Pegasus tabas EL-i uurijat

Stelios Kouloglou pidi olema küsija rollis. Kreeka ajakirjanikust Euroopa Parlamendi liige kuulus PEGA-komisjoni, mille parlament lõi uurima, kuidas EL-i valitsused kasutasid kommertsnuhkvara oma kodanike vastu. Komisjon sai kutsuda ametnikke, nõuda dokumente ja koostada soovitusi. Riikide luureteenistusi ei saanud ta koostööks sundida. Just sellest piirist kujunes juhtumi tuum.

Citizen Labi värske raporti järgi murti Kouloglou iPhone’i vaikselt sisse 2022. aasta oktoobri paiku sama tööriistaga, mida ta ise uuris: NSO Groupi Pegasusega (The Guardian, Le Monde). Nakatumine kordus 2023. aasta märtsis, kui komisjon töötas kõige pingelisemalt raporti mustanditega. Vähemalt üks rünnak oli nullkliki rünnak: nuhkvara kasutas Apple’i tarkvaras peidetud turvaauku, mida ettevõte polnud veel avastanud ega parandanud, ning pääses telefoni ilma, et omanik oleks pidanud millelegi vajutama (The Straits Times).

Euroopas suudetakse sageli tõendada, et telefon nakatus. Palju raskem on tõendada, kes andis käsu. See lünk ongi selle loo keskne probleem.

Mida tähendab nakatunud telefon uurimiskomisjonile

Krüpteeritud sõnumirakendust võib võrrelda suletud ümbrikuga: Signal ja sarnased rakendused kaitsevad kirja teekonnal. Pegasus ei pea ümbrikku teel kinni püüdma. Ta istub ruumis, kus kiri pärast avamist loetakse (Indian Express). Kui nuhkvara on seadmes aktiivne, pääseb see ligi sõnumitele, kontaktidele ja asukohaandmetele ning võib sisse lülitada mikrofoni või kaamera (Al Jazeera).

Nakatumise ajal koordineeris Kouloglou komisjoni tööd Ateena ja Brüsseli vahel, suhtles kolleegide ja allikatega ning töötas raportimustanditega (NDTV). Kui telefon on kompromiteeritud, on näha kontaktivõrgustik. See tähendab, et operaatorile võib avaneda komisjoni vilepuhujate ja tunnistajate võrgustik. Kui raportimustandid on nähtavad, saab jälgimise tellija lugeda komisjoni järeldusi enne avaldamist.

Avalikud andmed ei näita, mida Kouloglou telefonist kopeeriti, kui üldse midagi kopeeriti (The Guardian). Ent kui nuhkvara uuriv organ ei suuda kaitsta oma liikmete seadmeid, nõrgeneb uurimise sõltumatus kõige elementaarsemal tasandil.

Citizen Lab seostas operatsiooni varem kirjeldatud Pegasuse kampaaniaga, mis oli suunatud Euroopas elavate eksiilis Vene- ja Valgevene-taustaga ajakirjanike ning aktivistide vastu. See viib juhtumi Kreeka sisepoliitikast laiemasse Euroopa raamistikku (The Times of Israel). Uurijad ei omistanud rünnakut ühelegi konkreetsele valitsusele. Tõendid ei viita, et operaator oleks olnud Kreeka (Al Jazeera).

Siin peitub struktuurne probleem. Nakatumist saab tõendada. Tellija tuvastamine nõuab tõendeid, mis peaaegu kunagi vabatahtlikult välja ei ilmu: riiklikke ostudokumente, serverilogisid või kohtu lubasid, mida luureteenistused ei pea välisriigi komisjonidele jagama.

Hispaania ja Ungari näitavad, mis juhtub pärast avastust

Barcelona apellatsioonikohus avas hiljuti uuesti Kataloonia poliitikuid puudutava Pegasuse juhtumi ning käskis küsida Hispaania luureteenistuselt uut teavet. Enne seda oli kohtunik hoidnud kaebust kaks aastat menetluseta (elDiario.es). Pilt on tuttav: nakatumine on kinnitatud, omistamine vaieldav, kohtud liiguvad aeglaselt.

Ungari annab teistsuguse õppetunni. Fideszi kõrge parlamendiliige tunnistas avalikult, et riik oli Pegasuse hankinud. Andmekaitseasutus uuris juhtumit, kuid leidis, et õigusvastast tegevust ei tuvastatud. Suur osa põhjendustest jäi salastatuks (Portfolio). Vormiline kontroll ilma avaliku läbipaistvuseta annab vormilise lõpetamise ilma avalike vastusteta.

Mõlemad näited näitavad sama, mida Kouloglou juhtum nüüd EL-i tasandil paljastab: tehniline ekspertiis töötab. Poliitiline vastutus mitte.

Olemasolevad tööriistad ja see üks, mida pole

Euroopa Parlament ütleb, et pakub saadikutele nuhkvara tuvastamise tuge alates 2022. aastast (European Parliament via upday). EL on vastu võtnud küberkerksuse määruse, mis seab ühendatud toodetele turvanõuded ehk reeglid, mis peaksid muutma tarkvara ja seadmed raskemini rünnatavaks (European Commission). Kodanikuühiskonna organisatsioonid on nõudnud, et nuhkvaratootjatele kehtiks ettevõtte vastutuse kohustus, kui nende tööriistu kasutatakse ajakirjanike ja seadusandjate vastu (Business & Human Rights Resource Centre).

Need meetmed puudutavad probleemi servi. Kontroll on tagantjärele reageerimine: see leiab nakatumise pärast rünnakut. Tooteturvalisuse normid teevad seadmete sissemurdmise raskemaks, kuid Pegasus ei ole kehva inseneritöö juhuslik kõrvalsaadus. See on lubatud ostjate tahtlik väärkasutus. Ekspordikontroll eeldab, et eksportiv riik ka kontrolli jõustab. Ükski neist mehhanismidest ei näita, kes tellimuse esitas.

Kouloglou advokaat on teatanud õiguslikest sammudest Kreekas ja välismaal (in.gr). Mitme fraktsiooni Euroopa Parlamendi liikmed nõuavad siduvaid EL-i meetmeid ebaseadusliku nuhkvarakasutuse vastu (The Times of Israel).

Lünga sulgemiseks oleks vaja sõltumatuid digiekspertiisi laboreid, millel on piiriülene pädevus. Vaja oleks jõustatavaid läbipaistvusreegleid, mis kohustavad nuhkvaratootjaid registreerima, milline valitsus millise litsentsi ostis. Vaja oleks õigusalast koostööd, mis liigub kuude, mitte aastatega. Seni kordub sama muster: uurijast saab sihtmärk ja uurimine jätkub teadmata, kes samal ajal kaasa loeb.