Pegasus Project: forenzička provjera i nadzor mobilnih uređaja

Pegasus Project bio je međunarodni novinarski projekt objavljen u srpnju 2021., koji su koordinirali Forbidden Stories i Amnesty International uz sudjelovanje više od 80 novinara i brojnih medijskih organizacija iz različitih zemalja. Istraživanje je proučavalo procurjelu bazu s više od 50.000 telefonskih brojeva za koje se vjerovalo da su ih odabrali klijenti izraelske tvrtke NSO Group, proizvođača špijunskog softvera Pegasus.

Projekt je privukao pozornost jer je Pegasus namijenjen tajnom nadzoru mobilnih uređaja. Kada je uspješno instaliran, napadaču može omogućiti pristup komunikacijama, fotografijama, lokaciji, mikrofonu i drugim podacima na telefonu. Ipak, samo pojavljivanje telefonskog broja u procurjeloj listi nije dokaz da je uređaj bio zaražen niti da je nadzor doista proveden.

Što je procurjela lista pokazivala

Lista analizirana u okviru Pegasus Projecta sadržavala je telefonske brojeve koji su, prema nalazima projekta, mogli biti odabrani za potencijalni nadzor. Među njima su se nalazili brojevi novinara, aktivista za ljudska prava, političara, državnih dužnosnika, odvjetnika i poslovnih ljudi.

Podrijetlo liste i način na koji je nastala nisu u cijelosti javno razjašnjeni. Njezino postojanje može ukazivati na interes neke državne institucije ili drugog korisnika nadzorne tehnologije, ali samo po sebi ne potvrđuje da je Pegasus korišten protiv svake osobe čiji se broj na njoj nalazi.

Telefonski broj na listi predstavlja trag za daljnju provjeru, a ne konačan dokaz infekcije ili nadzora.

Tri različite razine dokaza

Jedan od najvažnijih doprinosa projekta bio je u razlikovanju podataka iz procurjele liste od rezultata forenzičke analize uređaja.

• Pojavljivanje broja na listi znači da je određeni broj pronađen u procurjelim podacima. To može upućivati na izbor za potencijalno praćenje, ali ne dokazuje da je na telefonu bio instaliran Pegasus.
• Forenzički tragovi su tehnički zapisi pronađeni u analiziranom uređaju, primjerice ostaci pokušaja iskorištavanja ranjivosti, neobični procesi, zapisi u sustavu ili vremenski obrasci povezani s poznatim infrastrukturnim elementima Pegasusa. Takvi tragovi mogu pokazati pokušaj napada ili aktivnost povezanog alata, ali njihovo značenje mora se procjenjivati u kontekstu.
• Potvrđena infekcija znači da je forenzička analiza pružila dovoljno tehničkih dokaza da je Pegasus bio uspješno instaliran ili pokrenut na određenom uređaju. To je znatno jači zaključak od samog pojavljivanja broja na listi.

Amnesty International Security Lab razvio je metodologiju i alate za forenzičku analizu uređaja. U javno opisanoj provjeri analizirano je 67 telefona. Za dio uređaja pronađeni su tragovi povezani s Pegasusom ili pokušajima napada, dok na drugim pregledanim uređajima takvi tragovi nisu pronađeni. Rezultati su zato govorili o potvrđenim infekcijama i pokušajima napada na pojedinim uređajima, a ne o tome da su svi brojevi s liste bili nadzirani.

Tehnički nalazi Amnesty Internationala

Amnestyjev Security Lab izvijestio je o tragovima koji su uključivali zapise u operacijskim sustavima i obrasce aktivnosti povezane s poznatim domenama, poslužiteljima i načinima isporuke Pegasusa. Kod pojedinih iPhone uređaja analiza je obuhvatila zapise koji mogu ostati u sustavu nakon iskorištavanja ranjivosti. Za Android uređaje dostupnost tragova ovisila je o modelu telefona, verziji sustava i količini sačuvanih dijagnostičkih podataka.

Važno je da forenzička analiza nije uvijek mogla utvrditi cijeli lanac događaja. U nekim slučajevima bilo je moguće zaključiti da je postojao pokušaj kompromitacije, ali ne i da je instalacija uspješno završena. U drugim slučajevima pronađeni su jasniji tragovi rada špijunskog softvera. Zaključci su se zato temeljili na konkretnim tehničkim indikatorima, a ne samo na identitetu osobe ili političkom kontekstu.

Novinari i javne osobe među potencijalnim metama

Medijski partneri Pegasus Projecta identificirali su brojeve povezane s novinarima, urednicima, aktivistima, oporbenim političarima i državnim dužnosnicima. U izvještajima su se pojavila imena iz više država, uključujući osobe koje su istraživale korupciju, sigurnosne službe, poslovne interese i zlouporabu vlasti.

Među javno dokumentiranim slučajevima bili su francuski novinar Edwy Plenel i novinarka Lénaïg Bredoux, čije je uređaje Amnesty International forenzički analizirao i objavio nalaze o tragovima Pegasusa. Istraživanje je također izvijestilo o brojevima povezanima s novinarima i suradnicima mađarskog portala Direkt36. U Meksiku su medijski partneri pisali o velikom broju potencijalno odabranih brojeva, dok su u drugim državama analizirani slučajevi povezani s političarima i aktivistima.

Prisustvo broja u tim izvještajima nije u svim slučajevima imalo istu dokaznu vrijednost. Neki su slučajevi uključivali forenzičku potvrdu, neki samo podatak iz liste, a neki kombinaciju javno dostupnih informacija i tehničkih nalaza. Odgovorno izvještavanje mora jasno navesti koja je od tih razina dokaza dostupna.

Uloga medijskih partnera

U projektu su sudjelovale organizacije Forbidden Stories i Amnesty International, kao i međunarodni medijski partneri poput The Guardiana, The Washington Posta, Le Mondea, Süddeutsche Zeitunga, Die Zeita, Ha’areca, OCCRP-a i drugih redakcija. Svaka je redakcija provjeravala slučajeve relevantne za vlastitu zemlju ili područje rada, uz oslanjanje na zajedničke tehničke i metodološke materijale.

Suradnički model omogućio je usporedbu podataka iz različitih država i prepoznavanje obrazaca koji bi pojedinačnoj redakciji mogli ostati nevidljivi. Istodobno, nacionalni izvještaji razlikovali su se po dostupnosti uređaja za pregled, kvaliteti podataka i mogućnosti da se od potencijalnog korisnika zatraži odgovor.

Što je odgovorila NSO Group

NSO Group odbacio je ključne zaključke projekta. Tvrtka je navela da procurjela lista nije popis meta Pegasusa i da se iz samog telefonskog broja ne može zaključiti je li određeni uređaj bio nadziran. Prema stajalištu tvrtke, podatke je mogla sastaviti ili koristiti neka druga služba, a njihovo povezivanje s Pegasusom nije bilo dokazano za svaki navedeni broj.

NSO Group također je tvrdio da Pegasus prodaje samo državnim tijelima radi istraga teških kaznenih djela i terorizma, uz ugovorne uvjete i nadzor korisnika. Tvrtka je negirala da njezin softver može služiti za masovni nadzor i odbacila navode o zlouporabi kao netočne ili obmanjujuće. NSO je pozvao na razliku između neprovjerenih podataka iz liste i forenzičkih dokaza s pojedinačnih uređaja.

Odgovori tvrtke dio su javnog zapisa o projektu, ali ne poništavaju automatski tehničke nalaze neovisnih forenzičkih analiza. Za svaki slučaj potrebno je zasebno procijeniti izvor podataka, metodologiju pregleda, vremenske oznake i mogućnost alternativnog objašnjenja.

Zašto je Pegasus Project važan

Pegasus Project otvorio je pitanja o granicama državnog nadzora, zaštiti novinarskih izvora i odgovornosti proizvođača komercijalnih špijunskih alata. Posebno je važno pitanje mogu li se tehnologije razvijene za ciljane istrage koristiti protiv novinara, branitelja ljudskih prava ili političkih protivnika.

Projekt je također pokazao koliko je teško neovisno provjeriti digitalni nadzor. Mobilni uređaji često ne čuvaju potpune zapise, napadači mogu koristiti ranjivosti bez klika korisnika, a ažuriranja operacijskog sustava mogu ukloniti ili promijeniti tragove. Zbog toga se zaključci moraju temeljiti na kombinaciji tehničkih dokaza, pouzdanih izvora, vremenskih podataka i prava na odgovor.

Kako čitati tvrdnje o nadzoru

Kada se objavi da je nečiji broj pronađen u procurjeloj bazi, čitatelji bi trebali provjeriti nekoliko elemenata: navodi li se izvor podataka, postoji li neovisna forenzička analiza uređaja, razlikuju li se pokušaj napada i uspješna infekcija te je li osobi ili instituciji na koju se navodi odnose pružena mogućnost odgovora.

Najprecizniji opis nije nužno i najdramatičniji. Tvrdnja da je broj bio na listi nije isto što i tvrdnja da je telefon napadnut. Tvrdnja da su pronađeni tragovi pokušaja nije isto što i potvrda uspješne infekcije. Upravo to razlikovanje omogućuje javnosti da razumije opseg dokaza bez pretjerivanja i bez umanjivanja ozbiljnosti mogućeg nadzora.

Izvori i metodologija

Ovaj pregled temelji se na javno objavljenim materijalima Pegasus Projecta, metodološkim i forenzičkim izvještajima Amnesty International Security Laba, objavama Forbidden Storiesa te izvještajima medijskih partnera, uključujući The Guardian, The Washington Post, Le Monde, Süddeutsche Zeitung, Die Zeit, Ha’aretz, OCCRP i Direkt36. Stavovi NSO Groupa uključeni su prema javnim odgovorima tvrtke na objave projekta iz 2021. godine.

Javno dostupni materijali ne dopuštaju zaključak da je svaki broj iz procurjele liste bio nadziran, niti da je svaki tehnički trag jednak potvrđenoj infekciji. Razlika između indikacije, pokušaja i potvrđenog kompromitiranja uređaja ostaje ključna za točno razumijevanje Pegasus Projecta.