Pegasus Project: globalna istraga o špijunskom softveru

Pegasus Project bio je međunarodni novinarski projekt objavljen u srpnju 2021. godine. Istraživanje je koordinirala neprofitna organizacija Forbidden Stories, uz tehničku i forenzičku podršku Amnesty International Security Laba te suradnju 16 medijskih partnera iz različitih zemalja.

Projekt je proučavao navode o mogućoj zloupotrebi špijunskog softvera Pegasus, proizvoda izraelske kompanije NSO Group. Softver je namijenjen za nadzor mobilnih uređaja, a kompanija je javno tvrdila da ga prodaje državnim tijelima za borbu protiv terorizma i teškog kriminala.

Kako je istraga provedena

Novinari su analizirali procurjeli popis od približno 50.000 telefonskih brojeva koji su, prema nalazima projekta, bili od interesa za klijente povezane s NSO Groupom. Na popisu su se nalazili brojevi osoba iz više desetaka država, uključujući političare, diplomate, aktiviste, novinare, poslovne ljude i članove njihovih obitelji.

Sam popis nije predstavljao konačan dokaz da je svaki navedeni broj bio nadziran ili da je na pripadajući uređaj instaliran Pegasus. Broj na popisu mogao je označavati mogući cilj, predmet interesa ili unos u sustav, ali ne i potvrđenu infekciju uređaja.

Amnesty International Security Lab proveo je forenzičke preglede dostupnih mobilnih uređaja. U dijelu pregledanih telefona pronađeni su tragovi koji su bili u skladu s upotrebom Pegasusa, uključujući zapise o pokušajima kompromitacije ili druge tehničke artefakte. Rezultati su se odnosili samo na uređaje koji su bili dostupni za analizu i ne mogu se automatski proširiti na sve brojeve s procurjelog popisa.

Što je Pegasus

Pegasus je komercijalni nadzorni alat za mobilne telefone. Ovisno o verziji i načinu instalacije, takav softver može omogućiti pristup komunikacijama, datotekama, lokaciji i drugim podacima na uređaju. Istraživanje je opisivalo metode poznate kao napadi bez potrebe za izravnom radnjom korisnika, pri kojima žrtva ne mora otvoriti poruku ili poveznicu.

Forenzička analiza Amnesty International Security Laba nije se temeljila samo na identitetu osobe ili njezinoj funkciji. Stručnjaci su tražili tehničke pokazatelje na uređajima, uspoređivali zapise i primjenjivali metodologiju koju su javno opisali u svojim izvještajima.

Važna razlika između popisa i potvrđene infekcije

• Pojavljivanje broja na procurjelom popisu ukazuje na to da je broj bio označen kao potencijalno zanimljiv, ali samo po sebi ne dokazuje nadzor.
• Forenzički tragovi na uređaju mogu pružiti tehničku potvrdu pokušaja ili uspješne infekcije, ali takvi nalazi ovise o očuvanosti uređaja i dostupnosti podataka.
• Identitet osobe ne dokazuje tko je odabrao broj, zbog čega je odabran ni je li nadzor proveden.
• Novinarski nalaz treba razlikovati dokumentirane tehničke činjenice od zaključaka koji se ne mogu potvrditi dostupnim dokazima.

Ova je razlika ključna za razumijevanje Pegasus Projecta. Istraživanje nije tvrdilo da je svaka osoba s popisa bila nadzirana, niti da je svaki broj povezan s nezakonitim postupanjem.

Odgovor NSO Groupa

NSO Group odbacio je ključne zaključke projekta. Kompanija je tvrdila da procurjeli popis nije popis Pegasusovih ciljeva te da se iz samog popisa ne može zaključiti je li bilo koji uređaj nadziran. Također je navela da njezini proizvodi nisu namijenjeni širokom nadzoru građana i da ih licencira državnim korisnicima pod određenim uvjetima.

Kompanija je istaknula vlastite mehanizme usklađenosti i nadzora te navela da istražuje vjerodostojne navode o zloupotrebi i može prekinuti odnose s korisnicima koji krše ugovorne uvjete. NSO Group osporio je metodologiju i tumačenja povezana s projektom, dok su novinarske organizacije i Amnesty International branili svoje nalaze.

Javne posljedice

Objava Pegasus Projecta potaknula je političke rasprave, regulatorne postupke i nova pitanja o izvozu komercijalnog nadzornog softvera. U više država otvorene su istrage ili parlamentarne rasprave o tome jesu li nadzorni alati korišteni protiv novinara, političkih protivnika, aktivista i drugih osoba koje nisu predstavljale sigurnosnu prijetnju.

Europski parlament osnovao je istražni odbor PEGA, koji je proučavao navodnu upotrebu Pegasusa i sličnog špijunskog softvera u državama članicama. Odbor je 2023. usvojio izvješće s preporukama o jačanju pravila, neovisnom nadzoru, pravnoj zaštiti žrtava i odgovornosti državnih tijela.

Projekt je također pridonio široj raspravi o sigurnosti novinara, zaštiti izvora i granicama državnog nadzora. Njegovi nalazi pokazali su koliko je teško javno provjeriti uporabu tajnih digitalnih alata: istraživači često ovise o procurjelim podacima, tehničkoj analizi dostupnih uređaja i odgovorima institucija koje ne objavljuju sve informacije.

Zašto je metodologija važna

Najvažniji doprinos Pegasus Projecta nije samo u imenima koja su se pojavila u izvještajima, nego i u načinu provjere digitalnog nadzora. U ozbiljnom novinarstvu potrebno je jasno navesti što proizlazi iz dokumenata, što potvrđuje forenzička analiza, a što ostaje nepotvrđeno.

Čitatelji zato trebaju razlikovati tri razine informacija: postojanje broja na procurjelom popisu, tehničke dokaze pronađene na konkretnom uređaju i širi zaključak o tome tko je naredio ili proveo nadzor. Te razine nisu međusobno zamjenjive.

Izvori i organizacije

Izvorno istraživanje objavili su Forbidden Stories, Amnesty International Security Lab i njihovi međunarodni medijski partneri. Te su organizacije objavile i metodološka objašnjenja, tehničke nalaze te odgovore NSO Groupa. Dodatni kontekst o europskim političkim posljedicama pružili su dokumenti i izvješća istražnog odbora PEGA Europskog parlamenta.

Pegasus Project treba čitati kao dokumentirano međunarodno istraživanje čiji se zaključci temelje na kombinaciji procurjelih podataka, novinarske provjere i forenzičke analize. Najtočniji zaključak nije da je svaka osoba s popisa bila nadzirana, nego da su dostupni podaci otvorili ozbiljna, u pojedinim slučajevima tehnički potkrijepljena pitanja o mogućoj uporabi špijunskog softvera i nadzoru bez odgovarajuće javne kontrole.