„Пегас“ зарази свой разследващ в ЕС

Стелиос Кулоглу трябваше да бъде човекът, който задава въпросите. Гръцки журналист, по-късно евродепутат, той участваше в ПЕГА — анкетната комисия на Европейския парламент, създадена да провери как правителства в ЕС използват търговски шпионски софтуер срещу собствените си граждани. Комисията можеше да вика представители на властите, да изисква документи и да пише препоръки. Не можеше обаче да принуди националните разузнавателни служби да съдействат. Именно тази празнина се превърна в същината на случая.

Около октомври 2022 г., според нов доклад на „Ситизън лаб“, айфонът на Кулоглу е бил пробит безшумно със същия инструмент, който той разследваше: „Пегас“ на израелската компания Ен Ес О груп („Гардиън“, „Монд“). Заразяването се е повторило през март 2023 г., когато комисията е била в най-интензивната фаза на изготвяне на доклада си. Поне една от атаките е била от типа „нулево кликване“: софтуерът е използвал скрита уязвимост в системата на „Епъл“, която компанията още не е била открила и поправила, и е влязъл в устройството, без собственикът да натисне каквото и да било („Стрейтс таймс“).

Европа често може да докаже, че един телефон е бил заразен. Много по-трудно доказва кой е дал заповедта. Точно в тази разлика е политическият проблем.

Какво означава заразен телефон за една парламентарна комисия

Криптираните съобщения могат да се мислят като запечатан плик: приложения като „Сигнал“ пазят писмото, докато то пътува. „Пегас“ не се опитва да прихване плика по пътя. Той вече е в стаята, когато писмото се отваря („Индиън експрес“). След като се активира, софтуерът може да получи достъп до съобщения, контакти и данни за местоположение, както и да включва микрофона или камерата („Ал Джазира“).

В периода на заразяването Кулоглу е координирал работата на комисията между Атина и Брюксел, общувал е с колеги и източници и е работил с проектодоклади (Ен Ди Ти Ви). Ако телефонът е компрометиран, списъкът с контакти става видим. Това означава, че мрежата от информатори и свидетели около комисията също може да стане видима за оператора. Ако проектодокладите са били достъпни, този, който е поръчал наблюдението, е можел да прочете изводите на комисията преди публикуването им. Публичните публикации досега не показват какво, ако изобщо нещо, е било копирано от телефона („Гардиън“). Но ако органът, който разследва шпионски софтуер, не може да защити устройствата на собствените си членове, независимостта му е засегната в основата си.

„Ситизън лаб“ свързва операцията с вече документирана кампания с „Пегас“ срещу руски- и беларускоговорящи журналисти и активисти в изгнание в Европа. Така случаят излиза извън чисто гръцката рамка („Таймс ъв Израел“). Изследователите не приписват атаката на конкретно правителство. Няма доказателства, че операторът е била Гърция („Ал Джазира“).

Тук е структурният проблем. Заразяването може да се докаже. Приписването на отговорност изисква доказателства, които почти никога не излизат доброволно: държавни поръчки, сървърни логове или съдебни разрешения, които разузнавателните служби не са длъжни да споделят с чужди парламентарни комисии.

Испания и Унгария показват какво следва след разкриването

Апелативният съд в Барселона наскоро възобнови делото за „Пегас“, свързано с каталунски политици, и нареди нови искания за информация към испанската разузнавателна служба, след като съдия е държал жалба без движение две години (елДиарио.ес). Картината е позната: потвърдено заразяване, спорна отговорност, изключително бавни съдилища.

Унгария дава друг урок. Високопоставен депутат от „Фидес“ публично призна, че държавата е придобила „Пегас“, а органът за защита на данните проведе проверка, но заключи, че не е открил незаконно поведение. Голяма част от мотивите му остават засекретени („Портфолио“). Формална проверка без публична прозрачност произвежда формално приключване без публични отговори.

И двата случая показват същото, което заразяването на Кулоглу вече изважда на равнище ЕС: техническата експертиза работи. Политическата отчетност не работи.

Инструментите, които съществуват, и този, който липсва

Европейският парламент казва, че от 2022 г. предлага на евродепутатите помощ за проверка на устройствата им за шпионски софтуер (Европейски парламент чрез „Ъпдей“). ЕС прие Акта за киберустойчивост, който въвежда стандарти за сигурност за свързани продукти — тоест правила, които трябва да направят софтуера и устройствата по-трудни за пробиване (Европейска комисия). Граждански организации настояват доставчиците на шпионски софтуер да носят корпоративни задължения за отговорност, когато инструментите им се използват срещу журналисти и законодатели (Център за бизнес и човешки права).

Тези инструменти запълват периферията на проблема. Проверките са реактивни: откриват заразявания след факта. Законите за безопасност на продуктите правят устройствата по-трудни за хакване, но „Пегас“ не е последица от лошо инженерство. Той е умишлена злоупотреба от упълномощени купувачи. Експортният контрол предполага, че държавата износител ще го прилага. Нито един от тези механизми не разкрива кой е направил поръчката.

Адвокатът на Кулоглу обяви правни действия в Гърция и в чужбина (ин.гр). Евродепутати от няколко политически групи поискаха обвързващи действия на ЕС срещу незаконната употреба на шпионски софтуер („Таймс ъв Израел“).

Какво би затворило празнината? Независими лаборатории за дигитална експертиза с трансгранични правомощия. Задължителни правила за прозрачност, които принуждават доставчиците на шпионски софтуер да водят регистър кое правителство е купило кой лиценз. Съдебно сътрудничество, което се движи за месеци, а не за години. Докато не съществува поне част от тази архитектура, моделът ще се повтаря: разследващият става мишена, а разследването продължава, без да знае кой чете заедно с него.