Człowiek, który zbudował imperium spyware, mówi, że czas wyjść z cienia

Pani Tech | Źródło: AP Photo/Daniella Cheslow, plik

Shalev Hulio chce się wytłumaczyć.

Normalnie milczenie i tajemnica są nieodłączną częścią działalności szpiegowskiej. Przez pełne dziewięć lat Hulio nigdy nie mówił publicznie o swojej wartej miliardy firmie hakerskiej — nawet jeśli jego narzędzia hakerskie były powiązane ze skandalem lub oskarżano go o współudział w łamaniu praw człowieka na całym świecie. Ostatnio jednak mówi głośno.

Ludzie nie rozumieją, jak działa inteligencja, mówi mi Hulio podczas rozmowy wideo z Tel Awiwu. To nie jest łatwe. To nie jest przyjemne. Inteligencja to gówniany biznes pełen etycznych dylematów.

Firma, którą prowadzi, NSO Group, to: najbardziej znana na świecie firma zajmująca się oprogramowaniem szpiegującym . Znajduje się w centrum dynamicznie rozwijającego się międzynarodowego przemysłu, w którym firmy high-tech znajdują luki w oprogramowaniu, opracowują exploity i sprzedają złośliwe oprogramowanie rządom. Firma z siedzibą w Izraelu została powiązana z głośnymi incydentami, w tym: morderstwo Jamala Khashoggiego i szpiegostwo przeciwko politycy w Hiszpanii.

Powiązana historia

Wewnątrz NSO, izraelskiego giganta spyware Najsłynniejsza na świecie firma inwigilacyjna twierdzi, że chce uporządkować swoje działania. No dalej, słuchamy.

Dziesięć lat po założeniu firmy podjął rzadką decyzję, by mówić o NSO Group, branży wywiadowczej i o tym, jak przejrzystość może wyglądać dla firm spyware. Mówi, że jest to najważniejsza rzecz, jaką może teraz zrobić branża: nie bez powodu zostaliśmy oskarżeni o niewystarczającą przejrzystość.

Kultura ciszy

Były dowódca poszukiwawczo-ratowniczy w izraelskim wojsku, a następnie przedsiębiorca skupiający się na technologii zdalnego dostępu do smartfonów, Hulio powiedział, że założył NSO Group w 2010 roku z namowy europejskich agencji wywiadowczych. Wtedy NSO reklamowało się jako najnowocześniejsza firma zajmująca się cyberwojną.

Wszedł na światową uwagę w 2016 roku, kiedy Ahmed Mansoor, działacz na rzecz praw człowieka w Zjednoczonych Emiratach Arabskich, otrzymał coś, co nazywa się najsłynniejsza wiadomość tekstowa wszechczasów . Naukowcy twierdzą, że była to wyrafinowana przynęta phishingowa wysłana przez rząd; zawierał link, który po kliknięciu przejąłby telefon Mansoora za pomocą oprogramowania szpiegującego. Eksperci z Citizen Lab, grupy badawczej z University of Toronto, przeanalizowali link i wskazali na Pegasus, flagowy produkt NSO. Rewelacja doprowadziła do dokładnego zbadania firmy, ale NSO milczało. (Mansoor odsiaduje obecnie dziesięcioletni wyrok pozbawienia wolności za obrazę monarchii – dyktatorski opis jego pracy na rzecz praw człowieka).

Ta odpowiedź była po części funkcją ówczesnej własności firmy. W 2014 roku NSO została kupiona za około 100 milionów dolarów przez amerykańską firmę private equity Francisco Partners, która prowadziła ścisłą politykę zakazu prasy, co według Hulio doprowadziło do szkodliwej kultury milczenia.

Żadnych wywiadów – nie mogliśmy rozmawiać z dziennikarzami, z wyjątkiem tego, by powiedzieć bez komentarza, bez komentarza, bez komentarza, mówi. Stworzyło to dla nas wiele złych rzeczy, ponieważ za każdym razem, gdy byliśmy oskarżani o nadużycia, nie mieliśmy żadnego komentarza.

Mówi, że był to błąd, którego w przyszłości powinny unikać firmy takie jak NSO – które w zeszłym roku zostało sprzedane za 1 miliard dolarów europejskiej firmie private equity Novalpina i pierwotnym założycielom, w tym samemu Hulio.

Branża powinna być bardziej przejrzysta, mówi Hulio. Każda firma powinna być znacznie bardziej odpowiedzialna za to, komu sprzedaje, kim są klienci, jaki jest ostateczny użytek dla każdego klienta.

W rzeczywistości tekst wysłany do Mansoor okazał się dla śledczych błogosławieństwem w nieszczęściu. Mansoor, który już od wielu lat był celem inwigilacji, był podejrzliwy i nie kliknął zatrutego linku. Zamiast tego podzielił się nim z ekspertami. Jednak w dzisiejszych czasach branża hakerska coraz częściej korzysta z bardziej zaawansowanych technik, dzięki którym ich działania są jak najbardziej dyskretne — w tym tak zwane techniki zerowego kliknięcia, które infekują cele bez podejmowania przez nich żadnych działań. WhatsApp pozywa NSO Group za zhakowanie aplikacji w celu cichego infekowania telefonów. Według doniesień, cele w Maroku doświadczyły włamań do sieci, które nie wywołują alarmu, nie wymagają współpracy ze strony ofiary i pozostawiają niewiele śladów.

Każda firma [spyware] powinna być znacznie bardziej odpowiedzialna za to, komu sprzedaje, kim są klienci, jaki jest ostateczny użytek każdego klienta.

Według Johna Scotta-Railtona, starszego badacza z Citizen Lab, firmy hakerskie twierdzą, że przestępcy i terroryści popadają w ciemność z powodu szyfrowania, a państwa potrzebują możliwości ścigania ich w ich ciemnej dziurze. Coraz częściej, z najwyższej półki, firmy sprzedające te techniki stają się ciemne. To nie tylko WhatsApp . Widzieliśmy sprzedaż luki w zabezpieczeniach iMessage , [oprogramowanie telefoniczne] SS7 jako dostarczanie luk w zabezpieczeniach typu zero kliknięć , i dużo wstrzyknięcie sieci . Z tego powodu uzyskanie wglądu w skalę problemu jest dla nas prawie niemożliwe. Możemy tylko zgadywać w skali. Znamy tylko niektórych graczy. Rynek rośnie, ale brakuje nam wielu informacji o nadużyciach.

Zrozumienie pełnego zakresu branży hakerów do wynajęcia nigdy nie było łatwym zadaniem. Teraz techniki i wskaźniki, na których badacze od dawna polegają, ponieważ wskazówki stają się rzadsze, cichsze i trudniejsze do zauważenia. Potajemny nowy arsenał sprawia, że ​​niezwykle trudno jest pociągnąć firmy hakerskie i agencje wywiadowcze do odpowiedzialności w przypadku naruszeń praw człowieka.

Być może zaskakujące jest to, że Hulio zdecydowanie zgadza się, że branża hakerska ciemnieje. Kiedy pytam go, czy branża podejmuje wystarczające kroki w kierunku przejrzystości i odpowiedzialności, kręci głową i wskazuje palcem na swoich konkurentów:

Właściwie myślę, że jest odwrotnie. Branża odchodzi od regulacji. Widzę firmy, które próbują ukryć swoją działalność i ukryć to, co robią. Szkodzi branży.

Unikanie przejrzystości

W przeciwieństwie do tego, twierdzi Hulio, NSO próbuje zmienić kurs pod nowym właścicielem. Chociaż ma do czynienia z głośnym pozwem WhatsApp i dziesiątkami zarzutów o nadużycie Pegasusa, Hulio twierdzi, że firma się rozwija. Fakt, że w ogóle rozmawia z dziennikarzami, jest, jak mówi, oczywistą zmianą, podobnie jak nowa polityka samorządności i publiczne zobowiązanie do przestrzegania Wytycznych ONZ dotyczących praw człowieka. Jak bardzo rozmowa przekłada się na rzeczywistość, pozostaje kwestią otwartą: trzy dni po ogłoszeniu przez firmę nowej polityki praw człowieka w 2019 roku, badacze z Amnesty International, Pegasus został wykorzystany do zhakowania marokańskiego dziennikarza Omara Radia.

Ale Hulio sugeruje, że jego rywale unikają przejrzystości i odpowiedzialności, przenosząc swoje firmy lub znajdując schronienie, z którego mogą działać.

Otwierają firmy w krajach, w których nie ma mechanizmów regulacyjnych, w Ameryce Łacińskiej, Europie, regionie Azji i Pacyfiku – gdzie przepisy są bardzo słabe, więc można eksportować do krajów, do których nie można eksportować z Izraela lub innych miejsc w Europa, wyjaśnia. Widzę firmy, które próbują ukryć swoją działalność, zmieniając w kółko nazwę firmy. Lub poprzez mechanizmy, takie jak budowanie badań i rozwoju w jednej witrynie, cykl sprzedaży do innej firmy, wdrażanie przez firmę trzecią, dzięki czemu nie można śledzić, kto czym się zajmuje.

„Podobnie jak są kraje, które działają jako schroniska podatkowe, są kraje, które działają jako schroniska dla regulacji eksportu. Kraje te potrzebują globalnych mechanizmów regulacji”.

To może być prawda, ale sama Grupa NSO nosi szereg innych nazw, w tym Q Cyber ​​Technologies w Izraelu i OSY Technologies w Luksemburgu. Ma skrzydło północnoamerykańskie zwane Westbridge. Jej pracownicy są rozsiani po całym świecie. Izraelskie media doniosły o linkach firmy do firm-przykrywek i bizantyjska oferty. Przez lata działała w dezorientującej sieci innych firm na całym świecie, a ten korporacyjny labirynt sprawił, że prawie niemożliwe jest zrozumienie jej działań i działań – kluczowe zadanie, gdy narzędzia hakerskie mogą być nadużywane przez autorytarne rządy z druzgocącymi konsekwencjami.

Jak więc wyglądałaby odpowiedzialność? Kiedy NSO Group pojawiła się po raz pierwszy, porozumienie z Wassenaar, kluczowe porozumienie w sprawie kontroli eksportu broni między 42 krajami, nie miało wymiaru cybernetycznego. Izrael nie miał prawa eksportu cybernetycznego. Obecnie izraelskie Ministerstwo Obrony podlega ustawie o kontroli eksportu w zakresie obronności – NSO Group podobno nigdy nie odmówiono mu licencji eksportowej – ale w skali globalnej branża hakerska pozostaje w dużej mierze ukryta, nieprzejrzysta i nieodpowiedzialna pomimo rosnącej siły i możliwości.

Są luki, mówi Hulio. Nie wszystkie kraje są objęte porozumieniem z Wassenaar. Naprawdę uważam, że bardzo trudno jest zrobić coś międzynarodowego. Oczywiście międzynarodowy to świetny pomysł, ale tak jak są kraje, które działają jako schroniska podatkowe, są kraje, które działają jako schroniska dla regulacji eksportu. Kraje te potrzebują globalnych mechanizmów regulacji.

Kto jest na celowniku?

Odkąd incydent w Mansoor po raz pierwszy zwrócił uwagę na firmę, zarzucano dziesiątki nadużyć ze strony użytkowników technologii NSO. Kiedy takie zarzuty zostaną postawione, NSO rozpoczyna dochodzenie. W przypadku konfliktu kont NSO może zażądać dzienników, które ujawniają cele. Najczęściej, mówi Hulio, klient powie, że zarzuty przeciwko niemu są prawdziwe, kierowanie jest prawdziwe, ale ich działania były zgodne z prawem lokalnym i podpisaną umową. To pozostawia NSO i klientowi ustalenie, czy kierowanie jest rzeczywiście uzasadnione.

Powiązana historia

Jak autorytarny reżim przechwyci cały ruch internetowy w swoim kraju?

Wiele krytyki kierowanej pod adresem NSO Group pojawia się, gdy badacze twierdzą, że Pegasus jest używany przeciwko prawnikom, działaczom na rzecz praw człowieka, dziennikarzom i politykom. Ale Hulio mówi, że kontekst może uzasadniać takie działania – że ci ludzie mogą być uzasadnionymi celami inwigilacji, o ile przestrzegane jest prawo. Wskazuje na wydarzenia związane z schwytaniem w 2014 roku meksykańskiego barona narkotykowego Joaquína El Chapo Guzmána. Chociaż nigdy nie potwierdził tego publicznie, NSO Group prywatnie reklamował swoją rolę w eksploatacji od lat.

Chapo uciekł z więzienia, mówi Hulio. Ludzie tacy jak Chapo czy [przywódca ISIS Omar Bakr] al-Baghdadi nie noszą smartfonów. Kiedy Chapo uciekł, myśleli, że prawdopodobnie w końcu zadzwoni do swojego prawnika, więc spróbujmy go przechwycić. Prawnik nie jest złą osobą – i nie mówię, że byliśmy w to zamieszani. Sam prawnik nie jest podejrzany o działalność przestępczą, ale El Chapo, który jest przestępcą, zadzwoni do swojego prawnika, a jedynym sposobem na złapanie go jest przechwycenie jego prawnika.

To rodzaj etui, które łatwo wykonać. Morderczy baron narkotykowy, ekstremalna akcja policji, zdjęcia z pierwszych stron gazet. Jednak większość zarzutów dotyczących nadużycia nie przypomina sprawy El Chapo. Kraje Zatoki Perskiej były wielokrotnie oskarżane o wykorzystywanie Pegaza do atakowania opozycji politycznej, co później spowodowało, że: sfingowane zarzuty za obrażanie rodzin królewskich lub tym podobnych.

Hulio mówi, że NSO często jest oskarżana o pracę, za którą odpowiedzialne są inne firmy spyware.

Zadajemy bardzo trudne pytania, kiedy sprzedajemy system, ale nie jestem pewien, czy wszyscy to robią – mówi. Bez problemu siadam przed ministrem obrony kraju, szefem policji czy tajnej służby i pytam: po co? Jaki jest cel? Jaka jest misja? Jakie są śledztwa? Jakiego procesu używasz? Jak analizujesz dane? Kto musi zatwierdzać każdy cel? Jakie jest prawo w Twoim kraju — jak to działa? Pytania, o które wiele firm nie dba. Mają umowę – chcą sprzedać. Sprzedają to, bo to dla nich dobre pieniądze.

Zatoczyliśmy pełne koło, wracając w gęstej plątaninie tajemnicy. Pieniądze płyną, nadużycia wciąż się zdarzają, a narzędzia hakerskie mnożą się: nikt tego nie kwestionuje.

Ale kto ponosi odpowiedzialność, gdy brutalni autorytarni dostają w swoje ręce najnowocześniejsze oprogramowanie szpiegowskie, które można wykorzystać przeciwko przeciwnikom? Już i tak zacieniony świat staje się coraz ciemniejszy, a odpowiedzi są coraz trudniejsze.

ukryć