Politiko, kuris tyrė piktnaudžiavimą šnipinėjimo programomis, į jo telefoną buvo įsilaužta Pegasus šnipinėjimo programa

Saugumo tyrinėtojai patvirtino, kad Europos politiko telefonas buvo įsilaužęs su šnipinėjimo programa „Pegasus“, kai jis dirbo tyrimo komitete, tiriančiame piktnaudžiavimą liūdnai pagarsėjusiu sekimo įrankiu. Tai sukėlė naujų ginčų dėl vyriausybių, kurios piktnaudžiauja šnipinėjimo programomis, siekdamos rinkti informaciją apie savo kritikus.

Toronto universiteto skaitmeninių teisių skyriaus „The Citizen Lab“ tyrėjai teigia, kad patvirtintas graikų žurnalisto ir buvusio politiko Stelioso Kouloglou telefono įsilaužimas 2022 ir 2023 m. yra pirmas kartas, kai Europos Parlamento PEGA komiteto narys, kuriam pavesta tirti Europos vyriausybių telefonų šnipinėjimo programų atakas, buvo viešai pripažintas šnipinėjimo programų auka.

Kouloglou telefonu TechCrunch pasakė, kad tyčinis jo telefono kompromisas buvo „neapgalvotas“. Vienas Europos įstatymų leidėjas įsilaužimą į Kouloglou telefoną apibūdino kaip „tiesioginį išpuolį prieš teisinę valstybę“ ir paragino Europos Komisiją imtis konkrečių veiksmų nustatant griežtus šnipinėjimo programų naudojimo apribojimus 27 valstybių narių bloke.

Nors šnipinėjimo programų atakos prieš įstatymų leidėjus yra retos, komiteto tyrėjo laikas ir taikymas naudojant pačią jo tiriamą šnipinėjimo programą rodo, kad daug dėmesio reikia skirti komiteto vidiniam darbui prieš plačiai laukiamą ataskaitą, kurioje išsamiai aprašomos jo išvados. Įsilaužimai atveria naujų klausimų apie tai, kaip vyriausybės naudoja šnipinėjimo programas, kurios neva reikalingos sunkiems nusikaltimams nustatyti, tačiau vėliau buvo sučiuptos šnipinėjant žurnalistų, įstatymų leidėjų ir kritikų ryšius.

„Citizen Lab“ mokslininkai telefono įsilaužimo nepriskyrė konkrečiai šaliai, tačiau teigė, kad vyriausybės klientas naudojo tą patį „Pegasus“ įkeltą el. pašto adresą, kuris buvo naudojamas ankstesnėje kampanijoje, kuri įsilaužė į žurnalistų telefonus visoje Europoje. Kliento tapatybė nežinoma, tačiau pakartotinis to paties atakuojančio el. pašto adreso naudojimas reiškia, kad klientas turėjo NSO grupės leidimą naudoti savo Pegasus šnipinėjimo programinę įrangą, kad galėtų šnipinėti telefonus keliose Europos šalyse.

Europos Komisijos atstovas spaudai neatsakė į „TechCrunch“ prašymą pakomentuoti. „NSO Group“ taip pat neatsakė į prašymą pakomentuoti „Citizen Lab“ ataskaitą prieš paskelbimą.

Penktadienį paskelbtoje ataskaitoje „Citizen Lab“ teigė, kad į Kouloglou buvo įsilaužta 2022 m. spalį ir mažiausiai du kartus per 2023 m. kovą naudojant išnaudojimą, kuris pakenkė „Apple“ „iPhone“ programinės įrangos saugos pažeidžiamumui. Šis pažeidžiamumas buvo pataisytas, tačiau pataisymas dar nebuvo įdiegtas Kouloglou telefone. Išnaudojimas buvo „nulio paspaudimo“ klaida, o tai reiškia, kad šnipinėjimo programa įsilaužė ir pavogė jo duomenis, nereikalaujant jokios jo sąveikos.

Ši klaida piktnaudžiavo anksčiau aptiktu „Apple“ išmaniųjų namų programinės įrangos trūkumu, naudojamu „iPhone“. Tai leido šnipinėjimo programoms be jo žinios paimti privačius duomenis iš Kouloglou telefono, pavyzdžiui, jo tekstinius pranešimus ir kitą susirašinėjimą, vietos duomenis ir nuotraukas.

2022 m. spalio mėn. įsilaužimo laikas sutampa su intensyviomis diskusijomis el. paštu ir trumposiomis žinutėmis 2022 m. spalį ir lapkritį, prieš pateikiant pirmąjį juodraštį, aprašantį piktnaudžiavimą šnipinėjimo programomis, daugiausia dėmesio skiriant Kipre, Graikijoje, Vengrijoje, Lenkijoje ir Ispanijoje.

Įsilaužimas taip pat įvyksta tiksliai tuo metu, kai Kouloglou tuo metu buvo ligoninėje, kad būtų atlikta iš anksto suplanuota operacija, dėl kurios šnipinėjimo programų operatoriai galėjo klausytis aplinkos garso, aptariančio jo sveikatos priežiūrą ar kitus pokalbius su lankytojais tuo metu.

Po kelių mėnesių, kovo 6 ir 7 d., „Citizen Lab“ pranešė, kad į Kouloglou telefoną vėl įsilaužė tas pats „Pegasus“ operatorius, o Kouloglou keliavo iš Atėnų į Briuselį komiteto klausymų metu ir likus mėnesiams iki komiteto užbaigimo ir rašytinio pranešimo projekto priėmimo.

Skambučio metu Kouloglou sakė „TechCrunch“, kad jis nežino, kodėl jis buvo konkrečiai nukreiptas, bet mano, kad tai buvo dėl jo darbo Europos Parlamento komitete, tiriančiame Pegasus piktnaudžiavimą.

Jis apibūdino pyktį, kai sužinojo, kad į jo telefoną buvo įsilaužta.

„Jūs suprantate, kad visi jūsų asmeniniai duomenys (buvo paimti) – ne visi profesiniai mainai ar žinutės su ministrais, bet ir labai privatūs dalykai, pavyzdžiui, laimingos ir liūdnos akimirkos“, – sakė jis „TechCrunch“.

Kouloglou sakė ketinantis paduoti į teismą NSO Group, Izraelyje įsikūrusią šnipinėjimo programų gamintoją. NSO tebėra uždrausta naudoti Jungtinėse Valstijose po Bideno laikų vykdomojo įsakymo, kuriuo buvo uždrausta vyriausybės naudoti šnipinėjimo programas, galinčias pažeisti žmonių žmogaus teises.

Praėjusiais metais šnipinėjimo programų gamintojas patvirtino, kad neįvardyta amerikiečių investicijų grupė į bendrovę nukreipė dešimtis milijonų dolerių, greičiausiai siekdama atkurti NSO apimtą prekės ženklą, susijusį su žmogaus teisių pažeidimais.

Kouloglou sakė, kad viešai skelbia savo istoriją „už demokratiją, žmogaus teises ir kovą su korupcija“.

„Korupcija rūpi visiems“, – sakė jis.