Pegasus iski EU-tutkijaansa

Stelios Koulogloun tehtävä oli kysyä, kuka Euroopassa käyttää kaupallisia vakoiluohjelmia omia kansalaisiaan vastaan. Kreikkalainen toimittaja ja europarlamentaarikko kuului PEGA-valiokuntaan, jonka Euroopan parlamentti perusti selvittämään Pegasus-vakoiluohjelman ja muiden vastaavien työkalujen käyttöä jäsenmaissa. Valiokunta saattoi kutsua viranomaisia kuultavaksi, pyytää asiakirjoja ja laatia suosituksia. Se ei voinut pakottaa kansallisia tiedustelupalveluja yhteistyöhön. Juuri tästä rajasta tuli tapauksen ydin.

Citizen Labin uuden raportin mukaan Koulogloun iPhone murrettiin lokakuun 2022 tienoilla NSO Groupin Pegasus-ohjelmalla, siis samalla työkalulla, jota hän oli tutkimassa (The Guardian, Le Monde). Puhelin saastui uudelleen maaliskuussa 2023, jolloin valiokunta viimeisteli raporttiluonnoksiaan kiivaimmassa vaiheessa. Ainakin yhdessä hyökkäyksessä käytettiin niin sanottua zero-click-menetelmää: vakoiluohjelma hyödynsi Applen ohjelmistosta löytynyttä piilevää haavoittuvuutta, jota Apple ei ollut vielä tunnistanut eikä paikannut. Käyttäjän ei tarvinnut klikata mitään (The Straits Times).

Euroopassa pystytään usein osoittamaan, että puhelin on saastunut. Paljon vaikeampaa on osoittaa, kuka antoi käskyn. Tästä aukosta Koulogloun tapaus kertoo.

Mitä saastunut puhelin merkitsee valiokunnalle

Salattu viestintä toimii kuin suljettu kirjekuori: Signal ja muut sovellukset suojaavat viestin matkalla lähettäjältä vastaanottajalle. Pegasus ei yritä napata kirjekuorta postinkuljetuksesta. Se istuu huoneessa, jossa kirje avataan (Indian Express). Kun ohjelma on laitteessa, se voi päästä viesteihin, yhteystietoihin ja sijaintitietoihin sekä käynnistää mikrofonin tai kameran (Al Jazeera).

Saastumisen aikaan Kouloglou koordinoi valiokuntatyötä Ateenan ja Brysselin välillä, viesti kollegoiden ja lähteiden kanssa ja käsitteli raporttiluonnoksia (NDTV). Jos puhelin on murrettu, yhteystiedot voivat paljastua. Silloin myös valiokunnan ilmiantajien ja todistajien verkosto voi tulla näkyviin ohjelman käyttäjälle. Jos raporttiluonnokset ovat olleet saatavilla, valvonnan tilaaja on voinut nähdä valiokunnan johtopäätökset ennen niiden julkaisua.

Julkisista tiedoista ei käy ilmi, kopioitiinko Koulogloun puhelimesta aineistoa ja mitä mahdollisesti vietiin (The Guardian). Silti asetelma riittää horjuttamaan tutkinnan riippumattomuutta. Jos vakoiluohjelmien käyttöä tutkiva elin ei pysty suojaamaan omien jäsentensä laitteita, sen työ on haavoittuva jo lähtökohdasta.

Citizen Lab yhdisti operaation aiemmin dokumentoituun Pegasus-kampanjaan, jonka kohteina oli Euroopassa maanpaossa eläviä venäjän- ja valkovenäjänkielisiä toimittajia ja aktivisteja. Tämä vie tapauksen Kreikan sisäpolitiikkaa laajempaan kehykseen (The Times of Israel). Tutkijat eivät nimenneet hyökkäyksen tilaajaksi mitään hallitusta. Kreikkaan operaattorina ei julkisten tietojen perusteella viittaa näyttöä (Al Jazeera).

Rakenteellinen ongelma jää silti ennalleen. Saastuminen voidaan todistaa teknisesti. Tilaajan osoittaminen vaatii aineistoa, jota saadaan harvoin vapaaehtoisesti: valtion hankinta-asiakirjoja, palvelinlokeja tai tuomioistuimen lupia, joita tiedustelupalveluilla ei ole velvollisuutta luovuttaa ulkomaisille parlamentaarisille elimille.

Espanja ja Unkari näyttävät, mitä paljastuksen jälkeen tapahtuu

Barcelonan muutoksenhakutuomioistuin avasi hiljattain uudelleen tapauksen, jossa katalonialaispoliitikkojen puhelimia oli saastunut Pegasuksella. Tuomioistuin määräsi pyytämään uusia tietoja Espanjan tiedustelupalvelulta sen jälkeen, kun alemman oikeusasteen tuomari oli pitänyt valitusta käsittelemättä kaksi vuotta (elDiario.es). Kaava on tuttu: saastuminen vahvistetaan, tilaajasta kiistellään ja oikeusprosessi etenee hyvin hitaasti.

Unkari näyttää toisenlaisen mallin. Fideszin korkea-arvoinen kansanedustaja myönsi julkisesti, että valtio oli hankkinut Pegasuksen. Tietosuojaviranomainen tutki asiaa mutta päätyi siihen, ettei lainvastaista toimintaa löytynyt. Suuri osa perusteluista pysyy salassa (Portfolio). Muodollinen valvonta ilman julkista läpinäkyvyyttä tuottaa muodollisen päätöksen ilman julkisia vastauksia.

Molemmat tapaukset osoittavat saman, minkä Koulogloun puhelin tuo nyt EU-tasolle. Tekninen rikostutkinta toimii. Poliittinen vastuu ei seuraa perässä.

Työkaluja on, mutta ratkaiseva väline puuttuu

Euroopan parlamentin mukaan mepeille on tarjottu vakoiluohjelmien seulontaa vuodesta 2022 lähtien (European Parliament via upday). EU on hyväksynyt kyberkestävyyssäädöksen, Cyber Resilience Actin, joka asettaa turvallisuusvaatimuksia verkkoon kytketyille tuotteille eli pyrkii tekemään ohjelmistoista ja laitteista vaikeammin murrettavia (European Commission). Kansalaisjärjestöt ovat vaatineet, että vakoiluohjelmia myyville yrityksille asetetaan yritysvastuuta silloin, kun niiden työkaluja käytetään toimittajia ja lainsäätäjiä vastaan (Business & Human Rights Resource Centre).

Nämä keinot korjaavat ongelman reunoja. Seulonta on jälkikäteistä: se löytää tartunnan vasta, kun vahinko on jo tapahtunut. Tuoteturvallisuussäännöt tekevät laitteista kestävämpiä, mutta Pegasus ei ole tavallinen ohjelmistovirheen seuraus. Sen käyttö perustuu siihen, että valtuutetut ostajat käyttävät työkalua väärin. Vientivalvonta taas toimii vain, jos viejämaa todella valvoo myyntiä. Mikään näistä ei paljasta, kuka antoi käskyn.

Koulogloun asianajaja on ilmoittanut oikeustoimista Kreikassa ja ulkomailla (in.gr). Useiden poliittisten ryhmien mepit ovat vaatineet sitovia EU-toimia laittoman vakoiluohjelmakäytön estämiseksi (The Times of Israel).

Aukon sulkeminen vaatisi riippumattomia digitaalisia rikostutkimuslaboratorioita, joilla on rajat ylittävä toimivalta. Se vaatisi velvoittavia läpinäkyvyyssääntöjä, jotka pakottavat vakoiluohjelmien myyjät kirjaamaan, mikä hallitus osti minkäkin lisenssin. Se vaatisi oikeudellista yhteistyötä, joka liikkuu kuukausissa eikä vuosissa. Ilman tällaista järjestelmää kaava toistuu: tutkijasta tulee kohde, ja tutkinta jatkuu tietämättä, kuka lukee mukana.