Circles - skandal na miarę Pegasusa?

Pomimo, że firma zapewnia, że sprzedaje swój produkt tylko na potrzeby państw, to jednak co zostało podkreślone już na wstępie raportu, badane rozwiązanie nie wymaga hakowania sprzętu, przez co na telefonie ofiary nie pozostaje ślad. Citizenlab – interdyscyplinarne laboratorium działające przy Munk School of Global Affairs na Uniwersytecie w Toronto - twierdzi, że odnalazło ślady funkcjonowania rozwiązania firmy Circles w co najmniej 25 państwach - Australii, Belgii, Botswanie, Chile, Danii, Ekwadorze, Salwadorze, Estonii, Republice Gwinei Równikowej, Gwatemali, Hondurasie, Indonezji, Izraelu, Kenii, Malezji, Meksyku, Maroku, Nigerii, Peru, Serbii, Tajlandii, Zjednoczonych Emiratach Arabskich (ZEA), Wietnamie, Zambii i Zimbabwe.

Narzędzie wykorzystuje słabość SS7 (Signaling System 7) – zbioru protokołów wykorzystywanych w sieciach telekomunikacyjnych. Atakujący podłączeni do tej sieci mogą wysyłać określone polecenia do telefonu, co pozwala śledzić lokalizację, przechwytywać połączenia głosowe, a także uwierzytelnianie dwuskładnikowe. Co jednak podkreśla Citizen Lab, SS7 jest wykorzystywany w sieciach 2G i 3G.

„Jednym z najczęściej stosowanych [środków technicznych nadzoru i śledzenia – przyp. red.] - ale najmniej docenianych - jest wykorzystywanie słabych punktów w globalnej infrastrukturze telefonii komórkowej do monitorowania i przechwytywania połączeń telefonicznych i ruchu” – czytamy w raporcie Citizen Lab. Laboratorium wskazuje jednocześnie na niebezpieczny trend w debacie publicznej – koncertowanie się na dobrze znanych środkach technicznych opartych na pracy hakerów i przychwytywaniu sieci, a tym samym pomijaniu działalności usługi, której poświęcony jest raport.

Citizen Lab przebadało 252 adresy IP, na podstawie których zidentyfikowano 25 państw,  jak wskazuje laboratorium, będących klientami Circle. W wypadku niektórych krajów, specjaliści wskazali na bezpośrednie podmioty – jak chilijską policję śledczą, duńskie dowództwo armii, marokańskie ministerstwo spraw wewnętrznych czy peruwiańską Krajową Służbę Wywiadu. Jak podkreślono jednak w raporcie, instytucje te zostały określone z różnym stopniem prawdopodobieństwa. Jak czytamy „niepokojące jest to, że w wielu takich przypadkach rząd lub podmioty mu podległe mają historię nadużywania technologii nadzoru i łamania praw człowieka”. Co również podkreślono w szczegółowej analizie poświęconej poszczególnym państwom, w dużej części kraje te mają historię nadużywania Pegasusa lub innego tego typu oprogramowania.

Czym jest „Circles"?

Firma Circles, która stała się bohaterem nieprzychylnego raportu powstała prawdopodobnie w 2008 roku. W 2014 została przejęta przez Francisco Partners, a następnie połączona z NSO Group. Przypomnijmy, że Francisco Partners do 2019 roku było właścicielem izraelskiego NSO Group. W lutym 2019 roku Agencja Reutera poinformowała, że założyciele i kierownictwo firmy przejęło firmę, wykupując ponad 65% udziałów (pozostała część udziałów już wcześniej należała do jej pracowników). Wg. źródeł Agencji Reutera wyceniane były one na miliard dolarów amerykańskich. W 2017 roku Francisco Partners przejęła również firmę Sandvine, której produkty, jak informowała Agencja Bloomberga, zostały wykorzystane do zakłócenia internetu po wybuchu masowych protestów na Białorusi.

Działalność izraelskiej firmy wzbudziła spore kontrowersje na całym świecie, kiedy w Citizen Lab w 2018 roku ujawniło działalność NSO Group oraz wskazało, że sztandarowy produkt tej firmy Pegasus jest wykorzystywany w 45 krajach, w tym w Polsce. Działalność firmy wywołała również liczne batalie sądowe z Facebookiem - w zeszłym roku koncern Zuckerberga pozwał izraelską firmę NSO Group, oskarżając ją o wspieranie działalności cyberszpiegów, którzy dokonali włamania na urządzenia około 1400 użytkowników. Głównym celem działań mieli być dyplomaci, politycy, dziennikarze, a także wyżsi urzędnicy państwowi z różnych stron świata. Zdaniem Facebooka NSO wykorzystywało system połączeń wideo komunikatora WhatsApp, aby w ten sposób rozsyłać złośliwe oprogramowanie na urządzenia mobilne konkretnych użytkowników. Za pomocą wirusa państwowi cyberszpiedzy mogli potajemnie śledzić właściciela telefonu, poddając jego życie nieustannej kontroli.

W odpowiedzi na zrzuty Facebooka, NSO ujawniła w toku procesu sądowego, że przedstawiciele Facebooka w 2017 roku mieli zwrócić się do NSO Group z prośbą o możliwość zakupu Pegasusa. Zgodnie z zeznaniami przedstawiciela izraelskiej firmy, Facebook chciał pozyskać możliwość monitorowania użytkowników Apple.

Swoje działania przeciwko firmie prowadzi również Amnesty International, które domaga się cofnięcia licencji dla firmy. Swoje żądanie argumentuje możliwością wykorzystywania oprogramowania Pegasus do prowadzenia kampanii, wymierzonych w działaczy na rzecz ochrony praw człowieka. NSO Group stale utrzymuje, że narzędzie to zostało stworzone w celu wspierania rządów m.in w walce z terroryzmem i przestępczością. Jak zapewniają twórcy oprogramowania, każdorazowo przed zawarciem kontraktu prowadzone są rygorystyczne analizy sytuacji w danym kraju.