美國制裁4家出售駭客工具的業者，包括以色列的NSO在內

美國商務部（Department of Commerce，DoC）旗下的工業及安全局（Bureau of Industry and Security，BIS）於周三（11/3）公告，將4家資安業者列入《實體名單》（Entity List），禁止美國個人及業者與這4家資安業者交易，它們分別是以色列的NSO Group及Candiru，以及俄羅斯的Positive Technologies與新加坡的Computer Security Initiative Consultancy 。

BIS指責NSO Group及Candiru開發及供應間諜軟體予外國政府，利用這些工具來監控政府官員、記者、商業人士、活動家、學者或大使館的工作人員，讓外國政府得以跨國進行鎮壓，對國際秩序造成威脅。

至於Positive Technologies及Computer Security Initiative Consultancy，則被指控銷售各種網路工具，以用來非法存取資訊系統，威脅到全球使用者及組織的隱私及安全。

在遭到BIS制裁的4家資安業者中，最知名的是NSO Group，該公司所打造的Pegasus間諜軟體可滲透Android與iOS裝置，加拿大多倫多大學的公民實驗室（Citizen Lab）的調查顯示，全球有36個組織在45個國家利用Pegasus監控各種對象，非營利組織禁忌故事（Forbidden Stories）更取得了一份疑似NSO Group客戶的攻擊名單，存放了5萬筆攻擊目標的電話資料。

另一家以色列業者Candiru雖然不若NSO Group高調，但也被微軟與公民實驗室發現打造了強大的間諜軟體DevilsTongue，該間諜軟體串連了多個零時差漏洞，且除了可蒐集受害者的資料之外，還能竊取受害者憑證。

俄羅斯的Positive Technologies先前即曾被美國總統拜登（Joe Biden）點名，不過Positive Technologies卻是微軟、IBM及VMware的合作夥伴，被納入《實體名單》之後，這些美國業者除非取得政府許可，否則將無法再使用該公司的服務。

這份新的《實體名單》呼應了美國商務部上個月有關資安的新出口規定，要求美國業者不得將可用於惡意行動的駭客或資安工具，出口至特定國家。