Журналісти The Guardian, Le Monde, Washington Post та ще ряду видань оприлюднили розслідування, в якому йдеться про стеження за близько 50 тис номерів. З 2016 по червень 2021 року жертвами ізраїльської шпигунської програми стало близько 180 журналістів у 20 країнах, серед них і близьке оточення загиблих раніше журналістів. За допомогою Pegasus можна отримати доступ до телефонних дзвінків, sms-повідомлень, мікрофона, камери та електронних листів. Компанія NSO зазвичай продає шпигунське програмне забезпечення урядам різних країн.
Як повідомляє Washington Post, консорціум знайшов багато телефонних номерів здебільшого у таких країнах: Азербайджан, Бахрейн, Угорщина, Індія, Казахстан, Мексика, Марокко, Руанда, Саудівська Аравія та Об'єднані Арабські Емірати. Канадська громадянська лабораторія Citizen Lab також знайшла докази того, що всі 10 були клієнтами NSO. Найбільша кількість задокументована в Мексиці, де в списку було понад 15 000 номерів.
IT-аналітикиня та доцентка Школи журналістики та медіакомунікацій УКУ Надія Баловсяк у коментарі Тижню пояснила, що у такого роду взломах важливий вектор атаки. Тобто яким чином вірус потрапив до пристрою. Для цього використовувалась так звана вразливість нульового дня (0-day) – вразливість програмного забезпечення, про яку поки невідомо розробникам.
Зазвичай вразливості виявляються різними способами. Один із них – програми bug bounty program, коли компанії платять фахівцям, щоб вони знайшли вразливості, повідомили про них та усунули. А вразливість нульового дня, про яку ще не відомо, відповідно, її ще не усунули, пояснює Надія Баловсяк.Pegasus використовував саме вразливість нульового дня.
“Імовірно присилали повідомлення, бо в таких ситуаціях скористуватись вразливістю можна, якщо якимось чином завантажити шпигунську програму на зламаний пристрій, наприклад, через додаток або повідомлення. Людина клацала на отримане посилання і, відповідно, додаток завантажувався. Користувач міг навіть не підозрювати, бо це відбувалось досить швидко”. В системі кібербезпеки 80% ,а останнім часом і 90% вразливостей – це людський фактор. Незважаючи на те, що саме уряд купує програму, використовує її людина.
”Як зробити так, щоб особа не продала чи передала зловмисникам програму, тобто не скористалась нею у власних цілях? Убезпечитись дуже складно і навіть якщо вийде, то передбачити всі можливості, коли людина вкраде програму важко, – каже Надія Баловсяк, – так само як і передбачити дії найслабшої ланки – людини”.
Читайте також: Соціальні мережі вбивають приватність
За словами експертки, дві основні проблеми захисту мобільних пристроїв це людський фактор (умовно людина, яка щось натиснула) та мобільний додаток. Застосунки при завантаженні просять доступ до мікрофону чи камери, тому користувач може навіть не зауважити, що дозволив використовувати свій пристрій для прослуховування. У випадку Pegasus йдеться про посилання на певний додаток, який у фоновому режимі завантажувався в телефон.
На думку аналітикині, приватність завжди є скомпрометованою, якщо користуватись не спеціально захищеним пристроєм, а повсякденним інструментом, як Android чи IOS. Так само складно говорити про захист навіть за використання відомих засобів безпеки, як от VPN чи шифрування контенту на телефоні. Зараз захистити себе, якщо ви є вразлива особа практично неможливо, каже IT-фахівчиня: “Ця історія нам показала, що для таких людей потрібно вже мати спеціальні супер захищені пристрої. Вони вже почали з'являтись на ринку
"Репортери без кордонів" (RSF) вже оголосили про намір розпочати судовий процес проти відповідальних за масове спостереження за журналістами та громадськими активістами. Як зазначається в офіційній заяві, RSF повідомляли про небезпеку шпигунського програмного забезпечення ще у 2017 році, зокрема після того, як його використовували для стеження за мексиканськими журналістами. Згодом ми засудили його використання проти журналістів у Саудівській Аравії, Індії, Марокко та Азербайджані.
“Ми закликаємо цільових журналістів та ЗМІ зв’язатися з нами, щоб долучитися до відповідної юридичної відповіді на викриття шпигунських програм Pegasus ", – йдеться у заяві .