Privatizálják a kiberháborút az elnyomó kormányok

• A mexikói kormány újságírók és civil szervezetek utáni kémkedéshez is felhasználta azt az eszközt, amelyet 2013-ben egy magán hírszerző cégtől vásárolt a drogkartellek elleni harchoz.
• 2016-ban az Egyesült Arab Emírségekben egy emberi jogi aktivista, Ahmed Manszúr iPhone-ját figyelték meg egy kifinomult kémszoftverrel. Az ezt lehetővé tevő sebezhetőséget az Apple hamarosan javította, de addigra Manszúrt már kirúgták a munkahelyéről, bevonták az útlevelét, meghekkelték az emailjét, nyomon követték és lemerítették a bankszámláját. Azóta börtönbe is került, jelenleg büntetését tölti.
• A szaúdi disszidens Dzsamál Hasogdzsi 2018. októberi meggyilkolása előtt a kormánykritikus újságíró telefonját egy magán hírszerző cég segítségével hallgatták le hazája vezetői.

Mindhárom fenti történetben ugyanaz a cég bukkant fel: az izraeli NSO Group. A cég eszközeit elvileg kizárólag a terrorizmus és más bűncselekmények ellen lehetne bevetni, de a gyakorlat azt mutatja, hogy ennél jóval kevésbé nemes célokra is felhasználják az ilyesmire fogékony kormányok, sőt vállalatok vagy tehetős magánemberek is. (A cég tagadja a fenti esetekben való érintettségét, akárcsak a legutóbbi vádat, miszerint Szaúd-Arábia az ő eszközeikkel hekkelhette meg Jeff Bezos Amazon-vezér telefonját.)

Az NSO a legnagyobb, de közel sem az egyetlen szereplője annak a titokzatos és egyre jövedelmezőbb üzletágnak, amely az utóbbi években elkezdte átalakítani a globális kiberkémjátszmát. Állami hírszerző szerveknél edződött egykori ügynökök által alapított magánvállalatok kínálnak kémeszközöket és -szolgáltatásokat megfizethető áron, amivel gyakorlatilag demokratizálják a korábban nagyhatalmak kiváltságának számító kiberkémkedést – és ezzel ironikus módon a demokratikus kezdeményezéseket elfojtani igyekvő elnyomó kormányokat is új eszközökkel látják el.

A kiberhadviselés új frontjának legfontosabb cégeit nemrég a New York Times mutatta be egy hónapos nyomozómunka után. Ezeket a cégeket nagyjából úgy lehet elképzelni, mint a klasszikus hadviselés magánhadseregeit, például a – ma már Academi néven működő – hírhedt Blackwatert, amely az iraki háborútól az ukrajnai szeparatisták elleni harcig szinte minden amerikai érdekeltségű válsághelyzetben feltűnt. Csak éppen ezek a privát hírszerző vállalatok nem a terepen vonulnak fel a megbízóik céljaiért, hanem a digitális eszközeikkel segítenek a mindennapi háborúk megvívásában.

Nem csak bűnözők után kémkednek

Az NSO Groupot 2008-ban alapította az izraeli hadsereg elektronikus hírszerzésre specializált 8200-as egységének – feladatában nagyjából az amerikai NSA izraeli megfelelője – két veteránja, Shalev Hulio és Omri Lavie. A cég 2011-ben mutatta be Pegasus nevű eszközét, amellyel okostelefonokat tudtak feltörni és észrevétlenül megfigyelni. Az első komoly ügyfelük a mexikói kormány volt 2013-ben, amely a drogkartellek elleni harcban kérte a cég segítségét. A NYT forrásai szerint az NSO eszközeinek kulcsszerepe volt a leghíresebb mexikói drogbáró, a Köpcös 2016-os elfogásában is, akit idén februárban ítéltek el.

Az NSO-nak azóta a világ öt kontinensén vannak ügyfelei, és világszerte hozzájárult a terrorizmus és a szervezett bűnözés elleni harchoz. Az eszközeivel viszont a jelek szerint több ügyfele is visszaél, a mexikói kormány például újságírókat, kormánykritikus civil szervezeteket és nemzetközi kutatókat is megfigyelt a segítségükkel. Az egyik esetben, amikor egy kiszemelt újságíró telefonjára nem sikerült bejutniuk, jobb híján a 16 éves fia mobilját vették célba.

Az NSO saját bevallása szerint igyekszik fellépni az eszközei nem rendeltetésszerű használata ellen, például egy etikai bizottság dönti el, hogy üzletelhetnek-e olyan kormánnyal, amellyel kapcsolatban felmerül az emberi jogok megsértése, és az izraeli védelmi minisztériumnak is jóvá kell hagynia a cég külföldi kormányokkal kötött szerződéseit. Törökországnak például nem adnak el semmit. Mexikó vagy éppen Szaúd-Arábia viszont egyik szűrön sem akadt fenn, pedig nemzetközi értékelések alapján mindkettőben rosszabb az emberi jogi helyzet. De az Egyesült Arab Emírségek is a cég ügyfele maradt még a Manszúr-ügy nyilvánosságra kerülése után is. És bár a közmegítélésük ellentmondásos, az üzleti értékükön nem fognak a kétes ügyek: a cég jelenlegi becsült értéke 1 milliárd dollár.

Sötét anyag, sötét ügyek

Az NSO a legismertebb, de közel sem az egyetlen szereplője ennek a mára 12 milliárd dollár (3,45 billió forint) értékűre hízott szektornak. Sőt, egyre nagyobb a verseny a cégek között, a riválisok nemcsak az állami szolgálatoktól, hanem egymástól is igyekeznek elcsábítani a tehetséges hekkereket. A másik fő játékos az egyesült arab emírségekbeli DarkMatter, amely maga is szipkázott el izraeli exkémeket az NSO-tól. Az ő esetükben annyiban más a helyzet, hogy a magáncég a gyakorlatban az Emírségek állami hírszerzésének kiterjesztéseként működik, konkrétan az ország hírszerzésével egy épületben van az irodájuk.

A DarkMatter létrehozásának története jól jellemzi az egész iparág ingoványosságát. Az Emírségek korábban egy CyberPoint nevű amerikai céget bízott meg az ország kibervédelmével. A cég ehhez annak rendje és módja szerint beszerezte a hadi és hírszerzési exporthoz szükséges licencet az amerikai kormánytól. A megbízó azonban rendszeresen feszegette a szerződés által szabott határokat, és az amerikai törvényekbe ütköző feladatokkal – például amerikai szervereken futó weboldalak meghekkelésével – bízta volna meg őket.

Miután a CyberPoint ezt rendre visszautasította, az Emírségek 2015-ben megalapította a saját kiberkémvállalatát, amelyet már nem kötöttek az amerikai törvények – csakhogy ehhez több, NSA-nél és más amerikai szolgálatoknál edződött alkalmazottat is átcsábított, voltak, akiket éppen a CyberPointtól. Ezzel gyakorlatilag kiszervezte az amerikai kiberképességeket a saját fennhatósága alá. Ezt azzal tudta elérni, hogy mesés fizetést kínált nekik, kicsit ahhoz hasonlóan, ahogy az egykor világsztár, de már kiöregedőben lévő focisták a Közel-Keletre mennek levezetni, hogy még a visszavonulás előtt még felduzzasszák a bankszámlát.

A cég korábbi munkatársai szerint a DarkMatter külföldi kormányok mellett Gmail-, Yahoo- és Hotmail-fiókokat is meghekkelt, illetve a Citizen Lab nevű kanadai kutatószervezetet is támadta. Egyes akciókban amerikai állampolgárok is a célkeresztjükbe kerültek, az ezt kifogásoló amerikai alkalmazottakat pedig levették a projektről. Az FBI nyomozást indított a cég amerikai munkatársai ellen, amely azután pörgött fel, hogy egy akkoriban szintén a DarkMatternél dolgozó korábbi NSA-hekker megelégelte a dolgot, és az amerikai nyomozókhoz fordult, miután több társával együtt otthagyta a céget. Erről még januárban írt részletesen a Reuters.

A külföldi célpontok mellett a DarkMatternek otthon is akad munkája bőven, például ők is rádolgoztak arra az Ahmed Manszúrra, akivel korábban az NSO-t is megbízta az Emírségek kormánya. A gyereke babamonitorjának meghekkelésével hallgatták le a családját.

Digitális agyelszívás

Mindez rávilágít arra a problémára, hogy bár a magánkémkedés az elmúlt években önálló iparággá nőtte ki magát, ezt – a technológiai fejlődés sok más aspektusához hasonlóan – a szabályozás még nem tudta követni. A katonai és hírszerzési technológiák exportjára, illetve az ilyen szervek kötelékében kiképzett személyek külföldi munkavállalására vonatkozó törvényeket 20. századi viszonyokra írták, így azok a fegyverkereskedelmet és katonai taktikák átadását korlátozzák. A kiberháborúban bevethető képességekkel viszont egyelőre nem nagyon tudnak mit kezdeni. Pedig a modern háborúk ma is zajló legfontosabb csatáit már ezekkel vívják.

Az NSA alkalmazottainak elvileg életük végéig védeniük kell az Egyesült Államok titkait, és az ügynökség otthagyása utáni két évben jelenteniük kell, ha munkát vállalnak külföldi kormányoknál. De hogy az amerikai hírszerzésben szerzett szaktudásuk mennyire tekinthető államtitoknak, illetve hogy egy külföldi magáncégnél vállalt munka mekkora kockázatot jelent, mindebből nem világos – az meg pláne nem, hogy mi van, ha két évnél később állnak szolgálatban egy ilyen cégnél.

Mindenesetre az amerikai igazságügyi minisztérium a DarkMatter ügyében kémtechnológiák esetleges illegális exportját is vizsgálja, de a nyomozást bonyolítja, hogy az Emírségek jó viszonyt ápol a Trump-adminisztrációval, és a New York Times szerint nem kizárt, hogy ha túl mélyre ásnának, kellemetlen részletek derülhetnének ki a DarkMatter és az amerikai hírszerző szolgálatok kapcsolatáról is.

Titokzatos cégek, magyar szálak

Az NSO és az DarkMatter mellett említhető még néhány további cég is. Egyikük a szintén izraeli, egykori moszados hírszerzőkhöz köthető Black Cube, amely világszerte azzal híresült el, hogy a zaklatási botrányba keveredett Harvey Weinstein is velük próbálta eltussoltatni a karrierjébe került ügyet. Itthon azonban leginkább a magyar vonatkozású akciójuk miatt emlékezhetünk rájuk: egy máig ismeretlen – bár jó eséllyel a magyar kormányhoz közel álló – ügyfél megbízásából civil szervezeteket próbáltak titkosszolgálati módszerekkel csőbe húzni és lejáratni.

Szintén izraeli a 2016-os Trump-kampány környékén is feltűnő Psy-Group, amelyet a későbbi elnök egyik tanácsadója közösségi médiás manipulációval akart megbízni, bár végül ez az együttműködés nem valósult meg.

Bár nem közel-keleti, de szintén ismert szereplő volt az olasz Hacking Team, amely leginkább azzal vált híressé, hogy 2015 júliusában valaki meghekkelte őket, majd nyilvánosságra hozta a kódjaikat és egy halom kínos belső információt, aminek köszönhetően ritka betekintést nyerhettünk a kémszoftverek gyártóinak titokzatos világába. Itt is volt magyar szál: mint kiderült, egy fedőcégen keresztül Magyarország is 600 millió forintos ügyfelük volt, de a Magyar Telekom is kapcsolatban állt velük. (Az egyik nyilvánosságra került kémeszközüket mi is bemutattuk.)

Elszabadult kiberágyúk

A Hacking Team meghekkelése egyébként egy olyan problémára is ráirányítja a figyelmet, ami a kiberképességek szürke zónás exportja mellett a másik nagy jogi-biztonsági kihívás ezen a téren: ha az állami hírszerző ügynökségek által saját célra felhalmozott sebezhetőségek illetéktelen kezekbe kerülnek, könnyen elszabadul a kiberbiztonsági pokol. A Hacking Team eszközeinek közzététele is több népszerű programot szabad prédává tett a hekkerek számára.

A nulladik napi sebezhetőségek a hekkerek legnagyobb kincsei, hiszen amíg maga a sebezhető eszköz gyártója se tudja, hogy létezik egy hiba, addig javítani se tudja, így azt nyugodtan ki lehet használni. Ezért szoktak állami hírszerző ügynökségek, például az amerikai NSA és CIA is betárazni ilyen titkos kiskapukból. De nemcsak a kormányzati hekkerek, hanem a bűnözők is szeretik az ilyesmit, ezért ha az NSA megtalál egy hibát, de nem szól róla, ezzel ártatlan felhasználókat veszélyeztet. Hiszen a befoltozatlan résen az ő adataikat is kilophatják a hekkerek – pláne, ha magától az ügynökségtől szerzik meg hozzá a sebezhetőséget.

A nagy 2017-es zsarolóvírus-hullámot is az tette lehetővé, hogy a Shadow Brokers nevű csoport meghekkelte az NSA-t, majd közzétette az ellopott eszközeiket, köztük az EternalBlue kódnevű Windows-sebezhetőséget. Egy évvel később pedig a Wannacry és a NotPetya is ezen keresztül tudta megfertőzni az áldozatok gépeit.

Akkor a Windowst fejlesztő – és egyébként a hibát a napvilágra kerülése után gyorsan javító – Microsoft is megjegyezte, hogy a kormányoknak fel kell hagyniuk azzal, hogy sebezhetőségeket gyűjtenek saját célra, és nem közlik azokat az érintett cégekkel, mert annak előbb-utóbb elkerülhetetlenül ez lesz a vége. Nem csoda, hogy éppen a Microsoft az egyik leghangosabb propagálója a digitális genfi egyezménynek, amely a hagyományos tömegpusztító fegyverekhez hasonlóan önkéntes alapú korlátozásra venné rá a kiberfegyverek fejlesztőit is.

:An Israeli woman uses her iPhone in front of the building housing the Israeli NSO group on August 28 2016 in Herzliya near Tel Aviv. - Apple iPhone owners earlier in the week were urged to install a quickly released security update after a sophisticated attack on an Emirati dissident exposed vulnerabilities targeted by cyber arms dealers.

(Borítókép: Az NSO Group irodája  Herzliyában, Izraelben, 2016-ban. Fotó:  Jack Guez / AFP)