Pegasus și-a infectat anchetatorul din UE

Stelios Kouloglou trebuia să fie cel care punea întrebările. Jurnalist grec devenit eurodeputat, a făcut parte din PEGA, comisia de anchetă a Parlamentului European creată pentru a investiga modul în care guverne din UE au folosit programe comerciale de spionaj împotriva propriilor cetățeni. Comisia putea să convoace oficiali, să ceară documente și să redacteze recomandări. Nu putea însă să oblige serviciile naționale de informații să coopereze. Această limită instituțională este, de fapt, cheia cazului.

În jurul lunii octombrie 2022, potrivit unui nou raport Citizen Lab, iPhone-ul lui Kouloglou a fost compromis în tăcere chiar cu instrumentul pe care îl investiga: Pegasus, produs de grupul israelian NSO (The Guardian, Le Monde). Infectarea s-a repetat în martie 2023, în perioada în care comisia lucra intens la redactarea concluziilor. Cel puțin unul dintre atacuri a fost de tip zero-click: spyware-ul a exploatat o vulnerabilitate ascunsă în software-ul Apple, pe care compania nu o descoperise și nu o remediase încă, intrând în telefon fără ca proprietarul să apese pe vreun link sau fișier (The Straits Times).

Europa poate demonstra tot mai des că un telefon a fost infectat. Îi este mult mai greu să demonstreze cine a dat ordinul. Aici se află problema de fond.

Ce înseamnă un telefon infectat pentru o comisie de anchetă

Mesageria criptată funcționează ca un plic sigilat: aplicații precum Signal protejează mesajul cât timp circulă. Pegasus nu încearcă să intercepteze plicul pe traseu. Intră în camera în care mesajul este citit, după ce plicul a fost deschis (Indian Express). Odată activ, poate accesa mesaje, contacte, date de localizare și poate porni microfonul sau camera telefonului (Al Jazeera).

În perioada infectării, Kouloglou coordona activitatea comisiei între Atena și Bruxelles, comunica cu alți eurodeputați și cu surse, lucra cu proiecte de raport (NDTV). Lanțul riscului este simplu: dacă telefonul este compromis, lista de contacte devine vizibilă; dacă lista de contacte devine vizibilă, operatorul poate identifica rețeaua de avertizori de integritate și martori ai comisiei. Dacă proiectele de raport sunt expuse, cel care a comandat supravegherea poate citi concluziile anchetei înainte ca acestea să fie publicate. Relatările publice nu arată ce anume, dacă a fost ceva, a fost copiat din telefon (The Guardian). Dar dacă instituția care investighează spyware-ul nu își poate proteja propriile dispozitive, independența anchetei este afectată în punctul cel mai vulnerabil.

Citizen Lab a legat operațiunea de o campanie Pegasus documentată anterior, care i-a vizat în Europa pe jurnaliști și activiști exilați vorbitori de rusă și belarusă, ceea ce scoate cazul dintr-un cadru strict grecesc (The Times of Israel). Cercetătorii nu au atribuit atacul unui guvern anume. Nu există dovezi care să indice Grecia drept operator (Al Jazeera).

Aceasta este problema structurală. Infectarea poate fi demonstrată. Atribuirea cere probe care aproape niciodată nu apar voluntar: contracte guvernamentale, jurnale de server, mandate judiciare sau documente ale serviciilor de informații, instituții care nu au obligația să le pună la dispoziția unei comisii străine.

Spania și Ungaria arată ce urmează după descoperire

Curtea de apel din Barcelona a redeschis recent cazul Pegasus care îi vizează pe politicieni catalani, cerând noi solicitări de informații către serviciul spaniol de informații, după ce un judecător a ținut timp de doi ani un apel fără soluționare (elDiario.es). Rezultatul: infectare confirmată, atribuire disputată, justiție lentă.

Ungaria oferă o lecție diferită. Un deputat important al Fidesz a recunoscut public că statul a cumpărat Pegasus, iar autoritatea pentru protecția datelor a investigat cazul, dar a concluzionat că nu a găsit încălcări ale legii. O mare parte din raționament rămâne clasificată (Portfolio). Controlul formal, fără transparență publică, produce închidere formală, nu răspunsuri publice.

Cele două cazuri arată același lucru pe care infectarea lui Kouloglou îl expune acum la nivelul UE: expertiza tehnică funcționează. Răspunderea politică nu ține pasul cu ea.

Instrumentele existente și cel care lipsește

Parlamentul European spune că, din 2022, le oferă eurodeputaților sprijin pentru verificarea dispozitivelor împotriva spyware-ului (European Parliament via upday). UE a adoptat Regulamentul privind reziliența cibernetică, care stabilește standarde de siguranță pentru produsele conectate, adică reguli menite să facă software-ul și dispozitivele mai greu de compromis (European Commission). Organizațiile societății civile au susținut că furnizorii de spyware ar trebui să intre sub incidența obligațiilor de responsabilitate corporativă atunci când instrumentele lor sunt folosite împotriva jurnaliștilor și a aleșilor (Business & Human Rights Resource Centre).

Aceste instrumente tratează marginile problemei. Verificarea dispozitivelor este reactivă: găsește infectarea după consumarea atacului. Legile privind siguranța produselor fac telefoanele și programele mai rezistente, dar Pegasus nu este o eroare accidentală de proiectare. Este folosirea deliberată a unui instrument de supraveghere de către cumpărători autorizați. Controalele la export funcționează doar dacă statul exportator chiar le aplică. Niciunul dintre aceste mecanisme nu arată cine a plasat comanda.

Avocatul lui Kouloglou a anunțat acțiuni legale în Grecia și în străinătate (in.gr). Eurodeputați din mai multe grupuri politice au cerut măsuri obligatorii la nivelul UE împotriva folosirii ilegale a spyware-ului (The Times of Israel).

Ce ar putea închide această breșă? Laboratoare criminalistice independente, cu autoritate transfrontalieră. Reguli de transparență aplicabile, care să oblige furnizorii de spyware să înregistreze ce guvern a cumpărat ce licență. Cooperare judiciară care să se miște în luni, nu în ani. Până când o astfel de arhitectură va exista, tiparul se va repeta: investigatorul devine țintă, iar ancheta continuă fără să știe cine citește în paralel.