Avrupa'da hükümetlerin muhaliflerini izlemek için casus yazılımı kötüye kullanmasına ilişkin tartışmaları alevlendiren bir gelişme yaşandı. Toronto Üniversitesi'nden dijital haklar birimi The Citizen Lab'in araştırmacıları, Yunan gazeteci ve eski milletvekili Stelios Kouloglou'nun telefonunun 2022 ve 2023 yıllarında Pegasus casus yazılımı ile hacklendiğini doğruladı. Bu durum, Avrupa Parlamentosu'nun casus yazılım saldırılarını araştıran PEGA komitesi üyesinin, bizzat incelediği casus yazılımın kurbanı olduğunun kamuoyuna açıklandığı ilk vaka olma özelliğini taşıyor.
PEGA KOMİTESİ HEDEFTE MİYDİ?
Kouloglou, telefonunun kasten ele geçirilmesini "pervasızca" olarak nitelendirirken, görevdeki bir Avrupalı yasa koyucu bu hack olayını "hukukun üstünlüğüne doğrudan bir saldırı" olarak tanımladı. Avrupa Komisyonu'ndan, 27 üye ülkenin tamamında casus yazılım kullanımına sıkı sınırlar getirilmesi yönünde somut adımlar atılması talep edildi. Milletvekillerine yönelik casus yazılım saldırıları nadir görülse de, bir komite araştırmacısının bizzat kendi incelediği casus yazılımla hedef alınmasının zamanlaması ve yöntemi, komitenin hazırladığı beklenen rapor öncesinde iç işleyişine yoğun bir odaklanma olduğunu düşündürüyor. Bu hack olayları, ciddi suçları tespit etmek için gerekli olduğu iddia edilen casus yazılımların gazetecileri, milletvekillerini ve eleştirenleri gözetlemek için nasıl kullanıldığına dair yeni soruları gündeme getiriyor.
TEKNİK DETAYLAR VE SONUÇLARI
Citizen Lab araştırmacıları, telefon hackleme eylemini belirli bir ülkeye atfetmese de, hükümet müşterisinin daha önceki bir kampanyada Avrupa genelindeki gazetecilerin telefonlarını hacklemek için kullanılan Pegasus yüklü aynı e-posta adresini kullandığını belirtti. Müşterinin kimliği bilinmiyor, ancak aynı saldırgan e-posta adresinin tekrar kullanılması, müşterinin NSO Group'tan Pegasus casus yazılımını birden fazla Avrupa ülkesinde telefonları gözetlemek için kullanma yetkisine sahip olduğunu ima ediyor. Citizen Lab'in raporuna göre, Kouloglou'nun telefonu Ekim 2022'de ve Mart 2023'te en az iki kez, Apple'ın iPhone yazılımındaki bir güvenlik açığını istismar eden bir yöntemle hacklendi. Bu güvenlik açığı yamalanmış olsa da, yama Kouloglou'nun telefonuna henüz yüklenmemişti. Saldırı, kullanıcının herhangi bir etkileşimine gerek kalmadan casus yazılımın telefona girip verileri çalmasını sağlayan "sıfır tıklama" (zero-click) türündeydi. Bu açık, iPhone'larda kullanılan Apple'ın akıllı ev yazılımındaki daha önce keşfedilmiş bir kusurdan faydalanarak, casus yazılımın Kouloglou'nun telefonundan metin mesajları, diğer yazışmalar, konum verileri ve fotoğraflar gibi özel verileri onun bilgisi olmadan çalmasına olanak tanıdı. Ekim 2022'deki hack'in zamanlaması, Kıbrıs, Yunanistan, Macaristan, Polonya ve İspanya'daki casus yazılım kötüye kullanımlarını ele alan ilk taslak raporun sunulmasından önce, Ekim ve Kasım 2022 boyunca yoğunlaşan e-posta ve metin mesajı görüşmeleriyle örtüşüyor. Kouloglou, NSO Group'a dava açmayı planladığını belirtti ve bu hikayeyi "demokrasi, insan hakları ve yolsuzlukla mücadele" için kamuoyuyla paylaştığını ifade etti.
