NSO Group – izraelski proizvajalec vohunske opreme za afero Pegasus ne prevzema odgovornosti: “Nismo odgovorni za početje svojih strank”

Pegasus – vohunska programska oprema, ki jo je razvila izraelska firma NSO Group in jo je mogoče prikrito namestiti na mobilne telefone in druge naprave z večino različic iOS in Android – štirinajst dni po zadnjem razkritju še vedno buri duhove.

Razkritja projekta Pegasus za leto 2021 kažejo, da lahko trenutna programska oprema Pegasus izkorišča vse novejše različice iOS do iOS 14.6 . Od leta 2016 je Pegaz lahko bral besedilna sporočila, sledil klicem, zbiral gesla in sledil lokaciji, dostopal do mikrofona in kamere ciljne naprave ter zbiral informacije iz aplikacij.

Vohunska programska oprema je dobila ime po mitskem krilatem konju Pegazu – gre za trojanskega konja, ki ga je mogoče poslati, da “leti po zraku”, da okuži telefone.

“Izraelsko podjetje NSO Group, ki je izdelalo in prodajalo programsko opremo za vohunjenje pametnim telefonom tarč, se na kritike odziva stoično, da ne morejo biti odgovorni za početje svojih strank,” so zapisali v specializirani računalniški reviji Monitor, kjer so v članku z naslovom “NSO Group o aferi Pegasus: Krivite naše stranke,” objavili stališče proizvajalca vohunske opreme.

Podjetje, kot poroča Monitor, poudarja, da je kazanje s prstom nanje podobno, kot če bi proizvajalce avtomobilov obtoževali, da vozniki pod vplivom alkohola povzročajo prometne nesreče. Vztrajajo, da je orodje Pegasus namenjeno prisluškovanju kriminalcem, teroristom in v podobnih zakonitih primerih, zato ga prodajajo le vojski, policiji in drugim uradnim agencijam držav.

Zanikajo tudi, da je seznam 50.000 telefonskih številk, ki so jim vlade sledile, pricurljal s strežnikov NSO Group na Cipru, češ da tam strežnikov sploh nimajo. Tudi število 50.000 je po njihovi oceni napihnjeno, saj da toliko tarč vse od začetka obratovanja sploh ni bilo, posamezne stranke pa jih imajo kvečjemu 100 letno.

A to še vedno ne pojasnjuje, od kod so preiskovalni novinarji dobili seznam 50.000 številk in zakaj so izmed 67 s seznama, ki so jim dovolili preveriti telefon, na več kot polovici res odkrili Pegasus. NSO Group trdi, da je to naključje.

Ne glede na odgovornost NSO Group pa primer prikazuje, zakaj so debate o načrtnem vgrajevanju ranljivosti v aplikacije za komunikacije na šifriran način nevarne. Pogost argument je, da šifriranje onemogoča prisluškovanje tudi v primerih, ko bi bilo zakonito. To je do neke mere res – če izvzamemo ranljivost in okužbe – a vgraditev ranljivosti ima dve hudi posledici.

Prvič, medtem ko fizične ključavnice lahko napade le omejeno število nepridipravov, je vse digitalno ves čas tarča vseh hekerjev na celem svetu. Če stranska vrata obstajajo, jih bo nekdo našel in zlorabil. Drugič pa to pomeni, da se bodo države zelo težko zadržale, da ranljivosti, ki obstajajo in za katere vedo, ne bodo uporabile še kdaj, ko to ni zakonito.

NSO Skupina je bila prej v lasti ameriške zasebne kapitalske družbe Francisco Partners, vendar je bilo odkupljeno s strani njenih ustanoviteljev leta 2019. Družba navaja, da zagotavlja “pooblaščenim vladam tehnologijo, ki jim pomaga v boju proti terorju in kriminalu. “Skupina NSO je objavila odseke pogodb, ki od kupcev zahtevajo, da njene izdelke uporabljajo samo za kazenske preiskave in preiskave nacionalne varnosti, ter izjavila, da ima v panogi vodilni pristop k človekovim pravicam.

Pegaz je bil prvič odkrit avgusta 2016, potem ko je neuspešen poskus namestitve aktivista za človekove pravice na iPhone sprožil preiskavo, ki je razkrila podrobnosti o vohunski programski opremi, njenih sposobnostih in varnostnih ranljivostih, ki jih je izkoriščala. Novice o vohunski programski opremi so povzročile veliko medijsko pokritost. Imenovali so jo “najsodobnejši” napad na pametne telefone doslej in prvič zaznamovali zlonamerno zlorabo na daljavo za pridobitev neomejenega dostopa do iPhona.

Po podatkih obveščevalnih podatkov izraelskega časopisa Haaretz je skupina NSO 23. avgusta 2020 Združenim Arabskim Emiratom in drugim zalivskim državam prodala vohunsko programsko opremo Pegasus za stotine milijonov ameriških dolarjev za nadzor nad nerežimskimi aktivisti, novinarji in političnimi voditelji iz konkurenčnih držav, s spodbujanjem in posredovanjem izraelske vlade.

Kasneje, decembra 2020, je preiskovalna oddaja Al Jazeera The Tip of the Iceberg prikazala, da vohunski partnerji s pomočjo Pegaza pokrivajo telefone medijskih strokovnjakov in aktivistov; in da jo uporablja Izrael za prisluškovanje tako nasprotnikom kot zaveznikom.

V juliju 2021 je skupina Amnesty International odkrila, da je bil Pegasus pogosto uporabljen v navzkrižju s prvotnim namenom.

Več svetovnih medijev, od ameriškega Washington Posta do britanskega Guardiana, francoskega Le Monda in drugih, je pred dvema tednoma razkrilo obsežno vohunsko akcijo, v okviru katere so z izraelsko vohunsko programsko opremo Pegasus, ki jo kupujejo predvsem vlade, povezali več kot 50.000 telefonskih številk novinarjev, aktivistov in politikov iz več držav.

Izkoriščanje sistema Pegasus iOS je bilo sicer ugotovljeno avgusta 2016. Arabski zagovornik človekovih pravic Ahmed Mansoor je po povezavi prejel sporočilo z obljubo “skrivnosti” o mučenju v zaporih v Združenih arabskih emiratih. Mansoor je povezavo poslal v Citizen Lab, ki je s sodelovanjem Lookout-a izvedel preiskavo in ugotovil, da bi mu Mansoor, če bi sledil povezavi, hekiral telefon in vanj vsadil vohunsko programsko opremo v obliki socialnega inženiringa. Citizen Lab je napad povezal s skupino NSO.

Glede tega, kako razširjena je bila težava, je Lookout v objavi v blogu pojasnil: “Verjamemo, da je ta vohunska programska oprema že dalj časa v uporabi na podlagi nekaterih kazalnikov v kodi” in poudaril, da koda kaže znake “tabela preslikave jedra, ki je bila ovrednotena vse do iOS 7 ” (objavljeno 2013).

New York Times in The Times of Israel sta poročala, da se zdi, da so Združeni Arabski Emirati uporabljali to vohunsko programsko opremo že leta 2013. V Panami jo je uporabljal nekdanji predsednik Ricardo Martinelliod leta 2012 do 2014, ki je ustanovil Consejo Nacional de Seguridad (Svet za nacionalno varnost) za njegovo uporabo. V številnih nerešenih tožbah v letu 2018 je trdilo, da je skupina NSO pomagala strankam pri upravljanju programske opreme in zato sodelovala pri številnih kršitvah človekovih pravic, ki so jih sprožile njene stranke. Dva meseca po umoru in razkosanju novinarja Washington Posta Jamala Khashoggija, savdskega aktivista za človekove pravice, v savdsko-arabskem konzulatu v Istanbulu v Turčiji , savdski disident Omar Abdulaziz, kanadski prebivalec, je v Izraelu vložil tožbo proti skupini NSO Group in obtožil podjetje, da je savdski vladi zagotovila nadzorno programsko opremo, ki vohuni zanj in njegove prijatelje, vključno s Khashoggijem.

Zaenkrat sicer ni jasno, za koliko številkami so dejansko tudi vohunili. So pa na seznamu med drugim novinarji ali sodelavci medijev, kot so AFP, Wall Street Journal, CNN, New York Times, Al Jazeera, El Pais, AP, Le Monde, Bloomberg, Economist in Reuters.

Eden izmed 50.000 posameznikov, ki so jim sledili, je po poročanju medijev tudi francoski predsednik Emmanuel Macron.

Francoski časnik Le Monde poroča, da so maroške oblasti ugotovile, kateri telefon uporablja vse od leta 2017 in mu skušale prisluškovati. Maroko to ostro zanika, trdeč, da niso stranka NSO Group in da nimajo Pegasusa. Neodvisno ni bilo možno potrditi, ali je na telefonu francoskega predsednika res nameščen Pegasus.

Tožilstvo v Parizu je potrdilo, da je odprlo preiskavo o očitkih, da so maroške obveščevalne službe s pomočjo programske opreme Pegasus izraelskega podjetja NSO vohunile za več francoskimi novinarji.

V preiskavi bodo po poročanju francoske tiskovne agencije AFP preučili deset ločenih obtožb, med drugim o domnevnih kršitvah zasebnosti, nezakonitem dostopu do osebnih elektronskih naprav in oblikovanja hudodelske združbe.

Ni pa Macron edini voditelj držav na seznamu. Na njem najdemo tudi iraškega predsednika, južnoafriškega predsednika, pakistanskega premierja, maroškega kralja in druge. Skupno gre za več kot 600 visokih uslužbencev iz 34 držav.

Pogled v preteklost pokaže, da prisluškovanje voditeljem držav ni novo.
Zadnja odmevna afera sega v leto 2013, ko je afera Snowden razkrila, da je ameriška agencija NSA vohunila ali poskušala vohuniti za nemško kanclerko Angelo Merkel in drugimi zavezniškimi politiki. Razlika v primerjavi s takratnimi razkritji je ta, da je sedaj take sposobnosti možno kupiti kot v samopostrežni prodajalni.
NSA se je vendarle morala potruditi sama.

Čeprav je Pegaz naveden namenjen za uporabo proti kriminalcem in teroristom, pogosto poročajo o uporabi avtoritarnih vlad za vohunjenje kritikov in nasprotnikov. Konec leta 2019 je Facebook sprožil tožbo proti NSO in zatrdil, da je bil Pegaz uporabljen za prestrezanje komunikacij WhatsApp številnih aktivistov, novinarjev in birokratov v Indiji, kar je privedlo do obtožb o vpletenosti indijske vlade.

Telefonske številke indijskih ministrov, opozicijskih voditeljev, nekdanjih volilnih komisarjev in novinarjev naj bi bile v bazi podatkov o vdoru tarč NSO s strani projekta Pegaz leta 2021.

Neodvisna digitalna forenzična analiza, izvedena na 10 indijskih telefonih, katerih številke so bile prisotne v podatkih, je pokazala znake poskusa ali uspešnega vdora Pegaza. Rezultati vržene forenzične analize kažejo zaporedne korelacije med časom in datumom vnosa telefonske številke na seznam in začetkom nadzora. Razmik se običajno giblje med nekaj minutami in nekaj urami.
V bazi podatkov najdemo tudi 11 telefonskih številk, povezanih z uslužbenko vrhovnega sodišča Indije in njeno ožjo družino, ki je nekdanjega indijskega vrhovnega sodnika Ranjana Gogoija obtožila spolnega nadlegovanja, kar kaže na možnost, da so jim prisluškovali.

Zapisi tudi kažejo, da so bile telefonske številke nekaterih ključnih političnih akterjev v Karnataki izbrane približno takrat, ko se je med stranko Bharatiya Janata in državno vlado pod vodstvom kongresa Janata Dal (sekularno) vodila močna borba za oblast. leta 2019.

Poročali so, da je indijska vlada s Pegazom špionirala pakistanskega premierja Imrana Kana in diplomate iz Irana, Afganistana, Kitajske, Nepala in Savdske Arabije. Z odvzemanjem predvidene uporabe zoper kriminalce je bil Pegaz namenjen mehiškim novinarjem in jih ustrahovati s strani mamilnih kartelov in vladnih akterjev, prepletenih s karteli . Programska oprema Pegasus, čigar prodajo izraelska vlada dovoli tujim vladam, je Saudovi Arabiji pomagala vohuniti za Jamalom Kashoggijem , ki je bil kasneje ubit v Turčiji .

Pegaz je bil uporabljen tudi za vohunjenje za Jeffom Bezosom, potem ko je Mohammed bin Salman, prestolonaslednik Savdske Arabije, z njim izmenjal sporočila, ki so izkoriščala takrat neznane ranljivosti v WhatsAppu.