Pegasus Project: globalna provjera brojeva povezanih sa špijunskim softverom

Projekt Pegasus iz 2021. bio je jedno od najopsežnijih međunarodnih novinarskih istraživanja o mogućoj zlouporabi komercijalnog špijunskog softvera. Istraživanje je koordinirala organizacija Forbidden Stories, a tehničku i forenzičku podršku pružio je Amnesty International Security Lab. U radu je sudjelovalo 17 medijskih organizacija iz više zemalja.

U središtu projekta nalazio se procurjeli popis od približno 50.000 telefonskih brojeva. Brojevi su, prema istraživačkim organizacijama, mogli biti odabrani za mogući nadzor korištenjem softvera Pegasus koji razvija izraelska tvrtka NSO Group. Samo pojavljivanje broja na tom popisu, međutim, nije dokaz da je uređaj bio zaražen, da je nadzor proveden ili da je određena osoba bila meta napada.

Kako je nastao Pegasus Project

Forbidden Stories i Amnesty International došli su do podataka koji su zatim podijeljeni s novinarskim konzorcijem. Među sudionicima bili su međunarodni i nacionalni mediji, uključujući The Guardian, The Washington Post, Le Monde, Süddeutsche Zeitung, OCCRP, Direkt36, Haaretz i druge redakcije. Svaka je redakcija provjeravala osobe, institucije i telefonske brojeve relevantne za njezino područje.

Istraživački projekt nije počivao samo na analizi popisa. Novinari su uspoređivali dostupne podatke s javnim zapisima, političkim događajima, kontaktima i vremenskim slijedom mogućeg nadzora. Amnesty International Security Lab zasebno je razvio forenzičke postupke za pregled mobilnih uređaja, operativnih sustava i tragova koji mogu upućivati na pokušaj ili uspješnu instalaciju Pegasusa.

Što je Pegasus

Pegasus je alat za nadzor mobilnih uređaja. Ovisno o načinu instalacije i ranjivostima koje iskorištava, takav softver može omogućiti pristup porukama, fotografijama, kontaktima, lokaciji, mikrofonu i kameri. Posebno su zabrinjavajući napadi koji ne zahtijevaju da korisnik otvori poveznicu ili instalira aplikaciju, odnosno napadi poznati kao „zero-click“ napadi.

Ključno je razlikovati mogućnosti alata od dokaza o njegovoj stvarnoj uporabi. Tehnički opis Pegasusa ne dokazuje da je njime nadzirana određena osoba. Za takav zaključak potrebni su dodatni podaci, uključujući forenzičke tragove na konkretnom uređaju i provjeru vremenskog slijeda događaja.

Razlika između popisa i potvrđene infekcije

Najvažnija metodološka napomena Projekta Pegasus odnosi se na status telefonskih brojeva. Broj na procurjelom popisu može značiti da ga je neki korisnik sustava označio za mogući nadzor, ali ne govori sam po sebi je li nadzor ikada pokrenut. Također ne potvrđuje da je broj u trenutku analize pripadao istoj osobi, da je uređaj bio dostupan napadaču ili da je na njemu pronađen Pegasus.

Amnesty International Security Lab objavio je metodologiju za mobilnu forenziku i analizirao uzorak uređaja povezanih s brojevima iz popisa. Prema njihovu tehničkom izvještaju, na dijelu pregledanih uređaja pronađeni su tragovi uspješne infekcije ili pokušaja infekcije. Na drugim uređajima takvi tragovi nisu pronađeni. Negativan nalaz pritom ne mora dokazati da se nikakav nadzor nije dogodio, jer se digitalni tragovi mogu izbrisati, promijeniti ili više ne biti dostupni.

Pojavljivanje telefonskog broja na popisu nije isto što i potvrđena infekcija uređaja. Zaključak o infekciji mora se temeljiti na odvojenim forenzičkim dokazima.

Forenzički nalazi Amnesty Internationala

Security Lab tražio je tragove povezane s poznatim komponentama Pegasusa, obrascima komunikacije i zapisima u operativnim sustavima iPhonea i Androida. Analitičari su koristili javno opisane alate i postupke, među kojima je i Mobile Verification Toolkit, kako bi omogućili neovisnu provjeru dijela nalaza.

U objavljenom uzorku uređaja pronađeni su indikatori koji su, prema procjeni laboratorija, bili u skladu s Pegasusom. Dio nalaza odnosio se na uspješnu infekciju, a dio na pokušaje napada. Ti su rezultati poduprli zaključak da popis nije bio tek slučajna zbirka telefonskih brojeva, ali nisu automatski dokazali svaku pojedinačnu tvrdnju o nadzoru koja je iz njega proizašla.

Koga je istraživanje obuhvatilo

Novinarske su redakcije među povezanim brojevima identificirale novinare, urednike, aktiviste za ljudska prava, političare, diplomate, odvjetnike i druge javne osobe. U pojedinim su slučajevima brojevi bili povezani s osobama na visokim državnim funkcijama ili s ljudima koji su izvještavali o korupciji, oružanim sukobima i radu vlada.

Identifikacija osobe na popisu nije dovoljna za tvrdnju da je upravo ona bila nadzirana. Zbog toga su odgovorne redakcije trebale odvojeno navoditi tri razine informacija: da je broj pronađen u podacima, da postoje okolnosti koje mogu upućivati na pokušaj nadzora te da su na uređaju pronađeni forenzički tragovi kompatibilni s Pegasusom.

Odgovor NSO Groupa

NSO Group odbacio je zaključke Projekta Pegasus i osporio tumačenje procurjelog popisa. Tvrtka je tvrdila da popis nije popis meta Pegasusa te da se iz samih brojeva ne može zaključiti da je neki uređaj bio nadziran. Navela je i da svoje proizvode prodaje državnim i sigurnosnim institucijama, uz postupke provjere korisnika, te da tvrtka ne upravlja operacijama svojih klijenata.

NSO Group također je dovodio u pitanje pojedine tehničke zaključke i način na koji su novinari povezivali brojeve s mogućim korisnicima sustava. Te su tvrdnje dio javno dostupnog odgovora tvrtke i treba ih razlikovati od nalaza Forbidden Storiesa, Amnesty Internationala i medijskih organizacija koje su projekt provodile.

Zašto su metodologija i oprez važni

Istraživanja o tajnom digitalnom nadzoru često se oslanjaju na nepotpune podatke. U ovom slučaju novinari nisu imali javni, potpuni zapis o tome tko je odabrao pojedini broj, zašto je odabran i je li operacija doista provedena. Zbog toga se zaključci moraju ograničiti na ono što potvrđuju dokumenti, iskazi i tehnička analiza.

Ovakav pristup važan je i zbog zaštite osoba koje su se našle u podacima. Neutemeljeno povezivanje telefonskog broja s nadzorom može ugroziti ugled i sigurnost pojedinca. Jednako tako, zanemarivanje forenzičkih nalaza može umanjiti ozbiljnost dokaza o mogućoj zlouporabi nadzorne tehnologije.

Širi značaj istraživanja

Projekt Pegasus otvorio je pitanja o izvozu nadzornih tehnologija, odgovornosti proizvođača, kontroli državnih korisnika i zaštiti novinara i branitelja ljudskih prava. Također je pokazao kako međunarodna suradnja medija i neovisnih tehničkih stručnjaka može provjeravati tvrdnje koje pojedinačna redakcija teško može istražiti sama.

Za europsku javnost slučaj je važan i zbog odnosa između nacionalne sigurnosti i temeljnih prava, uključujući privatnost, slobodu izražavanja i zaštitu novinarskih izvora. Rasprava o takvim alatima ne može se svesti samo na pitanje postoje li tehničke mogućnosti nadzora. Potrebno je ispitati pravnu osnovu, proporcionalnost, neovisni nadzor i mogućnost učinkovite pravne zaštite.

Kako čitati izvještaje o Pegasus Projectu

• Provjerite navodi li tekst samo prisutnost telefonskog broja na popisu ili i forenzički nalaz na uređaju.
• Razlikujte uspješnu infekciju od pokušaja infekcije.
• Provjerite je li zaključak pripisan Amnesty International Security Labu, Forbidden Storiesu ili konkretnoj medijskoj organizaciji.
• Uzmite u obzir odgovor NSO Groupa i jasno odvojite tvrdnje tvrtke od neovisno dokumentiranih nalaza.
• Ne izjednačavajte mogući odabir broja za nadzor s dokazanom odgovornošću određene države ili institucije ako za to nisu objavljeni dodatni dokazi.

Izvori i pripisivanje nalaza

Ovaj pregled temelji se na javno objavljenim materijalima Projekta Pegasus, radu organizacije Forbidden Stories, forenzičkim izvještajima Amnesty International Security Laba i izvještavanju 17 uključenih medijskih organizacija. Stavovi NSO Groupa navedeni su prema javnim odgovorima tvrtke na objavljene nalaze.

Najprecizniji zaključak projekta nije da je svaki broj s popisa bio zaražen, nego da su neovisna novinarska i forenzička ispitivanja pronašla dokaze o korištenju ili pokušajima korištenja Pegasusa u dijelu analiziranih slučajeva. Svaki pojedinačni navod zato treba procjenjivati zasebno, uz jasno navođenje izvora i razine potvrđenosti.

---

Napomena uredništva: Ovaj sažetak služi informiranju i kontekstualizaciji javno dostupnog istraživanja. Tvrdnje su pripisane izvornom mediju ili organizaciji.