Hacklendim. Bana Karşı Kullanılan Casus Yazılımlar Hepimizi Savunmasız Hale Getiriyor.

Times Insider kim olduğumuzu ve ne yaptığımızı açıklıyor ve gazeteciliğimizin nasıl bir araya geldiğine dair perde arkası içgörüler sunuyor.

BEYRUT, Lübnan — Meksika’da hükümet, gazetecilerin ve aktivistlerin cep telefonlarını hackledi. Suudi Arabistan, yurtiçinde ve yurtdışındaki muhaliflerin telefonlarına girerek bazılarını cezaevine gönderdi. Dubai hükümdarı, eski eşi ve avukatlarının telefonlarını hackledi.

Bu yüzden belki de geçenlerde benim de hacklendiğimi öğrendiğimde şaşırmamalıydım.

Yine de haber sinir bozucuydu.

Orta Doğu’yu kapsayan bir New York Times muhabiri olarak, otoriter yöneticilerinin gizli tutmak istediği bilgileri paylaşmak için büyük riskler alan insanlarla sık sık konuşuyorum. Bu kaynakları korumak için birçok önlem alıyorum çünkü yakalanırlarsa hapse girebilirler ya da ölebilirler.

Ancak kişisel ve profesyonel hayatımızın büyük bir kısmını cebimizde taşıdığımız cihazlarda sakladığımız ve gözetim yazılımlarının giderek daha karmaşık hale gelmeye devam ettiği bir dünyada, hepimiz giderek daha savunmasız hale geliyoruz.

Göründüğü gibi, telefonuma virüs bulaşması için bir bağlantıya tıklamam bile gerekmedi.

Neler olduğunu belirlemeye çalışmak için Toronto Üniversitesi Munk Küresel İlişkiler Okulu’nda casus yazılımlar üzerinde çalışan bir araştırma enstitüsü olan Citizen Lab ile çalıştım.

Ne zaman saldırıya uğradığımı, kim tarafından ve hangi bilgilerin çalındığını bulmayı umuyordum. Ancak profesyonel internet dedektiflerinin yardımıyla bile cevaplar zordu.

Soruşturmanın bulduğu şey, hükümetlere suçla mücadele etmelerine ve teröristleri takip etmelerine yardımcı olmak için gözetim araçları satan, büyüyen küresel casus yazılım endüstrisiyle bir karşılaşmam olduğuydu.

Ancak bu araçları satan şirketler, devletlerin teknolojiyi aktivistlere ve gazetecilere karşı da dahil olmak üzere istedikleri gibi kullanmalarına izin veren, büyük ölçüde düzenlemeye tabi olmayan bir pazarda, gölgede faaliyet gösteriyor.

2018’de Citizen Lab’in muhtemelen Suudi Arabistan tarafından Pegasus adlı bir yazılım kullanılarak gönderildiğini belirlediği şüpheli bir metin mesajıyla hedef alındım. Yazılımın geliştiricisi, İsrail merkezli NSO Group, yazılımının kullanıldığını reddetti.

Bu yıl, The Times’ın teknik güvenlik ekibinin bir üyesi, telefonumda 2018’den başka bir bilgisayar korsanlığı girişimi buldu. Saldırı, beni Washington’daki Suudi Büyükelçiliği’ndeki bir protestoya ismen davet eden Arapça bir WhatsApp mesajıyla geldi.

Citizen Lab’de kıdemli bir arkadaş olan Bill Marczak, bu mesajlardaki bağlantılara tıklamadığım için her iki girişimin de başarılı olduğuna dair bir işaret olmadığını söyledi.

Ama aynı zamanda 2020 ve 2021’de iki kez, “sıfır tıklama” olarak adlandırılan ve bilgisayar korsanının herhangi bir bağlantıya tıklamadan telefonuma girmesine izin veren saldırılarla saldırıya uğradığımı da buldu. Bir hayalet tarafından soyulmak gibi.

İkinci durumda, Bay Marczak, telefonuma girdiğinde saldırganın ilk hack’in izlerini sildiğini söyledi. Parmak izlerini silmek için soyduğu bir kuyumcuya giren bir hırsızı hayal edin.

Teknik güvenlik uzmanları, suçluları kesin olarak tanımlamanın neredeyse imkansız olduğunu söyledi.

Ancak Bay Marczak, telefonumda bulunan ve diğer durumlarda gördüğüne benzeyen koda dayanarak, Pegasus’un dört kez de kullanıldığına “yüksek güven duyduğunu” söyledi.

2018’deki iki girişimde, Suudi Arabistan’ın saldırıları daha önce bir dizi Suudi aktivisti hedef alan bir operatör tarafından işletilen sunuculardan geldiği için başlattığını söyledi.

2020 ve 2021 saldırılarından hangi ülkenin sorumlu olduğu belli değildi, ancak ikincisinin Suudi bir aktivisti hacklemek için kullanılan bir hesaptan geldiğini kaydetti.

Yıllardır Suudi Arabistan hakkında yazıyorum ve geçen yıl krallığın fiili hükümdarı Veliaht Prens Muhammed bin Salman hakkında bir kitap yayınladım, bu yüzden Suudi Arabistan’ın telefonuma bakmak istemesinin nedenleri olabilir.

NSO, “NSO müşterilerinin hiçbiri tarafından Pegasus’un hedefi olmadığımı” yazan ve Bay Marczak’ın bulgularını “spekülasyon” olarak nitelendiren bir e-posta yazarak ürünlerinin hack’lere karıştığını reddetti. ”

Şirket, 2018 denemelerinde açıklanan teknolojiye sahip olmadığını ve açıklamadığı “teknik ve sözleşmesel nedenler ve kısıtlamalar” nedeniyle 2020 veya 2021’de hedef olamayacağımı söyledi.

Washington’daki Suudi Büyükelçiliği yorum talebine yanıt vermedi.

NSO kayıt hakkında daha fazla şey söylemeyi reddetti, ancak The Times, Suudi ajanların muhalif yazar Jamal Khashoggi’yi öldürmesinin ardından 2018’de şirketin Suudi Arabistan ile olan sözleşmelerini iptal ettiğini, ancak ertesi yıl krallıkla iş yapmaya devam etmek için sözleşmeye bağlı kısıtlamalar eklediğini bildirdi. yazılımın kullanımı hakkında.

NSO, Citizen Lab’ın hükümetin Arap uydu ağı Al Jazeera’nın 36 çalışanının telefonlarını hacklemek için Pegasus’u kullandığını tespit etmesinin ardından bu yıl Suudi sistemini tekrar kapattı.

Ticari casus yazılımlar üzerinde çalışan Atlantik Konseyi üyesi Winnona DeSombre, belirli bir hack için sorumluluk atamanın zor olduğunu, çünkü birçok şirketin Pegasus’a benzer ürünler sattığını, birçok ülkenin bunları kullandığı ve yazılımın gizli olacak şekilde tasarlandığını söyledi.

Güvenliği ihlal edilmiş cihazlarda kalan sınırlı verileri analiz etme sürecini “kör adamların file dokunmasıyla” karşılaştırdı. ”

“Şüphe duymadan söyleyemezsiniz,” dedi.

Telefonumda kalan izler, bilgisayar korsanlarının ne kadar süredir içeride olduklarını veya ne aldıklarını göstermiyordu, ancak herhangi bir şeyi çalmış olabilirler: fotoğraflar, kişiler, şifreler ve metin mesajları. Ayrıca beni gizlice dinlemek veya gözetlemek için mikrofonumu ve kameramı uzaktan açabilirlerdi.

Kaynaklarımı tutuklayabilmek için bağlantılarımı mı çaldılar? Kiminle konuştuğumu görmek için mesajlarımı tara? Ailemin sahildeki fotoğraflarında trollük yapmak mı? Sadece hackerlar biliyordu.

Bildiğim kadarıyla, telefonumdan çalınmış olabilecek bilgiler nedeniyle hiçbir kaynağıma zarar gelmedi. Ama belirsizlik uykumu kaçırmaya yetmişti.

Geçen ay Apple, Citizen Lab tarafından bilgilendirildikten sonra bilgisayar korsanlarının bu yıl telefonuma girmek için kullandıkları güvenlik açığını düzeltti. Ancak diğer güvenlik açıkları kalabilir.

Hayatlarımızı güvenlik açıkları olan cihazlarda sakladığımız ve gözetim şirketleri bunları kullanmanın yollarını satarak milyonlarca dolar kazanabildiği sürece, özellikle bir hükümet verilerimizi istediğine karar verirse, savunmamız sınırlıdır.

Artık telefonumda tuttuğum bilgileri sınırlandırıyorum. Hassas kişileri çevrimdışı olarak saklarım. İnsanları şifreli bir mesajlaşma uygulaması olan Signal’i kullanmaya teşvik ediyorum, böylece bir bilgisayar korsanı içeri girerse, bulunacak pek bir şey kalmayacak.

NSO da dahil olmak üzere birçok casus yazılım şirketi, muhtemelen Washington ile artan düzenlemelere yol açabilecek bir kavga çıkarmaktan kaçınmak için ABD telefon numaralarının hedeflenmesini engelliyor, bu yüzden bir Amerikan telefon numarası kullanıyorum.

Telefonumu sık sık yeniden başlatırım, bu da bazı casus programları başlatabilir (ancak devam edemez). Ve mümkün olduğunda, elimizdeki hacklenemeyen birkaç seçenekten birine başvuruyorum: Telefonumu geride bırakıp insanlarla yüz yüze görüşüyorum.