Pegasus užkrėtė ES tyrėjo telefoną

Steliosas Kouloglou turėjo būti tas, kuris užduoda klausimus. Graikų žurnalistas, vėliau tapęs Europos Parlamento nariu, dirbo PEGA komitete — Europos Parlamento tyrimo struktūroje, sukurtoje aiškintis, kaip ES vyriausybės komercinę šnipinėjimo programinę įrangą naudojo prieš savo piliečius. Komitetas galėjo kviesti pareigūnus, prašyti dokumentų, rengti rekomendacijas. Tačiau jis negalėjo priversti nacionalinių žvalgybos tarnybų bendradarbiauti. Būtent ši spraga ir tapo esmine istorijos dalimi.

Remiantis nauja „Citizen Lab“ ataskaita, apie 2022 m. spalį Kouloglou „iPhone“ telefonas buvo slapta užkrėstas tuo pačiu įrankiu, kurį jis tyrė — NSO grupės sukurta „Pegasus“ programa (The Guardian, Le Monde). Infekcija pasikartojo 2023 m. kovą, kai komitetas intensyviausiai rengė savo išvadas. Bent viena ataka buvo vadinamojo „zero-click“ tipo: šnipinėjimo programa pasinaudojo „Apple“ programinės įrangos spraga, kurios bendrovė dar nebuvo aptikusi ir užtaisiusi, todėl įrenginys buvo užkrėstas savininkui nieko nepaspaudus (The Straits Times).

Europa dažnai geba įrodyti, kad telefonas buvo užkrėstas. Kur kas sunkiau įrodyti, kas davė nurodymą. Ši spraga — pagrindinis šios istorijos klausimas.

Ką komitetui reiškia užkrėstas telefonas

Šifruotą susirašinėjimą galima įsivaizduoti kaip užklijuotą voką: tokios programėlės kaip „Signal“ saugo laišką, kol jis keliauja. „Pegasus“ nebando perimti voko pakeliui. Ji atsiduria kambaryje, kuriame laiškas jau atplėštas ir skaitomas (Indian Express). Aktyvuota programa gali pasiekti žinutes, kontaktus, buvimo vietos duomenis, įjungti mikrofoną ar kamerą (Al Jazeera).

Tuo laikotarpiu Kouloglou koordinavo komiteto darbą tarp Atėnų ir Briuselio, bendravo su kolegomis bei šaltiniais, dirbo su ataskaitų projektais (NDTV). Jei telefonas pažeistas, matomi tampa kontaktų sąrašai. Tai reiškia, kad operatorius gali pamatyti komiteto informatorių ir liudytojų tinklą. Jei pasiekiami ataskaitų projektai, priežiūrą užsakiusi pusė galėjo skaityti komiteto išvadas dar prieš jų paskelbimą. Viešai paskelbta informacija nerodo, kas, jei iš viso kas nors, buvo nukopijuota iš telefono (The Guardian). Tačiau jei institucija, tirianti šnipinėjimo programų naudojimą, negali apsaugoti savo narių įrenginių, jos nepriklausomumas pažeidžiamas pačiame pagrinde.

„Citizen Lab“ šią operaciją susiejo su anksčiau aprašyta „Pegasus“ kampanija, nukreipta prieš Europoje gyvenančius rusakalbius ir baltarusiškai kalbančius tremties žurnalistus bei aktyvistus. Tai išplečia bylą už Graikijos vidaus politikos ribų (The Times of Israel). Tyrėjai atakos nepriskyrė jokiai konkrečiai vyriausybei. Įrodymų, kad operatorė buvo Graikija, nepateikta (Al Jazeera).

Čia ir slypi struktūrinė problema. Infekciją galima įrodyti. Kaltininkui nustatyti reikia įrodymų, kurie beveik niekada nepasirodo savanoriškai: vyriausybės pirkimo dokumentų, serverių žurnalų, teismo sankcijų ar žvalgybos tarnybų įrašų, kuriais jos neprivalo dalytis su užsienio komitetais.

Ispanija ir Vengrija rodo, kas vyksta po aptikimo

Barselonos apeliacinis teismas neseniai atnaujino „Pegasus“ bylą dėl Katalonijos politikų sekimo ir nurodė iš naujo kreiptis informacijos į Ispanijos žvalgybos tarnybą. Tai padaryta po to, kai teisėjas dvejus metus nejudino skundo dėl bylos uždarymo (elDiario.es). Patvirtinta infekcija, ginčijamas priskyrimas, labai lėti teismai.

Vengrijos pamoka kitokia. Vienas aukšto rango „Fidesz“ parlamentaras viešai pripažino, kad valstybė buvo įsigijusi „Pegasus“, o duomenų apsaugos institucija atliko tyrimą, tačiau padarė išvadą, jog neteisėtų veiksmų nenustatyta. Didelė jos argumentų dalis liko įslaptinta (Portfolio). Formali priežiūra be viešo skaidrumo duoda formalų užbaigimą be viešų atsakymų.

Abi istorijos rodo tą patį, ką Kouloglou atvejis dabar iškelia ES lygmeniu: techninė ekspertizė veikia. Politinė atsakomybė — ne.

Turimos priemonės ir ta, kurios nėra

Europos Parlamentas teigia nuo 2022 m. siūlantis europarlamentarams pagalbą tikrinant įrenginius dėl šnipinėjimo programų (European Parliament via upday). ES priėmė Kibernetinio atsparumo aktą, nustatantį saugumo standartus prijungtiems produktams, tai yra taisykles, kurios turi apsunkinti įsilaužimą į programinę įrangą ir įrenginius (European Commission). Pilietinės visuomenės organizacijos ragina šnipinėjimo programų tiekėjams taikyti įmonių atsakomybės pareigas, kai jų įrankiai naudojami prieš žurnalistus ir politikus (Business & Human Rights Resource Centre).

Šios priemonės tvarko problemos pakraščius. Įrenginių tikrinimas reaktyvus: jis aptinka užkrėtimą jau po fakto. Produktų saugos teisė daro įrenginius sunkiau pažeidžiamus, tačiau „Pegasus“ nėra prastos inžinerijos klaida. Tai sąmoningas įrankio naudojimas įgaliotų pirkėjų rankose. Eksporto kontrolė veikia tik tiek, kiek ją vykdo eksportuojanti valstybė. Nė viena iš šių priemonių neatskleidžia, kas pateikė užsakymą.

Kouloglou advokatas paskelbė apie teisinius veiksmus Graikijoje ir užsienyje (in.gr). Kelių politinių grupių europarlamentarai pareikalavo privalomų ES priemonių prieš neteisėtą šnipinėjimo programų naudojimą (The Times of Israel).

Kas iš tikrųjų uždarytų spragą? Nepriklausomos skaitmeninės ekspertizės laboratorijos, turinčios tarpvalstybinius įgaliojimus. Privalomos skaidrumo taisyklės, įpareigojančios šnipinėjimo programų tiekėjus registruoti, kuri vyriausybė įsigijo kurią licenciją. Teisminis bendradarbiavimas, vykstantis mėnesiais, o ne metais. Kol bent dalis tokios sistemos neatsiras, modelis kartosis: tyrėjas taps taikiniu, o tyrimas vyks nežinant, kas jį skaito kartu.