Pegasus Project: globalna istraga nadzorne tehnologije

Pegasus Project bio je međunarodni novinarski projekt objavljen u srpnju 2021. godine. Istraživanje je koordinirala neprofitna organizacija Forbidden Stories, uz tehničku i forenzičku podršku Security Laba Amnesty Internationala te suradnju novinara iz više međunarodnih i nacionalnih redakcija.

U središtu projekta nalazila se baza s više od 50.000 telefonskih brojeva koje su, prema dostupnim podacima, odabrali ili pretraživali klijenti izraelske tvrtke NSO Group. Samo postojanje broja na tom popisu nije dokaz da je uređaj bio zaražen, da je nadzor doista proveden ili da je određena osoba bila meta nezakonitog postupanja.

Kako je projekt pokrenut

Forbidden Stories došao je do podataka i podijelio ih s partnerskim redakcijama. Organizacija je poznata po radu na nastavku istraga koje su ugroženi ili ubijeni novinari morali prekinuti. U projektu Pegasus sudjelovali su, među ostalima, The Guardian, The Washington Post, Le Monde, Süddeutsche Zeitung, Die Zeit, OCCRP, Haaretz i mađarski Direkt36.

Novinari su uspoređivali zapise iz baze s javno dostupnim informacijama o političarima, aktivistima, odvjetnicima, diplomatima, istraživačkim novinarima i drugim osobama. Takva podudaranja bila su početna istraživačka indicija, a ne konačan dokaz nadzora.

Što je Pegasus

Pegasus je komercijalni sustav za nadzor mobilnih uređaja koji je razvila NSO Group. Prema javno opisanim tehničkim analizama, alat može omogućiti pristup sadržaju i funkcijama telefona, uključujući komunikacije, datoteke, mikrofon i kameru. Način rada ovisi o verziji programa, operacijskom sustavu i konkretnom uređaju.

Starije verzije napada često su se oslanjale na interakciju korisnika, primjerice otvaranje zlonamjerne poveznice. Kasnije su dokumentirani pokušaji takozvanih napada bez klika, kod kojih korisnik ne mora otvoriti poruku ili poveznicu. To ne znači da je svaki telefon s broja na popisu bio uspješno kompromitiran.

Popis brojeva nije popis potvrđenih žrtava

Jedna od najvažnijih metodoloških razlika u izvještavanju o Pegasus Projectu jest razlika između broja koji se nalazi u procurjelom zapisu i uređaja na kojem su pronađeni forenzički tragovi.

• Odabir broja: broj može pokazivati da je bio zanimljiv nekom korisniku sustava ili da je unesen u alat, ali sam po sebi ne objašnjava zašto je odabran ni što se nakon toga dogodilo.
• Pokušaj napada: tehnički trag može upućivati na pokušaj dostave ili iskorištavanja ranjivosti, ali pokušaj nije isto što i uspješna infekcija.
• Forenzička potvrda: stručnjaci traže zapise, datoteke, procese i druge artefakte koji su u skladu s radom Pegasusa. Takav nalaz ima veću dokaznu vrijednost, ali njegovo tumačenje i dalje ovisi o stanju uređaja i dostupnosti podataka.

Security Lab Amnesty Internationala razvio je Mobile Verification Toolkit, poznat kao MVT, kako bi istraživačima pomogao u analizi kompatibilnih uređaja. Analize objavljene u sklopu projekta pronašle su tragove povezane s Pegasusom na dijelu pregledanih telefona. U javnim izvještajima navodilo se da je od nekoliko desetaka forenzički pregledanih uređaja njih 37 pokazivalo znakove povezane s pokušajem ili uporabom špijunskog softvera, dok je na dijelu uređaja infekcija bila potvrđena. Ti se rezultati ne smiju automatski proširiti na svih 50.000 brojeva.

Broj na popisu može biti važna istraživačka indicija, ali nije samostalni dokaz infekcije, nadzora ili odgovornosti određene institucije.

Uloga Amnesty Internationala

Security Lab Amnesty Internationala imao je tehničku ulogu u projektu. Njegovi su stručnjaci analizirali mobilne telefone i sigurnosne kopije, proučavali tragove u operacijskim sustavima te objavili metodološke nalaze i alat za provjeru uređaja.

Forenzička analiza mobilnih uređaja složena je jer se tragovi mogu izbrisati, promijeniti ažuriranjem sustava ili izgubiti nakon vraćanja uređaja na tvorničke postavke. Zbog toga odsutnost traga ne dokazuje nužno da nadzora nije bilo. Jednako tako, pojedinačni tehnički zapis mora se tumačiti u kontekstu i ne bi ga trebalo predstavljati kao konačan dokaz bez dodatne provjere.

Što su pokazala novinarska izvješća

Partnerske redakcije izvijestile su o brojevima povezanim s osobama iz politike, diplomacije, civilnog društva, pravosuđa i medija u više država. U nekim su slučajevima novinari pronašli i forenzičke tragove na uređajima, dok su u drugim slučajevima postojali samo zapisi na popisu ili neizravne okolnosti.

Takva razlika posebno je važna kod javnih osoba. Činjenica da se broj nalazi u bazi ne dokazuje da je osoba bila nezakonito nadzirana, da je određena vlada naredila praćenje ili da je NSO Group znala za svaku pojedinačnu uporabu sustava. Za svaku takvu tvrdnju potrebni su dodatni dokumenti, tehnički nalazi i odgovor relevantnih institucija.

Projekt je također pokazao koliko je teško nadzirati tržište sofisticiranih alata za digitalno praćenje. Softver može biti predstavljen kao sredstvo za borbu protiv terorizma i teškog kriminala, ali njegova uporaba protiv novinara, odvjetnika, oporbenih političara ili aktivista otvara ozbiljna pitanja o proporcionalnosti, zakonitosti i demokratskom nadzoru.

Odgovor NSO Groupa

NSO Group odbacila je ključne zaključke projekta i tvrdila da se analiza temelji na pogrešnom tumačenju podataka. Tvrtka je navela da njezin softver licencira državnim tijelima za istrage terorizma i teških kaznenih djela, uz postupke provjere klijenata i ugovorna ograničenja uporabe.

NSO Group također je tvrdila da procurjeli popis nije popis meta njezina sustava, da brojevi mogu biti povezani s drugim alatima ili neuspješnim pretragama te da tvrtka nema nadzor nad načinom na koji klijenti upotrebljavaju tehnologiju nakon isporuke. U javnim odgovorima naglašavala je da ne upravlja samim nadzorom i da ne identificira krajnje mete svojih klijenata.

Novinarski konzorcij i Amnesty International osporili su dio tih objašnjenja pozivajući se na podudarnosti između podataka iz baze i forenzičkih tragova na pojedinim uređajima. Ipak, ni takva podudarnost ne daje automatski odgovor na sva pitanja: tko je naredio nadzor, koja je bila pravna osnova i je li postupanje bilo zakonito, mora se utvrđivati zasebno za svaki slučaj.

Zašto je istraga važna za Europu

Pegasus Project potaknuo je raspravu o izvozu nadzornih tehnologija, odgovornosti proizvođača i kontroli državnih sigurnosnih službi. Europske institucije i nacionalna tijela nakon objave projekta razmatrala su potrebu za snažnijim pravilima, neovisnim istragama i učinkovitijim parlamentarnim nadzorom.

Za novinare i njihove izvore digitalna sigurnost postala je pitanje zaštite slobode medija. Kompromitiran telefon može otkriti kontakte, lokacije, bilješke, fotografije i komunikaciju s izvorima. Posljedice se zato ne odnose samo na vlasnika uređaja, nego i na osobe koje s njim surađuju.

U Hrvatskoj i drugim državama članicama Europske unije procjena mogućeg nadzora mora uzeti u obzir nacionalne zakone, pravila o zaštiti osobnih podataka, zaštitu novinarskih izvora i standarde Europskog suda za ljudska prava. Javna optužba ne može zamijeniti neovisnu istragu, a interes javnosti ne ukida obvezu poštovanja prava pojedinaca.

Kako odgovorno čitati rezultate

• Provjerite razlikuje li izvještaj procurjeli popis od forenzički potvrđene infekcije.
• Obratite pozornost na to tko je proveo tehničku analizu i koja je metoda korištena.
• Razlikujte činjenice, stručne procjene i navode zainteresiranih strana.
• Ne zaključujte da je određena vlada odgovorna bez dokumenata ili drugih neovisnih dokaza.
• Uzmite u obzir da se digitalni tragovi mogu izgubiti, promijeniti ili pogrešno protumačiti.

Izvori i metodologija

Ovaj pregled temelji se na javno objavljenim materijalima Pegasus Projecta, izvještajima Forbidden Storiesa, tehničkim analizama Security Laba Amnesty Internationala, dokumentaciji Mobile Verification Toolkita, izvještajima partnerskih redakcija te javnim odgovorima NSO Groupa. Ti izvori ne daju jednaku razinu dokaza za svaki pojedinačni slučaj, pa su u tekstu odvojene potvrđene tehničke činjenice od indicija i tvrdnji koje su predmet spora.

Pegasus Project ostaje važan primjer suradničkog istraživačkog novinarstva, ali i podsjetnik na granice interpretacije velikih procurjelih baza podataka. Najpouzdaniji zaključci nastaju tek kada se dokumenti, novinarski rad, tehnička forenzika i odgovori svih relevantnih strana razmatraju zajedno.