Pegasus támadta meg saját vizsgálóját

Szteliosz Kuloglu eredetileg kérdezni ült be az Európai Parlament vizsgálóbizottságába. A görög újságíróból lett EP-képviselő tagja volt a PEGA-bizottságnak, amely azt vizsgálta, hogyan fordítottak uniós kormányok kereskedelmi kémszoftvereket a saját állampolgáraik ellen. A testület tisztviselőket hallgathatott meg, dokumentumokat kérhetett be, ajánlásokat írhatott. A nemzeti titkosszolgálatokat viszont nem kényszeríthette együttműködésre. Végül éppen ez a rés lett az ügy lényege.

A Citizen Lab új jelentése szerint Kuloglu iPhone-ját 2022 októbere körül azzal az eszközzel törték fel észrevétlenül, amelyet maga is vizsgált: az NSO Group Pegasusával (The Guardian, Le Monde). A fertőzés 2023 márciusában megismétlődött, amikor a bizottság a jelentés legintenzívebb szerkesztési szakaszában járt. Legalább az egyik támadás úgynevezett zero-click művelet volt: a kémszoftver az Apple rendszerének egy olyan rejtett hibáját használta ki, amelyet a cég akkor még nem ismert és nem javított ki, így a készülékre a tulajdonos egyetlen kattintása nélkül jutott be (The Straits Times).

Európa ma már sokszor bizonyítani tudja, ha egy telefont megfertőztek. Azt viszont továbbra is nehezen tudja bizonyítani, ki adta ki a parancsot. Ez az ügy valódi tétje.

Mit jelent egy fertőzött telefon egy vizsgálóbizottságnak?

A titkosított üzenetküldést érdemes lezárt borítékként elképzelni: a Signalhoz hasonló alkalmazások az üzenetet útközben védik. A Pegasus nem az úton lévő borítékot próbálja elfogni. Abba a szobába ül be, ahol a levelet már felnyitották (Indian Express). Ha aktiválódik, hozzáférhet az üzenetekhez, a névjegyekhez, a helyadatokhoz, és bekapcsolhatja a mikrofont vagy a kamerát is (Al Jazeera).

A fertőzés idején Kuloglu Athén és Brüsszel között koordinálta a bizottsági munkát, képviselőtársaival és forrásaival kommunikált, jelentéstervezetekkel dolgozott (NDTV). Innen egyszerű a lánc: ha a telefon kompromittálódik, láthatóvá válhatnak a kapcsolati hálók; ha láthatóvá válnak a kapcsolati hálók, a bejelentők és tanúk köre is az operátor elé kerülhet. Ha a jelentéstervezetek is hozzáférhetők voltak, a megfigyelést elrendelő fél még a nyilvánosság előtt olvashatta a bizottság következtetéseit. A nyilvános beszámolók alapján nem tudni, másoltak-e bármit a telefonról (The Guardian). De ha a kémszoftverek használatát vizsgáló testület a saját tagjai eszközeit sem tudja biztonságban tartani, a bizottság függetlensége már az alapoknál sérül.

A Citizen Lab a műveletet egy korábban feltárt Pegasus-kampányhoz kötötte, amely Európában élő, száműzetésben lévő orosz és belarusz nyelvű újságírókat és aktivistákat célzott. Ez a görög belpolitikai keretnél szélesebb ügyet jelez (The Times of Israel). A kutatók nem nevezték meg, melyik kormány állhatott a támadás mögött. Arra sincs bizonyíték, hogy Görögország lett volna az operátor (Al Jazeera).

Ez a szerkezeti probléma. A fertőzés bizonyítható. A felelősség megállapításához viszont olyan bizonyítékok kellenének, amelyek szinte soha nem kerülnek elő önként: kormányzati beszerzési iratok, szervernaplók, bírói engedélyek. A titkosszolgálatoknak ezeket nem kell külföldi parlamenti bizottságok elé tenniük.

Spanyolország és Magyarország megmutatja, mi jön a feltárás után

A barcelonai fellebbviteli bíróság nemrég újranyitotta a katalán politikusokat érintő Pegasus-ügyet, és újabb adatkéréseket rendelt el a spanyol hírszerzés felé, miután egy bíró két évig nem foglalkozott a fellebbezéssel (elDiario.es). Igazolt fertőzés, vitatott felelősség, lassan mozgó bíróságok.

Magyarország más tanulságot kínál. Egy magas rangú fideszes képviselő nyilvánosan elismerte, hogy az állam beszerezte a Pegasust, az adatvédelmi hatóság vizsgálatot folytatott, majd arra jutott, hogy nem talált jogsértést. Az indokolás jelentős része továbbra is minősített adat (Portfolio). Ha a formális ellenőrzéshez nem társul nyilvános átláthatóság, a lezárás is formális marad: válaszok nélkül.

Mindkét eset ugyanarra mutat rá, amit Kuloglu megfertőzése most uniós szinten is láthatóvá tesz. A technikai bizonyítás működik. A politikai elszámoltathatóság nem.

Vannak eszközök, de a legfontosabb hiányzik

Az Európai Parlament szerint 2022 óta kínál kémszoftver-ellenőrzési támogatást a képviselőknek (European Parliament via upday). Az EU elfogadta a kiberrezilienciáról szóló jogszabályt, amely biztonsági követelményeket állít a hálózatra kapcsolt termékekkel szemben, vagyis azt szabályozza, hogyan kell a szoftvereket és eszközöket nehezebben feltörhetővé tenni (European Commission). Civil szervezetek régóta amellett érvelnek, hogy a kémszoftvereket áruló cégeket vállalati felelősségi kötelezettségeknek kellene alávetni, ha eszközeiket újságírók és törvényhozók ellen használják (Business & Human Rights Resource Centre).

Ezek az eszközök a probléma széleit kezelik. Az eszközellenőrzés utólagos: akkor talál fertőzést, amikor az már megtörtént. A termékbiztonsági szabályok nehezebbé teszik a feltörést, de a Pegasus nem egyszerűen rosszul megírt szoftverek hibájából él. Engedéllyel rendelkező vásárlók szándékos visszaélése teszi politikai problémává. Az exportellenőrzés pedig abból indul ki, hogy az exportáló ország ténylegesen érvényt szerez a saját szabályainak. Egyik sem mondja meg, ki rendelte el a műveletet.

Kuloglu ügyvédje jogi lépéseket jelentett be Görögországban és külföldön (in.gr). Több politikai csoport EP-képviselői kötelező erejű uniós fellépést követelnek az illegális kémszoftver-használat ellen (The Times of Israel).

A rést valójában csak olyan intézmények zárhatnák be, amelyek ma még hiányoznak: határokon átnyúló jogosítványokkal rendelkező független törvényszéki laborok, kikényszeríthető átláthatósági szabályok, amelyek naplóztatják a kémszoftvercégekkel, melyik kormány milyen licencet vett, és olyan igazságügyi együttműködés, amely hónapok alatt halad, nem évek alatt. Amíg ennek nincs valamilyen működő változata, a minta ismétlődni fog. A vizsgálóból célpont lesz, a vizsgálat pedig úgy megy tovább, hogy senki sem tudja, ki olvas bele.