Miro Kern
Tomáš Čorej
Bezpečný mobil na Slovensku už neexistuje, a ak chce niekto niečo utajiť, musí sa pohybovať bez svojho telefónu.
Slovenská informačná služba a možno aj ďalšie bezpečnostné zložky štátu za štvrtej vlády Roberta Fica zrejme získali schopnosť „totálnej penetrácie“, teda úplného ovládnutia v podstate akéhokoľvek mobilného telefónu a aj niektorých ďalších elektronických zariadení.
Denníku N to potvrdili štyri rôzne zdroje s väzbami na bezpečnostnú komunitu. Slovenské štátne orgány podľa ľudí z tohto prostredia iba nedávno kúpili nástroj na sledovanie mikrofónov, kamier aj displejov mobilných telefónov a na sťahovanie obsahu všetkých komunikačných aplikácií vrátane šifrovaných.
Tieto zdroje hovoria hlavne o kontroverznom izraelskom IT riešení Pegasus.
V utorok to naznačil aj poslanec SaS Juraj Krúpa. „Máme tu Slovenskú informačnú službu (SIS), ktorej boli posilnené kompetencie, môže začať odpočúvať bez rozhodnutia súdu, dokonca si prednedávnom, pred nejakým časom, obstarali nové systémy, ktorými sa vedia nabúravať do telefónov, do elektronických zariadení, ktoré postupne spúšťajú,“ povedal Krúpa na tlačovke k problémom v polícii a k bombovým vyhrážkam školám.
Viac detailov poslanec SaS nepovedal. Juraj Krúpa má roky dobré informácie ohľadom slovenskej bezpečnostnej komunity, ide o bývalého predsedu parlamentného výboru pre obranu a bezpečnosť a jeho členom je aj teraz. Je zároveň členom výboru na kontrolu Vojenského spravodajstva.
Neochránia vás ani šifrované aplikácie
Jeden zo zdrojov Denníku N dokonca povedal, že systém od septembra prešiel z testovacej do plnej prevádzky.
Ak by naozaj išlo o systém Pegasus, bol by to zásadný prielom v schopnosti sledovať ľudí. Slovenské tajné služby či polícia dokázali odpočúvať telefonické hovory a čítať SMS správy prostredníctvom odpočúvacieho systému, ktorý podliehal súhlasu súdu. Pokiaľ by išlo o inú elektronickú komunikáciu, tajné služby by to mali zložitejšie, ak by nemali k dispozícii mobil sledovanej osoby.
„Zvonku“ sa nevedeli jednoducho dostať ku komunikácii cez kryptované aplikácie, akými je napríklad Signal. Táto komunikácia sa totiž neukladá na žiadnych serveroch a je veľmi dobre šifrovaná.
Koľko mobilov či iných zariadení Pegasus dokáže sledovať nie je obmedzené a záleží len na tom, koľko sa dodávateľskej firme zaplatí. Mohlo by teda ísť o desiatky, ale aj stovky mobilov a obrana proti systému Pegasus je veľmi obmedzená, i keď nie nemožná.
Útoky cez Pegasus sú pritom mimoriadne nákladné, niektoré z nich môžu stáť milióny eur. Odpočúvanie jedného mobilu môže stáť aj desaťtisíce eur.
Keďže SIS pracuje v utajenom režime a zásadne neinformuje o svojich spravodajských prostriedkoch, nie je možné nezávisle overiť, či systémom Pegasus alebo podobným softvérom disponuje.
Slovenská informačná služba otázky k systému nepotvrdila ani nevyvrátila. „Metódy, formy a prostriedky spravodajskej činnosti vrátane informačno-technických prostriedkov sú utajovanou skutočnosťou. Z uvedeného dôvodu nie je možné vzhľadom na existenciu zákonnej prekážky poskytovať v tejto veci akékoľvek informácie,“ odpísala jej hovorkyňa Zuzana Morávková.
Čo je Pegasus a ako vie zmeniť mobil na odpočúvacie zariadenie
Pegasus je špionážny softvér, ktorý vyvinula izraelská spoločnosť NSO Group. Ide o firmu zo severného Tel Avivu, kde je známe sídlo viacerých úspešných technologických startupov.
Rozhodnutie, kto bude mať prístup k sofistikovanému softvéru, je v Izraeli politické – licencie na jeho predaj schvaľuje izraelské ministerstvo obrany. V minulosti napríklad zabránilo tomu, aby si ho zakúpila Ukrajina, pretože sa obávalo reakcie Ruska.
Tento softvér je nebezpečný v tom, že jeho novšie verzie sa do telefónu môžu dostať bez toho, aby obeť urobila akúkoľvek chybu. Stačí obyčajná SMS správa či správa cez aplikáciu WhatsApp, ktorú si v niektorých prípadoch ani nie je potrebné otvoriť.
Pegasus následne môže získať prístup k fotografiám a k celej komunikácii obete vrátane správ zo zašifrovaných aplikácií. Dokáže si kopírovať súbory aj fotografie, najnebezpečnejšie však je, že sa vie bleskovo zmeniť na odpočúvacie zariadenie, keďže vie získať prístup k mikrofónu. Zároveň má schopnosť neustále zaznamenávať polohu.
Čo odhalila veľká investigatíva
Pegasus prvýkrát upútal celosvetovú pozornosť v júli 2021 po investigatívnom článku skupiny veľkých médií, medzi ktorými bol aj americký denník Washington Post, nemecký Die Zeit či britský The Guardian. Vtedy sa ukázalo, že na zozname potenciálnych cieľov hackerských útokov bolo až 50-tisíc telefónnych čísel.
Medzi možnými obeťami boli aj stovky politikov vrátane francúzskeho prezidenta Emmanuela Macrona.
Cez tento nástroj hackli napríklad aj telefón kritikov vlády Viktora Orbána, či aj opozičných politikov v Poľsku, ktorí boli kritickí k Jarosławovi Kaczyńskému a jeho vtedy vládnej strane PiS.
Pegasus mal pôvodne slúžiť na odkrývanie závažnej kriminality a teroristických útokov. Problémom je, že mnohé vlády ho pod zámienkou boja proti extrémizmu môžu zneužívať na sledovanie svojich oponentov.
Správa o hacknutých novinároch či politikoch otvorila tému kybernetickej bezpečnosti aj zodpovednosti technologických gigantov. Americké médiá písali, že ako zraniteľné sa ukázali predovšetkým telefóny od spoločnosti Apple. Tie tvorili až 34 z 37 zariadení, do ktorých preukázateľne prenikol Pegasus.
Ako napísal denník Washington Post, podľa kritikov je tento softvér významnou hrozbou pre demokracie na celom svete. Sledovaní novinári nemôžu bezpečne zbierať citlivé informácie, opoziční politici sa nemôžu efektívne koordinovať a ľudskoprávni aktivisti často prichádzajú o možnosť spolupracovať s najzraniteľnejšími ľuďmi.
Európsky parlament následne v roku 2022 zriadil špeciálny vyšetrovací výbor pre využívanie systému Pegasus a podobných nástrojov. Po roku prijal záverečnú správu, pričom europoslanci odsúdili porušovanie práva v Poľsku a Maďarsku.
Varovaním by mohlo byť aj dianie v Izraeli, kde Pegasus vyvinuli – izraelské médiá zistili, že polícia softvér využívala proti vlastným občanom vrátane starostov a kritikov premiéra Benjamina Netanjahua. Paradoxom je, že izraelská polícia odpočúvala aj premiérovho syna Avnera Netanjahua.
Kto má pod sebou odpočúvania na Slovensku – najmä ľudia Smeru
Odpočúvanie môžu bezpečnostné zložky na Slovensku robiť dvomi spôsobmi.
Tým prvým je odpočúvanie v trestnom konaní, ktoré upravuje Trestný poriadok. Príkaz na odpočúvanie podľa neho môže vydať len sudca pre prípravné konanie. V neodkladných prípadoch to môže urobiť aj prokurátor, ale do 24 hodín tento príkaz musí potvrdiť aj sudca. Samotné odpočúvanie potom vykonáva príslušný útvar policajného zboru. „Bez príkazu sudcu sa s vami policajný útvar ani nebude baviť,“ vysvetľuje bývalý riaditeľ NAKA Ľubomír Daňko, ktorý dnes pôsobí v nadácii Zastavme korupciu.
Druhý spôsob odpočúvania upravuje zákon o ochrane pred odpočúvaním z roku 2003. Ide o takzvané neprocesné „operatívne“ odpočúvanie. Aj v tomto prípade môžu orgány odpočúvať iba so súhlasom súdu, najviac však šesť mesiacov. Jednou výnimkou sú kritické situácie, v ktorých vec „neznesie odklad“. V takom prípade môžu štátne orgány odpočúvať bez akéhokoľvek príkazu, avšak do jednej hodiny sa musia obrátiť na sudcu a ten musí akciu odsúhlasiť.
Právo odpočúvať má podľa tohto zákona päť orgánov – Policajný zbor, Slovenská informačná služba, Vojenské spravodajstvo, Zbor väzenskej a justičnej stráže a Colná správa.
Policajný zbor spadá pod ministerstvo vnútra, na ktorého čele je Ľubomír Solák, nominant Matúša Šutaja Eštoka (Hlas). Novým riaditeľom SIS je zase Pavol Gašpar, syn podpredsedu parlamentu Tibora Gašpara (Smer). Vojenské spravodajstvo vedie od minulého roka Juraj Štefanka, ktorého do funkcie vymenoval minister obrany zo Smeru Robert Kaliňák. Na čele Zboru väzenskej a justičnej stráže je Ľubomír Klištinec, nominant ministra spravodlivosti Borisa Suska (Smer). Šéfom daniarov je od konca minulého roka Jozef Kiss, ktorý patrí pod ministra financií Ladislava Kamenického (Smer).
Vládna koalícia pritom tento rok avizovala, že by pripravovanou novelou v určitých prípadoch chcela dať spravodajskej službe právomoc odpočúvať aj bez súhlasu sudcu.
Pavol Gašpar po tom, ako ho prezident vymenoval do funkcie, vyhlásil: „Paniku opozičných poslancov chápem, no nebudem ju komentovať.“
Tibor Gašpar je obžalovaný z toho, že zneužíval políciu na politické ciele.
Odpočúvali maďarských novinárov, poľskú opozíciu aj novinárov na Blízkom východe
Výrobcovia nástroja Pegasus aj po investigatívnych správach o zneužívaní tohto softvéru trvali na tom, že im záleží na demokracii a odmietajú útoky proti občianskej spoločnosti. Lenže od ľudskoprávnych organizácií čelia ostrej kritike – a na sankčný zoznam spoločnosť medzičasom zaradili aj Spojené štáty. Medzi klientov izraelského softvéru patrí aj viacero autokratických režimov vrátane Azerbajdžanu a Bahrajnu či Rwandy.
Izrael poskytol hackerský nástroj napríklad aj viacerým arabským krajinám, vďaka čomu s nimi začal prehlbovať vzťahy. Medzi jeho významných klientov patrili Spojené arabské emiráty aj Saudská Arábia.
Medzi možnými obeťami sledovania boli aj pakistanský premiér Imran Chán či marocký kráľ Mohammed VI. Zároveň sa ukázalo, že cez Pegasus sledovali ľudí z okolia rešpektovaného novinára Džamála Chášukdžího, ktorého následne zavraždil saudskoarabský režim.
Predstavitelia NSO Group označili závery rozsiahlej investigatívy za „neopodstatnené“ a „prehnané“.
U nás najviac zarezonovala správa o hacknutom telefóne maďarského investigatívneho reportéra Szabolcsa Panyiho, ktorý písal kriticky o prepojení vlády Viktora Orbána na Rusko. Hackli ho len niekoľko dní po tom, čo kontaktoval štátne úrady so žiadosťami o oficiálne stanovisko. „Moje podozrenie je, že ich to viedlo k tomu, aby si zistili, o čom presne píšem a čo všetko viem,“ povedal neskôr pre Denník N.
Neskôr aj jeden z poslancov Orbánovho Fideszu potvrdil, že maďarská vláda naozaj využívala Pegasus.
Hackerským softvérom odpočúvali aj opozičných politikov v Poľsku, ktorí boli kritickí k Jarosławovi Kaczyńskému a jeho strane PiS, vrátane okolia súčasného europoslanca Krysztofa Brejzu. V roku 2021 tento škandál výrazne otriasol popularitou vlády Mateusza Morawieczkého.
Veľa sa o systéme Pegasus hovorilo aj v Španielsku. Vysokopostavení katalánski politici tvrdili, že ich vláda špehovala. Paradoxom je, že niekto zároveň odpočúval aj španielskeho premiéra Pedra Sáncheza. Podozrenie padalo na zástupcov Maroka, ktorí boli so Španielskom v diplomatickom spore. Túto verziu sa nepodarilo potvrdiť.
Ako sa chrániť
Po niekoľkých rokoch boja s nástrojom Pegasus už podľa expertov existuje spôsob, ako zistiť, či je mobil nainfikovaný. Identitifikovať to vedia experti do niekoľkých minút.
Expert na digitálnu bezpečnosť Nikolai Kvantiliani pre Denník N v júli tohto roka zhrnul niekoľko rád, ako útočníkom sťažiť útok: vždy mať nainštalovanú najaktuálnejšiu verziu operačného systému, zaviesť si takzvaný špeciálny lockdown mód, na zariadeniach od Apple si vypnúť správy cez iMessage a na súkromnú komunikáciu mať k dispozícii špeciálne zariadenie s číslom, o ktorom verejnosť nevie.
Pavol Lupták, etický hacker a expert na IT bezpečnosť zo spoločnosti Nethemba, opisuje, ako sa NSO Group dostáva k schopnostiam dostávať sa do mobilov či počítačov. Na čiernom či neregulovanom trhu nakupuje od hackerov takzvané „zero day“ bezpečnostné zraniteľnosti zariadení s rôznym operačným systémom. „Zero day“ zraniteľnosť je taká, o ktorej sa ešte neobjavili verejné informácie, takže voči nej ani firmy ako Microsoft, Apple či Google často nedokázali vyvinúť bezpečnostné aktualizácie.
NSO takéto zraniteľnosti nakupuje, dáva ich do svojich systémov a tie predáva tajným službám. Lupták vraví, že napríklad nástroje, ktoré dokážu zneužiť zásadné „zero day“ zraniteľnosti, na zariadenia ako telefóny iPhone môžu mať obrovskú trhovú hodnotu – aj milióny eur. Najnebezpečnejšie a na čiernom trhu najhodnotnejšie nástroje sú takzvané „zero click“ nástroje, ktoré dokážu ovládnuť vaše zariadenie aj bez toho, aby ste urobili akýkoľvek aktívny krok. Stačí napríklad dostať správu cez četovaciu aplikáciu a tú ani nemusíte otvoriť.
„Najviac zero day zraniteľností je na najpoužívanejšie systémy – na Windows – a najmenej na Linux. Len tým, že prejdete na Linux, sa môže bezpečnosť voči takýmto nástrojom zvýšiť,“ hovorí Lupták.
Spomedzi mobilných telefónov, naopak, etický hacker za najbezpečnejšie považuje zariadenia Google Pixel s nainštalovaným operačným systémom Graphene OS. Čím starší telefón so staršími aktualizáciami máte, tým je podľa neho zraniteľnejší.
Ľupták upozorňuje, že existuje aj nástroj, ktorý dokáže Pegasus odhaliť na kompromitovanom telefóne.
Etický hacker Pavol Lupták hovorí aj o inom rozmere nákupu systému Pegasus, keďže ho NSO Group predáva najmä tajným službám diktátorských režimov: „Nevidím principiálny rozdiel medzi tým, keby SIS nakúpila Pegasus, a tým, keby nakúpila zbrane od ISIS alebo od firmy, ktorá s ISIS obchoduje“. Lupták vraví, že ide „krvavý softvér“.
Máte pripomienku alebo ste našli chybu? Prosíme, napíšte na [email protected].
