Neviditeľná hrozba pre demokraciu: Experti varujú pred “krvavým softvérom”, ktorý ovládne váš mobil bez kliknutia

Existuje kybernetická zbraň taká mocná, že dokáže prevziať úplnú kontrolu nad vaším smartfónom bez jediného kliknutia. Dokáže čítať vaše šifrované správy, počúvať vaše hovory, sledovať každý váš pohyb a tajne vás natáčať cez kameru. Toto nie je scenár zo sci-fi filmu. Toto je realita špionážneho softvéru Pegasus. Nástroj, pôvodne vyvinutý na sledovanie teroristov a ťažkých zločincov, sa stal globálnou hrozbou pre demokraciu. Zneužívajú ho autoritárske režimy, ale aj demokraticky zvolené vlády na špehovanie novinárov, aktivistov, opozičných politikov a kohokoľvek, kto sa stane nepohodlným. A podľa znepokojivých správ je táto zbraň už možno nasadená aj na Slovensku.

Čo je Pegasus a kto za ním stojí?

Pegasus je špionážny softvér (spyware) vyvinutý a predávaný izraelskou spoločnosťou NSO Group. Firma bola založená v roku 2010 a je úzko prepojená na izraelskú vládu, armádu a spravodajské služby. NSO Group dlhodobo tvrdí, že svoj produkt predáva výhradne štátnym inštitúciám a vládnym agentúram v demokratických krajinách. Deklarovaným cieľom je boj proti terorizmu a organizovanému zločinu. Keďže je softvér klasifikovaný ako zbraň, každý export musí schváliť izraelské ministerstvo obrany. Realita odhalená v posledných rokoch je však dramaticky odlišná.

Čítajte viac NSO Group, izraelský autor špionážneho softvéru Pegasus, bude mať amerického vlastníka

Projekt Pegasus: Globálne odhalenie

V júli 2021 otriasla svetom investigatívna kauza Projekt Pegasus. Konzorcium 17 médií, vrátane The Guardian a Washington Post, v spolupráci s organizáciou Forbidden Stories a Amnesty International, analyzovalo uniknutý zoznam. Tento zoznam obsahoval viac ako 50 000 telefónnych čísel ľudí, ktorí boli vybraní ako potenciálne ciele sledovania klientmi NSO Group. Hoci sa NSO Group bránila, že zoznam nesúvisí s ich aktivitami, forenzná analýza desiatok telefónov zo zoznamu potvrdila buď úspešné infekcie, alebo pokusy o ne. Na zozname sa objavili stovky novinárov, aktivistov za ľudské práva, právnikov, akademikov, ale aj 14 hláv štátov, vrátane francúzskeho prezidenta Emmanuela Macrona. Odhalenia ukázali, že Izrael využíval predaj Pegasu aj ako nástroj diplomacie na budovanie vzťahov, a to aj s nedemokratickými krajinami.

Čítajte viac Ivan Makatura: V konečnom dôsledku je vždy za kybernetickým útokom človek

Ako funguje najsofistikovanejšia kyberzbraň

Sila Pegasu nespočíva len v tom, čo dokáže urobiť, ale najmä v tom, ako sa do zariadenia dostane.

Útok, ktorý si nevšimnete

Staršie verzie spywaru sa spoliehali na to, že obeť musela kliknúť na škodlivý odkaz (tzv. spear-phishing). Moderný Pegasus je však majstrom v takzvaných „zero-click“ (bezklikových) útokoch. To znamená, že telefón môže byť infikovaný bez akejkoľvek interakcie používateľa. Útočníkom stačí poznať vaše telefónne číslo. Pegasus na to využíva zraniteľnosti „zero-day“ – bezpečnostné diery v softvéri, o ktorých výrobca (Apple alebo Google) ešte nevie, a teda proti nim neexistuje oprava.

• WhatsApp: V roku 2019 Pegasus infikoval viac ako 1 400 telefónov po celom svete cez zraniteľnosť v aplikácii WhatsApp. Stačil jednoduchý zmeškaný hovor cez aplikáciu, ktorý si obeť ani nemusela všimnúť.
• iMessage: Bezpečnostní experti z Amnesty International a Citizen Lab opakovane zdokumentovali útoky cez chyby v iMessage. Prijatie špeciálne vytvorenej správy (ktorú ani nevidíte) stačilo na kompromitáciu.
• Iné aplikácie: Podozrenia z exploitov sa týkajú aj služieb ako Apple Music či Apple Photos.

Čítajte viac Ivan Makatura: V kybernetickom priestore je najlepšou vlastnosťou človeka opatrnosť

Totálna kontrola nad zariadením

Keď je Pegasus vnútri, získa najvyššie (tzv. „root“) oprávnenia a premení telefón na dokonalé 24/7 sledovacie zariadenie. Dokáže:

• Čítať všetku komunikáciu: Vrátane zašifrovaných správ zo Signal, WhatsApp alebo Telegram.
• Odsávať dáta: Fotky, videá, heslá, kontakty, históriu prehliadania, kalendáre.
• Aktivovať senzory: Na diaľku a bez vedomia používateľa zapnúť mikrofón a kameru.
• Sledovať polohu: Zaznamenávať históriu pohybu cez GPS.

To všetko robí neviditeľne. Najnovšie verzie sa navyše snažia po sebe aktívne mazať stopy, napríklad odstraňovaním záznamov zo systémových logov, aby sťažili forenznú analýzu.

Čítajte viac Elektrická sieť pod útokom: Ako sa Slovensko môže vyhnúť španielskej nočnej more

Zneužitie ako nástroj útlaku

Aj keď bol Pegasus údajne použitý úspešne proti drogovým kartelom v Mexiku, prípady jeho zneužitia ďaleko prevyšujú deklarovaný účel.

• Mexiko: Vláda ho masívne nasadila proti novinárom, aktivistom a politickej opozícii. Jedným z cieľov bol novinár Cecilio Pineda, ktorého zavraždili mesiac po tom, ako bol jeho telefón pridaný na zoznam cieľov.
• Saudská Arábia: Spyware bol nájdený v telefónoch ľudí blízkych zavraždenému novinárovi Džamálovi Chášukdžímu. Sledovaná bola jeho snúbenica, a to aj po jeho vražde.
• Maďarsko: Režim Viktora Orbána použil Pegasus na sledovanie investigatívnych novinárov (napr. Szabolcs Panyi, Andras Szabo), kritikov vlády a opozičných politikov.
• Poľsko: Za bývalej vlády strany Právo a spravodlivosť (PiS) boli napichnuté telefóny stoviek ľudí, vrátane opozičného politika Krzysztofa Brejzu počas volebnej kampane alebo aktivistky Klementyny Suchanowej. Špehovanie sa tam údajne vymklo kontrole natoľko, že NSO Group nakoniec Poľsku odobrala licenciu.

Pegasus bol tiež použitý na sledovanie cieľov v Azerbajdžane, Bahrajne, Indii, Maroku, Rwande, Španielsku, Grécku či Spojených arabských emirátoch.

Čítajte viac Kyberútoky silnejú, dokáže im Slovensko čeliť? Prijalo viacero strategických dokumentov

Pegasus a Slovensko

Najviac znepokojujúce sú však informácie, ktoré sa týkajú priamo Slovenska. Existuje podozrenie, že niečím podobným, ak nie priamo Pegasusom, disponuje od roku 2024 aj Slovenská informačná služba (SIS).Túto informáciu naznačil aj poslanec Juraj Krúpa (SaS), ktorý uviedol, že SIS si „obstarali nové systémy, ktorými sa vedia nabúravať do telefónov“. SIS označila tvrdenia o nákupe Pegasu za dezinformáciu. Prezident Peter Pellegrini hovoril o pseudokauze. Minister investícií, regionálneho rozvoja a informatizácie SR Samuel Migaľ v minulosti kritizoval Juraja Krúpu za možné prezradenie utajovanej skutočnosti. Naopak, Martin Dubéci (PS) zdôraznil, že ak štát takýto nástroj má, musí mať „jasný legislatívny rámec a mechanizmy na jeho používanie a kontrolu“, ktoré na Slovensku chýbajú.

Čítajte viac Spoločnosť Google predstavuje softvérového agenta na automatizovanú korekciu zraniteľností

Ako sa brániť proti neviditeľnej hrozbe?

Pre bežného človeka je obrana proti útoku na úrovni Pegasu takmer nemožná. Keďže využíva chyby, o ktorých sami výrobcovia nevedia, bežné antivírusové programy sú neúčinné. Napriek tomu existujú kroky, ktorými môžete riziko znížiť, a metódy, ktorými sa dá infekcia odhaliť. Aj keď proti „zero-click“ útokom nepomôžu, tieto návyky sťažujú prácu bežným kyberkriminálnikom:

• Neustále aktualizujte: Vždy majte najnovšiu verziu operačného systému (iOS, Android) a všetkých aplikácií. Výrobcovia neustále opravujú chyby, ktoré by mohli byť zneužité.
• Neklikajte na podozrivé odkazy: Stará rada, ktorá stále platí.
• Používajte VPN: Pripojenie cez VPN môže sťažiť niektoré typy útokov, najmä na verejných WiFi.
• Reštartujte telefón každý deň: Niektoré verzie Pegasu sídlili len v dočasnej pamäti telefónu. Hoci to nie je spoľahlivá ochrana, pravidelný reštart môže prerušiť prebiehajúcu infekciu, ktorá sa spolieha na dočasné pretrvanie.

Čítajte viac Jedna z piatich malých firiem nemá žiadne kybernetické zabezpečenie

Pokročilé metódy pre rizikové skupiny

Novinári, aktivisti, politici alebo právnici by mali zvážiť radikálnejšie kroky:

• Lockdown Mode (Režim blokovania): Spoločnosť Apple zaviedla na svojich iPhonoch špeciálny Lockdown Mode. Tento režim extrémne obmedzí funkčnosť telefónu – zablokuje náhľady odkazov, obmedzí funkcie iMessage a zablokuje komplexné webové technológie. Je to priama odpoveď na zero-click útoky.
• Alternatívne OS: Etický hacker Pavol Lupták považuje za najbezpečnejšie zariadenia Google Pixel s nainštalovaným operačným systémom GrapheneOS. Tieto systémy sú navrhnuté s dôrazom na bezpečnosť, ale sú určené pre technicky zdatných používateľov.
• Šifrované aplikácie: Na citlivú komunikáciu používajte aplikácie so silným šifrovaním ako Signal alebo Threema. Dôležité je však chápať, že ak Pegasus už je v telefóne, vidí správy skôr, ako sa zašifrujú (alebo po tom, ako sa dešifrujú).
• Druhý telefón: Pre najcitlivejšie konverzácie sa odporúča mať k dispozícii „hlúpy“ tlačidlový telefón alebo špeciálne zariadenie s číslom, ktoré nie je verejne známe.

Čítajte viac Umelá inteligencia umožňuje sofistikovanejšie formy ransomvéru

Ako odhaliť infekciu?

Bežný používateľ infekciu neodhalí. Medzi varovné signály však môže patriť nezvyčajne vysoká spotreba batérie alebo dát, prípadne spomalenie telefónu. Pre expertov existuje nástroj Mobile Verification Toolkit (MVT), ktorý vyvinula Amnesty International. Tento nástroj dokáže analyzovať zálohu telefónu (iOS alebo Android) a hľadať v nej stopy po kompromitácii (tzv. Indicators of Compromise). Vyžaduje si to však pokročilé technické znalosti.

Čítajte viac Umelá inteligencia redefinuje detekciu kybernetických hrozieb

Cena za digitálny mier

Kauza Pegasus nie je len technický problém. Je to hlboká etická a demokratická kríza. Etický hacker Pavol Lupták označil Pegasus za „krvavý softvér“, pretože bol preukázateľne spojený s vraždami a útlakom. „Nevidím principiálny rozdiel medzi tým, keby SIS nakúpila Pegasus, a tým, keby nakúpila zbrane od ISIS (teroristická organizácia Islamský štát) alebo od firmy, ktorá s ISIS obchoduje,“ povedal Lupták. Škandály viedli k sankciám (USA zaradili NSO Group na čiernu listinu), súdnym sporom (žalovala ich Meta/WhatsApp aj Apple) a vyšetrovaniu Európskeho parlamentu (výbor PEGA). Príbeh Pegasu je varovaním, že technológia určená na ochranu sa môže stať najefektívnejším nástrojom útlaku. Edward Snowden to zhrnul presne: „Hovoriť, že na súkromí nezáleží, pretože nemáte čo skrývať, je ako hovoriť, že na slobode slova nezáleží, pretože nemáte čo povedať.“