Kivédhetetlen megfigyelőeszköz kerülhetett a Szlovák Titkosszolgálat birtokába, feltehetően a Pegasusról van szó
Rendkívüli riportsorozat, különleges interjúkötet az Orbán-rezsim 16 évéről, háttércikkek és hírmagyarázatok magyarul és szlovákul. A Napunk nagyszabású tervekkel vág neki a jövő évi magyarországi választások kampányának, most van szükségünk a támogatásodra!
Szlovákiában már nem létezik olyan, hogy biztonságos mobil – ha valaki el akar titkolni valamit, akkor a telefonját el kell felejtenie.
A Szlovák Titkosszolgálat (SIS) és az állam más biztonsági szervei a negyedik Fico-kormány alatt valószínűleg megszerezték a „totális penetráció” képességét, ami azt jelenti, hogy gyakorlatilag bármilyen mobilt és még néhány más elektronikus eszközt is fel tudnak törni.
A Denník N számára ezt négy különböző, a biztonsági közösségből származó forrás erősítette meg. A források szerint a szlovák állami szervek csak nemrég vették meg azt az eszközt, amellyel a mikrofonokat, kamerákat, de mobiltelefon-kijelzőket is meg tudnak figyelni, valamint a chatalkalmazások tartalmát letölteni, beleértve a tikosítottakat is.
A források leginkább a megosztó izraeli Pegasust emlegetik.
Kedden erre Juraj Krúpa SaS-képviselő is utalt. „Itt a Szlovák Titkosszolgálat, amelynek kibővítették a hatáskörét, már bírói végzés nélkül is megkezdheti lehallgatni az embereket, ezen felül azonban nem olyan rég még új rendszereket is vettek, amellyel telefonokat és elektronikus eszközöket tudnak feltörni” – mondta Krúpa az iskolai bombariadók és a rendőri testületben uralkodó problémák kapcsán tartott sajtótájékoztatón.
A képviselő nem árult el sok részletet. Juraj Krúpa jól tájékozott a szlovákiai biztonsági közösségben zajló eseményekről, korábban a parlament védelmi és biztonsági bizottságának elnöke volt és most is a tagja. Ezen kívül pedig a Katonai Hírszerzés ellenőrzési választmánynak is a tagja.
A titkosított alkalmazások sem védenek meg
A Denník N egyik forrása azt is elmondta, hogy a rendszert szeptembertől már élesben futtatják.
Ha valóban a Pegasus rendszerről van szó, az egy óriási fordulópontot jelentene mások megfigyelésének a képességében. A szlovák titkosszolgálatok, illetve a rendőrség kezébe egy olyan lehallgató rendszer jutna, amely korábban bírói végzést igényelt. Ha más elektronikus kommunikációról lenne szó, a titkosszolgálatoknak nehezebb dolguk lenne, ha nem lenne hozzáférésük a megfigyelt személy mobiljához.
„Kívülről” egyszerűen nem tudtak hozzáférni a titkosított alkalmazásokon keresztül küldött üzentekhez, mint a Signal. Az alkalmazáson belül zajló kommunikációt ugyanis semmilyen szerveren nem tárolják és nagyon jól titkosítják.
Az, hogy hány mobilt és eszközt tud figyelni a Pegasus, nincs korlátozva és csak attól függ, mennyit fizetnek a rendszert szolgáltató cégnek. Tehát több tucatnyi, de több száz telefonról is szó lehet, a Pegasus ellen pedig majdhogynem lehetetlen védekezni.
A Pegasus által elkövetett támadások ugyanakkor nagyon költségesek, az államnak akár több millió eurójába is kerülhetnek. Egy mobil lehallgatása több tízezer euróba kerülhet.
Tekintve, hogy az SIS titkosított üzemmódban dolgozik és nem tájékoztat a hírszerzési eszközeiről, nem lehet függetlenül ellenőrizni, hogy használja-e a Pegasust, vagy más hozzá hasonló szoftvert.
A Szlovák Titkosszolgálat nem is erősítette meg és nem is cáfolta a rendszert illető kérdéseket. „A hírszerzési módszerek, formák és eszközök, az információs-technikai eszközöket beleértve minősített információk. Emiatt törvényes akadálya van annak, hogy bármilyen információval is szolgáljunk ebben az ügyben” – válaszolta a SIS szóvívője, Zuzana Morávková.
Matúš Šutaj Eštok belügyminiszter szerdán kijelentette, hogy nincsenek információi egy ilyen szoftver megvásárlásáról, valamint kétségbe vonta azt, hogy igazak lennének a sajtóban megjelent ehhez kapcsolódó hírek.
Mi az a Pegasus és hogyan képes egy mobilt lehallgató berendezéssé változtatni
A Pegasus egy kémszoftver, amelyet az izraeli NSO Group fejlesztett ki. A cég Tel-Avivban székel, ahonnan számos sikeres technológiai start-up származik.
Izraelben a kormány, pontosabban a védelmi minisztérium dönti el, hogy ki férhet hozzá a szoftverhez. A múltban például megakadályozta, hogy Ukrajna megvásárolja, mert félt Oroszország reakciójától.
A szoftver azért veszélyes, mert az újabb változatai anélkül is megfertőzhetik a telefont, hogy az áldozat bármilyen hibát követne el. Elég egy egyszerű sms, vagy egy WhatsApp-üzenet, amelyeket bizonyos esetekben még csak meg sem kell nyitni.
A Pegasus ezután hozzáférhet a fényképekhez és az áldozat összes kommunikációjához, beleértve a titkosítottakat is. Képes lemásolni a fájlokat és a képeket, a legrosszabb azonban az, hogy egy pillanat alatt lehallgatóeszközzé válhat, hiszen hozzáférhet a diktafonhoz. Ezen kívül pedig az áldozat mozgását is képes követni.
Mit tárt fel a nagy vizsgálat
A Pegasusra először 2021 júliusában figyelt fel a nyilvánosság, miután egy nagy médiumok csoportja által írt tényfeltáró cikk került róla nyilvánosságra. A cikken olyan médiumok dolgoztak, mint a Washington Post, a Die Zeit, vagy a The Guardian. Kiderítették, hogy a hackertámadások potenciális céljainak listáján egészen 50 ezer telefonszám volt.
A lehetséges áldozatok között több száz politikus is volt, beleértve Emmanuel Macron francia elnököt is.
Ezzel az eszközzel törték fel például az Orbán Viktor kormányát bírálók, vagy a lengyel ellenzéki politikusok telefonjait is, akik kritikusak voltak Jaroslaw Kaczynskival, és az akkori PiS kormánypárttal szemben.
A Pegasust eredetileg súlyos bűncselekmények és a terrortámadások felderítésére fejlesztették ki. A probléma az, hogy számos kormány a szoftvert a szélsőségesek elleni harcra hivatkozva az ellenfelei megfigyelésére használhatja fel.
A meghekkelt újságírók és politikusok híre megnyitotta a kiberbiztonság és a technológiai óriások felelősségének témáját is. Amerikai médiumok arról számoltak be, hogy leginkább az Apple telefonjai voltak kitéve veszélynek. A bizonyítottan Pegasus által megfertőzött 37 telefonból 34 ilyen márkájú volt.
A Washington Post szerint ez a szoftver jelentős veszélyforrás a demokráciára az egész világon. A megfigyelt újságírók nem gyűjthetnek biztonságosan információkat, az ellenzéki politikusok nem dolgozhatnak hatékonyan, a jogvédő aktivisták számára pedig gyakran ellehetetleníti, hogy eljussanak a legkiszolgáltatottabb csoportokhoz.
Az Európai Parlament ezt követően 2022-ben egy speciális vizsgálóbizottságot állított fel a Pegasus és a hozzá hasonló eszközök felhasználásának kivizsgálására. Egy év után egy zárójelentést tettek közzé, amelyben az EP-képviselők elítélték a lengyelországi és magyarországi jogsértéseket.
Figyelmeztetésként az izraeli események is szolgálhatnak, ahol a Pegasust kifejlesztették – az izraeli média kiderítette, hogy a rendőrség a saját polgárai ellen használta a szoftvert, beleértve polgármestereket és Benjamin Netanjahu kormányfő bírálóit. Paradox módon az izraeli rendőrség a kormányfő fiát, Avner Netanjahut is lehallgatta.
Nálunk leginkább a Smer emberei felügyelik a lehallgatásokat
Szlovákiában a biztonsági szervek kétféleképpen hallgathatnak le embereket.
Az első a büntetőeljárás során történő lehallgatás, amelyet a büntetőeljárásról szóló törvény szabályoz. Eszerint a törvény szerint lehallgatásra csak az előzetes döntéshozó bíró adhat ki végzést. Sürgős esetekben az ügyész is megteheti, de a bírónak 24 órán belül meg kell erősítenie a végzést. A lehallgatást ezután az illetékes rendőrkapitányság hajtja végre. „Bírói végzés nélkül a rendőrkapitányság a kisujját sem mozdítja meg” – magyarázza Ľubomír Daňko, a NAKA volt igazgatója, aki jelenleg a Zastavme Korupciu Alapítványnál dolgozik.
A lehallgatás második típusát a 2003. évi lehallgatás elleni védelemről szóló törvény szabályozza, amely az úgynevezett nem eljárási jellegű, „operatív” lehallgatás. A hatóságok itt is csak a bíróság engedélyével, de legfeljebb hat hónapig hallgathatnak le valakit. Kivételt képeznek a kritikus helyzetek, amikor az ügy „nem tűr halasztást”. Ilyen esetekben az állami hatóságok végzés nélkül is lehallgathatnak, de egy órán belül a bíróhoz kell fordulniuk, és a bírónak jóvá kell hagynia az intézkedést.
A lehallgatást eszerint a törvény szerint öt szerv végezhet – a rendőrség, a Szlovák Titkosszolgálat, a katonai hírszerzés, a Börtön- és Igazságügyi Őrök Testülete és a Vámhivatal.
A rendőrség a belügyminisztériumhoz tartozik, amelynek élén Ľubomír Solák, Matúš Šutaj Eštok (Hlas) jelöltje áll. Az SIS új igazgatója pedig Pavol Gašpar, Tibor Gašpar (Smer) parlamenti alelnök fia. A katonai hírszerzést a múlt évtől Juraj Štefanka vezeti, akit Robert Kaliňák (Smer) védelmi miniszter nevezett ki. A Börtön- és Igazságügyi Őrök Testületének élén Ľubomír Klištinec, Boris Susko (Smer) igazságügyi miniszter jelöltje áll. Az adóhatóságot múlt év végétől Jozef Kiss vezeti, aki Ladislav Kamenický (Smer) pénzügyminiszter alá tartozik.
A kormánykoalíció pedig idén jelezte, hogy a készülőfélben lévő módosítással bizonyos esetekben fel akarja jogosítani a titkosszolgálatot arra, hogy bírói végzés nélkül is lehallgathasson embereket.
Pavol Gašpar azután, hogy az államfő kinevezte, kijelentette, hogy: „Megértem, hogy az ellenzéki képviselők pánikolnak, de ezt nem fogom kommentálni.”
Tibor Gašpart azzal vádolják, hogy politikai célokra élt vissza a rendőrséggel.
Magyarországi újságírókat, a lengyel ellenzéket és közel-keleti újságírókat is lehallgattak vele
A Pegasus gyártói még a szoftverrel való visszaélésekről szóló vizsgálati jelentések után is kitartottak amellett, hogy fontos számukra a demokrácia, és elutasítják a civil társadalom elleni támadásokat. Csakhogy az emberi jogi szervezetek élesen bírálják őket, és a vállalatot azóta az Egyesült Államok is felvette a szankciós listájára. Az izraeli szoftver ügyfelei között több autokratikus rezsim, köztük Azerbajdzsán és Bahrein, valamint Ruanda is megtalálható.
Izrael például több arab országnak is eladta az eszközt, ami lehetővé tette számára, hogy elmélyítse velük a kapcsolatokat. Fő ügyfelei közé tartozott az Egyesült Arab Emírségek és Szaúd-Arábia is.
A megfigyelés lehetséges áldozatai között volt Imran Khan pakisztáni miniszterelnök és VI. Mohamed marokkói király is. Ugyanakkor kiderült, hogy a szaúdi rezsim által meggyilkolt, köztiszteletben álló újságíró, Dzsamál Hasogdzsi környezetéből is megfigyeltek embereket a Pegasuson keresztül.
Az NSO Group tisztviselői „megalapozatlannak” és „túlzottnak” minősítették a vizsgálat megállapításait.
Szlovákiában leginkább Panyi Szabolcs magyarországi tényfeltáró újságíró esete vált ismertté, aki kritikusan írt az Orbán-kormány Oroszországhoz fűződő kapcsolatáról. Néhány nappal azután törték fel a telefonját, hogy hivatalos nyilatkozatot kért az állami hivataloktól. “Azt gyanítom, hogy ez arra vezette őket, hogy kiderítsék, pontosan miről írok, és mi mindent tudok” – mondta később a Denník N-nek.
Később az egyik fideszes képviselő megerősítette, hogy a magyar kormány tényleg használta a Pegasust.
A szoftverrel Jarosław Kaczyńskit és PiS pártját kritizáló lengyelországi ellenzéki politikusokat is lehallgatták, köztük a jelenlegi európai parlamenti képviselő, Krysztof Brejza környezetében lévőket. Ez a botrány 2021-ben jelentős csorbát ejtett Mateusz Morawiecki kormányának népszerűségén.
Spanyolországban is sok szó esett a Pegasus rendszerről. Magas rangú katalán politikusok azt állították, hogy a kormány kémkedik utánuk. A paradoxon az, hogy valaki ugyanakkor a spanyol miniszterelnököt, Pedro Sánchezt is lehallgatta. A gyanú a Spanyolországgal diplomáciai vitában álló marokkói képviselőkre terelődött, ezt a verziót azonban nem sikerült megerősíteni.
Hogyan lehet védekezni
A Pegasus eszközzel való néhány éves küzdelem után a szakértők szerint most már meg lehet állapítani, hogy egy mobiltelefon fertőzött-e. A szakértők perceken belül azonosítani tudják.
Nikolai Kvantiliani digitális biztonsági szakértő júliusban a Denník N számára összefoglalt néhány tippet a támadók munkájának megnehezítésére: mindig az operációs rendszer legfrissebb verzióját kell használni, be kell kapcsolni az úgynevezett speciális lockdown üzemmódot, az Apple-eszközökön ki kell kapcsolni az iMessage-et, a magánjellegű kommunikációhoz pedig egy speciális eszközt kell használni, aminek a telefonszámát senki sem ismeri.
Pavol Lupták, a Nethemba etikus hackere és IT-biztonsági szakértője elmagyarázza, hogyan jut az NSO Group a mobiltelefonok és számítógépek feltörésének képességéhez. A fekete, vagy szabályozatlan piacon úgynevezett „nulladik napi” biztonsági réseket vásárol hackerektől különböző operációs rendszerű készülékekhez. A „nulladik napi” sebezhetőség olyan sebezhetőség, amely még nem vált nyilvánosan ismertté, így gyakran még az olyan vállalatok, mint a Microsoft, az Apple, vagy a Google sem fejlesztettek biztonsági frissítéseket ellene.
Az NSO megvásárolja az ilyen sebezhetőségeket, beépíti a rendszereibe, és ezeket eladja a titkosszolgálatoknak. Lupták szerint az olyan eszközöknek, amelyek képesek kihasználni a kritikus nulladik napi sebezhetőségeket olyan készülékeken, mint például az iPhone, hatalmas lehet a piaci értékük – akár több millió eurót is érhetnek. A legveszélyesebb és a feketepiacon legnagyobb értékű eszközök az úgynevezett „zero click” eszközök, amelyek anélkül vehetik át az irányítást a készülék felett, hogy a felhasználó bármilyen aktív lépést tenne. Például elég, ha egy chatalkalmazáson keresztül kap egy üzenetet, és még csak meg sem kell nyitnia azt.
„A legtöbb nulladik napi sebezhetőség a legszélesebb körben használt rendszereken – a Windowson – található, a legkevesebb pedig a Linuxon. Csupán a Linuxra való váltással növelhető a biztonság az ilyen eszközökkel szemben” – mondja Lupták.
A mobiltelefonok közül az etikus hacker a Graphene OS-t használó Google Pixel készülékeket tartja a legbiztonságosabbnak. Elmondása szerint minél régebbi frissítésekkel rendelkező telefonról van szó, annál sebezhetőbb.
Lupták felhívja a figyelmet arra, hogy létezik egy olyan eszköz is, amely képes felfedni a Pegasust egy feltört telefonban.
Pavol Lupták etikus hacker egy másik aggodalmat is megemlít, mivel az NSO Group elsősorban diktatúrák titkosszolgálatainak adja el a Pegasust: „Nem látok alapvető különbséget aközött, hogy az SIS megvenné a Pegasust, vagy hogy az ISIS-től vagy egy ISIS-szel üzletelő cégtől venne fegyvereket”. Lupták szerint ez egy „véres szoftver”.
Filip Orsolya fordítása
