Pegasus okužil preiskovalca EU

Stelios Kouloglou naj bi bil med tistimi, ki postavljajo vprašanja. Grški novinar, ki je postal evropski poslanec, je sedel v odboru PEGA, preiskovalnem odboru Evropskega parlamenta za zlorabe komercialne vohunske programske opreme proti državljanom EU. Odbor je lahko vabil uradnike, zahteval dokumente in pripravljal priporočila. Ni pa mogel prisiliti nacionalnih obveščevalnih služb k sodelovanju. Prav ta praznina je zdaj bistvo zadeve.

Po novem poročilu Citizen Laba so okoli oktobra 2022 v Koulogloujev iPhone tiho vdrli z orodjem, ki ga je sam preiskoval: Pegasusom izraelske družbe NSO Group (The Guardian, Le Monde). Okužba se je ponovila marca 2023, v času najintenzivnejšega pisanja poročila odbora. Vsaj en napad je bil izveden brez klika: programska oprema je izkoristila skrito ranljivost v Applovem sistemu, ki je podjetje še ni odkrilo in zakrpalo, zato uporabniku ni bilo treba pritisniti ničesar (The Straits Times).

Evropa pogosto zna dokazati, da je bil telefon okužen. Veliko težje pa dokaže, kdo je dal ukaz. Ta razkorak je jedro zgodbe.

Kaj okužen telefon pomeni za preiskovalni odbor

Šifrirano sporočanje si je najlažje predstavljati kot zapečateno ovojnico: aplikacije, kot je Signal, varujejo pismo med potjo. Pegasus ovojnice ne prestreza na poti. Vstopi v sobo, kjer se pismo bere, potem ko je že odprto (Indian Express). Ko je enkrat aktiven, lahko dostopa do sporočil, stikov in lokacijskih podatkov ter vklopi mikrofon ali kamero (Al Jazeera).

V obdobju okužbe je Kouloglou usklajeval delo odbora med Atenami in Brusljem, komuniciral s kolegi in viri ter ravnal z osnutki poročil (NDTV). Posledična veriga je jasna: če je telefon kompromitiran, so izpostavljeni seznami stikov; če so izpostavljeni stiki, je omrežje žvižgačev in prič vidno upravljavcu vohunskega orodja. Če so izpostavljeni osnutki poročil, lahko naročnik nadzora bere ugotovitve odbora, še preden so objavljene. Iz javno dostopnih poročil ni razvidno, kaj, če sploh kaj, so s telefona kopirali (The Guardian). Toda če organ, ki preiskuje vohunsko programsko opremo, ne more zavarovati naprav svojih članov, je njegova neodvisnost načeta pri temelju.

Citizen Lab je operacijo povezal s prej dokumentirano kampanjo Pegasusa proti rusko in belorusko govorečim novinarjem in aktivistom v izgnanstvu v Evropi, s čimer primer presega grški notranjepolitični okvir (The Times of Israel). Raziskovalci vdora niso pripisali nobeni konkretni vladi. Dokazov, da bi bil upravljavec Grčija, ni (Al Jazeera).

Tu je strukturna težava. Okužbo je mogoče dokazati. Pripis odgovornosti pa zahteva dokaze, ki skoraj nikoli ne pridejo na dan prostovoljno: državna naročila, strežniške dnevnike ali sodne odredbe, ki jih obveščevalne službe niso dolžne deliti s tujimi parlamentarnimi odbori.

Španija in Madžarska kažeta, kaj sledi po odkritju

Pritožbeno sodišče v Barceloni je nedavno znova odprlo primer Pegasusa proti katalonskim politikom in odredilo nove zahteve za informacije od španske obveščevalne službe, potem ko je sodnik dve leti zadrževal pritožbo (elDiario.es). Vzorec je znan: potrjena okužba, sporno pripisovanje odgovornosti, počasna sodišča.

Madžarska ponuja drugačen nauk. Visoki poslanec Fidesza je javno priznal, da je država kupila Pegasus, organ za varstvo podatkov pa je opravil preiskavo in sklenil, da nezakonitega ravnanja ni ugotovil. Velik del obrazložitve ostaja tajen (Portfolio). Formalni nadzor brez javne preglednosti prinese formalno zaprtje zadeve, ne pa javnih odgovorov.

Oba primera kažeta isto, kar Koulogloujeva okužba zdaj razkriva na ravni EU: tehnična forenzika deluje. Politična odgovornost ne.

Orodja obstajajo, manjka pa odločilno

Evropski parlament pravi, da od leta 2022 evropskim poslancem ponuja podporo pri preverjanju naprav za vohunsko programsko opremo (European Parliament via upday). EU je sprejela akt o kibernetski odpornosti, ki določa varnostne standarde za povezane izdelke, torej pravila, zaradi katerih naj bi bilo v programsko opremo in naprave težje vdreti (European Commission). Organizacije civilne družbe trdijo, da bi morali prodajalci vohunske programske opreme nositi tudi obveznosti odgovornega ravnanja podjetij, kadar se njihova orodja uporabljajo proti novinarjem in zakonodajalcem (Business & Human Rights Resource Centre).

Ta orodja popravljajo robove problema. Pregledi naprav so odzivni: okužbe odkrijejo za nazaj. Pravila o varnosti izdelkov naprave naredijo odpornejše, toda Pegasus ni posledica slabe programske zasnove. Je namerna zloraba orodja s strani pooblaščenih kupcev. Izvozni nadzor predpostavlja, da ga država izvoznica tudi uveljavlja. Noben od teh mehanizmov ne razkrije, kdo je naročil operacijo.

Koulogloujev odvetnik je napovedal pravne postopke v Grčiji in tujini (in.gr). Evropski poslanci iz več političnih skupin zahtevajo zavezujoče ukrepanje EU proti nezakoniti uporabi vohunske programske opreme (The Times of Israel).

Kaj bi razkorak dejansko zaprlo? Neodvisni forenzični laboratoriji s čezmejnimi pooblastili. Izvršljiva pravila preglednosti, ki bi prodajalce vohunske programske opreme prisilila k beleženju, katera vlada je kupila katero licenco. Pravosodno sodelovanje, ki bi teklo v mesecih, ne v letih. Dokler ne bo obstajala vsaj ena različica takšnega sistema, se bo vzorec ponavljal. Preiskovalec postane tarča, preiskava pa se nadaljuje, ne da bi vedela, kdo bere zraven.