Citizen Lab on Eavesdropping on Students: Serbia Is Like a Buffet of Spyware

Prošle nedelje studenti su objavili da je najmanje 14 ljudi, među njima studenti, aktivisti, opozicioni poslanici i lokalni odbornici, bilo meta naprednog špijunskog softvera. Najvažniji konkretan nalaz bio je Pegasus, na telefonu najmanje jedne studentkinje. Telefon su veštačili u Citizen Lab-u. Viši istraživač u toj istraživačkoj jedinici pri Univerzitetu u Torontu, Džon Skot-Rejlton govorio je za N1 o ovom slučaju.

N1: Šta ste uspeli da potvrdite u vezi sa najnovijim slučajevima targetiranja studenata i aktivista špijunskim softverom ovde u Srbiji?

"Pa, utvrdili smo nekoliko stvari. Pre svega, imamo niz Appleovih upozorenja koja su stigla korisnicima. To je veoma zabrinjavajuće jer ukazuje na to da je očigledno u toku operacija velikih razmera u kojoj se koristi komercijalni špijunski softver . Takođe smo sproveli forenzičke analize, uključujući analizu koja nam omogućava da sa visokim stepenom pouzdanosti kažemo da je došlo do infekcije Pegasusom . Svi ovi elementi ukazuju na jednu stvar – verovatno se dešava nešto mnogo šire."

N1: Kada pominjete Pegasus, šta je tačno pronađeno na uređaju na kojem je Pegasus otkriven? Da li je telefon zaista bio uspešno zaražen?

"Jeste, došlo je do uspešne infekcije. Citizen Lab postoji već 25 godina i jedan smo od svetskih lidera u sprovođenju forenzičkih analiza ove vrste softvera, koji nazivamo komercijalnim špijunskim softverom. U ovom slučaju analizirali smo tragove sa uređaja i sa visokim stepenom pouzdanosti zaključili da je došlo do infekcije. Ovakva infekcija ima veliki broj mogućnosti. Praktično, ona pretvara telefon u špijuna u vašem sopstvenom džepu."

N1: Čuli smo i da je Apple upozorio svoje korisnike da su bili meta špijunskog softvera. Šta nam zapravo govori takvo upozorenje? I, mislim, govorimo o Apple telefonima. Šta se dešava sa Android telefonima?

"Pre svega, želim da kažem sledeće: ako ste dobili takvo upozorenje, trebalo bi da se prema svom telefonu odnosite kao da je kompromitovan ovim sofisticiranim špijunskim softverom. Ne mislimo da Apple ovakva upozorenja šalje greškom. Ako ste ga dobili, trebalo bi da ga shvatite ozbiljno i da se obratite stručnjacima, poput fondacije. Ova upozorenja znače da Apple, tokom svojih istraga sofisticiranih komercijalnih hakerskih grupa poput NSO Group i drugih, ponekad pronalazi tragove koji ukazuju na to da je došlo do infekcije, nakon čega smatra svojom obavezom da o tome obavesti korisnika. Mogli bismo, dakle, reći da su ova upozorenja početak potrebe za mnogo dubljom istragom. Ona su prvi korak. Prilično jasno pokazuju da se nešto dogodilo, a onda odatle moramo da nastavimo dalje. Postoji nekoliko pravaca kojima možemo da krenemo. Naravno, organizacije poput naše, fondacije, našeg partnera Amnesty Tech-a i drugih mogu da sprovedu forenzičke istrage. Ali moram da vam kažem da se, kada je reč o špijunskom softveru poput Pegasusa, pravi dokazi nalaze kod državnih službi. Na osnovu onoga što je NSO Group, koja proizvodi Pegazus, javno saopštio, znamo da njihove instalacije vode evidenciju o svakoj infekciji koja je naložena i sprovedena, kao i o podacima koji su izvučeni tokom te infekcije. Dakle, glavno mesto na kojem bi se nalazili dokazi jeste kod državnih organa odgovornih za te operacije."

N1: Pomenuli ste i Amnesty. Amnesty je ranije sa visokim stepenom pouzdanosti pripisao NoviSpy srpskoj BIA i dokumentovao druge slučajeve upotrebe špijunskog softvera u Srbiji. Da li onda najnoviji nalazi ukazuju, da tako kažemo, na izolovane incidente ili na širi obrazac državnog nadzora novinara, aktivista, studenata – svih koje vlast smatra svojim protivnicima?

"Moram da vam kažem da, kao istraživaču koji se bavi komercijalnim špijunskim softverom i nadzorom, Srbija počinje da mi izgleda kao svojevrsni švedski sto komercijalnog špijunskog softvera. I moram da vam kažem još nešto: kada pronađemo jedan slučaj ovde, jedno upozorenje tamo, to je kao kada pronađete mrave u kuhinji.

Na osnovu mog profesionalnog iskustva, gotovo sigurno postoji još mnogo slučajeva koji tek čekaju da budu otkriveni. Ranije ste pomenuli Android telefone. Apple, naravno, ne upravlja Guglom, niti proizvodi Android telefone.

Međutim, kada je reč o komercijalnom špijunskom softveru, to obično znači da državna služba ima mogućnost da hakuje i Android telefone i iPhone uređaje. Zahvaljujući odličnom radu Amnestyja znamo da su na Android telefonima u Srbiji pronađene i druge vrste špijunskog softvera.

Ali ostaje otvoreno pitanje: koje još infekcije postoje? Gotovo je izvesno da postoji mnogo više slučajeva koje još nismo otkrili. Situacija je izuzetno zabrinjavajuća.

Pomalo je kao u epidemiologiji, kada počnete da otkrivate prve slučajeve neke infekcije, a nemate jasno objašnjenje kako su se ti ljudi zarazili. To znači da ih verovatno ima još mnogo."

N1: A s obzirom na to da se Pegasus, na primer, uglavnom prodaje državnim obaveštajnim službama, šta bi srpske vlasti trebalo da objasne javnosti? Jer sve što smo do sada mogli da čujemo od vlasti jeste tvrdnja da je sve to laž.

"Vidite, kada pronađete Pegasus na telefonu, to je kao da pronađete izmet – izvinite na izrazu – slona. Negde postoji slon. Dakle, ko je slon u ovoj sobi? Postoje, na neki način, dve moguće teorije. Ali ono što je jasno jeste da su uređaji građana Srbije bili zaraženi špijunskim softverom kakav koriste države. Pitanje je, dakle: ko je izvršio ovu infekciju? Mislim da je od presudnog značaja da vlasti, u najmanju ruku, to objasne. U suprotnom, građani Srbije mogu da postave i sledeće pitanje: da li je to uradio neko drugi? Da li je za to odgovorna neka druga država? Mislim da ovde moramo da sagledamo obrazac targetiranja. Ko je meta ovih infekcija? I mislim da će sledeći korak u ovoj analizi biti i razumevanje političke situacije u kojoj se ove infekcije događaju."

"Čitav vaš život na stolu službe"

N1: A ako Pegasus uspešno zarazi telefon – o tome smo već govorili – čemu operater zapravo može da pristupi? Može li telefon praktično da postane uređaj za nadzor koji može da čita komunikaciju, prati kretanje i daljinski aktivira mikrofon i kameru?

"Tako je. Kada je uređaj zaražen Pegasusom, govorimo o takozvanoj „zero-click“ infekciji, odnosno infekciji koja ne zahteva nikakvu radnju korisnika. To znači da nema nikakvog sajta koji morate da posetite, čak ni Pornhub, nema linka na koji treba da kliknete, nema ničega što korisnik koji postaje žrtva može da vidi.

U jednom trenutku telefon je vaš i privatan, a već sledećeg je pod kontrolom nekog drugog. Kada se Pegasus nađe na telefonu, može da uradi sve što možete i vi.

Može da pregleda vaše fotografije, privatne poruke, šifrovane poruke, da sluša vaše telefonske razgovore. Ali može da uradi čak i neke stvari koje vi ne možete.

Na primer, može neprimetno da uključi mikrofon ili kameru i tako pretvori telefon u ono što bismo nazvali prislušnim uređajem u prostoriji, koji prati sastanke ili razgovore. Odete u šetnju, vodite privatan razgovor, razgovarate sa roditeljima. Sve to može biti predmet nadzora.

I od ključne je važnosti razumeti da kod ovakvog nadzora nije u pitanju samo vaš poslovni život. Nije u pitanju samo vaš javni život. Nije u pitanju samo ono što govorite u kancelariji. To je čitav vaš život, potpuno ogoljen i stavljen na sto pred neku državnu službu. To je izuzetno invazivna tehnologija. I mislim da bi se u mnogim pravnim sistemima smatrala nezakonitim zadiranjem u privatnost."

N1: I, naravno, s obzirom na predstojeće izbore, koliko je ozbiljan rizik po demokratske procese ako državne institucije mogu da koriste ovako invazivan špijunski softver protiv studenata, aktivista, opozicionih političara i novinara, bez efikasnog nezavisnog nadzora? Pogotovo jer nijedan od prethodnih slučajeva nije rasvetljen.

"Upravo tako. Ovo nije prvi slučaj u svetu u kojem se Pegasus pojavio uoči izbora.

U Poljskoj je, na primer, poslanik koji je bio zadužen za izbornu strategiju opozicije 2019. godine hakovan Pegasusom upravo dok je planirao tu strategiju. I to nije jedini slučaj.

Na kraju krajeva, kada se infekcije Pegasusom događaju pred izbore, to predstavlja direktno mešanje u demokratski proces. Da bi izbori mogli normalno da funkcionišu, ljudi moraju da razgovaraju i prave strategije.

Moraju da imaju osećaj da imaju privatnost. Jer, kao što svi znamo, kada ste u prostoriji i znate da vas sluša neki stranac, govorićete drugačije nego kada ste samo sa svojim prijateljima. To je nepodnošljiv nivo državnog nadzora i mora biti temeljno istražen."