по делу о слежке за пользователями WhatsApp. Позднее сумму снизили до $4 млн, а NSO запретили атаковать пользователей мессенджера. В 2026 году Meta вновь подала иск, обвинив компанию в нарушении предписания и новой волне фишинговых атак.

Paragon Solutions из Израиля продает систему Graphite. Она использует уязвимости zero-click: для заражения пользователю не нужно открывать ссылку или выполнять другое действие. В 2025 году Graphite обнаружили на устройствах журналистов и правозащитников в Европе, включая Италию. После расследования итальянское правительство разорвало контракты с компанией. В 2024 году американское иммиграционное и таможенное ведомство ICE получило доступ к технологиям Paragon по контракту на $2 млн. Договор заморозили при администрации Джо Байдена и возобновили в 2025 году. Министерство внутренней безопасности США заявляет, что сейчас ICE не связан с Paragon.

Candiru, основанная бывшими сотрудниками NSO Group, разработала программу DevilsTongue для Windows. Ее связывали с операциями в Венгрии, Саудовской Аравии, Индонезии и Азербайджане. В начале 2025 года американская Integrity Partners приобрела активы Candiru за $30 млн и перевела их на компанию Integrity Labs.

Консорциум Intellexa выпускает Predator. Google связала его как минимум с 15 атаками с использованием уязвимостей нулевого дня с 2021 года. В 2025 году такие атаки выявили в Ираке, Пакистане, Мозамбике, Саудовской Аравии и Казахстане. В феврале 2026 года суд в Греции вынес обвинительные приговоры четырем фигурантам дела, включая основателя Intellexa Таля Диляна. Каждому назначили по 126 лет и 8 месяцев заключения. По греческому законодательству фактический срок ограничен восемью годами, а исполнение наказания отложили до рассмотрения апелляций.

Итальянская RCS Lab продает систему Hermit для Android. Она записывает звук, перенаправляет звонки и извлекает данные с устройства. Заражение происходит через сообщения и уведомления, замаскированные под приложения Samsung, Vivo и Oppo. Google связывала RCS Lab с атаками через уязвимость нулевого дня в браузере Chrome.

Стоимость таких систем составляет от нескольких миллионов до десятков миллионов долларов. В 2018–2020 годах стандартная лицензия Pegasus для европейского государственного заказчика стоила $7 млн и позволяла одновременно атаковать до 15 устройств. Годовая лицензия достигала $6,8 млн, а отдельные контракты — $60–80 млн. Комплекс Intellexa для 100 устройств оценивался примерно в €8 млн, полный пакет с поддержкой и обучением — в €13,6 млн. Контракты Candiru начинались от €16 млн.

В феврале 2025 года Pegasus обнаружили на телефонах двух журналисток расследовательского проекта BIRN в Сербии. В Венгрии исследователи сообщали почти о 300 возможных жертвах DevilsTongue, включая журналистов, предпринимателей и политиков. В Мексике атаки Pegasus на журналистов и правозащитников фиксируют с 2016 года. Высокопоставленных заказчиков слежки в этих случаях к ответственности не привлекли.

В США под санкции попали NSO Group, Candiru и Intellexa. Компании меняют владельцев и юридические структуры. Международная инициатива Pall Mall Process, созданная Великобританией и Францией в 2023 году, объединила 27 государств и предусматривает добровольный кодекс поведения. В июле 2026 года начались переговоры о базовых принципах регулирования индустрии. Обязательные международные нормы пока не приняты.