Pegasus Project: forenzička istraga nadzora mobilnih telefona

Objavljen u srpnju 2021., Pegasus Project bio je međunarodni novinarski projekt o mogućoj zloupotrebi špijunskog softvera Pegasus, koji je razvila izraelska kompanija NSO Group. Projekt su koordinirali Forbidden Stories i Amnesty International, a u analizi i objavljivanju sudjelovali su partnerski mediji iz više zemalja.

Istraživanje je otvorilo pitanje kako se komercijalni alati za nadzor koriste protiv novinara, aktivista, političara, odvjetnika i drugih osoba od javnog interesa. Istodobno, njegovi su autori naglašavali važnu granicu: prisutnost telefonskog broja na procurjelom popisu sama po sebi nije dokaz da je uređaj bio zaražen Pegasusom ili da je nadzor uspješno proveden.

Što je bio Pegasus Project?

Projekt se temeljio na analizi baze podataka s više od 50.000 telefonskih brojeva. Prema izvještajima Forbidden Storiesa i Amnesty Internationala, brojevi su bili povezani s državama za koje se vjerovalo da su među klijentima NSO Groupa ili da su koristile njezine tehnologije. U bazi su se nalazili brojevi osoba iz različitih dijelova svijeta, uključujući novinare, članove oporbe, branitelje ljudskih prava, državne dužnosnike i poslovne ljude.

Podaci su zatim podijeljeni s konzorcijem medija. U radu su, među ostalima, sudjelovali The Guardian, The Washington Post, Le Monde, Süddeutsche Zeitung, Die Zeit, Direkt36, OCCRP i Haaretz. Svaki je partnerski tim provjeravao osobe i slučajeve relevantne za svoju zemlju, razgovarao s potencijalnim žrtvama te uspoređivao tehničke nalaze s javno dostupnim informacijama.

Kako su provedene forenzičke provjere?

Amnesty International Security Lab razvio je metodologiju za forenzičku analizu i objavio tehničke smjernice za ispitivanje mobilnih uređaja. Istraživači su tražili tragove koji mogu upućivati na pokušaj instalacije ili korištenje Pegasusa, primjerice neuobičajene zapise u operacijskom sustavu, ostatke procesa, promjene u datotekama i mrežne veze povezane s poznatim infrastrukturama.

Analiza je ovisila o modelu telefona, verziji operacijskog sustava i stanju uređaja. Kod iPhonea su određeni zapisnici sustava mogli pružiti tragove o pokušajima iskorištavanja ranjivosti. Kod Androida su mogućnosti provjere u nekim slučajevima bile ograničenije jer uređaji ne čuvaju uvijek iste vrste podataka ili ih automatski brišu.

Forenzički nalaz zato nije bio jednostavna oznaka „zaražen” ili „nije zaražen”. Istraživači su procjenjivali više pokazatelja, njihovu vremensku podudarnost i pouzdanost. Pozitivan nalaz mogao je snažno poduprijeti zaključak da je uređaj bio meta pokušaja kompromitacije ili da je na njemu ostao trag napada. Izostanak tragova, međutim, nije nužno isključivao raniji napad.

Zašto popis brojeva nije popis potvrđenih žrtava?

Najvažnije ograničenje projekta odnosilo se na značenje samog popisa. Broj telefona u bazi mogao je označavati osobu čiji je uređaj bio odabran za mogući nadzor, ali dostupni podaci nisu za svaki slučaj pokazivali tko je broj odabrao, zašto je odabran ili je li pokušaj nadzora uopće proveden.

• Popis nije bio konačan registar svih osoba koje su bile nadzirane.
• Prisutnost broja nije dokaz uspješne instalacije Pegasusa.
• Broj može pripadati uređaju koji nikada nije bio kompromitiran.
• Forenzička potvrda postojala je samo za dio pregledanih uređaja.
• Javno dostupni podaci nisu u svim slučajevima omogućili utvrđivanje identiteta naručitelja ili operatera.

Zbog toga su Forbidden Stories, Amnesty International i partnerski mediji razlikovali tri razine informacija: podatke o pojavljivanju broja u bazi, neovisne novinarske provjere i tehničke nalaze s konkretnog uređaja. To razlikovanje ključno je za odgovorno izvještavanje.

Što su novinari otkrili?

Partnerske redakcije izvijestile su o brojevima povezanima s novinarima, aktivistima i političkim osobama u više država. Među javno spominjanim osobama bili su francuski predsjednik Emmanuel Macron, članovi njegova osoblja, marokanski novinari i kritičari vlasti, mađarski novinari te članovi obitelji ubijenog saudijskog novinara Jamala Khashoggija. U svakom pojedinačnom slučaju razina potvrde i dostupni tehnički dokazi razlikovali su se.

U nekim su slučajevima forenzičke provjere pronašle tragove koji su Amnesty Internationalu omogućili da zaključi kako je uređaj bio kompromitiran ili da je na njemu zabilježen pokušaj napada. U drugim slučajevima postojala je samo povezanost s procurjelim popisom, bez javno potvrđenog tehničkog nalaza. Te se kategorije ne smiju izjednačavati.

Širi značaj za novinarstvo i demokratski nadzor

Pegasus Project pokazao je kako se tradicionalno novinarstvo, analiza procurjelih podataka i digitalna forenzika mogu povezati u međunarodnoj istrazi. Nijedna redakcija nije mogla sama obuhvatiti sve zemlje, jezike i tehničke detalje, pa je suradnja omogućila usporedbu obrazaca i neovisnu provjeru pojedinačnih nalaza.

Slučaj je također potaknuo rasprave o izvozu tehnologija za nadzor, odgovornosti državnih institucija, zaštiti izvora i sigurnosti mobilnih uređaja. Europske institucije i nacionalna tijela nakon objave projekta razmatrala su pravne i političke posljedice uporabe takvih alata, posebno kada su mete novinari, odvjetnici ili izabrani predstavnici.

Kako čitati nalaze projekta?

Najpouzdanije je razlikovati dokumentirane činjenice od zaključaka koji se temelje na vjerojatnosti. Dokumentirana činjenica može biti rezultat forenzičkog pregleda konkretnog uređaja. Vjerojatnosni zaključak može se odnositi na to da se broj pojavio u bazi ili da se vremenski i tehnički podaci podudaraju s poznatim obrascem napada.

Broj na popisu potencijalnih meta nije isto što i dokaz da je uređaj uspješno kompromitiran.

To ograničenje ne umanjuje javni značaj projekta. Naprotiv, upravo precizno navođenje onoga što je potvrđeno, onoga što je vjerojatno i onoga što nije moguće utvrditi čini istraživanje provjerljivijim. Čitatelji bi trebali obraćati pozornost na izvor tvrdnje, vrstu tehničkog dokaza i formulacije koje koriste autori pojedinog izvještaja.

Izvorne organizacije i korišteni materijali

• Forbidden Stories — koordinator međunarodnog novinarskog projekta i organizacija koja je surađivala s partnerskim redakcijama.
• Amnesty International Security Lab — organizacija koja je provodila i objavila metodologiju digitalne forenzičke analize.
• The Guardian, The Washington Post, Le Monde, Süddeutsche Zeitung, Die Zeit, Direkt36, OCCRP, Haaretz i druge partnerske redakcije — mediji koji su provjeravali i objavljivali nacionalne i tematske priče.
• NSO Group — proizvođač softvera Pegasus, čiji je odgovor na navode projekta također dio javnog izvještavanja o slučaju.

Pegasus Project ostaje važan primjer prekograničnog istraživačkog novinarstva, ali njegove rezultate treba čitati uz metodološke ograde. Najčvršći zaključci proizlaze iz kombinacije dokumenta, razgovora s izvorima i neovisne forenzičke provjere; sam procurjeli popis nije dovoljan za tvrdnju da je svaka navedena osoba bila uspješno nadzirana.

---

Urednička napomena: Ovaj pregled oslanja se na javno dostupno izvještavanje navedene izvorne organizacije. Ne iznosi nove optužbe. Za cjelovit kontekst provjerite izvorni rad i njegove naknadne ispravke.