Muž, který vybudoval spywarové impérium, říká, že je čas vyjít ze stínů

paní Tech | Zdroj: AP Photo/Daniella Cheslow, File

Shalev Hulio se chce vysvětlit.

Mlčení a utajení jsou obvykle součástí špionážního byznysu. Celých devět let Hulio nikdy veřejně nemluvil o své hackerské společnosti za miliardu dolarů – ani když byly jeho hackerské nástroje spojeny se skandálem nebo byl obviněn ze spoluúčasti na porušování lidských práv po celém světě. V poslední době se ale ozývá.

Lidé nechápou, jak funguje inteligence, říká mi Hulio během videohovoru z Tel Avivu. Není to lehké. není to příjemné. Inteligence je posraný byznys plný etických dilemat.

Podnik, který vede, NSO Group, je světově nejznámější spywarová společnost . Je v centru vzkvétajícího mezinárodního průmyslu, ve kterém high-tech firmy nacházejí softwarová zranitelnost, vyvíjejí exploity a prodávají malware vládám. Společnost s izraelským ústředím byla spojována s významnými incidenty, včetně vražda Jamal Khashoggi a špionáž proti politiků ve Španělsku.

Související příběh

Uvnitř NSO, izraelského miliardového spywarového giganta Nejznámější sledovací společnost na světě říká, že chce svůj čin uklidit. Pokračuj, posloucháme.

Deset let po založení společnosti učinil vzácné rozhodnutí promluvit o NSO Group, zpravodajském průmyslu a o tom, jak by mohla vypadat transparentnost pro spywarové společnosti. To je podle něj to nejdůležitější, co může průmysl nyní udělat: Byli jsme obviněni z dobrého důvodu, že nejsme dostatečně transparentní.

Kultura ticha

Hulio, dříve velitel pátrání a záchrany v izraelské armádě a poté podnikatel zaměřený na technologii, která vzdáleně přistupovala k chytrým telefonům, uvedl, že založil NSO Group v roce 2010 na naléhání evropských zpravodajských agentur. Tehdy se NSO prezentovala jako špičková firma zabývající se kybernetickou válkou.

Do celosvětového centra pozornosti se dostal v roce 2016, kdy Ahmed Mansoor, aktivista za lidská práva ve Spojených arabských emirátech, obdržel tzv. nejslavnější textová zpráva všech dob . Výzkumníci tvrdí, že šlo o sofistikovanou phishingovou návnadu vyslanou vládou; obsahovalo odkaz, na který by se po kliknutí dostal Mansoorův telefon se spywarem. Odborníci z Citizen Lab, výzkumné skupiny na University of Toronto, analyzovali odkaz a poukázali na Pegasus, vlajkový produkt NSO. Odhalení vedlo k velkému zkoumání společnosti, ale NSO mlčel. (Mansoor si v současné době odpykává desetiletý trest vězení za urážku monarchie – diktátorův popis jeho práce na prosazování lidských práv.)

Tato reakce byla částečně funkcí tehdejšího vlastnictví společnosti. V roce 2014 koupila NSO za přibližně 100 milionů dolarů americká soukromá investiční společnost Francisco Partners, která měla přísnou politiku zákazu tisku, která podle Hulia vedla ke škodlivé kultuře mlčení.

Žádné rozhovory – nemohli jsme mluvit s novináři kromě toho, že jsme řekli no comment, no comment, no comment, říká. Vytvořilo to pro nás spoustu špatných věcí, protože pokaždé, když jsme byli obviněni ze zneužívání, neměli jsme žádné komentáře.

Říká, že to byla chyba, které se v budoucnu měly vyhnout společnosti jako NSO – která byla loni prodána za 1 miliardu dolarů evropské soukromé investiční společnosti Novalpina a původním zakladatelům, včetně samotného Hulia.

Průmysl by měl být transparentnější, říká Hulio. Každá společnost by měla být mnohem zodpovědnější za to, komu prodává, kdo jsou zákazníci, jaké je konečné využití pro každého zákazníka.

Ve skutečnosti se text zaslaný do Mansooru ukázal být pro vyšetřovatele přestrojeným požehnáním. Mansoor, který byl již mnoho let cílem sledování, byl podezřelý a neklikl na otrávený odkaz. Místo toho se o to podělil s odborníky. V současnosti však hackerský průmysl stále více používá pokročilejší techniky, které udržují jejich aktivity co nejméně nápadné – včetně takzvaných technik zero-click, které infikují cíle, aniž by podnikly jakoukoli akci. WhatsApp žaluje NSO Group za hackování aplikace, aby tiše infikovala telefony. Cíle v Maroku údajně zažily síťové injekce, které nevyvolávají žádný poplach, nevyžadují žádnou spolupráci od oběti a zanechávají jen malé stopy.

Každá [spyware] společnost by měla být mnohem zodpovědnější za to, komu prodává, kdo jsou zákazníci a jaké je konečné použití pro každého zákazníka.

Podle Johna Scotta-Railtona, vedoucího výzkumného pracovníka Citizen Lab, je názor hackerských společností na to, že zločinci a teroristé se kvůli šifrování stávají temnými a státy potřebují schopnost je pronásledovat do jejich temné díry. Na špičkové úrovni se stále více zatmí společnosti prodávající tyto techniky. není to jen tak WhatsApp . Viděli jsme prodeje zranitelnosti vůči iMessage , [telefonní software] SS7 jako dodávka pro zranitelnosti typu zero-click a mnoho z nich síťové injekce . Z tohoto důvodu je pro nás téměř nemožné získat přehled o rozsahu problému. V měřítku můžeme jen hádat. Známe jen některé hráče. Trh roste, ale chybí nám mnoho informací o zneužívání.

Nikdy nebylo snadné porozumět celému rozsahu odvětví hackerů za účelem pronájmu. Nyní jsou techniky a indikátory, na které vyšetřovatelé dlouho spoléhali, protože stopy jsou stále vzácnější, tišší a obtížnější je najít. Díky novému tajnému arzenálu je mimořádně obtížné pohnat hackerské společnosti a zpravodajské agentury k odpovědnosti, když dojde k porušování lidských práv.

Možná překvapivě Hulio důrazně souhlasí s tím, že hackerský průmysl pohasíná. Když se ho zeptám, zda průmysl podniká dostatečné kroky k transparentnosti a odpovědnosti, zavrtí hlavou a ukáže prstem na své konkurenty:

Vlastně si myslím, že je to naopak. Průmysl odchází od regulace. Vidím společnosti, které se snaží skrývat aktivitu a skrývat to, co dělají. Poškozuje to průmysl.

Vyhýbání se průhlednosti

Naproti tomu, tvrdí Hulio, NSO se pod svým novým vlastníkem snaží zvrátit kurz. Přestože čelí vysoce profilované žalobě WhatsApp a desítkám obvinění ze zneužívání Pegasu, Hulio trvá na tom, že se společnost vyvíjí. Skutečnost, že vůbec mluví s novináři, je zjevná změna, říká, stejně jako nové politiky samosprávy a veřejný závazek dodržovat směrnice OSN pro lidská práva. Jak moc se řeč promítá do reality, je stále otevřenou otázkou: tři dny poté, co společnost v roce 2019 oznámila novou politiku lidských práv, výzkumníci z Amnesty International říkají, že Pegasus byl použit k hacknutí marockého novináře Omara Radiho.

Hulio však naznačuje, že jeho rivalové se vyhýbají transparentnosti a odpovědnosti tím, že přesouvají své podniky nebo hledají útočiště, odkud by mohli působit.

Otvírají společnosti v zemích, kde nemáte regulační mechanismy, v Latinské Americe, Evropě, asijsko-pacifickém regionu – kde je regulace velmi slabá, takže můžete exportovat do zemí, kam nemůžete exportovat z Izraele nebo jiných míst v Evropa, vysvětluje. Vidím společnosti, které se snaží skrýt aktivitu tím, že znovu a znovu mění název společnosti. Nebo prostřednictvím mechanismů, jako je budování výzkumu a vývoje na jednom místě, prodejní cyklus jiné společnosti, nasazení prostřednictvím třetí společnosti, takže nemůžete vysledovat, kdo co dělá.

„Stejně jako existují země, které fungují jako daňové úkryty, jsou země, které fungují jako úkryty pro regulaci exportu. Tyto země potřebují globální mechanismy regulace.“

To může být pravda, ale samotná NSO Group má řadu dalších jmen, včetně Q Cyber ​​Technologies v Izraeli a OSY Technologies v Lucembursku. Má severoamerické křídlo zvané Westbridge. Její zaměstnanci jsou rozmístěni po celém světě. Izraelská média informovala o napojení společnosti na fiktivní společnosti a byzantský nabídky. V průběhu let provozovala nepřehlednou síť dalších společností po celém světě a toto podnikové bludiště téměř znemožňovalo porozumět jejímu jednání a jednání – což je zásadní úkol, když mohou být hackerské nástroje zneužity autoritářskými vládami s ničivými následky.

Jak by tedy měla vypadat odpovědnost? Když se NSO Group poprvé objevila, Wassenaarské ujednání, klíčová dohoda o kontrole vývozu zbraní mezi 42 zeměmi, neměla žádný kybernetický rozměr. Izrael neměl žádný zákon o kybernetickém vývozu. Nyní se izraelské ministerstvo obrany řídí zákonem o kontrole exportu obrany země – skupina NSO údajně nebyla nikdy odepřena vývozní licence – ale v celosvětovém měřítku zůstává hackerský průmysl do značné míry skrytý, neprůhledný a nezodpovědný navzdory jeho rostoucí síle a schopnostem.

Jsou tam mezery, říká Hulio. Ne všechny země jsou součástí Wassenaarské dohody. Opravdu si myslím, že je velmi těžké udělat něco mezinárodního. Mezinárodní je samozřejmě skvělý nápad, ale stejně jako existují země, které fungují jako daňové úkryty, existují země, které fungují jako úkryty pro regulaci exportu. Tyto země potřebují globální mechanismy regulace.

Kdo je v hledáčku?

Od doby, kdy incident v Mansooru poprvé upozornil na společnost, byly obviněny desítky zneužití technologie NSO ze strany uživatelů. Když jsou taková obvinění vznesena, NSO zahájí vyšetřování. Pokud dojde ke konfliktu účtů, může NSO vyžadovat protokoly, které odhalí cíle. Více často než ne, říká Hulio, zákazník řekne, že obvinění proti němu jsou pravdivá, cílení je skutečné – ale že jejich jednání bylo legální podle místního práva a smlouvy, kterou podepsal. To ponechává na NSO a zákazníkovi, aby zjistili, zda je cílení skutečně legitimní.

Související příběh

Jak autoritářský režim zachytí veškerý internetový provoz ve své zemi

Velká část kritiky namířená na NSO Group přichází, když výzkumníci říkají, že Pegasus je používán proti právníkům, aktivistům za lidská práva, novinářům a politikům. Ale Hulio říká, že kontext může ospravedlnit takové činy – že tito lidé mohou být legitimními cíli sledování, pokud jsou dodržovány zákony. Poukazuje na události kolem dopadení v roce 2014 mexického drogového bosse Joaquína El Chapa Guzmána. Ačkoli to nikdy veřejně nepotvrdila, skupina NSO ano soukromě propagoval svou roli léta v provozu.

Chapo utekl z vězení, říká Hulio. Lidé jako Chapo nebo [vůdce ISIS Omar Bakr] al-Bagdadi nenosí chytré telefony. Když Chapo utekl, mysleli si, že pravděpodobně nakonec zavolá svému právníkovi, takže zkusme právníka zadržet. Právník není špatný člověk – a já neříkám, že jsme do toho byli zapleteni. Advokát sám o sobě není podezřelý z trestné činnosti, ale El Chapo, který je zločincem, se chystá zavolat svému právníkovi a jediný způsob, jak ho dopadnout, je zadržet jeho právníka.

Je to druh případu, který se snadno vyrábí. Vražedný drogový boss, extrémní policejní akce, výstřelky na titulní straně. Ale většina obvinění ze zneužití nepřipomíná případ El Chapo. Země Perského zálivu byly opakovaně obviňovány z používání Pegase k cílení na politickou opozici, což později vyústilo v vykonstruované poplatky za urážku královských rodin nebo podobně.

Hulio říká, že NSO je často obviňován z práce, za kterou jsou odpovědné jiné spywarové společnosti.

Když prodáváme systém, klademe velmi těžké otázky, ale nejsem si jistý, zda to dělají všichni, říká. Nedělá mi problém sedět před ministrem obrany nějaké země, před šéfem policie nebo tajné služby a ptát se: K čemu to je? co je cílem? jaké je poslání? Jaká jsou vyšetřování? Jaký postup používáte? Jak data analyzujete? Kdo musí schvalovat každý cíl? Jaké jsou zákony ve vaší konkrétní zemi – jak to funguje? Otázky, které mnoho společností opravdu nezajímá. Mají dohodu – chtějí prodat. Prodají to, protože je to pro ně dobré peníze.

Obešli jsme celý kruh a vrátili jsme se zpět v husté změti tajemství. Peníze tečou, zneužívání se neustále děje a hackerské nástroje se množí: to nikdo nezpochybňuje.

Ale kdo je odpovědný, když se brutálním autoritářům dostane do rukou špičkový spyware, který mohou použít proti odpůrcům? Již tak temný svět je čím dál temnější a je stále těžší najít odpovědi.

skrýt