Ako sa nenechať špehovať. Expert, ktorý skúma špionážnu zbraň Pegasus, rozpráva o najnovšom prípade sledovania novinárov

Nemenovaný bieloruský aktivista sa nachádzal vo Vilniuse, keď mu pred rokom na mobile pípla dôležitá notifikácia. Spoločnosť Apple ho upozornila, že jeho mobil bol napadnutý štátom sponzorovaným hekerom.

Americká spoločnosť také varovanie posiela majiteľom zariadenia do správy a emailu, keď zachytí aktivitu, ktorá je konzistentná so špionážnym útokom. Odkedy vypukla aféra masívneho sledovania pomocou softvéru Pegasus, ide o jedno z opatrení, ktoré na ochranu majiteľov iPhonov zaviedla.

Niekto teda aktivistu na území EÚ sledoval vďaka špionážnej zbrani, ktorú vyvinula izraelská firma NSO. Keď sa obrátil na špecialistov z Citizen Lab na Univerzite v Toronte, podozrenie sa potvrdilo.

Aktivista z Bieloruska však nebol jediný, koho na území krajín EÚ sledovali prostredníctvom heknutého telefónu. V rovnako nepríjemnej situácii sa podľa špecialistov Citizen Lab ocitlo sedem ruskojazyčných novinárov a aktivistov, ktorí sa presťahovali do Vilniusu, Rigy alebo Varšavy.

Okolnosti ich heknutia skúmali rok a teraz o tom zverejnili správu v spolupráci s organizáciou Access Now, ktorá sa venuje digitálnej bezpečnosti a poskytuje asistenciu pri podozrení z hekerského útoku.

O najnovšom prípade špehovania softvérom Pegasus a o tom, či sa dá podobným útokom nejako predísť, sme sa rozprávali s expertom na digitálnu bezpečnosť Nikolaiom Kvantilianim, ktorý sa na výskume hekerského útoku na sledovaných novinárov a aktivistov podieľal.

Išli na konferenciu a hekli ich

Zistenie, či bol mobil nainfikovaný softvérom Pegasus, trvá špecialistom pri prvotnom skene spravidla niekoľko minút. Stačí, keď si prejdú systémové dáta v zariadení, a po hlbšom skúmaní dokážu nájsť aj stopy, ktoré po sebe zanechali útočníci.

Tak sa stalo aj v tomto prípade, keď na rôznych ruskojazyčných novinárov a aktivistov zrejme útočil jeden a ten istý útočník.

Pegasus, ktorého obeťou sa v posledných rokoch stali novinári aj politici v demokratických, ako aj autokratických krajinách, je extrémne invazívna kyberzbraň. Len v Poľsku bolo obeťou sledovania bývalou vládou vyše 500 ľudí.

Okrem prístupu k vašim fotografiám a celej komunikácii (je jedno, či prebieha cez zašifrovanú end-to-end komunikáciu) dokáže zapnúť aj mikrofón a zmeniť mobil na odpočúvacie zariadenie, ktoré zároveň neustále sleduje vašu polohu.

Bieloruský aktivista, ktorý sa rozhodol radšej zostať v anonymite, bol heknutý okolo 25. marca 2023, keď si demokratická opozícia v Bielorusku pripomína Deň slobody a vyhlásenie nezávislosti Bieloruskej demokratickej republiky v roku 1918.

Izraelsko-ruský novinár Jevgenij Erich, ktorý pracuje pre Rádio slobodná Európa a je producentom Baltic Weekly, bol v čase hekerského útoku na dovolenke v Rakúsku.

A generálna riaditeľka nezávislých ruskojazyčných novín Novaja Gazeta Europe Maria Epifanova podľa zistení špecialistov bola napadnutá krátko po tom, ako vo Vilniuse dostala akreditáciu na tlačovú konferenciu bieloruskej opozičnej líderky Sviatlany Cichanovskej.

Kvantiliani a jeho spolupracovníci sú na základe výskumu presvedčení, že všetci napadnutí novinári a aktivisti boli heknutí tým istým štátnym aktérom. „Každý útok má svoje digitálne stopy, a keďže v tomto prípade sa digitálne dôkazy zhodovali s tými na druhých zariadeniach, došli sme k záveru, že išlo o toho istého útočníka,“ povedal Kvantiliani pre Denník N.

Podľa všetkých dostupných informácií muselo ísť o štátneho aktéra. Pegasus, ktorý vyvinula izraelská firma NSO, sa predáva pod dohľadom izraelského ministerstva obrany a v minulosti dokonca poslúžil ako lukratívny vývozný artikel, ktorý pomohol izraelskej vláde aj pri budovaní diplomatických vzťahov s arabskými krajinami.

Akú zraniteľnosť využili hekeri a kto bol útočník

Experti Access Now a Citizen Lab zistili, že cielené útoky prebehli pomocou tzv. exploitov, teda bezpečnostných dier v zariadeniach, ktoré využívajú hekeri na preniknutie do systémov. V tomto prípade išlo o chyby v HomeKite, kde útočníci po sebe zanechali stopy v podobe e-mailovej adresy Apple ID útočníka.

HomeKit je softvérový protokol, ktorý používateľom umožňuje komunikovať a ovládať inteligentné domáce spotrebiče pomocou zariadení Apple.

Výskumníci nezverejnili krajinu, ktorá by podľa nich mohla stáť za útokom. Poľsko to však zrejme nebolo vzhľadom na to, že nebolo zaznamenané, že by v minulosti cielilo na svoje obete mimo krajiny, a navyše po viacerých škandáloch so sledovaním politikov prestala poľská vláda v roku 2021 používať Pegasus.

Lotyšsko podľa expertov nepoužívalo Pegasus v zahraničí na rozdiel od Estónska. Zároveň nie je známe, že by Rusko, Bielorusko alebo Litva boli klientmi tohto softvéru.

Jednou z napadnutých novinárok bola aj Natalia Radzina, šéfredaktorka bieloruskej webstránky Charter97-org, ktorá mapuje porušovanie ľudských práv v Bielorusku.

„Predtým bol môj telefón nezákonne odpočúvaný v Bielorusku, kde som bola z politických dôvodov prenasledovaná, trestne stíhaná a väznená KGB. Viem, že už veľa rokov môže byť moja absolútne legálna novinárska práca zaujímavá len pre bieloruské a ruské spravodajské služby. A obávam sa len toho, že súčasní operátori [Pegasu], nech je to ktokoľvek, v tejto veci spolupracovali s KGB alebo FSB,“ povedala Radzina pre Meduzu.

Šéfka obľúbeného nezávislého ruského servera Galina Timčenková bola v minulosti tiež napadnutá a sledovaná softvérom Pegasus po tom, ako sa presťahovala do Rigy aj s ďalšími redaktormi z Moskvy. Aj ju napadli hekeri cez zraniteľnosť známu ako PWNYOURHOME, ktorá je zabudovaná vo funkcionalite HomeKit a spravila z iMessage vstup pre špionážny softvér, a to aj v prípade, že ste HomeKit nemali nikdy aktivovaný.

Nemusíte nikde kliknúť. Pegasus sa dostane dnu aj bez toho

Každý klient NSO má rôzny typ licencie na používanie špionážneho softvéru. Niektorí klienti podľa Meduzy môžu útočiť iba vo vlastnej krajine, iní aj v zahraničí.

Používanie softvéru pritom nie je lacná záležitosť. Podľa Apple stoja také útoky milióny dolárov a nemusia fungovať dlho vzhľadom na to, že bezpečnostní experti sa snažia plátať diery v systémoch. Dá sa preto predpokladať, že útočník si veľmi starostlivo vyberá, koho bude sledovať.

Ak sa však rozhodne zaútočiť, je veľmi ťažké mu v tom zabrániť. Hekerský útok totiž prebieha metódou „zero-click”, teda bez toho, aby obeť na niečo musela kliknúť. Útočník však, ako hovorí Kvantiliani, potrebuje vedieť vaše číslo, z čoho vyplývajú aj bezpečnostné opatrenia.

Niektorí experti napríklad odporúčajú pravidelné vypínanie a zapínanie iPhonov, čo však vyrieši problém len čiastočne a iba na istú chvíľu.

Pegasus sa totiž načíta do pamäte telefónu, nie však na disk, ale je uložený len v RAM, ako povedal ruský expert Michail Klimarev pre Nastojaščeje Vremia. „Keď vypnete telefón, tento program zmizne. Dlhá správa od spoločnosti Apple preto obsahovala aj túto radu: urýchlene reštartujte telefón,“ citoval ho ruský portál.

Slabinou softvéru Pegasus skutočne podľa Kvantilianiho je, že ak si reštartujete telefón, prerušíte tým fungovanie sledovacieho programu.

„Pegasus je ako Spotify. Štátna agentúra má niečo ako mesačné predplatné a v závislosti od licencie môže hekovať istý počet telefónov v rovnakom čase,“ rozpráva expert. „A trvanie útoku môže trvať desať minút, týždeň alebo aj mesiac.“

Ak by ste náhodou nakoniec od Apple dostali varovanie, že ste boli heknutý, v tom prípade sa môžete obrátiť na neziskovú organizáciu Access Now, ktorá sa špecializuje na digitálnu bezpečnosť.

Tak ako to urobila aj Galina Timčenko. A to, čo nasledovalo, príjemné nebolo. Okrem povinného checklistu – nové heslo, nové zariadenie, nové Apple ID, nová SIM karta – nasledovali aj veľmi osobné otázky technického riaditeľa Meduzy.

„S akými dokumentmi ste pracovali na iPhone? Aktivovali ste všade dvojfaktorovú autentifikáciu?“ pýtal sa jej kolega Ivan.

„Cítila som sa, akoby ma na námestí vyzliekli donaha. Akoby mi niekto siahol do vrecka. Akoby som bola nejakým spôsobom špinavá. Chcela som si umyť ruky! A potom ma môj partner a najlepší priateľ začal vypočúvať, akoby som všetkých ohrozila. Naozaj to bolelo… Ale na jeho mieste by som žiadala to isté,“ citovala vlastnú šéfku Meduza.