Pegasus inficē ES izmeklētāju

Steliosam Kuloglu bija jābūt tam, kurš uzdod jautājumus. Grieķu žurnālists, kurš kļuva par Eiropas Parlamenta deputātu, strādāja PEGA — Eiropas Parlamenta izmeklēšanas komitejā, kas tika izveidota, lai noskaidrotu, kā ES valdības izmanto komerciālu spiegprogrammatūru pret saviem pilsoņiem. Komiteja varēja izsaukt amatpersonas, pieprasīt dokumentus un sagatavot ieteikumus. Taču tai nebija varas piespiest nacionālos izlūkdienestus sadarboties. Tieši šī plaisa kļuva par lietas kodolu.

Ap 2022. gada oktobri, kā secināts jaunā Citizen Lab ziņojumā, Kuloglu iPhone esot klusi uzlauzts ar to pašu rīku, kuru viņš izmeklēja: NSO Group izstrādāto Pegasus (The Guardian, Le Monde). Inficēšana atkārtojās 2023. gada martā, kad komiteja strādāja pie ziņojuma visintensīvākās redakcijas. Vismaz viens uzbrukums bija „zero-click” tipa: spiegprogrammatūra izmantoja slēptu ievainojamību Apple programmatūrā, kuru uzņēmums vēl nebija atklājis un salabojis, un iekļuva ierīcē bez jebkādas īpašnieka darbības (The Straits Times).

Eiropā bieži var pierādīt, ka tālrunis ir inficēts. Daudz grūtāk ir pierādīt, kurš devis pavēli. Šī plaisa ir šī stāsta būtība.

Ko komitejai nozīmē inficēts tālrunis

Šifrētu saziņu var salīdzināt ar aizzīmogotu aploksni: tādas lietotnes kā Signal aizsargā vēstuli ceļā. Pegasus nemēģina pārtvert aploksni pārvadāšanas brīdī. Tas atrodas telpā, kur vēstule jau ir atvērta un tiek lasīta (Indian Express). Kad programma sāk darboties, tā var piekļūt ziņām, kontaktiem, atrašanās vietas datiem, kā arī ieslēgt mikrofonu vai kameru (Al Jazeera).

Inficēšanas laikā Kuloglu koordinēja komitejas darbu starp Atēnām un Briseli, sazinājās ar kolēģiem un avotiem, kā arī strādāja ar ziņojumu projektiem (NDTV). Ja tālrunis ir kompromitēts, redzami kļūst kontakti. Tas nozīmē, ka operatoram var kļūt redzams arī komitejas trauksmes cēlēju un liecinieku tīkls. Ja pieejami ziņojumu projekti, persona vai institūcija, kas pasūtījusi novērošanu, var lasīt komitejas secinājumus pirms to publicēšanas. Publiski pieejamā informācija nepierāda, kas tieši, ja vispār kaut kas, no tālruņa nokopēts (The Guardian). Taču, ja struktūra, kas izmeklē spiegprogrammatūru, nespēj pasargāt savu locekļu ierīces, tiek vājināta pašas izmeklēšanas neatkarība.

Citizen Lab šo operāciju sasaistīja ar iepriekš dokumentētu Pegasus kampaņu pret trimdā dzīvojošiem krievu un baltkrievu valodā strādājošiem žurnālistiem un aktīvistiem Eiropā. Tas paplašina lietu ārpus Grieķijas iekšpolitikas rāmja (The Times of Israel). Pētnieki uzbrukumu nepiedēvēja nevienai konkrētai valdībai. Nav pierādījumu, ka operators būtu Grieķija (Al Jazeera).

Tā ir strukturālā problēma. Inficēšanu var pierādīt. Atbildības noteikšanai vajag pierādījumus, kas gandrīz nekad neparādās brīvprātīgi: valdības iepirkumu dokumentus, serveru žurnālus vai tiesas sankcijas, kuras izlūkdienestiem nav pienākuma nodot ārvalstu komitejām.

Spānija un Ungārija rāda, kas seko pēc atklāšanas

Barselonas apelācijas tiesa nesen atjaunoja Pegasus lietu par Katalonijas politiķiem, liekot vēlreiz pieprasīt informāciju no Spānijas izlūkdienesta pēc tam, kad tiesnesis divus gadus bija vilcinājies izskatīt apelāciju (elDiario.es). Inficēšana ir apstiprināta, atbildība tiek apstrīdēta, tiesvedība virzās ļoti lēni.

Ungārijas pieredze rāda citu modeli. Augsta ranga Fidesz deputāts publiski atzina, ka valsts bija iegādājusies Pegasus, un datu aizsardzības iestāde veica pārbaudi, taču secināja, ka prettiesiska rīcība nav konstatēta. Liela daļa pamatojuma joprojām ir slepena (Portfolio). Formāla pārbaude bez publiskas caurskatāmības dod formālu noslēgumu bez publiskām atbildēm.

Abas lietas parāda to pašu, ko Kuloglu inficēšana tagad izgaismo ES līmenī: tehniskā ekspertīze darbojas. Politiskā atbildība ne.

Rīki, kas pastāv, un rīks, kura nav

Eiropas Parlaments norāda, ka kopš 2022. gada deputātiem piedāvā spiegprogrammatūras pārbaudes atbalstu (European Parliament via upday). ES ir pieņēmusi Kibernoturības aktu, kas nosaka drošības prasības savienotām ierīcēm un produktiem, proti, noteikumus, kam programmatūru un ierīces jāpadara grūtāk uzlaužamas (European Commission). Pilsoniskās sabiedrības organizācijas ir uzsvērušas, ka spiegprogrammatūras piegādātājiem jāpiemēro uzņēmumu atbildības pienākumi, ja viņu rīki tiek izmantoti pret žurnālistiem un likumdevējiem (Business & Human Rights Resource Centre).

Šie instrumenti labo problēmas malas. Pārbaudes ir reaktīvas: tās atklāj inficēšanu pēc fakta. Produktu drošības noteikumi padara ierīces grūtāk uzlaužamas, taču Pegasus nav sliktas inženierijas nejaušs blakusefekts. Tā ir apzināta rīka izmantošana, ko veic pilnvaroti pircēji. Eksporta kontrole darbojas tikai tad, ja eksportētājvalsts to patiešām īsteno. Neviens no šiem mehānismiem neatklāj, kurš devis pasūtījumu.

Kuloglu advokāts ir paziņojis par tiesiskām darbībām Grieķijā un ārvalstīs (in.gr). Vairāku politisko grupu Eiropas Parlamenta deputāti pieprasījuši saistošu ES rīcību pret nelikumīgu spiegprogrammatūras izmantošanu (The Times of Israel).

Plaisu varētu mazināt neatkarīgas digitālās ekspertīzes laboratorijas ar pārrobežu pilnvarām. Vajadzīgi arī izpildāmi caurskatāmības noteikumi, kas spiegprogrammatūras piegādātājiem liktu reģistrēt, kura valdība iegādājusies kuru licenci, un tiesiskā sadarbība, kas virzās mēnešos, nevis gados. Kamēr šāda sistēma nepastāv, modelis atkārtosies: izmeklētājs kļūst par mērķi, bet izmeklēšana turpinās, nezinot, kurš lasa līdzi.