Pegasus Project: nadzor novinara i aktivista

U srpnju 2021. međunarodni konzorcij novinara objavio je rezultate projekta Pegasus, jedne od najvećih zajedničkih novinarskih istraga o komercijalnom špijunskom softveru. Istragu su koordinirali Forbidden Stories i Amnesty International Security Lab, uz sudjelovanje približno 80 novinara iz 17 medijskih organizacija. Objavljeni nalazi otvorili su pitanja o tome kako države i sigurnosne službe koriste alate za tajni nadzor te kakvu zaštitu imaju novinari, aktivisti, odvjetnici i drugi ljudi čiji je rad povezan s javnim interesom.

Projekt je dobio ime po Pegasusu, proizvodu izraelske tvrtke NSO Group. Riječ je o špijunskom softveru koji može omogućiti pristup podacima na mobilnom telefonu, uključujući komunikaciju, fotografije, lokaciju, mikrofon i kameru. Prema navodima NSO Groupa, Pegasus se prodaje državnim tijelima za istrage teških kaznenih djela i borbu protiv terorizma. Novinarski nalazi, međutim, pokazali su koliko je teško neovisno provjeriti poštuju li korisnici takvih alata zakonska ograničenja i postupke nadzora.

Što je otkrio Pegasus Project

U središtu projekta nalazila se procurjela baza s više od 50.000 telefonskih brojeva. Prema Forbidden Storiesu i Amnesty Internationalu, brojevi su bili povezani s državama za koje se sumnjalo da su klijenti NSO Groupa i mogli su predstavljati mete interesa korisnika sustava. U bazi su se nalazili brojevi novinara, aktivista za ljudska prava, političara, diplomata, odvjetnika i poslovnih ljudi iz više zemalja.

Novinari su potom provjeravali pojedinačne slučajeve i uspoređivali podatke iz baze s javno dostupnim informacijama, telefonskim uređajima i forenzičkim analizama. Amnesty International Security Lab analizirao je uređaje osoba koje su pristale na pregled. U dijelu tih uređaja pronađeni su tragovi koji su bili u skladu s infekcijom Pegasusom ili pokušajem infekcije.

Sama činjenica da se telefonski broj nalazi u procurjeloj bazi ne dokazuje da je uređaj bio zaražen, da je nadzor doista proveden ili da je određena osoba počinila bilo kakvo kazneno djelo.

Kako je provedena forenzička provjera

Amnesty International Security Lab razvio je i javno objavio Mobile Verification Toolkit, poznat kao MVT, za tehničku analizu mobilnih uređaja. Istražitelji su tražili poznate tragove povezane s infrastrukturom Pegasusa, uključujući određene datoteke, domene, procese i zapise u sustavu. Analiza je ovisila o modelu uređaja, operativnom sustavu, dostupnosti sigurnosnih zapisa i stanju telefona u trenutku pregleda.

Kod i metodologiju dodatno su provjeravali stručnjaci za digitalnu sigurnost. Rezultati forenzike mogli su pokazati znakove uspješnog napada, pokušaja instalacije ili komunikacije s infrastrukturom koja se povezivala s Pegasusom. U nekim slučajevima pronađeni su vrlo jaki indikatori, dok je u drugima zaključak morao ostati oprezniji zbog ograničenih ili izbrisanih podataka.

Ograničenja procurjelog popisa

• Popis nije bio popis potvrđenih infekcija.
• Nije bilo moguće za svaki broj utvrditi tko ga je odabrao, zašto je odabran ni je li nadzor ikada pokrenut.
• Jedan broj mogao je biti odabran više puta ili biti povezan s uređajem koji se kasnije promijenio.
• Forenzička potvrda nije bila moguća za svaki telefon, osobito kada uređaj nije bio dostupan ili više nije sadržavao relevantne zapise.
• Prisutnost broja u bazi nije sama po sebi dokaz identiteta osobe koja je koristila telefon u trenutku unosa.

Ta su ograničenja važna za razumijevanje nalaza. Istraživanje nije tvrdilo da je svih 50.000 brojeva predstavljalo uspješno nadzirane uređaje. Snaga projekta proizlazila je iz kombinacije više vrsta dokaza: procurjelog tehničkog skupa podataka, forenzičke analize telefona, dokumentiranih vremenskih podudarnosti i neovisnog novinarskog rada na identifikaciji osoba i institucija.

Novinari i aktivisti među mogućim metama

Partneri projekta izvijestili su o brojevima povezanima s novinarima koji su istraživali korupciju, kršenje ljudskih prava, političku moć i poslovne interese. U pojedinim slučajevima forenzička analiza potvrdila je tragove Pegasusa na uređajima novinara ili osoba bliskih njima. Među javno obrađenim slučajevima bili su novinari i aktivisti iz više država, uključujući Meksiko, Indiju, Mađarsku, Azerbajdžan, Maroko, Ruandu i Saudijsku Arabiju.

Projekt je obuhvatio i slučajeve povezane s političarima, diplomatima i članovima civilnog društva. Ipak, novinarski izvještaji nisu trebali služiti kao zamjena za sudsku odluku ili službenu istragu. Za svaki slučaj potrebno je odvojeno navesti što je potvrđeno tehničkim dokazima, što proizlazi iz dokumenata i što ostaje hipoteza.

Odgovor NSO Groupa

NSO Group odbacio je ključne zaključke projekta. Tvrtka je tvrdila da je popis netočno predstavljen kao popis mogućih meta Pegasusa, da nije riječ o podacima iz njezinih poslužitelja te da odabir telefonskog broja ne znači da je uređaj bio nadziran. NSO Group također je naveo da Pegasus koriste ovlaštene državne institucije za istrage terorizma i teških kaznenih djela te da tvrtka ne upravlja sustavom nakon njegove prodaje.

Tvrtka je istodobno osporila dio metodologije i pojedine interpretacije tehničkih nalaza. Forbidden Stories, Amnesty International i njihovi medijski partneri objavili su odgovore na takve primjedbe te naglasili razliku između popisa odabranih brojeva i forenzički potvrđenih tragova na uređajima. U odgovornom izvještavanju obje su strane važne: tvrdnje istraživača treba provjeravati, a odgovor tvrtke treba prenijeti bez pretvaranja osporavanja u dokaz da su nalazi netočni.

Zašto je slučaj važan za pravo na privatnost

Mobilni telefon danas često sadrži cijelu mrežu osobnih i profesionalnih odnosa. Tajni pristup uređaju može otkriti izvore novinara, kontakte odvjetnika, kretanje aktivista i podatke o obitelji. Kod novinarskog rada posljedice mogu pogoditi i ljude koji nikada nisu bili mete, ali su komunicirali s osobom čiji je uređaj kompromitiran.

Europski standardi zaštite privatnosti zahtijevaju da zadiranje u privatni život bude utemeljeno na zakonu, nužno i razmjerno legitimnom cilju. Posebno osjetljiv položaj imaju novinarski izvori i komunikacije odvjetnika. Komercijalno dostupni alati za nadzor dodatno otežavaju javni nadzor jer se tehničke mogućnosti proizvoda često razvijaju brže od institucija koje bi trebale kontrolirati njihovu uporabu.

Što građani mogu zaključiti iz ovakvih istraga

• Tehnički trag i kontekst slučaja moraju se promatrati zajedno.
• Popis telefonskih brojeva nije isto što i popis potvrđenih žrtava.
• Neovisna forenzika može pomoći, ali ne uklanja sva ograničenja digitalnih dokaza.
• Tvrdnje državnih tijela, tehnoloških tvrtki i istraživačkih novinara treba međusobno uspoređivati.
• Zaštita novinarskih izvora i neovisni nadzor nad tajnim mjerama ključni su za demokratsko društvo.

Izvori i metodološka osnova

Glavni izvori za ovaj sažetak su projekt Pegasus koji je koordinirao Forbidden Stories, tehnički izvještaji Amnesty International Security Laba i Mobile Verification Toolkit, kao i izvještaji partnerskih medija među kojima su The Guardian, The Washington Post, Le Monde, Süddeutsche Zeitung, Die Zeit, Direkt36, Haaretz, Proceso, Aristegui Noticias, The Wire, Radio France i drugi članovi konzorcija. Za razumijevanje odgovora proizvođača uzeti su u obzir javna očitovanja NSO Groupa objavljena tijekom 2021. godine.

Pegasus Project pokazao je kako se međunarodna suradnja novinara, tehnička analiza i zaštita izvora mogu spojiti u istraživanju koje prelazi granice pojedine države. Njegov najvažniji zaključak nije da svaki zapis u procurjeloj bazi predstavlja dokaz nadzora, nego da uporaba iznimno moćnih alata mora biti podložna provjerljivim pravilima, neovisnom nadzoru i odgovornosti prema javnosti.