Το Pegasus χτύπησε τον ερευνητή του

Ο Στέλιος Κούλογλου βρισκόταν, θεωρητικά, στην πλευρά εκείνων που έκαναν τις ερωτήσεις. Δημοσιογράφος και στη συνέχεια ευρωβουλευτής, συμμετείχε στην PEGA, την εξεταστική επιτροπή του Ευρωπαϊκού Κοινοβουλίου που συστάθηκε για να ερευνήσει πώς κυβερνήσεις της ΕΕ χρησιμοποίησαν εμπορικά λογισμικά παρακολούθησης εναντίον πολιτών τους. Η επιτροπή μπορούσε να καλεί αξιωματούχους, να ζητά έγγραφα και να συντάσσει συστάσεις. Δεν μπορούσε όμως να υποχρεώσει τις εθνικές υπηρεσίες πληροφοριών να συνεργαστούν. Εκεί ακριβώς βρίσκεται το κενό.

Περί τον Οκτώβριο του 2022, σύμφωνα με νέα έκθεση του Citizen Lab, το iPhone του Κούλογλου παραβιάστηκε αθόρυβα από το ίδιο εργαλείο που διερευνούσε: το Pegasus της ισραηλινής NSO Group (The Guardian, Le Monde). Η μόλυνση επαναλήφθηκε τον Μάρτιο του 2023, την περίοδο κατά την οποία η επιτροπή βρισκόταν στην πιο εντατική φάση σύνταξης των συμπερασμάτων της. Τουλάχιστον μία από τις επιθέσεις ήταν zero-click: το λογισμικό εκμεταλλεύθηκε άγνωστο τότε κενό ασφαλείας στο λογισμικό της Apple, το οποίο η εταιρεία δεν είχε ακόμη εντοπίσει ούτε διορθώσει, και μπήκε στη συσκευή χωρίς ο χρήστης να πατήσει οτιδήποτε (The Straits Times).

Η Ευρώπη μπορεί συχνά να αποδείξει ότι ένα τηλέφωνο μολύνθηκε. Δυσκολεύεται όμως ακόμη να αποδείξει ποιος έδωσε την εντολή. Αυτό το κενό είναι η ουσία της υπόθεσης.

Τι σημαίνει ένα μολυσμένο τηλέφωνο για μια επιτροπή

Η κρυπτογραφημένη επικοινωνία μοιάζει με σφραγισμένο φάκελο: εφαρμογές όπως το Signal προστατεύουν το περιεχόμενο όσο αυτό μεταφέρεται. Το Pegasus δεν χρειάζεται να ανοίξει τον φάκελο στη διαδρομή. Βρίσκεται ήδη μέσα στο δωμάτιο όπου διαβάζεται το μήνυμα, αφού έχει ανοιχθεί (Indian Express). Μόλις ενεργοποιηθεί, μπορεί να αποκτήσει πρόσβαση σε μηνύματα, επαφές και δεδομένα τοποθεσίας, αλλά και να ενεργοποιήσει μικρόφωνο ή κάμερα (Al Jazeera).

Την περίοδο της μόλυνσης, ο Κούλογλου συντόνιζε εργασίες της επιτροπής μεταξύ Αθήνας και Βρυξελλών, επικοινωνούσε με συναδέλφους και πηγές και χειριζόταν προσχέδια εκθέσεων (NDTV). Η αλυσίδα είναι απλή: αν παραβιαστεί το τηλέφωνο, εκτίθενται οι επαφές· αν εκτεθούν οι επαφές, γίνεται ορατό το δίκτυο μαρτύρων και πληροφοριοδοτών της επιτροπής· αν εκτεθούν τα προσχέδια, όποιος παρήγγειλε την παρακολούθηση μπορεί να γνωρίζει τα συμπεράσματα πριν δημοσιοποιηθούν. Τα δημοσιεύματα δεν έχουν δείξει τι, αν κάτι, αντιγράφηκε από τη συσκευή (The Guardian). Όταν όμως το ίδιο το σώμα που ερευνά τα λογισμικά παρακολούθησης δεν μπορεί να προστατεύσει τις συσκευές των μελών του, η ανεξαρτησία της έρευνας πλήττεται στον πυρήνα της.

Το Citizen Lab συνέδεσε την επιχείρηση με ήδη καταγεγραμμένη εκστρατεία Pegasus εναντίον εξόριστων ρωσόφωνων και λευκορωσόφωνων δημοσιογράφων και ακτιβιστών στην Ευρώπη, στοιχείο που διευρύνει την υπόθεση πέρα από ένα στενά ελληνικό πλαίσιο (The Times of Israel). Οι ερευνητές δεν απέδωσαν την επίθεση σε συγκεκριμένη κυβέρνηση. Δεν υπάρχει στοιχείο που να δείχνει την Ελλάδα ως χειριστή της επιχείρησης (Al Jazeera).

Αυτό είναι και το θεσμικό πρόβλημα. Η μόλυνση μπορεί να αποδειχθεί. Η απόδοση ευθύνης απαιτεί αποδεικτικά στοιχεία που σχεδόν ποτέ δεν εμφανίζονται οικειοθελώς: κρατικές συμβάσεις αγοράς, αρχεία διακομιστών ή δικαστικές άδειες, τις οποίες οι υπηρεσίες πληροφοριών δεν έχουν υποχρέωση να παραδώσουν σε ξένες επιτροπές.

Η Ισπανία και η Ουγγαρία δείχνουν τι ακολουθεί μετά την αποκάλυψη

Το εφετείο της Βαρκελώνης άνοιξε πρόσφατα εκ νέου την υπόθεση Pegasus που αφορά Καταλανούς πολιτικούς, διατάσσοντας νέα αιτήματα πληροφόρησης προς την ισπανική υπηρεσία πληροφοριών, αφού δικαστής είχε αφήσει προσφυγή να εκκρεμεί επί δύο χρόνια (elDiario.es). Επιβεβαιωμένη μόλυνση, αμφισβητούμενη απόδοση ευθύνης, δικαστική διαδικασία με ρυθμούς που ακυρώνουν την πολιτική λογοδοσία.

Η Ουγγαρία δίνει διαφορετικό μάθημα. Ανώτερο στέλεχος του Fidesz είχε αναγνωρίσει δημόσια ότι το κράτος απέκτησε το Pegasus, ενώ η αρχή προστασίας δεδομένων διεξήγαγε έρευνα, για να καταλήξει ότι δεν εντόπισε παράνομη συμπεριφορά. Μεγάλο μέρος του σκεπτικού της παραμένει απόρρητο (Portfolio). Ένας τυπικός έλεγχος χωρίς δημόσια διαφάνεια παράγει τυπικό κλείσιμο της υπόθεσης χωρίς δημόσιες απαντήσεις.

Και οι δύο περιπτώσεις δείχνουν αυτό που η υπόθεση Κούλογλου φέρνει πλέον στο επίπεδο της ΕΕ: η τεχνική εγκληματολογική ανάλυση λειτουργεί. Η πολιτική λογοδοσία όχι.

Τα εργαλεία που υπάρχουν και εκείνο που λείπει

Το Ευρωπαϊκό Κοινοβούλιο αναφέρει ότι από το 2022 προσφέρει στους ευρωβουλευτές υποστήριξη για ελέγχους εντοπισμού λογισμικών παρακολούθησης (European Parliament via upday). Η ΕΕ έχει εγκρίνει την Πράξη για την Κυβερνοανθεκτικότητα, η οποία θέτει πρότυπα ασφαλείας για συνδεδεμένα προϊόντα, δηλαδή κανόνες ώστε το λογισμικό και οι συσκευές να γίνονται δυσκολότεροι στόχοι (European Commission). Οργανώσεις της κοινωνίας των πολιτών υποστηρίζουν ότι οι εταιρείες spyware πρέπει να υπαχθούν σε υποχρεώσεις εταιρικής ευθύνης όταν τα εργαλεία τους χρησιμοποιούνται εναντίον δημοσιογράφων και νομοθετών (Business & Human Rights Resource Centre).

Αυτά τα εργαλεία αγγίζουν τις άκρες του προβλήματος. Ο έλεγχος συσκευών είναι εκ των υστέρων άμυνα: βρίσκει τη μόλυνση αφού έχει συμβεί. Οι κανόνες ασφάλειας προϊόντων κάνουν τις συσκευές δυσκολότερο στόχο, όμως το Pegasus δεν είναι ατύχημα κακής μηχανικής. Είναι σκόπιμη κατάχρηση από εξουσιοδοτημένους αγοραστές. Οι έλεγχοι εξαγωγών προϋποθέτουν ότι η χώρα εξαγωγής πράγματι τους εφαρμόζει. Κανένα από αυτά δεν αποκαλύπτει ποιος έδωσε την παραγγελία.

Ο δικηγόρος του Κούλογλου έχει προαναγγείλει νομικές ενέργειες στην Ελλάδα και στο εξωτερικό (in.gr). Ευρωβουλευτές από αρκετές πολιτικές ομάδες ζήτησαν δεσμευτική ευρωπαϊκή δράση κατά της παράνομης χρήσης λογισμικών παρακολούθησης (The Times of Israel).

Τι θα έκλεινε πράγματι το κενό; Ανεξάρτητα εργαστήρια ψηφιακής εγκληματολογίας με διασυνοριακή αρμοδιότητα. Υποχρεωτικοί κανόνες διαφάνειας που θα αναγκάζουν τους προμηθευτές spyware να καταγράφουν ποια κυβέρνηση αγόρασε ποια άδεια. Δικαστική συνεργασία που κινείται σε μήνες, όχι σε χρόνια. Μέχρι να υπάρξει κάτι τέτοιο, το μοτίβο θα επαναλαμβάνεται: ο ερευνητής γίνεται στόχος και η έρευνα συνεχίζεται χωρίς να γνωρίζει ποιος διαβάζει μαζί της.