In a split decision, a Ninth Circuit Court of Appeals panel said Tuesday that a San Francisco trial judge was too hasty in dismissing a lawsuit by a group of El Salvador-based journalists against the Israeli maker of the Pegasus spyware that was surreptitiously installed on their iPhones.

The unsigned decision sent the case back to U.S. District Judge James Donato to reconsider his March 8, 2024, ruling that the Northern District of California was a “forum non conveniens” for the claims against NSO Group Technologies and Q Cyber Technologies, both of which are based in Israel.

Two judges on the appellate panel — U.S. Circuit Judge Jennifer Sung, a Joe Biden appointee, and U.S. District Judge Michael Simon, a Barack Obama appointee at the District Court of Oregon who sat on the panel by designation — found that Donato had failed to consider that one of the plaintiffs is a U.S. citizen and two others U.S. residents, which entitled them to a higher degree of deference to bring a lawsuit in a federal judicial district where they don’t reside.

“When the plaintiff is a U.S. citizen or resident, the defendant must satisfy a heavy burden of proof, such that unless the balance is strongly in favor of the defendant, the plaintiff’s choice of forum should rarely be disturbed,” they said. “Here, however, it appears the district court gave little to no deference to plaintiffs’ choice of forum, overlooked the allegations of the operative complaint, and shifted the burden of proof from defendants to plaintiffs.”

The 18 journalists who brought the lawsuit work for El Faro, a digital newspaper they say serves as one of the preeminent sources of independent journalism in Central America and is dedicated to investigative and in-depth reporting on corruption, violence, organized crime, migration, inequality and human rights.

They claim that between June 2020 and November 2021, the Israeli companies and their unidentified clients used zero-click exploits, which doesn’t require the target to take any action to allow the spyware to access their phones, to surreptitiously install Pegasus on the iPhones of at least 22 of El Faro’s 35 employees.

The journalists sued the Pegasus makers in the Northern District of California because that is where Apple is based, and according to their claims, the Israeli companies used Apple’s servers to target their phones.

U.S. Circuit Judge Bridget Bade, a Donald Trump appointee, said in dissent that the plaintiffs who are either U.S. citizens or residents weren’t entitled to additional deference for filing their lawsuit in San Francisco because none of them lives in Northern California.

“A domestic plaintiff’s choice of forum is ordinarily entitled to a strong presumption in its favor,” Bade said. “A domestic plaintiff’s choice of forum is entitled to less deference, however, if the suit is filed in a domestic forum other than the plaintiff’s home forum.”

An attorney representing the Israeli companies before the Ninth Circuit didn’t immediately respond to a request for comment on the ruling.

The Pegasus program is used by many authoritarian governments to track and spy on dissidents and journalists, at times leading to their arrest, imprisonment and even murder.

Microsoft and Google filed an amicus brief with the Ninth Circuit in support of the El Salvador-based journalists’ bid to hold the Israeli companies liable in U.S. court.

“Consistent with their focus on cybersecurity and protecting their customers from cyber-surveillance attacks, amici have a strong interest in ensuring that entities who facilitate covert access to their products and services in violation of federal and state law are held accountable in U.S. courts,” the tech companies said. “Holding bad actors accountable is vital to deterring malicious cyber-surveillance and other cyber-attacks.”

Apple itself sued NSO Group and Q Cyber Technologies in 2021 for hacking its devices, calling the companies “amoral 21st century mercenaries who have created highly sophisticated cyber-surveillance machinery that invites routine and flagrant abuse.”

However, Apple voluntarily dropped the lawsuit last year, saying that the threat to Apple’s iPhones had changed significantly and that Pegasus posed a substantially weakened risk because of enhanced user protections through Apple’s internal efforts.

Apple’s primary worry, according to its request to dismiss the case, was that discovery in litigation would compromise these efforts by revealing the measures Apple has implemented to protect users.

WhatsApp — an encrypted communication app owned by Facebook’s parent company Meta Platforms that boasts over 2 billion users around the world — sued in 2019 after Pegasus reportedly compromised the privacy of 1,400 activists, journalists and diplomats via WhatsApp servers.

Pegasus allows the user to observe a cellphone’s location data and gain control over the device’s microphone and camera. Originally designed as a tool for government law enforcement and intelligence agencies, the software is NSO’s flagship product and is licensed to governments around the world.

To embed the spyware into someone’s phone, Pegasus clients send a text message, which then invades devices through a malicious code lurking in these messages sent via WhatsApp, Telegram or other messaging services. 

Once implanted, it can control a phone’s microphones and cameras while extracting the personal and location data of its owner — for example, by scraping browser history and contacts, grabbing screenshots and infiltrating communications.

Pegasus can also infect users through missed phone calls and  “zero-click” attacks, which do not require any action from the phone’s owner to succeed.

WhatsApp is seeking damages and a permanent injunction that prevents NSO and its affiliates from accessing its computer systems or engaging in further activities that could disrupt its platform’s functionality.

Courthouse News Service: https://www.courthousenews.com/ninth-circuit-revives-el-salvador-journalists-suit-against-israeli-spyware-firm/

El Noveno Circuito revive la demanda de periodistas salvadoreños contra la firma israelí de software espía

En una decisión dividida, un panel del Tribunal de Apelaciones del Noveno Circuito sostuvo el martes que un juez de distrito en San Francisco se apresuró al desestimar la demanda presentada por un grupo de periodistas radicados en El Salvador contra el fabricante israelí del programa espía Pegasus, instalado subrepticiamente en sus iPhones.

La resolución, emitida sin firma, devuelve el caso al juez federal James Donato para que reconsidere su fallo del 8 de marzo de 2024, según el cual el Distrito Norte de California constituía un “forum non conveniens” para las pretensiones contra NSO Group Technologies y Q Cyber Technologies, ambas con sede en Israel.

Dos de los magistrados del panel —la jueza de circuito Jennifer Sung, nombrada por Joe Biden, y el juez de distrito Michael Simon, designado por Barack Obama en el Distrito de Oregón y que participó por invitación— concluyeron que Donato pasó por alto que uno de los demandantes es ciudadano estadounidense y otros dos residentes permanentes, lo que les otorga un nivel de deferencia superior al elegir un distrito judicial federal donde no residen.

«Cuando el demandante es ciudadano o residente de Estados Unidos, el demandado debe soportar una pesada carga probatoria; salvo que el equilibrio de factores sea claramente favorable al demandado, la elección de foro del demandante raras veces debe alterarse», señalaron. «Sin embargo, aquí parece que el tribunal de distrito otorgó poca o ninguna deferencia a la elección de foro de los demandantes, ignoró las alegaciones de la demanda vigente y trasladó la carga de la prueba de los demandados a los demandantes».

Los 18 periodistas que interpusieron la demanda trabajan para El Faro, un diario digital que —afirman— es una de las principales fuentes de periodismo independiente en Centroamérica y se dedica a investigaciones en profundidad sobre corrupción, violencia, crimen organizado, migración, desigualdad y derechos humanos.

Sostienen que, entre junio de 2020 y noviembre de 2021, las empresas israelíes y sus clientes no identificados utilizaron exploits de tipo cero clic —que no requieren ninguna acción de la víctima— para instalar clandestinamente Pegasus en los iPhones de al menos 22 de los 35 empleados de El Faro.

Los periodistas demandaron a los fabricantes de Pegasus en el Distrito Norte de California porque allí tiene su sede Apple y, según su demanda, las empresas israelíes utilizaron los servidores de Apple para atacar sus teléfonos.

En disenso, la jueza de circuito Bridget Bade, nombrada por Donald Trump, sostuvo que los demandantes que son ciudadanos o residentes estadounidenses no merecían deferencia adicional por presentar la demanda en San Francisco, dado que ninguno de ellos vive en el Norte de California.

«La elección de foro de un demandante nacional goza, por lo general, de una fuerte presunción a su favor», escribió. «No obstante, dicha presunción se debilita si la demanda se interpone en un foro distinto del domicilio del demandante».

El abogado que representa a las empresas israelíes ante el Noveno Circuito no respondió de inmediato a una solicitud de comentarios sobre el fallo.

Pegasus es utilizado por numerosos gobiernos autoritarios para rastrear y espiar a disidentes y periodistas, lo que en ocasiones desemboca en arrestos, encarcelamientos e incluso asesinatos.

Microsoft y Google presentaron un escrito amicus curiae ante el Noveno Circuito en apoyo de la pretensión de los periodistas salvadoreños de responsabilizar a las empresas israelíes en un tribunal estadounidense.

«En consonancia con su atención prioritaria a la ciberseguridad y a la protección de sus usuarios frente a ataques de cibervigilancia, los amici tienen un fuerte interés en garantizar que quienes facilitan el acceso encubierto a sus productos y servicios, en violación de la legislación federal y estatal, rindan cuentas en los tribunales de Estados Unidos», argumentaron las tecnológicas. «La rendición de cuentas de los actores maliciosos es vital para disuadir la cibervigilancia y otros ciberataques».

Apple demandó a NSO Group y Q Cyber Technologies en 2021 por piratear sus dispositivos, calificando a las compañías de «mercenarios amorales del siglo XXI que han creado una maquinaria de cibervigilancia de alta sofisticación que propicia abusos rutinarios y flagrantes».

Sin embargo, la empresa retiró voluntariamente la demanda el año pasado, alegando que la amenaza contra los iPhones había variado sustancialmente y que Pegasus representaba un riesgo considerablemente menor gracias a las mayores protecciones implementadas internamente.

La principal preocupación de Apple, según su petición de archivo, era que el proceso de descubrimiento vulnerara dichas medidas al revelar los mecanismos diseñados para proteger a los usuarios.

WhatsApp —aplicación de comunicaciones cifradas propiedad de Meta Platforms, la matriz de Facebook, con más de 2 000 millones de usuarios en todo el mundo— presentó una demanda en 2019 después de que Pegasus comprometiera presuntamente la privacidad de 1 400 activistas, periodistas y diplomáticos a través de sus servidores.

Pegasus permite al usuario rastrear la ubicación de un teléfono y tomar control de su micrófono y cámara. Diseñado originalmente como herramienta para agencias gubernamentales de seguridad e inteligencia, el software es el producto insignia de NSO y se licencia a gobiernos de todo el mundo.

Para incrustar el programa espía en un dispositivo, los clientes de Pegasus envían un mensaje de texto que invade el teléfono mediante el código malicioso oculto en mensajes enviados por WhatsApp, Telegram u otros servicios de mensajería.

Una vez implantado, el software puede activar micrófonos y cámaras, además de extraer datos personales y de ubicación del propietario —por ejemplo, recopilando historial de navegación y contactos, capturando pantallas e infiltrando comunicaciones.

Pegasus también puede infectar mediante llamadas perdidas y ataques cero clic, que no requieren interacción alguna por parte del usuario.

WhatsApp solicita indemnización por daños y una orden judicial permanente que impida a NSO y sus afiliadas acceder a sus sistemas informáticos o emprender nuevas acciones que puedan entorpecer el funcionamiento de la plataforma.

Courthouse News Service: https://www.courthousenews.com/ninth-circuit-revives-el-salvador-journalists-suit-against-israeli-spyware-firm/