בדצמבר 2013 נחת שלו חוליו, ממייסדי חברת הסייבר NSO, בנמל התעופה טוקומן שבפנמה סיטי, בטיסה של קופה איירליינס מוושינגטון. לפי רישומי הכניסה של רשות ההגירה של פנמה הוא נכנס למדינה באמצעות בדרכון דיפלומטי ישראלי. עוד עולה מהרישום כי הדרכון היה תקף עד 2023. בכירים לשעבר במשרד החוץ עמם שוחח שומרים, ובהם כאלו שעסקו ישירות בהנפקת דרכונים דיפלומטיים, הופתעו מהגילוי ולפיו איש עסקים פרטי זכה לקבל דרכון שכזה. חוליו עצמו הכחיש את הדברים. תגובתו המלאה מובאת בסוף הכתבה. 

המסמכים מפנמה, כמו גם פרטים חדשים על פעילותה של NSO ופרטים מתוך חקירה צרפתית אודות פגסוס, מתפרסמים במסגרת תחקיר בינלאומי נרחב, שהובל על ידי גוף התחקירים הצרפתי Forbidden Stories וארגון העיתונאים החוקרים OCCRP. בתחקיר השתתפו כלי תקשורת מרכזיים מרחבי העולם, לרבות הגרדיאן הבריטי, לה מונד הצרפתי, דר שפיגל הגרמני ומעבדת המחקר של אמנסטי. גוף התחקירים שומרים ועיתון הארץ הם הנציגים הישראליים בפרויקט.

חברת NSO עמדה במרכזם של תחקירים רבים ברחבי העולם בשנים האחרונות. פגסוס, מוצר הדגל שלה, היא תוכנה עוצמתית המסוגלת לפי הפרסומים לחדור לטלפונים סלולריים ולהפוך אותם לכלי ציתות ומעקב. הכלי, שעל פי דוח של ארגון סיטיזן לאב נעשה בו שימוש בכ-45 מדינות, אמור היה לשמש אך ורק למאבק בטרור ובפשיעה חמורה, אולם בשנת 2021 חשפו שורה של תחקירים עיתונאיים ברחבי העולם, כי פגסוס הייתה גם בשימוש של משטרים אוטוריטריים, לרבות במעקב אחר פוליטיקאים, פעילי זכויות אדם ועיתונאים. בעקבות כך, הוכנסה NSO בנובמבר 2021 לרשימת הסנקציות של משרד המסחר האמריקאי. בעבר, כפי שחשף שומרים, עשתה החברה מאמצים לצאת מהרשימה, אולם אלה לא צלחו - לא תחת ממשל ביידן ולימים גם לא תחת ממשל טראמפ. 

אשתקד נמכרה החברה לקבוצת משקיעים אמריקאיים, ובנובמבר האחרון מונה שגריר ארה"ב לשעבר בישראל, דיוויד פרידמן, ליושב הראש שלה. כיום אין לאיש משלושת מייסדי החברה, ובכללם חוליו, תפקיד או חלק בה. לאחר שעזב את NSO הקים חוליו את חברת הסייבר "דרים סקיוריטי" ביחד עם קנצלר אוסטריה לשעבר, סבסטיאן קורץ.

אחד המסמכים הנחשפים בתחקיר מלמד על הרווחיות של פגסוס. על פי המסמך, פנמה שילמה שמונה מיליון דולרים כדי "לאסוף אינפורמציה" (לשון המסמך) מ-300 מכשירים ניידים: 150 בעלי מערכת הפעלה של אנדרואיד ו-150 מסוג בלקברי

הכתובת בטופס הכניסה: שגרירות ישראל בפנמה

נחזור אל פנמה - אחת המדינות שרכשו את פגסוס, כשהחוזה בין המדינה ל-NSO נחתם כבר בשנת 2012. אחד המסמכים הנחשפים בתחקיר הבינלאומי מלמד על הרווחיות של פגסוס. על פי המסמך, פנמה שילמה שמונה מיליון דולרים כדי "לאסוף אינפורמציה" (לשון המסמך) מ-300 מכשירים ניידים: 150 בעלי מערכת הפעלה של אנדרואיד ו-150 מסוג בלקברי. חוליו, כמו גם עובדים אחרים של NSO, הגיע לפנמה מספר פעמים בתקופה הזו - כך עולה ממסמכים שהגיעו לידי העיתונאים שחקרו את הפרשה, ובראשם העיתונאי הפנמי לואיס אסקוויול (Esquivel). 

על פי מסמכי רשויות ההגירה בפנמה, הכניסות של חוליו למדינה התבצעו לרוב באמצעות דרכון ישראלי רגיל. אולם פעם אחת, כאמור, בדצמבר 2013, נרשמה כניסתו למדינה תחת דרכון אחר. בטופס הכניסה מצוין במפורש כי חוליו נכנס באמצעות דרכון דיפלומטי ישראלי, הכתובת המקומית שסיפק חוליו לרשויות ההגירה עם כניסתו למדינה היתה שגרירות ישראל בפנמה. מטרת הביקור לפי אותו הטופס הייתה "נופש".

כמו כן, כך על פי רישומי רשויות ההגירה בפנמה, דרכונו הדיפלומטי של חוליו הוצא ב-2013 והיה תקף לעשר שנים, עד 2023. מדובר בפרק הזמן המקסימלי שבו דרכון רשמי של מדינת ישראל יכול להיות בתוקף. יצוין כי במהלך עריכת התחקיר הבינלאומי אומתה זהותו של חוליו כנושא הדרכון באמצעות השוואת פרטיו ברישומי ההגירה - ובהם תאריך הלידה שלו - מול רישומים שלו בחברות שונות בעולם. בכיר פנמי לשעבר שנשאל על הדברים אישר כי חוליו עשה שימוש בדרכון הדיפלומטי בכניסתו למדינה.

עסקת המכירה לפנמה, ובעקבותיה הפעלת פגסוס בידי הרשויות, עמדה ברקע סערה פוליטית נרחבת במדינה. חקירה שנפתחה ב־2015, לאחר עזיבתו של הנשיא ריקרדו מרטינלי (Martinelli) את השלטון, חשפה כי כ־150 אנשים – בהם יריבים פוליטיים, עיתונאים, אנשי עסקים ואף דיפלומטים – היו נתונים למעקב באמצעות התוכנה. מרטינלי עצמו נעצר בארה"ב בשנת 2017 והוסגר לפנמה שנה אחר כך. בסופו של דבר, ולאחר שני משפטים, הוא זוכה בשנת 2021 מהאשמות בנושא זה, משום שלא הוכח כי הוא נתן הוראה לבצע מעקבים. מרטינלי מצדו טען, כי האישומים נגדו היו מזימה פוליטית שמטרתה הייתה למנוע ממנו להתמודד בבחירות. לצד זאת, בכירים לשעבר בשירותי המודיעין הפנמיים הורשעו בהפרת סודיות ובפגיעה בפרטיות, ונדונו למאסר. מרטינלי, אגב, הורשע מאז בנושא אחר, והוא שוהה כיום בקולומביה בה קיבל מקלט מדיני. 

עסקת המכירה לפנמה עמדה ברקע סערה פוליטית נרחבת במדינה. חקירה שנפתחה ב־2015, לאחר עזיבתו של הנשיא מרטינלי את השלטון, חשפה כי כ־150 אנשים – בהם יריבים פוליטיים ועיתונאים - היו נתונים למעקב

ראשי NSO לשעבר מגיעים להעיד בצרפת

התחקיר הבינלאומי חושף גם עדויות של שני קציני מודיעין לשעבר בשירותי ביטחון הפנים של מרוקו (DGST, המקביל לשב"כ), על פיהן מרוקו השתמשה במתווך כדי לקבל גישה לשימוש בפגסוס. יצויין כי חלק ניכר מממצאי התחקיר מבוסס על חקירה בת מספר שנים של העיתונאי המרוקאי הישאם מנצורי (Mansouri), שעל פי המעבדה הפורנזית של אמנסטי, המכשיר הסלולרי שלו עצמו נפרץ. ממצאי התחקיר סותרים את הכחשותיה העקביות של מרוקו לגבי השימוש בפגסוס.

התחקיר הבינלאומי מביא גם לראשונה צילומי מסך מתוך מערכת ההפעלה של פגסוס בפנמה באותן השנים, וכן פרטים מתוך חקירה שמתנהלת החל מ-2022 על ידי שופטים חוקרים בצרפת, ומתמקדת בשאלת המעקבים אחר טלפונים של אנשי ממשל צרפתיים. החקירה הזו נולדה לאחר תחקיר "מסמכי פגסוס" שנה קודם לכן, שבה דווח בין השאר שמספרו של נשיא צרפת עמנואל מקרון היה לכאורה אחד מ-50 אלף מספרי הטלפון שהיוו את רשימת היעדים של פגסוס. דוח של סוכנות הביון הצרפתית (DGSE) מדצמבר 2022 קבע כי מרוקו השתמשה במוצרי NSO לפחות מאז 2017. אלא שרשויות המשפט במרוקו סירבו לשתף פעולה עם החקירה בצרפת, בטענה שמעולם לא רכשו את תוכנת פגסוס ולכן אין סיבה לחקור. 

מהמסמכים עולה גם שבתחילת השנה הגיעו חוליו ועמרי לביא, מייסד נוסף של NSO, להעיד בפני השופטים-החוקרים. חשוב לציין שהשניים לא חשודים בדבר והם הופיעו כ"עדים מסייעים". בהופעתו הגן חוליו בתוקף על קבוצת NSO, וטען כי החברה פעלה על פי עקרונות נוקשים: מכירה אך ורק לממשלות שעברו סינון, פעילות כספקית טכנולוגיה בלבד ללא גישה אופרטיבית, ועמידה בתקנות הייצוא המחמירות של ישראל. 

בעדותו דחה חוליו את הפרסום על 50 אלף יעדים פוטנציאלים של פגסוס, וטען כי מדובר בחוסר היתכנות מתמטית ופיננסית. הוא הסביר כי 50 התקנות של פגסוס עלו כעשרה מיליון דולרים; לפיכך, מעקב אחר 50 אלף מספרים יעלה כעשרה מיליארד דולרים, סכום העולה בהרבה על הכנסותיה ההיסטוריות של החברה. יתרה מכך, חוליו העיד כי משרד הביטחון הישראלי ערך חקירה מקיפה והבטיח רשמית לרשויות בצרפת, כי הטלפון של הנשיא מקרון מעולם לא הודבק על ידי פגסוס. במקום זאת, חוליו הפנה את האשמה כלפי מתחרות זולות ובלתי מפוקחות של NSO, וכן כלפי שירותי המודיעין הרוסיים בטענה שתוכנות הריגול שלהם משאירות עקבות דיגיטליים זהים לחלוטין.

חוליו העיד כי משרד הביטחון הישראלי ערך חקירה מקיפה והבטיח רשמית לרשויות בצרפת, כי הטלפון של הנשיא מקרון מעולם לא הודבק על ידי פגסוס

גם חוליו וגם לביא סירבו לענות על חלק מהשאלות תוך שהם מסתמכים על החוק הישראלי ותקנות הממשלה המסדירות את תעשיית טכנולוגיית הסייבר. חוליו הדגיש בעדותו, כי מכיוון שקבוצת NSO הייתה חברת הסייבר הראשונה בעולם שהוכפפה לרגולציה, חלות עליו מגבלות מובנות המונעות ממנו לענות על שאלות מסוימות, כולל בנושא לקוחות החברה, חקירות ספציפיות, יכולות טכניות של המערכת ועוד. 

ואכן, ל-NSO, למרות היותה חברה פרטית, קשרים מורכבים עם הרשויות הרשמיות בישראל: משרד הביטחון נדרש לספק לחברה רישיונות לייצוא התוכנה שלה, והמדינה, כך לפי פרשנויות שונות, בחרה לאשר עסקאות של החברה ולמנף אותן לשיפור היחסים עם מדינות שונות. יודגש כי מכירת פגסוס למדינות זרות והשימוש בו, לפי הכללים שהתוותה ישראל ובאישור משרד הביטחון, אינם מהווים עבירה על החוק.

פרופ' עוזי ארד, שהיה ראש המטה לביטחון לאומי, יועץ ראש הממשלה לביטחון לאומי וראש אגף המחקר במוסד, אמר בעבר בשיחה עם שומרים, כי אם ישראל תנסה להסתתר מאחורי הטיעון, כי לא ידעה לאיזה ידיים הגיעו המערכות של NSO תהיה זו לא יותר מהיתממות. "כיצד ניתן ההיתר לחברת NSO בלי לקחת בחשבון את הסיכונים? להיתמם ולהגיד שסיפקנו מערכות למלחמה בטרור מבלי שישמשו למטרות פסולות זה טיעון שלא יאה לגופים שאמורים להיות חדים ומביני עניין", אמר בזמנו. ישראל, על פי תחקיר בגרדיאן מ-2024, אף עשתה מאמצים לסייע ל-NSO להתמודד עם תביעה שהגישה נגדה בארה"ב חברת מטא, המחזיקה באפליקציית וואטסאפ.

ועדיין, המסמכים ביחס לדרכון דיפלומטי עוררו כאמור תמיהה בקרב בכירים לשעבר במשרד החוץ עמם שוחח שומרים. נכון לשנת 2024 היו בישראל למעלה מ-11 אלף מחזיקי דרכונים דיפלומטים, אך משרד החוץ חשף רשמית את שמותיהם רק של כ-3 אחוז מתוכם. התנועה לחופש המידע, שעוסקת בנושא מזה שנים ארוכות הייתה זו שהובילה לחשיפת הרשימה הראשונה של מחזיקי דרכונים דיפלומטים. שמו של חוליו לא מופיע באף אחת מהרשימות שפרסמה התנועה מאז. התנועה פרסמה לאחרונה כי בין 2023-2025 אישרה ועדת החריגים של משרד החוץ דרכונים דיפלומטים ל-52 אנשים. בתחילת 2024 אף נפתחה חקירת משטרה נגד שר החוץ לשעבר, אלי כהן, בחשד להנפקת דרכונים דיפלומטים ללא צורך, כשבכללם דרכון שהונפק ליאיר נתניהו, בנו של ראש הממשלה. החקירה הסתיימה לאחרונה וממצאיה הועברו לפרקליטות. 

דרכון דיפלומטי הוא בראש ובראשונה סמל סטטוס וכבוד, ובניגוד לדעה הרווחת, כשלעצמו הוא אינו מקנה חסינות לבעליו (החסינות ניתנת לדיפלומטים מעצם תפקידם). ועם זאת, מחזיקי הדרכונים לא עומדים בתור בביקורת הגבולות בשדות תעופה במדינות רבות בעולם ולעתים מקבלים הקלות בבידוק הביטחוני. רשימת הזכאים לדרכון דיפלומטי ארוכה: מלבד אנשי משרד החוץ זכאים לו גם חברי כנסת, אנשי בית הנשיא, בעלי תפקידים שונים במשרד הביטחון, משרד ראש הממשלה ועוד. אלא שרשימת הזכאים כוללת אך ורק בעלי תפקידים רשמיים ומכאן סימני השאלה. 

ממשרד החוץ ומחברת NSO לא התקבלה תגובה. שלו חוליו מסר בתגובה, כי "הטענות בנוגע לדרכון דיפלומטי ולתפקידי כביכול כנציג מדינת ישראל הן שקריות לחלוטין ומוכחשות מכל וכל". עוד מסר חוליו: "עזבתי את NSO לפני שנים רבות, ומאז לא הייתה לי כל מעורבות בחברה או קשר אליה. כל שאלה לגבי פעילותה של NSO צריכה להיות מופנית לחברה עצמה".