Pegasus zasiahol vyšetrovateľa EÚ

Stelios Kouloglou mal patriť k tým, ktorí kladú otázky. Grécky novinár a neskôr europoslanec sedel vo výbore PEGA, ktorý Európsky parlament zriadil na vyšetrovanie toho, ako vlády členských štátov používajú komerčný špionážny softvér proti vlastným občanom. Výbor mohol predvolávať úradníkov, žiadať dokumenty a písať odporúčania. Nemohol však prinútiť národné spravodajské služby, aby spolupracovali. Práve táto medzera sa ukazuje ako podstata prípadu.

Podľa novej správy Citizen Lab sa Kouloglouov iPhone približne v októbri 2022 potichu dostal pod kontrolu nástroja, ktorý sám vyšetroval: Pegasusu od izraelskej firmy NSO Group (The Guardian, Le Monde). K ďalšej infekcii došlo v marci 2023, keď výbor pracoval na najcitlivejšej fáze svojich záverov. Najmenej jeden útok bol typu zero-click: spyvér využil skrytú chybu v softvéri Apple, ktorú firma ešte nepoznala ani neopravila, a do zariadenia sa dostal bez toho, aby majiteľ na čokoľvek klikol (The Straits Times).

Európa dnes často vie dokázať, že telefón bol infikovaný. Stále však naráža na to, ako dokázať, kto dal príkaz. O tejto medzere je celý prípad.

Čo znamená infikovaný telefón pre výbor

Šifrovanú komunikáciu si možno predstaviť ako zapečatenú obálku: aplikácie ako Signal chránia list počas cesty. Pegasus sa však nepokúša zachytiť obálku na trase. Sedí v miestnosti, kde sa list po otvorení číta (Indian Express). Keď sa aktivuje, vie získať prístup k správam, kontaktom, polohe a dokáže zapnúť mikrofón alebo kameru (Al Jazeera).

V čase infekcie Kouloglou koordinoval prácu výboru medzi Aténami a Bruselom, komunikoval s kolegami a zdrojmi a pracoval s návrhmi správ (NDTV). Ak bol telefón kompromitovaný, mohli byť odkryté kontakty. Ak boli odkryté kontakty, operátor mohol vidieť sieť informátorov a svedkov výboru. Ak boli dostupné návrhy správ, ten, kto sledovanie objednal, mohol čítať závery výboru ešte pred zverejnením. Verejne dostupné informácie zatiaľ neukazujú, čo sa z telefónu skutočne skopírovalo, ak vôbec niečo (The Guardian). No ak orgán, ktorý vyšetruje spyvér, nedokáže ochrániť zariadenia vlastných členov, jeho nezávislosť je oslabená v samotnom základe.

Citizen Lab spojil operáciu s už zdokumentovanou kampaňou Pegasusu proti ruským a bieloruským exilovým novinárom a aktivistom v Európe. Prípad sa tým rozširuje za grécky domáci rámec (The Times of Israel). Výskumníci útok nepripísali žiadnej konkrétnej vláde. Podľa dostupných dôkazov nič neukazuje na Grécko ako operátora (Al Jazeera).

Práve tu je systémový problém. Infekcia sa dá dokázať. Pripísanie zodpovednosti si vyžaduje dôkazy, ktoré sa takmer nikdy neobjavia dobrovoľne: vládne objednávky, serverové záznamy alebo súdne povolenia, ktoré spravodajské služby nemusia poskytovať zahraničným výborom.

Španielsko a Maďarsko ukazujú, čo nasleduje po odhalení

Odvolací súd v Barcelone nedávno znovu otvoril prípad Pegasusu týkajúci sa katalánskych politikov. Nariadil nové žiadosti o informácie od španielskej spravodajskej služby po tom, ako sudca dva roky neposunul odvolanie (elDiario.es). Potvrdená infekcia, sporné pripísanie zodpovednosti, pomalé súdy.

Maďarsko ponúka inú lekciu. Vysokopostavený poslanec Fideszu verejne priznal, že štát Pegasus získal, a prípad vyšetroval úrad na ochranu údajov. Ten však dospel k záveru, že nezistil nezákonné konanie. Veľká časť jeho odôvodnenia zostáva utajená (Portfolio). Formálna kontrola bez verejnej transparentnosti prináša formálne uzavretie bez verejných odpovedí.

Oba prípady ukazujú to isté, čo Kouloglouova infekcia teraz odkrýva na úrovni EÚ: technická forenzná analýza funguje. Politická zodpovednosť za ňou zaostáva.

Nástroje existujú, jeden však chýba

Európsky parlament tvrdí, že europoslancom od roku 2022 ponúka podporu pri kontrole zariadení na spyvér (European Parliament via upday). EÚ prijala Akt o kybernetickej odolnosti, ktorý stanovuje bezpečnostné pravidlá pre pripojené výrobky, teda pravidlá, aby sa softvér a zariadenia ťažšie napádali (European Commission). Občianske organizácie zas tvrdia, že výrobcovia spyvéru by mali niesť firemnú zodpovednosť, keď sa ich nástroje použijú proti novinárom a zákonodarcom (Business & Human Rights Resource Centre).

Tieto nástroje riešia okraje problému. Kontrola zariadení je spätná: infekciu nájde až po útoku. Pravidlá bezpečnosti výrobkov sťažujú prenikanie do zariadení, no Pegasus nie je nehoda spôsobená zlým inžinierstvom. Je to cielené zneužitie nástroja oprávnenými kupujúcimi. Vývozné kontroly fungujú len vtedy, ak ich vyvážajúca krajina skutočne presadzuje. Nič z toho neukáže, kto zadal objednávku.

Kouloglouov právnik oznámil právne kroky v Grécku aj v zahraničí (in.gr). Europoslanci z viacerých politických skupín žiadajú záväzné pravidlá EÚ proti nezákonnému používaniu spyvéru (The Times of Israel).

Medzeru by uzavreli až nástroje s reálnou vynútiteľnosťou: nezávislé forenzné laboratóriá s cezhraničnou právomocou, transparentné pravidlá, ktoré prinútia výrobcov spyvéru viesť záznamy o tom, ktorá vláda kúpila ktorú licenciu, a justičná spolupráca, ktorá sa hýbe v mesiacoch, nie v rokoch. Kým niečo podobné nevznikne, vzorec sa bude opakovať. Vyšetrovateľ sa stane cieľom. A vyšetrovanie bude pokračovať bez istoty, kto ho pri tom číta.