Pegasus Project: nadzor telefona kao međunarodna tema

Projekt Pegasus bio je međunarodna novinarska istraga objavljena u srpnju 2021. godine. Koordinirala ju je organizacija Forbidden Stories, uz tehničku i forenzičku podršku Amnesty International Security Laba te suradnju novinara iz više redakcija. Istraga je ispitivala navode da je izraelska kompanija NSO Group svoj sustav Pegasus prodavala državnim institucijama koje su ga mogle koristiti za nadzor mobilnih telefona.

Pegasus je komercijalni špijunski program namijenjen uređajima s operacijskim sustavima iOS i Android. Ovisno o verziji i načinu napada, mogao je omogućiti pristup porukama, fotografijama, kontaktima, lokaciji i drugim podacima na telefonu. Neke verzije koristile su takozvane napade bez klika, kod kojih korisnik nije morao otvoriti poveznicu ili instalirati aplikaciju da bi uređaj bio ugrožen.

Kako je istraga započela

U središtu projekta nalazila se datoteka s približno 50.000 telefonskih brojeva. Prema Forbidden Stories i Amnesty Internationalu, brojevi su se pojavljivali u evidenciji povezanoj s potencijalnim interesom klijenata NSO Groupa. Novinari su zatim pokušavali utvrditi kome su brojevi pripadali, jesu li njihovi vlasnici javne osobe ili osobe od javnog interesa te postoje li na njihovim uređajima tehnički tragovi napada.

Sam popis nije bio popis potvrđenih žrtava. Pojavljivanje broja u datoteci nije dokaz da je uređaj bio zaražen, da je nadzor doista proveden ili da je određena država naredila napad. Ta je razlika ključna za razumijevanje rezultata projekta.

Forenzička metodologija

Amnesty International Security Lab razvio je postupke za pregled mobilnih uređaja i sigurnosnih kopija. Analitičari su tražili tragove koji mogu povezati uređaj s poznatom infrastrukturom Pegasusa, uključujući zapise u sustavu, neuobičajene procese, domene, ostatke datoteka i druge tehničke pokazatelje. Za uređaje kompanije Apple korišteni su i alati za analizu sigurnosnih kopija i dijagnostičkih podataka. Kod Android uređaja mogućnosti provjere često su bile ograničenije jer se relevantni podaci ne pohranjuju uvijek na isti način.

Forenzički pregled nije se oslanjao samo na izjave vlasnika telefona. Istraživači su uspoređivali pronađene tragove s poznatim obrascima napada i infrastrukturom koja se u ranijim analizama povezivala s Pegasusom. U nekim slučajevima pronađeni su tragovi uspješne infekcije, dok su drugi nalazi upućivali na pokušaj napada ili neuobičajenu aktivnost bez dovoljne potvrde da je uređaj bio kompromitiran.

Novinarske redakcije istodobno su provjeravale identitet osoba povezanih s brojevima, njihovu javnu ulogu i politički kontekst. U projektu su se pojavili novinari, aktivisti za ljudska prava, odvjetnici, političari, diplomati i drugi pojedinci iz različitih država. Te su provjere služile kao dodatni kontekst, ali nisu same po sebi dokaz tehničkog nadzora.

Što je projekt objavio

Objavljeni nalazi ukazali su na široku i međunarodnu upotrebu alata za nadzor. Istraživači su izvijestili o brojevima povezanim s više država i o uređajima na kojima su pronađeni tragovi kompatibilni s Pegasusom. Među identificiranim osobama bili su i novinari te branitelji ljudskih prava, što je otvorilo pitanja o zloupotrebi tehnologije protiv ljudi koji nisu predstavljali dokazanu prijetnju javnoj sigurnosti.

Projekt je također pokazao kako digitalni nadzor može prijeći granice države koja ga provodi. Telefonski broj može pripadati osobi koja putuje, radi u međunarodnoj organizaciji ili komunicira s izvorima u drugoj zemlji. Zbog toga se pitanje Pegasusa nije odnosilo samo na pojedinačne vlade, nego i na prekograničnu zaštitu novinarskih izvora, odvjetničke povjerljivosti i privatnosti građana u Europi.

Najvažnija metodološka poruka projekta bila je da se popis telefonskih brojeva ne smije izjednačiti s popisom potvrđenih infekcija.

Ograničenja podataka i zaključaka

• Popis nije potpun prikaz svih nadziranih osoba. Istraživači nisu mogli znati koliko je brojeva izostavljeno niti kako je točno popis sastavljen.
• Broj na popisu nije dokaz zaraze. Za takav zaključak bili su potrebni dodatni tehnički nalazi s konkretnog uređaja ili sigurnosne kopije.
• Forenzički tragovi mogu nestati. Ažuriranje, ponovno pokretanje, brisanje podataka ili zamjena telefona mogu ukloniti dio dokaza.
• Pristup uređajima nije uvijek bio moguć. Istraživači nisu mogli pregledati svaki telefon povezan s popisom, pa su rezultati bili ograničeni dostupnim uzorcima.
• Razlike između operacijskih sustava otežavaju usporedbu. iOS i Android ne bilježe aktivnosti na isti način, a mogućnost naknadne analize ovisi o modelu, verziji sustava i stanju uređaja.
• Tehnički nalaz ne utvrđuje automatski identitet naručitelja. Povezivanje napada s određenom državom zahtijeva dodatne dokaze o korištenju infrastrukture, ugovorima, pristupu sustavu i konkretnim operacijama.

Ograničenja nisu poništila nalaze, ali su određivala koliko snažno se pojedini zaključak mogao iznijeti. U odgovornom izvještavanju trebalo je jasno razlikovati tri tvrdnje: da se broj pojavio u procurjelim podacima, da je uređaj pokazao znakove pokušaja napada i da je uređaj forenzički potvrđeno kompromitiran.

Odgovori kompanije i vlada

NSO Group odbacio je tvrdnje da je Pegasus korišten za masovni nadzor i naglašavao da se njegov softver prodaje državnim sigurnosnim i pravosudnim tijelima radi istraga ozbiljnih kaznenih djela i terorizma. Kompanija je također osporavala tumačenje procurjelog popisa i isticala da prisutnost broja ne dokazuje da je osoba bila nadzirana.

Vladini odgovori razlikovali su se od države do države. Neke su vlasti negirale korištenje Pegasusa ili nadzor konkretnih osoba, dok su druge najavljivale provjere. Novinarska istraga sama po sebi nije mogla zamijeniti neovisnu državnu, parlamentarnu ili sudsku istragu. Za utvrđivanje odgovornosti potrebni su pristup ugovorima, evidencijama korištenja, tehničkim logovima i drugim dokazima koji javnosti često nisu dostupni.

Zašto je slučaj važan za Europu

Pegasus Project potaknuo je raspravu o granicama državnog nadzora, izvozu tehnologije za praćenje i zaštiti temeljnih prava. Posebno se postavilo pitanje može li se invazivan alat koristiti protiv novinara, oporbenih političara ili aktivista bez učinkovite sudske kontrole i bez mogućnosti pravne zaštite.

Za novinarstvo je slučaj važan i zbog zaštite izvora. Ako napadač može pristupiti telefonu, može pokušati otkriti identitet povjerljivih sugovornika, nacrte tekstova, bilješke i komunikaciju s uredništvom. Zbog toga digitalna sigurnost nije samo tehničko pitanje, nego i dio zaštite slobode medija.

Europska javna rasprava nakon objave projekta uključivala je pozive na snažniji nadzor izvoza, jasnija pravila za korištenje špijunskog softvera, neovisne istrage i učinkovite pravne lijekove za osobe koje su možda bile nezakonito nadzirane. Međutim, pojedinačne političke mjere i sudski postupci moraju se ocjenjivati odvojeno od novinarskih nalaza.

Kako čitati izvještaje o digitalnom nadzoru

Čitatelji bi trebali obratiti pozornost na to govori li se o potvrđenoj infekciji, pokušaju napada ili samo o prisutnosti telefonskog broja u podacima. Također je važno provjeriti tko je proveo tehničku analizu, koji su podaci bili dostupni, jesu li nalazi neovisno potvrđeni i razlikuje li se u tekstu činjenica od pretpostavke.

U slučaju Pegasus Projecta, kombinacija procurjelih podataka, novinarskih provjera i forenzičke analize pružila je snažan temelj za javnu raspravu. Ipak, rezultati nisu predstavljali konačan popis svih nadziranih osoba niti su automatski dokazivali odgovornost svake institucije povezane s određenim brojem. Upravo je jasno navođenje tih ograničenja nužno za vjerodostojno izvještavanje o digitalnom nadzoru.

Izvori i autorstvo istraživanja

Ovaj sažetak temelji se na javno objavljenim metodološkim i istraživačkim materijalima organizacije Forbidden Stories i Amnesty International Security Laba, kao i na izvještajima partnerskih redakcija uključenih u Pegasus Project 2021. godine. Za razumijevanje tehničkih nalaza važno je čitati izvorne forenzičke opise zajedno s novinarskim tekstovima koji objašnjavaju identifikaciju osoba, vremenski okvir i ograničenja dostupnih podataka.

Napomena uredništva: Ovaj pregled sažima javno poznato istraživanje i upućuje na izvorno novinarsko djelo. Ne iznosi nove optužbe.