Amnesti: Vlasti u Srbiji špijuniraju nezavisne novinare i aktiviste

Policija i obaveštajne službe u Srbiji koriste moderan špijunski softver za mobilne uređaje kako bi nezakonito nadzirali telefone novinara, ekoloških aktivista i drugih u kampanji tajnog špijuniranja, otkriva izveštaj Amnesti internešenal

Izveštaj pod naslovom „Digitalni zatvor: Nadzor i represija civilnog društva u Srbiji“, dokumentuje kako se mobilni forenzički proizvodi izraelske kompanije Cellebrite koriste za ekstrakciju podataka sa mobilnih uređaja novinara i aktivista. Izveštaj otkriva da su srpska policija i Bezbednosno-informativna agencija (BIA) koristile prilagođeni špijunski sistem NoviSpy za Android uređaje kako bi tajno zarazile uređaje tokom zadržavanja ili razgovora u policiji.

Prenosimo saopštenje Amnesti internešenal povodom ovog izveštaja:

„Naša istraga pokazuje kako su srpske vlasti koristile tehnologiju nadzora i taktike digitalne represije kao alate za širu kontrolu i represiju usmerenu protiv civilnog društva,“ izjavila je Dinushika Dissanayake, zamenica regionalnog direktora Amnesty International-a za Evropu.

„U izveštaju se takođe ističe kako mobilni forenzički proizvodi kompanije Cellebrite – koje policijske i obaveštajne službe širom sveta obimno koriste – mogu predstavljati ogroman rizik za sve one koji se zalažu za ljudska prava, zaštitu životne sredine i slobodu govora, naročito kada se koriste bez stroge zakonske kontrole i nadzora.”

Kako se Cellebrite i NoviSpy koriste za targetiranje uređaja

Osnovana i sa sedištem u Izraelu i s kancelarijama širom sveta, Cellebrite je kompanija koja razvija Cellebrite UFED paket proizvoda za agencije za sprovođenje zakona i državne institucije. Ovi alati omogućavaju ekstrakciju podataka iz širokog spektra mobilnih uređaja, uključujući najnovije Android i iPhone modele, čak i bez pristupa šifri za otključavanje.

Iako je manje tehnički napredan od visoko invazivnih komercijalnih špijunskih softvera kao što je Pegazus, NoviSpy – ranije nepoznat špijunski softver za Android uređaje – i dalje srpskim vlastima pruža opsežne mogućnosti nadzora, nakon što se instalira na targetirani uređaj.

NoviSpy omogućava prikupljanje osetljivih ličnih podataka sa ciljanog telefona, kao i daljinsko aktiviranje mikrofona ili kamere telefona, dok se forenzički alati kompanije Cellebrite koriste kako za otključavanje telefona pre instaliranja špijunskog softvera, tako i za ekstrakciju podataka sa uređaja.

Od ključne je važnosti činjenica da je Amnesty International otkrio forenzičke dokaze koji pokazuju kako su srpske vlasti koristile Cellebrite proizvode da omoguće zaražavanje telefona aktivista špijunskim softverom NoviSpy. U najmanje dva slučaja, Cellebrite UFED exploit (softver koji koristi grešku ili ranjivost) korišćen je da zaobiđe bezbednosne mehanizme Android uređaja, omogućavajući vlastima da tajno instaliraju špijunski softver NoviSpy tokom policijskih ispitivanja. Amnesty International je takođe otkrio da su srpske vlasti koristile Cellebrite da iskoriste „zero-day“ exploit (grešku u softveru koja nije poznata programerima samog softvera i za koju nije dostupna zakrpa) na Android uređajima kako bi dobile privilegovani pristup telefonu ekološkog aktiviste. Ova ranjivost, otkrivena u saradnji sa istraživačima Google-a koji rade na pitanjima bezbednosti u okviru grupacija Project Zero i Threat Analysis, uticala je na milione Android uređaja širom sveta koji koriste popularne Qualcomm čipsetove, a ažuriranje za ispravku sigurnosnog problema objavljeno je u Qualcomm sigurnosnom biltenu u oktobru 2024. godine.

Hakovanje telefona i zaražavanje špijunskim softverom kompanije Cellebrite preti novinarima i aktivistima

U februaru 2024. godine, srpski nezavisni istraživački novinar Slaviša Milanov uhapšen je i priveden od strane policije pod izgovorom alko testiranja. Tokom zadržavanja, Slaviša je ispitivan od strane policijskih službenika u civilu o svom novinarskom radu. Njegov Android telefon bio je isključen kada ga je predao policiji a ni u jednom trenutku nije mu zatražena, niti je on dao šifru za otključavanje.

Nakon puštanja, Slaviša je primetio da je njegov telefon, koji je ostavio na prijavnici policijske stanice tokom ispitivanja, kompromitovan a da su podaci na telefonu isključeni.

Zatražio je od Sigurnosne laboratorije Amnesty International-a da sprovede forenzičku analizu telefona – Xiaomi Redmi Note 10S. Analiza je pokazala da je proizvod Cellebrite UFED korišćen da tajno otključa Slavišin telefon tokom njegovog zadržavanja.

Dodatni forenzički dokazi pokazali su da su srpske vlasti potom koristile NoviSpy da zaraze Slavišin telefon. U drugom slučaju koji se navodi u izveštaju i koji se odnosi na aktivistu Nikolu Ristića, pronađeni su slični forenzički dokazi o korišćenju Cellebrite proizvoda za otključavanje uređaja kako bi se omogućilo naknadno zaražavanje špijunskim softverom NoviSpy.

„Naši forenzički dokazi potvrđuju da je špijunski softver NoviSpy instaliran dok je srpska policija imala Slavišin uređaj, a za zaražavanje je korišćen moderni alat kao što je Cellebrite UFED, koji je sposoban da otključa uređaj. Sa velikom dozom sigurnosti Amnesty International pripisuje špijunski softver NoviSpy BIA-i,” rekao je Donncha Ó Cearbhaill, šef Sigurnosne laboratorije Amnesty International-a.

Aktivisti inficirani špijunskim softverom NoviSpy dok su podnosili pritužbe policiji

Čini se da je ova taktika tajnog instaliranja špijunskog softvera na uređaje pojedinaca tokom zadržavanja ili ispitivanja široko rasprostranjena.

U jednom drugom slučaju telefon Samsung Galaxy S24+ aktivistica iz organizacije Krokodil, koja promoviše dijalog i pomirenje na Zapadnom Balkanu, zaražen je špijunskim softverom tokom razgovora sa službenicima BIA-e u oktobru 2024. godine.

Aktivistica je pozvana u kancelariju BIA-e u Beogradu da pruži informacije o napadu na njihove prostorije od strane osoba koje govore ruski, očigledno kao odgovor na javno osuđivanje invazije Rusije na Ukrajinu od strane Krokodila.

Nakon razgovora, aktivistica je posumnjala da joj je telefon kompromitovan. Na njen zahtev, Amnesty International je sproveo forenzičku istragu koja je pokazala da je NoviSpy instaliran na uređaju tokom razgovora sa BIA-om. Amnesty International je takođe uspeo da povrati i dekriptuje podatke koje je NoviSpy prikupio dok je aktivistica koristila svoj telefon, uključujući snimke ekrana email naloga, poruke iz aplikacija Signal i WhatsApp, kao i aktivnosti na društvenim mrežama.

Amnesty International je pre objavljivanja izveštaja prijavio istraživačima koji rade na pitanjima bezbednosti u Androidu i Google-u upotrebu špijunskog softvera NoviSpy, kako bi preduzeli mere za njegovo uklanjanje sa pogođenih Android uređaja. Google je takođe poslao obaveštenja o „napadima podržanim od strane vlade““ pojedincima koji su identifikovani kao mogući predmet ove kampanje.

Uticaj digitalnog nadzora države i taktika represije na srpsko civilno društvo

Aktivisti u Srbiji su traumatizovani targetiranjem.

„Ovo je neverovatno efikasan način da se u potpunosti obeshrabri komunikacija među ljudima. Bilo šta da kažete može biti upotrebljeno protiv vas, što parališe i na privatnom i na profesionalnom nivou“, rekao je Branko*, aktivista koji je targetiran špijunskim softverom Pegasus.

Auto-cenzura je takođe jedna od posledica targetiranja.

“Svi smo u nekoj vrsti digitalnog zatvora, digitalnog gulaga. Imamo iluziju slobode, ali u stvarnosti je uopšte nemamo. Imate dve mogućnosti: ili se odlučite za autocenzuru, što duboko utiče na vašu sposobnost da radite ili ćete istupiti bez obzira na sve; u tom slučaju morate biti spremni da se suočite sa posledicama,” rekao je Goran*, aktivista koji je targetiran špijunskim softverom Pegasus.

Aktivista Aleksandar*, koji je takođe bio targetiran špijunskim softverom Pegasus, izjavio je: „Moja privatnost je narušena i to je potpuno urušilo moj osećaj lične sigurnosti. Izazvalo je ogromnu anksioznost… Osetio sam paniku i postao vrlo izolovan.“

U odgovoru na ova saznanja, kompanija NSO Group, koja je razvila Pegasus, nije mogla da potvrdi da li je Srbija njen klijent, ali je navela da „ozbiljno shvataju svoju odgovornost u smislu poštovanja ljudskih prava i da su se snažno obavezali da će izbeći nanošenje, doprinošenje ili direktnu povezanost sa negativnim uticajem na ljudska prava, kao i da će detaljno razmotriti sve kredibilne navode o zloupotrebi proizvoda kompanije NSO Group.”

U odgovoru na naše nalaze, kompanija Cellebrite je navela: „Naša digitalna softverska rešenja ne instaliraju špijunski softver, niti vrše nadzor u realnom vremenu kao što to rade špijunski softver ili bilo koja druga vrsta invazivne sajber aktivnosti.“

„Cijenimo što Amnesty International ističe navodnu zloupotrebu naše tehnologije. Ozbiljno shvatamo sve navode o potencijalnoj zloupotrebi naše tehnologije od strane korisnika na načine koji bi bili u suprotnosti sa explicitnim i impliciranim uslovima navedenim u našem ugovoru sa krajnjim korisnikom.“

„Istražujemo tvrdnje iznesene u ovom izvještaju. Ako budu potvrđene, spremni smo da uvedemo odgovarajuće sankcije, uključujući prekid veze Cellebrita sa svim relevantnim agencijama.“

U odgovoru na upit koji je Amnesty International ranije poslao tokom istraživanja za potrebe izveštaja,

kompanije Cellebrite je izjavila  da je njihov proizvod „digitalna forenzička platforma koja oprema agencije koje se bave sprovođenjem zakona tehnologijom potrebnom za zaštitu i spašavanje života, ubrzavanje pravde i zaštitu privatnosti podataka.”

Naveli su i da su njihovi proizvodi „licencirani isključivo za zakonitu upotrebu, zahtevaju nalog ili pristanak kako bi pomogli agencijama za sprovođenje zakona u zakonitim istragama nakon što se zločin dogodi.”

Iako je ovo možda predviđena upotreba, naše istraživanje pokazuje kako se proizvodi Cellebrite mogu zloupotrebiti za omogućavanje primene špijunskog softvera i prikupljanje širokog spektra podataka sa mobilnih telefona izvan okvira opravdanih krivičnih istraga, što predstavlja ozbiljne pretnje po ljudska prava.

Amnesty International je dostavio saznanja do kojih se došlo u izveštaji vladi Srbije pre njegovog objavljivanja, ali odgovor nije primljen prije objave ovog izvještaja.

Vlasti u Srbiji moraju hitno da prestanu sa korišćenjem visoko invazivnog špijunskog softvera, da obezbede efikasnu reparaciju žrtvama nezakonitog ciljanog nadzora i odgovorno procesuiraju one koji su kršili prava. Cellebrite i druge kompanije u oblasti digitalne forenzike, takođe su u obavezi da sprovedu adekvatnu dubinsku analizu kako bi se osigurali da se njihovi proizvodi ne koriste na način koji doprinosi kršenju ljudskih prava.

Tokom proteklih godina, represija države i neprijateljsko okruženje za one koji zagovaraju slobodu govora u Srbiji su eskalirali sa svakim talasom protesta protiv vlade. Vlasti su se upustile u kontinuirane kampanje klevetanja nevladinih organizacija, medija i novinara, a hapšenjima i pravnim represijama pogođeni su i učesnici mirnih protesta.

*Ime je izmenjeno kako bi se zaštito identitet.