Pegasus napadl vyšetřovatele EU

Stelios Kouloglou měl být tím, kdo klade otázky. Řecký novinář a později europoslanec zasedal ve výboru PEGA, který Evropský parlament zřídil kvůli podezření, že vlády členských států používají komerční špionážní software proti vlastním občanům. Výbor mohl předvolávat úředníky, žádat dokumenty a připravovat doporučení. Nemohl však přinutit národní zpravodajské služby ke spolupráci. Právě v této mezeře leží podstata celé kauzy.

Podle nové zprávy Citizen Lab se kolem října 2022 do Kouloglouova iPhonu tiše dostal nástroj, který sám vyšetřoval: Pegasus od izraelské společnosti NSO Group (The Guardian, Le Monde). K další infekci došlo v březnu 2023, tedy v době, kdy výbor nejintenzivněji připravoval svou zprávu. Nejméně jeden útok byl typu zero-click: spyware využil skrytou chybu v softwaru Applu, kterou firma ještě neznala ani neopravila, a do telefonu se dostal bez toho, aby majitel na cokoli klikl (The Straits Times).

Evropa dnes často dokáže prokázat, že telefon byl infikován. Mnohem hůře však dokazuje, kdo útok nařídil. A právě o tuto slabinu tu jde.

Co znamená infikovaný telefon pro vyšetřovací výbor

Šifrovanou komunikaci si lze představit jako zalepenou obálku: aplikace typu Signal chrání dopis během přepravy. Pegasus se nesnaží obálku zachytit cestou. Usadí se v místnosti, kde se dopis čte, tedy až po jeho otevření (Indian Express). Jakmile je aktivní, může získat přístup ke zprávám, kontaktům a poloze telefonu a umí zapnout mikrofon nebo kameru (Al Jazeera).

V době infekce Kouloglou koordinoval práci výboru mezi Aténami a Bruselem, komunikoval s kolegy i zdroji a pracoval s návrhy zpráv (NDTV). Pokud je kompromitovaný telefon, jsou viditelné i kontakty. Tím se operátorovi otevírá síť informátorů, svědků a lidí kolem výboru. Pokud jsou přístupné pracovní verze zpráv, může ten, kdo sledování zadal, číst závěry vyšetřování dříve než veřejnost. Z dostupných informací zatím neplyne, co přesně se z telefonu případně zkopírovalo (The Guardian). Jestliže ale orgán vyšetřující spyware nedokáže ochránit zařízení vlastních členů, jeho nezávislost se oslabuje v samotném základu.

Citizen Lab spojil operaci s dříve popsanou kampaní Pegasu proti rusky a bělorusky mluvícím novinářům a aktivistům v evropském exilu. Případ se tím posouvá za čistě řecký rámec (The Times of Israel). Výzkumníci útok nepřipsali žádné konkrétní vládě. Důkazy, že operátorem bylo Řecko, podle dostupných informací neexistují (Al Jazeera).

Tady začíná systémový problém. Infekci lze technicky doložit. Připsání útoku konkrétnímu zadavateli vyžaduje důkazy, které se téměř nikdy neobjeví samy od sebe: vládní nákupní smlouvy, serverové záznamy nebo soudní povolení, jež zpravodajské služby nemají povinnost sdílet se zahraničními výbory.

Španělsko a Maďarsko ukazují, co následuje po odhalení

Odvolací soud v Barceloně nedávno znovu otevřel případ Pegasu, který se týká katalánských politiků, a nařídil nové žádosti o informace od španělské zpravodajské služby. Stalo se tak poté, co soudce dva roky nechal ležet odvolání proti uzavření případu (elDiario.es). Výsledek je známý z více podobných kauz: potvrzená infekce, sporné připsání útoku a soudy, které se pohybují tempem nevhodným pro digitální důkazy.

Maďarsko nabízí jinou lekci. Vysoce postavený poslanec Fideszu veřejně připustil, že stát Pegasus pořídil, a případ prověřoval úřad pro ochranu osobních údajů. Ten však uzavřel, že nezjistil protiprávní jednání. Podstatná část jeho odůvodnění zůstává utajená (Portfolio). Formální kontrola bez veřejné průhlednosti tak přinesla formální uzavření bez veřejných odpovědí.

Oba příklady ukazují totéž, co Kouloglouův případ nyní odhaluje na unijní úrovni: technická forenzní analýza funguje. Politická odpovědnost za ní zaostává.

Nástroje existují. Jen ne ten hlavní

Evropský parlament uvádí, že europoslancům od roku 2022 nabízí pomoc s kontrolou zařízení na spyware (European Parliament via upday). EU přijala akt o kybernetické odolnosti, který stanovuje bezpečnostní standardy pro propojené výrobky, tedy pravidla, jež mají software a zařízení ztížit k prolomení (European Commission). Organizace občanské společnosti dlouhodobě tvrdí, že dodavatelé spywaru by měli nést odpovědnost, pokud se jejich nástroje používají proti novinářům a zákonodárcům (Business & Human Rights Resource Centre).

Tyto nástroje ale řeší okraje problému. Kontrola zařízení je zpětná: infekci najde až poté, co proběhla. Pravidla bezpečnosti výrobků ztěžují útoky na zařízení, jenže Pegasus není nehoda způsobená špatným inženýrstvím. Je to nástroj určený k cílenému použití autorizovanými kupci. Exportní kontroly zase předpokládají, že je vyvážející stát opravdu vymáhá. Nic z toho samo neodhalí, kdo zadal konkrétní útok.

Kouloglouův právník oznámil právní kroky v Řecku i v zahraničí (in.gr). Europoslanci z několika politických skupin zároveň požadují závazný unijní postup proti nelegálnímu používání spywaru (The Times of Israel).

Mezeru by mohly uzavřít až nezávislé forenzní laboratoře s přeshraniční pravomocí, vynutitelná pravidla, která dodavatelům spywaru uloží evidovat, která vláda si koupila jakou licenci, a justiční spolupráce měřená v měsících, nikoli v letech. Dokud nic podobného nevznikne, vzorec se bude opakovat. Vyšetřovatel se stane cílem. A vyšetřování poběží dál, aniž by bylo jasné, kdo čte spolu s ním.