Безпекові дослідники підтвердили факт несанкціонованого доступу до телефону європейського політика за допомогою шпигунського програмного забезпечення Pegasus. Цей інцидент стався тоді, коли зазначена особа була членом слідчого комітету, що займався розслідуванням зловживань цим же інструментом для спостереження. Це підтвердження знову спричинило суперечки щодо випадків неправомірного використання урядами шпигунського програмного забезпечення з метою збору інформації про своїх критиків та опонентів у суспільстві.
Фахівці з цифрових прав The Citizen Lab, що функціонує при Університеті Торонто, заявили про підтверджений злом телефону грецького журналіста та колишнього політика Стеліоса Кулоглу протягом 2022 та 2023 років. Цей випадок вперше публічно ідентифікує члена комітету PEGA Європейського парламенту, відповідального за розслідування атак шпигунського програмного забезпечення з боку європейських урядів, як жертву такого роду інциденту.
Кулоглу під час телефонної розмови з TechCrunch назвав цілеспрямоване зламування свого телефону «безрозсудним» актом. Один діючий європейський законодавець охарактеризував зламування телефону Кулоглу як «прямий напад на верховенство права». Він закликав Європейську комісію вжити конкретних заходів шляхом встановлення суворих обмежень на використання шпигунського програмного забезпечення в усіх 27 державах-членах блоку, запобігаючи подібним інцидентам.
Хоча атаки шпигунського програмного забезпечення на законодавців є рідкісними, вибір часу та цілеспрямованість атаки на слідчого члена комітету, що розслідує саме це програмне забезпечення, вказує на інтенсивну увагу до внутрішньої роботи комітету. Це сталося напередодні очікуваного звіту з детальним описом його висновків.
Подібні зломи піднімають нові питання щодо використання урядами шпигунських інструментів. Вони нібито необхідні для виявлення серйозних злочинів, проте потім виявляється, що їх застосовують для стеження за комунікаціями журналістів, законодавців та критиків. Це створює прецеденти, що суперечать заявленим цілям застосування таких технологій.
Дослідники Citizen Lab не приписали злом телефону конкретній країні. Вони вказали, що державний замовник використовував ту ж електронну адресу, завантажену Pegasus, яка застосовувалася у попередній кампанії для зламування телефонів журналістів по всій Європі. Особа замовника невідома. Проте повторне використання цієї атакуючої електронної адреси свідчить про авторизацію від NSO Group на застосування Pegasus для стеження за пристроями в кількох європейських країнах.
Представник Європейської комісії не надав відповіді на запит TechCrunch щодо коментарів стосовно інциденту. Компанія NSO Group також не відповіла на запит щодо коментарів про звіт Citizen Lab до його публікації. Відсутність реакції з боку зазначених організацій ускладнює отримання повної картини події та її наслідків, залишаючи багато питань без відповіді для громадськості та експертів.
У своєму звіті, опублікованому у п’ятницю, Citizen Lab повідомила про злом телефону Кулоглу у жовтні 2022 року та щонайменше двічі протягом березня 2023 року. Для цього використано експлойт, що компрометував вразливість безпеки в програмному забезпеченні Apple iPhone. Ця вразливість була виправлена, але виправлення ще не було встановлено на телефоні Кулоглу. Експлойт являв собою «zero-click» баг, тобто шпигунське програмне забезпечення викрало дані без жодних дій з боку користувача.
Згаданий баг експлуатував раніше виявлену ваду у програмному забезпеченні Apple для «розумного дому», що використовується в iPhone. Це дозволило шпигунському програмному забезпеченню отримувати приватні дані з телефону Кулоглу без його відома. Серед викрадених даних були текстові повідомлення, інша кореспонденція, дані про місцезнаходження та фотографії. Такий доступ до особистої інформації може мати значні наслідки для приватності та безпеки особи.
Період зламування у жовтні 2022 року збігається з інтенсивними обговореннями через електронну пошту та текстові повідомлення, що тривали протягом жовтня та листопада 2022 року. Ці дискусії відбувалися напередодні надання першого чернеткового звіту, який описував зловживання шпигунським програмним забезпеченням. Звіт зосереджувався на випадках, що стосувалися Кіпру, Греції, Угорщини, Польщі та Іспанії, де були зафіксовані аналогічні інциденти.
Злом також збігається з точним часом, коли Кулоглу перебував у лікарні для заздалегідь запланованої операції. Це могло дозволити операторам шпигунського програмного забезпечення прослуховувати фонові аудіозаписи, де обговорювалося його медичне обслуговування або інші розмови, які він мав з відвідувачами у той період. Така ситуація підкреслює високий ступінь втручання та потенційного порушення приватності у найуразливіші моменти життя людини.
Через кілька місяців, 6 та 7 березня, Citizen Lab зафіксувала повторний злом телефону Кулоглу тим самим оператором Pegasus. Це сталося під час його поїздки з Афін до Брюсселя. Злом відбувся у період слухань комітету та за кілька місяців до остаточного узгодження та затвердження письмового проекту звіту комітету. Така синхронізація свідчить про системний характер і цілеспрямованість атаки, спрямованої на отримання інформації про роботу слідчої групи.
Під час розмови Кулоглу повідомив TechCrunch, що не знає конкретної причини свого цілеспрямованого переслідування. Проте він вважає, що це пов’язано з його роботою в комітеті Європейського парламенту, який розслідує зловживання програмним забезпеченням Pegasus. Він описав сильний гнів, який відчув, дізнавшись про факт зламу свого телефону. Це підкреслює особистий вплив інциденту на осіб, які виконують важливі публічні функції.
«Ви розумієте, що всі ваші особисті дані – не лише професійні обміни чи повідомлення з міністрами, але й дуже приватні речі, такі як щасливі та сумні моменти», – сказав Кулоглу виданню TechCrunch. Це підкреслює глибоке вторгнення в особисте життя. Злом програмного забезпечення торкнувся інтимних аспектів існування людини, що має значні психологічні та емоційні наслідки для жертви кіберзлочину.
Кулоглу заявив про намір подати позов до суду на NSO Group, ізраїльського виробника шпигунського програмного забезпечення. NSO значною мірою залишається під забороною для використання в Сполучених Штатах Америки згідно з указом президента Байдена, який заборонив урядове використання шпигунського ПЗ, що може порушувати права людини. Ця заборона відображає міжнародне занепокоєння щодо етичності застосування таких технологій.
Минулого року NSO Group підтвердила, що неназвана американська інвестиційна група вклала десятки мільйонів доларів у компанію. Ймовірно, це було частиною зусиль з відновлення заплямованого бренду NSO, який асоціюється зі сприянням порушенням прав людини. Такі інвестиції можуть вказувати на прагнення компанії змінити свій публічний імідж та розширити коло партнерів, незважаючи на існуючі проблеми.
Кулоглу заявив, що він оприлюднює свою історію «за демократію, права людини та боротьбу з корупцією». Він додав, що «корупція стосується кожного». Це підкреслює його мотивацію не лише як жертви, а як активного борця за суспільні цінності. Публічне розголошення такого інциденту має на меті привернути увагу до системних проблем, пов’язаних із зловживанням технологіями спостереження на міжнародному рівні.
