Pegasus Project bio je međunarodni novinarski projekt objavljen u srpnju 2021. godine. Koordinirala ga je neprofitna organizacija Forbidden Stories u suradnji s Amnesty Internationalom, čiji je Security Lab provodio tehničke forenzičke analize. U radu je sudjelovalo više medijskih partnera, među njima The Washington Post, The Guardian, Le Monde, Süddeutsche Zeitung, Die Zeit, Haaretz, OCCRP i drugi.
Istraga se temeljila na analizi popisa od približno 50.000 telefonskih brojeva. Brojevi su, prema nalazima projekta, mogli biti odabrani za potencijalni nadzor klijentima izraelske tvrtke NSO Group, proizvođača sustava Pegasus. Sama prisutnost broja na popisu nije dokaz da je uređaj bio zaražen, da je nadzor doista proveden ili da je određena osoba bila meta državne institucije.
Što je Pegasus?
Pegasus je komercijalni sustav za nadzor mobilnih uređaja. Ovisno o korištenoj tehnici i verziji operativnog sustava, napadač može pokušati pristupiti porukama, fotografijama, kontaktima, pozivima, lokaciji i mikrofonu uređaja. Napadi su se mogli oslanjati na tzv. zero-click ranjivosti, pri kojima korisnik ne mora otvoriti poveznicu ili instalirati aplikaciju, kao i na napade koji zahtijevaju određenu radnju korisnika.
NSO Group tvrdi da Pegasus licencira isključivo državnim tijelima za borbu protiv terorizma i teškog kriminala. Tvrtka je također navela da ne upravlja samim sustavom u ime klijenata te da zlouporabe mogu dovesti do raskida ugovora. Istrage i kasniji javni nalazi, međutim, otvorili su pitanja o nadzoru korisnika, provjeri krajnjih korisnika i odgovornosti za moguću zlouporabu.
Popis potencijalnih ciljeva nije popis potvrđenih žrtava
Najvažnija metodološka razlika u Pegasus Projectu odnosi se na razliku između odabira broja i stvarne infekcije uređaja. Broj na procurjelom popisu može značiti da je netko razmatran kao moguća meta, ali ne govori nužno tko ga je odabrao, zašto je odabran ni je li pokušaj nadzora uopće izveden.
- Potencijalno odabrani broj: broj se nalazi u analiziranom skupu podataka, ali za njega ne postoji javno potvrđena forenzička potvrda infekcije.
- Pokušaj napada: forenzički pregled može pokazati tragove pokušaja iskorištavanja uređaja, bez konačnog dokaza da je napadač dobio potpun pristup.
- Potvrđena infekcija: na uređaju su pronađeni tehnički tragovi koji se podudaraju s poznatim načinima rada Pegasusa, uz dovoljno elemenata za zaključak da je uređaj bio kompromitiran.
U javno objavljenom uzorku Amnesty Internationala forenzički su pregledani deseci uređaja. Security Lab je izvijestio o uređajima na kojima su pronađeni tragovi uspješnih infekcija ili pokušaja infekcije. Ti nalazi nisu značili da su svi brojevi s popisa bili zaraženi. Neke javne osobe čiji su se brojevi pojavili u bazi nisu imale uređaj dostupan za forenzičku analizu, pa se za njih ne može izvesti isti zaključak.
Kako je provedena forenzička analiza?
Amnestyjev Security Lab razvio je i objavio Mobile Verification Toolkit, poznat kao MVT, za pomoć u provjeri mobilnih uređaja. Istraživači su analizirali sigurnosne kopije i dijagnostičke zapise uređaja, osobito na iPhoneima, te tražili domene, procese, datoteke i druge pokazatelje povezane s poznatom infrastrukturom i tehnikama Pegasusa.
Analiza nije počivala na jednom izoliranom pokazatelju. Istraživači su uspoređivali vremenske oznake, zapise o rušenju procesa, tragove u sigurnosnim kopijama, sumnjive mrežne zahtjeve i ranije dokumentirane obrasce napada. U nekim slučajevima uređaji su sadržavali tragove koji su odgovarali poznatim zero-click napadima u aplikacijama za razmjenu poruka. Zaključci su ovisili o količini i kvaliteti dostupnih podataka, verziji operativnog sustava i tome koliko je uređaj mogao biti sačuvan za pregled.
Forenzička analiza također ima ograničenja. Tragovi mogu nestati nakon ažuriranja, brisanja uređaja ili promjene telefona. Android uređaji često ostavljaju manje dostupnih zapisa nego iPhonei, pa odsutnost dokaza nije nužno dokaz odsutnosti napada. Zbog toga Amnesty svoje nalaze razlikuje prema razini sigurnosti i jasno navodi kada je dokaz ograničen.
Koga je istraga obuhvatila?
Među osobama povezanim s istragom bili su novinari, urednici, branitelji ljudskih prava, političari, diplomati, odvjetnici i članovi obitelji javnih osoba. U pojedinim su slučajevima medijski partneri povezali brojeve s osobama koje su radile u osjetljivim političkim ili sigurnosnim kontekstima. Objavljivanje identiteta zahtijevalo je dodatnu provjeru, jer broj u bazi sam po sebi nije potvrđivao nadzor.
Projekt je izvijestio i o brojevima povezanima s državnicima i visokim dužnosnicima. Primjerice, broj koji se povezivao s francuskim predsjednikom Emmanuelom Macronom pojavio se u analiziranom skupu, ali javno dostupni nalazi nisu dokazali da je njegov telefon bio zaražen Pegasusom. Takav primjer pokazuje zašto treba razlikovati prisutnost broja u podacima od potvrđenog tehničkog nalaza.
Odgovor NSO Groupa
NSO Group odbacio je ključne zaključke projekta. Tvrtka je tvrdila da procurjeli popis nije popis ciljeva Pegasusa niti popis osoba koje su nadzirali njezini klijenti. Navela je i da se podaci mogu odnositi na širi skup brojeva koji su pretraživani ili razmatrani u različitim kontekstima.
Tvrtka je osporavala i način na koji su pojedini tehnički tragovi tumačeni, uz tvrdnju da su neki nalazi mogli biti pogrešno pripisani njezinu sustavu. Istodobno je ponovila da se Pegasus prodaje državnim tijelima za legitimne sigurnosne svrhe i da su ugovori podložni pravilima o ljudskim pravima i kontroli uporabe. Novinarski konzorcij i Amnesty International odgovorili su da njihovi zaključci ne ovise samo o popisu, nego i o neovisnim forenzičkim nalazima na konkretnim uređajima.
Zašto je slučaj važan za Europu?
Pegasus Project otvorio je pitanje može li nadzorni softver, razvijen za borbu protiv ozbiljnih prijetnji, biti korišten protiv novinara, političkih protivnika, odvjetnika i organizacija civilnog društva. Posebno je osjetljivo pitanje nadzora novinara jer pristup uređaju može otkriti izvore, neobjavljene materijale i komunikaciju s urednicima.
Europski parlament osnovao je istražni odbor PEGA radi ispitivanja navodne zlouporabe Pegasusa i sličnog nadzornog softvera u državama članicama. Odbor je u završnom izvješću upozorio na potrebu snažnijeg nadzora, neovisne kontrole, pravnih lijekova i zaštite novinara i civilnog društva. Nacionalne istrage i sudski postupci u pojedinim državama nastavili su se odvijati odvojeno, s različitim dostupnim dokazima i pravnim ishodima.
Što se može zaključiti, a što ne?
- Pegasus Project pružio je dokumentirane primjere tehničkih tragova koji su, prema Amnesty Internationalu, bili u skladu s infekcijom ili pokušajem infekcije Pegasusa.
- Popis od približno 50.000 brojeva nije sam po sebi dokaz da su svi ti ljudi bili nadzirani.
- Forenzički nalaz može potvrditi kompromitaciju uređaja, ali ne mora uvijek utvrditi konačan identitet operatera ili cijeli lanac donošenja odluka.
- Odgovornost za uporabu sustava ovisi o dokazima o konkretnom klijentu, naredbi, vremenu napada i primjenjivom nacionalnom i europskom pravu.
- Tvrdnje svih strana treba čitati uz jasno razdvajanje tehnički potvrđenih činjenica, novinarskih procjena i odgovora zainteresiranih institucija.
Izvori i metodološka osnova
Glavni izvori za ovaj pregled su dokumenti i forenzički materijali Amnesty International Security Laba, izvještaji Forbidden Storiesa i radovi međunarodnog novinarskog konzorcija Pegasus Project. Dodatni kontekst objavili su The Washington Post, The Guardian, Le Monde, Süddeutsche Zeitung, Die Zeit, Haaretz i Organized Crime and Corruption Reporting Project. Za europski institucionalni kontekst relevantno je završno izvješće Istražnog odbora Europskog parlamenta PEGA.
Najoprezniji zaključak nije da je svaki broj na popisu pripadao nadziranoj osobi, nego da je projekt povezao procurjele podatke s konkretnim forenzičkim dokazima na dijelu pregledanih uređaja i time pokazao koliko je teško javnosti provjeriti uporabu sofisticiranog nadzornog softvera. Upravo zato svako novo izvještavanje o Pegasusu treba jasno navesti izvor podataka, razinu tehničke potvrde i ograničenja istrage.