Inwigilacja też jest przyszłościową branżą

Afera wokół izraelskiego systemu Pegasus pokazuje, że programy szpiegowskie są cennym towarem dla rządów.

W branży szpiegowskiej rozgłos jest chyba ostatnią pożądaną rzeczą. Gdy więc wyciekły dane mówiące o szpiegowaniu 50 tys. osób za pomocą programu Pegasus, w siedzibie izraelskiej firmy NSO Group, będącej jego producentem, nie było powodów do radości. Wyszło bowiem na jaw, że różne rządy za pomocą Pegasusa inwigilowały dziennikarzy, aktywistów i polityków. Wybuchły z tego powodu małe afery, m.in. na Węgrzech, w Indiach i we Francji. Pegasus miał m.in. pomóc saudyjskim tajnym służbom w namierzeniu dysydenckiego dziennikarza Dżamala Chaszukdżiego, którego później funkcjonariusze tych służb zabili i poćwiartowali. Marokańskie tajne służby obserwowały zaś dzięki temu programowi prywatnego smartfona francuskiego prezydenta Emmanuela Macrona.

NSO Group w obliczu skandalu szybko odcięła się od praktyk swoich klientów. Spółka zapowiedziała również, że odetnie od systemu każdego, kto wykorzystuje jej program do złych celów. – Mówimy bardzo wyraźnie, że to nie były cele Pegasusa, ani osoby wybrane jako takie cele, ani potencjalne cele. To nie ma żadnego związku z konsumentami technologii NSO – powiedział w rozmowie z dziennikiem „Financial Times" Shalev Hulio, prezes NSO Group. Rząd izraelski dystansował się od całej afery, choć przecież to Ministerstwo Obrony wydawało licencje na sprzedaż Pegasusa innym krajom, a premier Naftali Bennet, jeszcze jako szef tego resortu, snuł plany wykorzystania oprogramowania firmy NSO do śledzenia Izraelczyków podczas pandemii. Wiele wskazuje również, że Pegasus był oferowany arabskim monarchiom jako element ocieplania relacji między nimi a Izraelem. Izraelczycy pokazywali w ten sposób, że gotowi są pomóc w zwalczaniu opozycji wobec tych reżimów. Program został sprzedany m.in. Arabii Saudyjskiej, Zjednoczonym Emiratom Arabskim i Bahrajnowi.

– To jest jak zabawka, której chce każdy oficer służb wywiadowczych. Uwielbiają jego demonstracje, uwielbiają to, że jest on z Izraela – powiedział „Financial Timesowi" człowiek zaangażowany w promocję Pegasusa w krajach arabskich.

Boczne wejścia

Co jest takiego wyjątkowo w izraelskim programie, że zdobył uznanie służb specjalnych z całego świata? Pegasus to system szpiegowski, za pomocą którego można zdobyć dostęp do treści w szyfrowanych komunikatorach, takich jak WhatsApp czy Signal. Jeśli już znajdzie się na smartfonie osoby inwigilowanej, może przechwycić wszystkie dane przechodzące przez to urządzenie. Działa m.in. jako keylogger, czyli rejestruje, które klawisze oraz ikony są dotykane na ekranie. Umożliwia również zdalne włączanie mikrofonu i kamery w aparacie. Sprawia więc, że smartfon staję się narzędziem do kompleksowej inwigilacji. Gdy w 2016 r. wykryto go po raz pierwszy, atakował urządzenia mobilne za pomocą techniki znanej jako spear-phishing. Wysłał za pośrednictwem jednego z komunikatorów złośliwy link, którego kliknięcie powodowało instalację programu szpiegowskiego. Przez ostatnie kilka lat Pegasus się jednak rozwinął i obecnie nie stosuje tej mocno już zgranej sztuczki. Wykorzystuje tzw. luki zero-day, czyli błędy w oprogramowaniu, których nie zauważyli twórcy software'u. W 2019 r. zainfekował w ten sposób telefony co najmniej 1,4 tys. osób, wykorzystując luki w kodzie aplikacji WhatsApp. Infekcja odbywała się poprzez połączenie głosowe w tej aplikacji, które nie musiało być nawet odebrane. Pegasus może infekować smartfony w sposób niezauważalny – wchodząc np. poprzez systemową galerię zdjęć w systemie iOS czy przez program Apple Music. Wykrycie go później za pomocą popularnych aplikacji antywirusowych jest niemożliwe.

Oficjalnie to oprogramowanie ma służyć jedynie walce z terroryzmem, przestępczością zorganizowaną oraz pedofilią. NSO Group może je sprzedawać za granicę jedynie instytucjom państwowym, i to dopiero wtedy, gdy uzyska licencję Izraelskiej Agencji Kontroli Eksportu Zbrojeniowego (DECA). Afera Pegasusa pokazała jednak, że licencje wydawane są również na sprzedaż oprogramowania do krajów znanych z łamania praw człowieka, takich jak Arabia Saudyjska. Według nieoficjalnych informacji po aferze z zabójstwem Chaszukdżiego NSO Group na pewien czas zamroziła relacje z Saudyjczykami. Wznowiła je jednak po namowach izraelskiego rządu. Jeden z przyjaciół zamordowanego saudyjskiego dysydenta złożył w izraelskim sądzie pozew przeciwko NSO Group. Sprawie przewodniczy sędzia związany z wywiadem wojskowym, który sam przyznał, że utrzymywał relacje biznesowe z prawnikami pracującymi dla NSO Group. Można więc odnieść wrażenie, że państwo chroni tę spółkę przed odpowiedzialnością.

Istnieją też podejrzenia, że w promowanie Pegasusa był bezpośrednio zaangażowany były izraelski premier Beniamin Netanjahu. System ten sprzedano Indiom i Węgrom niedługo po tym, gdy złożył on wizytę w tych krajach. – To rynki dyktują, co działa, a nie ja... Jedyną kwestią, w której interweniowałem, jest cyberbezpieczeństwo – mówił Netanjahu w 2017 r. podczas konferencji prasowej z węgierskim premierem Victorem Orbanem.

Przemysł niepewności

O ile NSO Group i Pegasus zyskały w ostatnich tygodniach spory rozgłos, o tyle można się spodziewać, że wiele firm sprzedaje podobne narzędzia szpiegowskie, nie przyciągając tak dużej negatywnej uwagi. Niewielu ludzi słyszało choćby o programach szpiegowskich izraelskiej firmy Candiru, wykorzystywanych w wielu krajach do inwigilowania smartfonów, komputerów i kont w chmurze, należących do polityków, aktywistów i dziennikarzy w wielu krajach. Tworzenie takich narzędzi nie jest zresztą tylko domeną Izraela. Organizacja Privacy International w raporcie z 2018 r. podawała, że na świecie istniało wówczas 528 spółek produkujących różnego rodzaju oprogramowanie i sprzęt wykorzystywane do inwigilacji. (Te dane można uznać za bardzo niepełne. Zwraca uwagę choćby stosunkowo niewielka ilość tego typu spółek zidentyfikowanych w Chinach). Najwięcej jest ich w USA (122), Wielkiej Brytanii (104), Francji (45), Niemczech (41) oraz Izraelu (27). Privacy International dopatrzyła się czterech takich firm w Polsce, mających siedziby w Warszawie i Lublinie. (Niestety nie wymieniła ich nazw ani profilu działalności).

Do ograniczania handlu tym oprogramowaniem wzywa jedynie garstka aktywistów. Rządy niewiele się tym przejmują, choć zmniejszająca się przepaść technologiczna pomiędzy państwami rozwiniętymi a rozwijającymi się może prowadzić do tego, że będziemy mieć więcej przypadków podobnych do szpiegowania Macrona przez Marokańczyków. Co więcej, producenci oprogramowania do smartfonów i komputerów ciągle wypuszczają produkty pełne luk.

„Nawet jeśli jutro się obudzimy i zobaczymy, że NSO Group i reszta takich firm z sektora prywatnego zniknie pod wpływem erupcji wulkanu opinii publicznej, to nie zmieni to faktu, że żyjemy w trakcie największego w historii kryzysu bezpieczeństwa komputerowego. Ludzie tworzący software używany w każdym urządzeniu (...) cieszą się z tego, że kodują w językach programowania, o których wiemy, że nie są bezpieczne. Bo tak zawsze robiono, a modernizacja wymaga dużych wysiłków oraz wydatków" – napisał na swoim blogu Edward Snowden, dezerter z NSA, amerykańskiej agencji wywiadu elektronicznego.

Afera PROMIS, czyli wszystko pozostaje w służbowej rodzinie

Afery związane z oprogramowaniem szpiegowskim wybuchały jeszcze wtedy, gdy internet dopiero raczkował. Przykładem na to jest sprawa programu PROMIS. Został on stworzony na przełomie lat 70. i 80. dla amerykańskiego Departamentu Sprawiedliwości przez prywatną firmę Inslaw i był jak na tamte czasy pionierskim narzędziem do wyszukiwania informacji w różnych bazach danych. Amerykańskie tajne służby nielegalnie go skopiowały i zmodyfikowały tak, że zawierał „boczne drzwi" umożliwiające im szpiegowanie instytucji, które zainstalowały go na swoich komputerach. Następnie program ten był sprzedawany na całym świecie różnym instytucjom – od banków po tajne służby. W jego dystrybucję włączony został również Mosad, izraelski wywiad cywilny, który wprowadził w tym oprogramowaniu własne modyfikacje. Jako pośrednika przy sprzedaży wykorzystał swojego agenta, brytyjskiego magnata medialnego Roberta Maxwella. Maxwell sprzedał na całym świecie kopie PROMIS warte około 500 mln USD. Nabywcami były m.in. tajne służby Wielkiej Brytanii, Kanady, Australii, Korei Płd., ZSRR, a także... PRL. Mimo to Maxwell wpadł w kłopoty finansowe i zaczął okradać fundusz emerytalny swojego holdingu medialnego. W pewnym momencie rzekomo zaczął szantażować Mosad, że ujawni swoją wiedzę o aferze PROMIS. W listopadzie 1991 r. wyłowiono go martwego z oceanu w pobliżu Wysp Kanaryjskich. Ponoć doznał zawału serca na swoim jachcie, wpadł do wody i się utopił – lub popełnił samobójstwo. Jacht nosił nazwę „Lady Ghislaine", na cześć ukochanej córki Maxwella. Ghislaine Maxwell obecnie jest sądzona w USA za stręczycielstwo i handel nieletnimi dziewczętami. Była najbliższą przyjaciółką i współpracowniczką Jeffreya Epsteina, finansisty skazanego za pedofilię, który rzekomo popełnił samobójstwo w amerykańskim więzieniu w 2020 r. HK