Pegasus zarazio istražitelja EU-a

Stelios Kouloglou trebao je postavljati pitanja, a ne biti predmet istrage. Grčki novinar i zastupnik u Europskom parlamentu bio je član PEGA-e, parlamentarnog odbora osnovanog kako bi istražio na koji su način vlade članica EU-a koristile komercijalne špijunske programe protiv vlastitih građana. Odbor je mogao pozivati dužnosnike, tražiti dokumente i sastavljati preporuke. Nije mogao prisiliti nacionalne obavještajne službe na suradnju. Upravo je ta praznina postala ključ cijelog slučaja.

Prema novom izvješću Citizen Laba, Kouloglouov iPhone bio je oko listopada 2022. potajno kompromitiran istim alatom koji je istraživao: Pegasusom izraelske tvrtke NSO Group (The Guardian, Le Monde). Napad se ponovio u ožujku 2023., u najosjetljivijoj fazi pisanja izvješća odbora. Najmanje jedan upad bio je „zero-click”: špijunski program iskoristio je skrivenu ranjivost u Appleovu softveru, koju tvrtka tada još nije otkrila ni zakrpala, pa je u uređaj ušao bez ikakva klika vlasnika (The Straits Times).

Europa često može dokazati da je mobitel zaražen. Još uvijek teško dokazuje tko je izdao nalog. O tome je ovdje riječ.

Što zaraženi mobitel znači za parlamentarni odbor

Šifrirane poruke mogu se zamisliti kao zatvorena omotnica: aplikacije poput Signala štite pismo dok putuje. Pegasus ne pokušava presresti omotnicu na putu. On sjedi u sobi u kojoj se pismo čita, nakon što je već otvoreno (Indian Express). Kad se aktivira, program može pristupiti porukama, kontaktima i podacima o lokaciji, a može uključiti i mikrofon ili kameru (Al Jazeera).

U razdoblju zaraze Kouloglou je koordinirao rad odbora između Atene i Bruxellesa, komunicirao s kolegama i izvorima te radio s nacrtima izvješća (NDTV). Posljedice su jasne: kompromitirani mobitel znači izložene kontakte, a to mrežu zviždača i svjedoka čini vidljivom operateru. Izloženi nacrti znače da je onaj tko je naručio nadzor mogao čitati zaključke odbora prije objave. Javna izvješća zasad nisu pokazala što je, ako išta, kopirano s uređaja (The Guardian). No ako tijelo koje istražuje špijunske programe ne može zaštititi uređaje vlastitih članova, njegova je neovisnost načeta u samom temelju.

Citizen Lab povezao je operaciju s ranije dokumentiranom kampanjom Pegasusa protiv prognanih novinara i aktivista koji govore ruski i bjeloruski, a žive u Europi. Time slučaj izlazi iz uskog grčkog okvira (The Times of Israel). Istraživači napad nisu pripisali nijednoj konkretnoj vladi. Nema dokaza da je operater bila Grčka (Al Jazeera).

To je strukturni problem. Zaraza se može dokazati. Pripisivanje odgovornosti traži dokaze koji gotovo nikada ne izlaze sami: državne narudžbenice, zapise poslužitelja ili sudske naloge koje obavještajne službe nisu dužne dijeliti sa stranim parlamentarnim odborima.

Španjolska i Mađarska pokazuju što slijedi nakon otkrića

Žalbeni sud u Barceloni nedavno je ponovno otvorio slučaj Pegasusa koji se odnosi na katalonske političare te naložio nove zahtjeve za informacijama od španjolske obavještajne službe, nakon što je sudac dvije godine držao žalbu neriješenom (elDiario.es). Potvrđena zaraza, osporeno pripisivanje odgovornosti, sporo pravosuđe.

Mađarska nudi drukčiju pouku. Visoki zastupnik Fidesza javno je priznao da je država nabavila Pegasus, a tijelo za zaštitu podataka provelo je istragu i zaključilo da nije našlo nezakonito postupanje. Velik dio obrazloženja ostao je klasificiran (Portfolio). Formalni nadzor bez javne transparentnosti proizvodi formalno zatvaranje slučaja, ali ne i javne odgovore.

Oba primjera pokazuju isto što Kouloglouov slučaj sada otvara na razini EU-a: tehnička forenzika funkcionira. Politička odgovornost ne funkcionira.

Alati postoje, ali nedostaje ključni

Europski parlament navodi da od 2022. zastupnicima nudi provjere uređaja na špijunske programe (European Parliament via upday). EU je donio Akt o kibernetičkoj otpornosti, koji postavlja sigurnosne standarde za povezane proizvode, odnosno pravila koja bi softver i uređaje trebala učiniti otpornijima na provale (European Commission). Organizacije civilnog društva tvrde da bi dobavljači špijunskih programa morali snositi obveze korporativne odgovornosti kada se njihovi alati koriste protiv novinara i zastupnika (Business & Human Rights Resource Centre).

Ti alati popravljaju rubove problema. Provjere su reaktivne: zarazu pronalaze nakon što se dogodila. Zakoni o sigurnosti proizvoda otežavaju upade u uređaje, ali Pegasus nije posljedica lošeg inženjerstva. Riječ je o namjernoj zlouporabi alata koji kupuju ovlašteni kupci. Izvozna ograničenja pretpostavljaju da ih država izvoznica doista provodi. Nijedan od tih mehanizama ne otkriva tko je izdao nalog.

Kouloglouov odvjetnik najavio je pravne korake u Grčkoj i inozemstvu (in.gr). Zastupnici iz više političkih skupina zatražili su obvezujuće djelovanje EU-a protiv nezakonite uporabe špijunskih programa (The Times of Israel).

Prazninu bi stvarno zatvorili neovisni forenzički laboratoriji s prekograničnim ovlastima, provediva pravila transparentnosti koja bi dobavljače špijunskih programa prisilila da bilježe koja je vlada kupila koju licencu te pravosudna suradnja koja se mjeri mjesecima, a ne godinama. Dok nešto slično ne postoji, obrazac će se ponavljati: istražitelj postaje meta, a istraga se nastavlja bez odgovora na pitanje tko je sve čita.