Wprowadzenie do problemu / definicja
Komercyjne oprogramowanie szpiegowskie klasy spyware, takie jak Predator, Pegasus i Graphite, należy do najbardziej inwazyjnych narzędzi wykorzystywanych przeciw urządzeniom mobilnym. Po skutecznej infekcji operator może uzyskać dostęp do wiadomości, kontaktów, plików, lokalizacji, a nawet aktywować mikrofon i kamerę ofiary bez jej wiedzy.
Choć producenci i użytkownicy takich rozwiązań zwykle uzasadniają ich stosowanie walką z terroryzmem i poważną przestępczością, praktyka pokazuje, że narzędzia te bywają kierowane także przeciw dziennikarzom, aktywistom, politykom i przedstawicielom społeczeństwa obywatelskiego. W efekcie problem przestaje być wyłącznie kwestią technologiczną i staje się zagadnieniem dotyczącym praw obywatelskich, przejrzystości państwa oraz odpowiedzialności instytucji.
W skrócie
Najnowsze ustalenia dotyczące wykorzystania spyware w Europie wskazują na utrwalony problem systemowy. Ofiary inwigilacji przez lata próbują potwierdzić, że ich urządzenia zostały przejęte, a państwa i podmioty powiązane z rynkiem cyberinwigilacji często zasłaniają się bezpieczeństwem narodowym lub tajemnicą operacyjną.
- W Grecji zapadł precedensowy wyrok wobec osób powiązanych z ekosystemem Predator.
- Nie udało się jednak w pełni ustalić, kto stał za zleceniem konkretnych operacji.
- Podobne kontrowersje dotyczą także Polski, Hiszpanii, Węgier i Włoch.
- Skuteczność środków prawnych i mechanizmów kontrolnych wciąż pozostaje ograniczona.
Kontekst / historia
Debata wokół nadużyć spyware w Europie nabrała rozpędu po ujawnieniach dotyczących Pegasusa z 2021 roku. Od tamtej pory śledztwa dziennikarskie, analizy techniczne i działania organizacji praw człowieka coraz częściej wskazują, że zaawansowane narzędzia nadzoru były wykorzystywane nie tylko w działaniach przeciw przestępczości, ale również wobec celów o znaczeniu politycznym i medialnym.
Jednym z najważniejszych przykładów pozostaje sprawa greckiego dziennikarza Thanasisa Koukakisa, który przez lata dochodził potwierdzenia infekcji telefonu spyware Predator. Choć zapadł wyrok wobec osób powiązanych z firmą Intellexa, postępowanie nie doprowadziło do pełnego wyjaśnienia odpowiedzialności po stronie zleceniodawców. To pokazuje podstawowy problem europejskiego systemu: nawet gdy wykrycie techniczne jest możliwe, ustalenie pełnego łańcucha decyzyjnego nadal okazuje się wyjątkowo trudne.
Równolegle podobne zarzuty pojawiały się w kolejnych państwach. W Polsce szeroko komentowano sprawę wykorzystania Pegasusa wobec Krzysztofa Brejzy. W Hiszpanii ujawniono przypadki infekcji osób związanych z ruchem niepodległościowym w Katalonii. Na Węgrzech wskazywano na użycie spyware wobec dziennikarzy śledczych, a we Włoszech kontrowersje dotyczyły narzędzia Graphite i działań wymierzonych w aktywistów oraz osoby dokumentujące sytuację migrantów.
Analiza techniczna
Predator, Pegasus i Graphite reprezentują kategorię zaawansowanego mobilnego spyware, które działa znacznie szerzej niż typowe złośliwe aplikacje. Ich skuteczność opiera się na wykorzystaniu złożonych łańcuchów infekcji, obejmujących spreparowane wiadomości, złośliwe odnośniki, a w bardziej zaawansowanych wariantach także luki typu zero-day oraz ataki zero-click.
Po uzyskaniu dostępu do urządzenia spyware zwykle dąży do eskalacji uprawnień i utrzymania obecności w systemie. Dzięki temu operator może pozyskiwać:
- treść wiadomości i komunikatorów,
- historię połączeń i metadane,
- lokalizację oraz wzorce przemieszczania się,
- pliki zapisane lokalnie,
- dźwięk z mikrofonu i obraz z kamery.
W praktyce są to kompletne platformy operacyjne, obejmujące infrastrukturę dowodzenia i kontroli, mechanizmy eksfiltracji danych, moduły zarządzania kampanią oraz funkcje ukrywania aktywności. Z technicznego punktu widzenia kluczowe znaczenie ma fakt, że analiza artefaktów urządzenia i ruchu sieciowego może wskazać ślady infekcji, ale nie zawsze pozwala jednoznacznie ustalić podmiot, który zlecił lub prowadził operację.
To właśnie rozdzielenie między wykryciem infekcji a atrybucją odpowiedzialności stanowi jeden z największych problemów współczesnych dochodzeń dotyczących spyware. Nawet jeśli eksperci potwierdzą kompromitację telefonu, identyfikacja faktycznego operatora lub zleceniodawcy bywa utrudniona przez pośredników, złożone struktury własnościowe i niejawny charakter działań służb.
Konsekwencje / ryzyko
Skutki użycia spyware wykraczają daleko poza utratę prywatności pojedynczej osoby. W przypadku dziennikarzy oznaczają ryzyko deanonimizacji źródeł, przejęcia materiałów roboczych oraz monitorowania procesu przygotowywania publikacji. Dla polityków, prawników, aktywistów i organizacji obywatelskich może to oznaczać możliwość wycieku korespondencji, profilowania kontaktów oraz prowadzenia operacji wpływu.
Istotne jest również ryzyko systemowe. Nadużycia spyware osłabiają zaufanie do instytucji publicznych, sądowej kontroli nad działaniami operacyjnymi oraz legalności decyzji podejmowanych przez państwo. Jeżeli ofiara nie ma skutecznego dostępu do informacji o skali inwigilacji ani realnej ścieżki odwoławczej, problem staje się zagrożeniem dla standardów demokratycznych.
Z operacyjnego punktu widzenia skuteczna infekcja smartfona daje dostęp do wieloletniej historii zawodowej i prywatnej ofiary. Umożliwia rekonstrukcję relacji społecznych, identyfikację wrażliwych kontaktów, a nawet wykrycie potencjalnych punktów nacisku. To sprawia, że spyware może być wykorzystywane nie tylko do zbierania informacji, ale także do presji, dyskredytacji i sterowania przekazem publicznym.
Rekomendacje
Organizacje wysokiego ryzyka powinny zakładać, że urządzenia mobilne mogą stać się celem zaawansowanych operacji inwigilacyjnych. Dotyczy to szczególnie redakcji, kancelarii prawnych, organizacji pozarządowych, sztabów politycznych i osób prowadzących działalność śledczą lub dokumentacyjną.
- Regularnie aktualizować systemy iOS i Android oraz nie odkładać instalacji poprawek bezpieczeństwa.
- Minimalizować liczbę aplikacji i rygorystycznie zarządzać nadawanymi uprawnieniami.
- Stosować segmentację komunikacji i nie przechowywać wszystkich wrażliwych danych na jednym urządzeniu.
- Wdrażać rozwiązania Mobile Threat Defense i prowadzić okresowe analizy kryminalistyczne telefonów.
- Szkolić użytkowników z rozpoznawania spear phishingu, nietypowych wiadomości i prób wymuszenia interakcji.
- Przygotować procedurę reagowania obejmującą izolację urządzenia, zabezpieczenie materiału dowodowego i współpracę z wyspecjalizowanym laboratorium.
Z perspektywy systemowej konieczne są jednak również działania regulacyjne. Same zabezpieczenia techniczne po stronie użytkownika nie wystarczą, jeśli państwa nie zapewnią niezależnego nadzoru nad użyciem narzędzi inwigilacyjnych, obowiązku dokumentowania podstaw prawnych oraz realnych mechanizmów informowania ofiar po zakończeniu działań operacyjnych, o ile nie zagraża to toczącym się postępowaniom.
Podsumowanie
Przypadki związane z Predator, Pegasus i Graphite pokazują, że Europa nadal nie wypracowała skutecznego modelu rozliczania nadużyć komercyjnego spyware. Choć możliwości analizy technicznej i wykrywania infekcji rosną, odpowiedzialność prawna i polityczna wciąż pozostaje rozproszona, a ofiary często latami walczą o podstawowe informacje.
Dla środowiska cyberbezpieczeństwa najważniejszy wniosek jest jednoznaczny: mobilne spyware pozostaje jednym z najbardziej inwazyjnych i najtrudniejszych do ograniczenia zagrożeń. Skuteczna odpowiedź wymaga jednocześnie zaawansowanej analizy technicznej, dojrzałych procedur organizacyjnych oraz silnych mechanizmów kontroli nad legalnością stosowania takich narzędzi.
Źródła
- Security Affairs — Predator, Pegasus and Graphite: Governments Accused of Spyware Abuse Face Little Accountability — https://securityaffairs.com/202922/malware/predator-pegasus-and-graphite-governments-accused-of-spyware-abuse-face-little-accountability.html
- IrpiMedia — report on spyware victims in Europe — https://www.irpimedia.eu/
- Citizen Lab — mobile spyware research and investigations — https://citizenlab.ca/
- Amnesty International Security Lab — spyware investigations — https://securitylab.amnesty.org/
- European Parliament — PEGA committee materials — https://www.europarl.europa.eu/