WhatsAppov šef svari: Če je ranljiv en telefon, so ranljivi vsi

Will Cathcart je razkril nove podrobnosti, povezane s Pegaususom in s poročili o velikem uhajanju podatkov, ki so te dni v središču pozornosti svetovne javnosti. Ob tem je opozoril na podobnosti med napadom, ki je zdaj predmet WhatsAppove tožbe proti izraelskemu podjetju NSO Group.

Med 1400 uporabniki WhatsAppa so z NSO-jevo programsko opremo pred dvema letoma vohunili tudi za številnimi posamezniki na visokih položajih na področju nacionalne varnosti določenih držav, ki so bile "zaveznice Združenih držav Amerike", je izjavil glavni izvršni direktor omenjene pogovorne aplikacije.

(Ne)smiseln nadzor

Vohunski program Pegasus, ki ga je ustvarilo izraelsko podjetje in ga prodajalo predvsem vladam, je izkoristil varnostne luknje v programski opremi pametnih telefonov, da se je dokopal do informacij. V razkriti dokumentaciji so svetovni mediji odkrili več kot 50.000 telefonskih številk, ki so jih povezali s programom.

Kot je Cathcart dejal v pogovoru za Guardian, se ta poročila ujemajo z napadom, s katerim se je WhatAapp soočil pred dvema letoma – takrat so odkrili, da so bili poleg visokih vladnih uradnikov tarča še novinarji in aktivisti, pa tudi taki, pri katerih nadzor "ni bil smiseln na noben način in v nobeni obliki". "To bi moral biti rdeči alarm za spletno varnost ... mobilni telefoni so bodisi varni za vse ali pa niso varni za nikogar," je opozoril v pogovoru z novinarko Stephanie Kirchgaessner, ki je bila prav tako članica Pegasusove raziskovalne medijske skupine.

50.000 številk pretiravanje ali povsem realna ocena?

Ko je Pegasus okužil telefon, so NSO-jeve stranke od leta 2016 lahko pridobivale dostop do posameznikovih pogovorov, sporočil, slik in lokacij ter omogočile tudi vdor v snemalnik naprave, ki je tako lahko postal prenosna prisluškovalna naprava.

Med drugim so bile na seznamu, ki ga je razkrila raziskovalna skupina, novinarji, številke predsednikov Francije, Iraka, Južne Afrike, premierjev Maroka, Pakistana in Egipta, dubajskih princes Latife in Haye Bint al-Hussain. Skupno so med lastniki analiziranih telefonskih številk uspeli potrditi identiteto tisoč znanih oziroma vplivnih imen – 65 poslovnežev, 85 aktivistov, 189 novinarjev in več kot 600 ljudi iz sveta politike, diplomacije, nacionalne varnosti, policije in vojske.

Pojav telefonske številke na seznamu sicer ne pomeni avtomatično, da je ta res postala predmet poskusa ali uspešnega vdora – NSO Group je v odzivu denimo sporočil, da francoski predsednik Emmanuel Macron ni bil 'tarča' nobene od njihovih strank. Ob tem so zatrdili, da omenjeno razkritje podatkov za podjetje nima nobenega pomena, projekt Pegasus pa so označili za "polnega napačnih predpostavk in nepotrjeni domnev". Zanikali so, da objavljeni podatki predstavljajo tiste, ki so bili tarča nadzora z njihovo programsko opremo in število 50.000 označili za "pretiravanje".

Cathcart pa odgovarja, da ni nujno, da gre res za pretiravanje, saj je napad na WhatsAppove uporabnike v zgolj dveh tednih zajel 1400 ljudi. "To nam pove, da je število tarč v daljšem času, v večletnem obdobju, lahko zelo visoko," je opozoril. Pri WhatsAppu so leta 2019 ugotovili, da je NSO-jev server poskušal ali celo uspel namestiti zlonamerno programsko opremo na telefone njihovih uporabnikov. Napadalci so za vdor v telefone izkoristili funkcijo glasovnega klicanja. Zlonamerna programska oprema je bila na telefon nameščena, tudi če žrtev klica ni prevzela, sam klic pa pogosto niti ni bil zabeležen.

Zato so proti Izraelcem vložili tožbo, Cathcart pa je dejal, da so o dogodku obvestili tudi vlade po svetu. Pohvalil je tudi nedavno ravnanje Microsofta in drugih v tehnološki industriji, ki so začeli glasneje opozarjati na nevarnost zlorabe, okrcal pa Apple, češ da so njihovi telefoni še vedno preveč ranljivi.

'Ali je varen vsak telefon ali pa noben'

"Pridružite se, bodite glasni. Ni dovolj reči, da večini uporabnikov ni treba skrbeti, da je šlo le za nekaj tisoč žrtev. Če to vpliva na novinarje in borce za človekove pravice po svetu, vpliva na vse nas. Če od nekoga telefon ni varen, to pomeni, da ni varen nikogaršnji telefon," je ponovil. Vlade po svetu pa je pozval, naj oblikujejo zakonodaje tako, da bodo odgovarjali tudi izdelovalci, ki vohunsko programsko opremo ustvarijo.

NSO Group je sicer programsko tehniko prodajal prav vladam, kot zatrjujejo, pa pogodba njihove stranke zavezuje, da nadzor uporabljajo "le za boj proti kriminalu in terorizmu".  Vse očitke o vpletenosti v afero zavračajo kot lažne in menijo, da sami niso naredili nič narobe.