Összefoglaljuk röviden a Pegasus-botrányt
Telex․hu | 2021. júl. 21.

Animációs videóban magyarázzuk el a nemzetközi megfigyelési botrányt, kiemelve a magyar vonatkozásokat és a magyar kormányzat reakcióit.

https://www.youtube.com/watch?v=EoHPxy8mxJQ
___

Mit csinál a Pegasus program, ha rákerül valaki telefonjára?
ATV Magyarország | 2021. júl. 21.

Vendég Keleti Arthur kiberbiztonsági szakértő, az Informatikai Biztonság Napja alapítója.

https://www.youtube.com/watch?v=D-IiCNTypmk

Előzmény

Válasz

Több izraeli cég is olyan technológiát fejlesztett ki, amellyel sosem látott módon lehet kémkedni emberek milliói után.

A járvány árnyékában egész iparág épült arra, hogy kémprogramokat ültessenek be teljesen hétköznapinak tűnő hirdetésekbe, ezzel nyomkövetővé, sőt, kiberfegyverré alakítva őket. Az ügy középpontjában egy eddig ismeretlen, Insanet nevű cég és az általa fejlesztett Sherlock áll, amelyre legalább egy nem demokratikusan működő ország már le is csapott. A Sherlockban nemcsak az az ijesztő, hogy minden platform ellen bevethető, hanem az is, hogy a sebezhetőségeket kihasználó korábbi kémprogramokkal ellentétben jelenleg lehetetlen megállítani, és egyáltalán nem biztos, hogy a jövőben lehetséges lesz.

Hogy lett az online hirdetésekből nyomkövető?

Online hirdetések 1994 óta léteznek, és ahogy arra az idén 25 éves Google történetét összefoglaló cikkünkben is utaltunk, évtizedek óta az internetes gazdaság rendkívül jövedelmező gerincének számítanak. Manapság a digitális marketing rendkívül összetett, a hirdetők és a hirdetéseket árusító gigacégek mellett vállalatok és szolgáltatások ezrei gyűjtik, elemzik és optimalizálják a felhasználóktól begyűjtött adatokat, hogy három másodperccel azután már áfonyás joghurtokról szóló reklámokat kapjunk, hogy arra gondoltunk, jólesne betolni egyet uzsonnára.

Ahogy azt nyilván mindenki tudja, a legnagyobb online szolgáltatások, mint a Gmail vagy a Facebook, azért lehetnek ingyenesek, mert az ott önként és dalolva átadott adataink rendkívül értékesek a hirdetők számára. Így aztán nem meglepő, hogy egész iparág épült fel az adataink kezelése köré, amire általában csak AdTechként szoktak hivatkozni. Igazából az is logikus, hogy ezen belül létrejött a jóval kevésbé ismert AdInt, amely a begyűjtött adatokat hírszerzői oldalról közelíti meg, elvégre attól még, hogy ezek nem köthetők konkrét személyekhez, elképesztő mennyiségű információt lehet belőlük megtudni.

A rendszer röviden összefoglalva úgy néz ki, hogy minden telefonnak van egy saját reklámazonosítója, amely alatt adatot gyűjtenek rólunk, hogy célzott hirdetésekkel tudjanak minket bombázni. A hirdetők nem férnek hozzá a személyes adatainkhoz, így visszaélni sem tudnak velük, de a jogszabályoknak mindenben megfelelő adatgyűjtés is hasznos lehet hírszerzői információként. Jó példa erre, hogy azonosítani és követni lehet például minden eszközt, amely egy adott időpontban egy adott reptéren volt, ha azon akár csak egyszer megnyitottak egy olyan alkalmazást, ahol reklámok jelentek meg. Ez a járvány alatt alkalmas volt a koronavírus terjedésének követésére, amit egy Intelos nevű izraeli cég a gyakorlatban is megcsinált.

-- A cég az AdHoc nevű szoftverét rendfenntartó erőknek és magáncégeknek is árulja, miután pedig kereskedelmi forgalomban megszerezhető adatokról van szó, különleges szabályozások sem vonatkoznak rá.

Eközben viszont egyértelmű, hogy sokkal szűkebb kört is meg lehet célozni egy folyamatos követést lehetővé tevő reklámkampánnyal. A reklámazonosítót Androidon és iOS-en is ki lehet kapcsolni, utóbbi esetben 2021 óta külön jóvá kell hagyni a követést, de hiába okozott ez több milliárd dolláros bevételkiesést a legnagyobb cégeknek az elmúlt két évben, az internetes reklámbevételek azóta is szédületes tempóban nőttek. Az tehát nyilvánvaló, hogy továbbra is rengeteg emberről lehet ezen keresztül részletes információkat szerezni, majd azokat teljesen legálisan felhasználók követésére felhasználni.

Hogy lett a nyomkövetőből kiberfegyver?

Egy AdIntben dolgozó szakember a Háárecnek azt mondta, a két legnagyobb játékos, a Google és az Apple lényegében egy hatalmas kémrendszert hoztak létre, és közben reménykedtek abban, hogy ez senkinek nem fog feltűnni. Persze ahogy az jól látszik, az utóbbi években számos cég tűnt fel, amelyek ki tudják használni ezt, a kontaktkutatáson bőven túlmutató feladatokra is. Iparági források szerint az igazán sikeres cégek az AdIntben mind be vannak csatornázva valahogy az online reklámpiacra, sokszor úgy, hogy van egy saját reklámcégük. Ilyen például a kifejezést meghonosító Rayzone, amely

-- alapjáraton magáncégeknek árulja az Echo nevű termékét, de állítólag egy hivatalos izraeli szerv is érdeklődött már iránta, hogy palesztinokat figyeljenek meg vele.

És persze vannak olyan cégek is, akik nem állnak meg a megfigyelésnél, hanem egészen konkrétan kémprogramokat vagy más, rosszindulatú szoftvereket tartalmazó időzített bombákká alakítanak át hirdetéseket, amellyel sokkal kiterjedtebben és részletesebben tudják megfigyelni az addig egy homogén csoportban névtelenül elvesző célpontjaikat. Ez persze nem újdonság, a Pegasus mögött álló NSO és a Candiru évek óta képesek arra, hogy anélkül férkőzzenek be a célpontjaik eszközeibe, hogy az illetőnek bármire rá kellene kattintania menet közben, van azonban egy nagyon fontos különbség a két dolog között.

Ezek a kémszoftverek általában biztonsági réseket használnak ki, amelyek ugyan gyakoribbak, mint azt a cégek szeretnék, de legalább lehet ellenük küzdeni.
https://telex.hu/tech/2023/09/18/izrael-kemszoftver-megfigyeles-reklam-hirdetes-insanet

Válasz

A hatalom önmagát leplezi le, amikor azok után, hogy a nemzetbiztonság védelme nevében újságírók, ügyvédek és politikai aktivisták szakmai és magánéletben kutakodik, mégsem gyanúsítanak meg senkit. Ijesztő belegondolni, hogy az államhatalom a legszemélyesebb adatainkat is megismerheti a tudtunk nélkül, és még csak jogorvoslati lehetőségünk sincs, ha ez véletlenül kiderül. Muszáj kiharcolnunk, hogy a jogtalanul megfigyelt állampolgárok érdemi elégtételt kaphassanak, a titkosszolgálatok pedig valóban nemzet, és ne a hatalom védelmével foglalkozzanak.

A Pegasus-ügyről és az ehhez kapcsolódó összes jogi tevékenységünkről honlapunkon olvashatsz részletesen:
https://tasz.hu/pegasus

Válasz