间谍软件公司NSO迎新生？数亿美元赔偿大幅缩减，美国投资者将接盘！

事实回顾与法院理由

案件核心事实：法院早先对责任问题作出部分简易判决，认定被告在未经授权下逆向工程并修改WhatsApp客户端，通过WhatsApp服务器作为安装向量，将间谍软件（Pegasus相关技术）植入目标用户设备并获取用户消息与数据。法院指被告反复修改其软件以规避被发现并规避WhatsApp的修补措施。

陪审团判决与法官审查：陪审团在损害赔偿阶段一致判给 WhatsApp 补偿性损失 444,719 美元及惩罚性损失167,254,000美元（377:1 的比例）。法官在审查中适用第九巡回区在 Riley v. Volkswagen中指明的比例指导线，认定在本案事实下惩罚性赔偿比例不能超过9:1，从而将惩罚性赔偿上限定为4,002,471美元，并认为这一数额在现行宪法与先例框架内更为合适。

永久禁令：法院认定WhatsApp已证明将遭受不可弥补的伤害（主要为对其端到端加密承诺与用户隐私信任的侵蚀），并在权衡各方利益与公共利益后，准予永久禁令，尽管理想禁令文本需就外国家主权客户与某些条款进行修订与明确。法院要求原告在14天内提交修订版。

NSO 的“前生后世”与所有权变迁

创立与早期：NSO 由 Niv Karmi、Shalev Hulio 与 Omri Lavie 等人创立，逐步发展出 Pegasus 等监控/间谍产品，出售给各国执法与情报机构。其技术长期伴随争议，多起针对记者、人权活动家与异见人士的滥用指控，使其声誉在国际间备受关注（公民实验室及多家媒体长期报道）。

所有权与资本运作：NSO的股权在过去十年多次变更——2014年被美国私募股权 Francisco Partners 收购，2019年在Novalpina参与下创始团队重新掌控；此后又经历复杂的财务重组与股权转移，Omri Lavie在若干轮变动中曾回归并成为实控者。近期（2025年10月），包括好莱坞制片人Robert Simonds在内的美国投资集团据报已同意投资、取得控股权并将淡出创始团队（Omri Lavie 与部分创始合伙人的参与将终止），交易需接受以色列国防出口监管（DECA）及美国监管审查。相关报道由TechCrunch与以色列Calcalist报道并被广泛转载。

轻罚与“接盘”意味着什么

法律层面：尽管陪审团对惩罚性赔偿作出高额判定，法院以宪法比例原则进行合宪性审查并大幅降额，这显示出美国联邦法院在高额惩罚性赔偿上仍受宪法与先例限制（BMW、State Farm、Riley等原则适用）。同时，法院对永久禁令的支持表明，非法侵入与窃取涉及加密/隐私核心承诺时，司法救济并不局限于金钱赔偿，而是可通过行为性救济（禁令）防止未来侵害。

商业层面：若美国投资方成功接盘，NSO的控制权与资本结构将发生变化，理论上可借此实现“去政治化”或加强合规／治理，但实践并非必然。关键问题包括：收购方的背景是否会影响未来监管合规（例如审查收购方与第三国利益的关系）、以色列出口管制与美国实体名单的影响是否会解除、以及NSO产品未来销售对象与政策限制的可执行性。TechCrunch报道中提及监管审查与外界担忧（公民实验室研究员等）表明收购并非仅为财务交易，还包含重大的政治与道德审视。

影响与风险

对被监控对象与公民社会：NSO的技术若仍然被某些客户滥用，将继续对记者、维权人士、异见者等造成严重隐私与人身安全风险。即便公司更换所有权，技术滥用的“遗留”问题难以在短期内根除。

对国际政治与出口控制：美国投资者入主可能促使部分美国/盟友监管机构重新评估对NSO的限制（或加强审查），但也可能引发盟国对情报技术出口与私营监控工具扩散的担忧。以色列DECA 的审批将是关键节点。

对技术与产业链：法院禁令与司法发现将暴露NSO在商业化与技术实现上的具体做法，迫使行业对“合规的间谍技术”界限进行更明确法律/伦理化定义。科技公司（如 WhatsApp、Meta）通过诉讼获得行为性救济，也为其他平台保护用户隐私提供了司法先例。

思考及建议

一是跨国审查与技术出口的治理挑战。各国监管机构应强化对敏感网络监控技术的并购审查和出口控制，确保投资交易的透明度与可追责性。对于类似NSO这类具有军事与情报潜力的公司，应在审批前披露资金来源与实际控制人，并要求建立独立合规监督机制。以色列国防出口管制局（DECA）与美国证券交易委员会（SEC）的后续决策，将成为判断国际监管协同是否有效的关键。

二是建立“合规型情报技术”标准。监控技术企业与其投资方应主动建立合规审计制度和透明度报告，明确禁止对高风险政权或侵犯人权的客户销售产品。行业内部应通过自律机制和第三方评估，确保漏洞利用、加密绕过等技术不被滥用。与此同时，大型通信与安全平台（如 Meta、Apple、Google）应继续在生态层面强化漏洞防御与威胁情报共享，减少类似Pegasus工具的可乘之机。

三是数字公民防护与舆论监督。普通用户应保持设备更新与安全意识，避免下载不明应用、启用双重认证，并对异常行为保持警惕。新闻媒体与数字权利组织则应持续追踪和揭露监控技术滥用案例，推动立法与公众讨论，促进“国家安全”与“个人隐私”之间的平衡。只有公民社会的长期关注与透明监督，才能防止类似Pegasus的隐蔽攻击再次重演。

2、https://www.courthousenews.com/wp-content/uploads/2025/10/WhatsApp-order-2025.pdf