Pegasus trafił w śledczego PE

Stelios Kouloglou miał zadawać pytania, nie być przedmiotem śledztwa. Grecki dziennikarz, a później europoseł, zasiadał w komisji PEGA, powołanej przez Parlament Europejski do zbadania, jak rządy państw UE używały komercyjnego oprogramowania szpiegowskiego wobec własnych obywateli. Komisja mogła wzywać urzędników, żądać dokumentów i pisać rekomendacje. Nie mogła jednak zmusić krajowych służb specjalnych do współpracy. Właśnie ta luka okazała się najważniejsza.

Według nowego raportu Citizen Lab, około października 2022 r. iPhone Kouloglou został po cichu zainfekowany narzędziem, które sam badał: Pegasusem izraelskiej NSO Group (The Guardian, Le Monde). Do kolejnej infekcji doszło w marcu 2023 r., gdy komisja pracowała nad najważniejszą wersją swojego raportu. Co najmniej jeden atak miał charakter zero-click: Pegasus wykorzystał ukrytą lukę w oprogramowaniu Apple, której firma nie znała i nie zdążyła załatać, więc właściciel telefonu nie musiał niczego kliknąć (The Straits Times).

Europa coraz częściej potrafi udowodnić, że telefon został zainfekowany. Wciąż ma problem z ustaleniem, kto wydał polecenie. Ta różnica decyduje o politycznej wadze sprawy.

Co oznacza zainfekowany telefon członka komisji

Szyfrowane komunikatory działają jak zaklejona koperta: Signal chroni treść wiadomości w drodze między nadawcą a odbiorcą. Pegasus nie musi przechwytywać koperty po drodze. Wchodzi do pokoju, w którym list został już otwarty (Indian Express). Po aktywacji może uzyskać dostęp do wiadomości, kontaktów, danych lokalizacyjnych, a także uruchomić mikrofon lub kamerę (Al Jazeera).

W okresie infekcji Kouloglou koordynował prace komisji między Atenami a Brukselą, kontaktował się z kolegami i źródłami, pracował na projektach raportów (NDTV). Skutek jest prosty: przejęty telefon oznacza ujawnione listy kontaktów, a więc widoczną sieć sygnalistów i świadków. Ujawnione projekty raportów oznaczają, że zlecający inwigilację mógł poznać wnioski komisji przed ich publikacją. Publiczne doniesienia nie pokazują, co dokładnie, jeśli cokolwiek, skopiowano z urządzenia (The Guardian). Sama możliwość wystarczy jednak, by osłabić niezależność organu, który miał badać nadużycia władzy.

Citizen Lab powiązał operację z wcześniej opisaną kampanią Pegasusa wymierzoną w rosyjsko- i białoruskojęzycznych dziennikarzy oraz aktywistów na emigracji w Europie. To przesuwa sprawę poza czysto grecki kontekst (The Times of Israel). Badacze nie przypisali jednak ataku konkretnemu państwu. Nie ma też dowodów, że operatorem była Grecja (Al Jazeera).

Na tym polega problem systemowy. Infekcję da się wykazać. Przypisanie odpowiedzialności wymaga danych, które niemal nigdy nie pojawiają się dobrowolnie: rządowych zamówień, logów serwerów albo zgód sądowych, których służby specjalne nie mają obowiązku przekazywać zagranicznym komisjom.

Hiszpania i Węgry pokazują, co dzieje się po wykryciu infekcji

Sąd apelacyjny w Barcelonie niedawno ponownie otworzył sprawę Pegasusa dotyczącą katalońskich polityków. Nakazał skierowanie nowych wniosków o informacje do hiszpańskich służb wywiadowczych po tym, jak sędzia przez dwa lata nie rozpatrywał odwołania (elDiario.es). Schemat jest znany: potwierdzona infekcja, spór o sprawstwo, bardzo wolne sądy.

Węgry dają inną lekcję. Wysoki rangą poseł Fideszu publicznie przyznał, że państwo kupiło Pegasusa. Sprawą zajmował się urząd ochrony danych, lecz uznał, że nie stwierdził działań niezgodnych z prawem. Znaczna część uzasadnienia pozostała tajna (Portfolio). Formalna kontrola bez jawności daje formalne zamknięcie bez odpowiedzi dla opinii publicznej.

Oba przypadki prowadzą do tego samego wniosku, który infekcja telefonu Kouloglou przenosi dziś na poziom unijny: informatyka śledcza działa. Odpowiedzialność polityczna już nie.

Narzędzia są. Brakuje najważniejszego

Parlament Europejski twierdzi, że od 2022 r. oferuje europosłom wsparcie w wykrywaniu oprogramowania szpiegowskiego (European Parliament via upday). UE przyjęła Cyber Resilience Act, czyli przepisy ustanawiające standardy bezpieczeństwa dla produktów połączonych z siecią; w praktyce chodzi o to, by oprogramowanie i urządzenia trudniej było przejmować (European Commission). Organizacje społeczne argumentowały z kolei, że dostawcy spyware’u powinni podlegać obowiązkom odpowiedzialności korporacyjnej, gdy ich narzędzia są używane przeciw dziennikarzom i politykom (Business & Human Rights Resource Centre).

To wszystko łata obrzeża problemu. Kontrola urządzeń działa po fakcie: wykrywa infekcję, gdy szkoda mogła już zostać wyrządzona. Przepisy o bezpieczeństwie produktów utrudniają włamania, ale Pegasus nie jest skutkiem niedbałego programowania. Jest narzędziem celowego nadużycia przez uprawnionych nabywców. Kontrola eksportu działa tylko wtedy, gdy państwo eksportera rzeczywiście ją egzekwuje. Żaden z tych mechanizmów nie ujawnia, kto złożył zamówienie.

Prawnik Kouloglou zapowiedział działania prawne w Grecji i za granicą (in.gr). Europosłowie z kilku frakcji domagają się wiążących działań UE przeciw nielegalnemu używaniu spyware’u (The Times of Israel).

Lukę mogłyby zamknąć dopiero narzędzia sięgające dalej: niezależne laboratoria informatyki śledczej z uprawnieniami transgranicznymi, egzekwowalne przepisy zmuszające dostawców spyware’u do rejestrowania, który rząd kupił którą licencję, oraz współpraca sądowa liczona w miesiącach, nie w latach. Dopóki takiego mechanizmu nie ma, schemat będzie się powtarzał. Śledczy staje się celem, a śledztwo toczy się bez pewności, kto czyta je równolegle.