Wiemy, jak działa Pegasus oraz jakie są cechy Hermesa. Ten pierwszy to typowe narzędzie szpiegowskie, podczas gdy ten drugi jest typem oprogramowania wywiadowczego — umożliwia pozyskiwanie i przetwarzanie informacji z szeregu dostępnych źródeł. Nie wiemy, w czyim kierunku wyceluje je władza. Czy i w jakim stopniu możemy się przed nimi zabezpieczyć?
Spis treści
![Centrum monitoringu Hermes z pracownikami w garniturach siedzącymi przed wieloma ekranami z danymi i graficznymi interfejsami użytkownika.](https://static.android.com.pl/uploads/2024/03/hermes-dall-e.jpg)
Jak sprawdzić, czy telefon był na celowniku służb?
W przypadku Hermesa nie ma takiego sposobu — bo on nas nie szpieguje i bazuje na tym, co sami udostępniliśmy w Internecie. Ale jeśli podejrzewacie, że mogliście być podsłuchiwani przez służby za pomocą Pegasusa, to jest sposób, aby to sprawdzić. Możecie wykorzystać narzędzie o nazwie Mobile Verification Toolkit (MVT). To zestaw narzędzi do analizy kryminalistycznej urządzeń z systemem iOS i Android.
Smartfon należy podłączyć do komputera (Windows, Mac lub Linux), gdzie wykonywana jest kopia zapasowa, którą następnie skanuje MVT. W ten sposób zbierane są cyfrowe ślady pomagające w identyfikacji potencjalnego włamania na urządzenia.
![Pegasus Project. Grafika przedstawiająca smartfony z kodem programistycznym i logo "forbidden stories" w tle, z dużym czerwonym napisem "THE PEGASUS PROJECT" oraz podpisem "Global democracy under cyber attack".](https://static.android.com.pl/uploads/2024/03/pegasus-project-amnesty-international-1280x720.jpg)
Mobile Verification Toolkit (MVT) został opracowany i udostępniony przez Amnesty International Security Lab w lipcu 2021 roku w związku z projektem Pegasus. Inicjatywa ta ujawniła nadużycia oprogramowania szpiegowskiego o nazwie Pegasus, opracowanego przez izraelską firmę NSO Group. Potwierdzono, że Pegasus został użyty do inwigilacji co najmniej 180 dziennikarzy w ponad 50 krajach, a także do szpiegowania i atakowania obrońców praw człowieka, naukowców, biznesmenów, prawników, lekarzy, liderów związkowych, dyplomatów i polityków.
Jak infekowane są urządzenia?
Do zainfekowania urządzenia oprogramowaniem szpiegującym (albo innymi rodzajami złośliwego oprogramowania) może wystarczyć zaledwie jedno kliknięcie. Tak dzieje się w atakach typu one-click. Wykorzystywane są wtedy linki lub załączniki w wiadomościach e-mail, wiadomościach SMS lub mediach społecznościowych.
Po kliknięciu linku lub otwarciu załącznika złośliwe oprogramowanie jest automatycznie pobierane i instalowane na komputerze użytkownika. Oczywiście użytkownik może nie być świadomy infekcji, dopóki nie pojawią się problemy z komputerem lub kradzież danych.
Ale są też ataki typu zero-click, o których użytkownik nie ma nawet pojęcia. Są jeszcze bardziej niebezpieczne, gdyż nie wymagają żadnej interakcji z jego strony. Wykorzystują bowiem luki w zabezpieczeniach oprogramowania lub systemów operacyjnych do zainfekowania komputerów bez wiedzy użytkownika. Atakujący mogą wykorzystać te luki do zdalnego przejęcia kontroli nad komputerem użytkownika lub kradzieży danych.
![Biały metalowy napis "PRIVATE" zawieszony na łańcuchu z rozmytym tłem.](https://static.android.com.pl/uploads/2022/07/private-g8e3daab9e_1280.jpg)
Jak utrudnić życie służbom?
Co zrobić, aby utrudnić życie osobom, które chciałyby nas szpiegować? Nasz ekspert radzi, aby:
- często restartować telefon — przynajmniej raz dziennie
- w komunikacji używać wyłącznie szyfrowanych komunikatorów, takich jak Signal;
- korzystać z poczty Proton i usługi Proton VPN;
- raczej dzwonić niż pisać, a jeśli pisać, to za pomocą znikających wiadomości;
- dbać o natychmiastowe instalowanie aktualizacji — luki i błędy w oprogramowaniu mogą być furtką dla szkodliwych i szpiegujących aplikacji.
Nie można też zapominać o podstawach — czyli nie klikać w linki i nie otwierać plików otrzymywanych od niezaufanych nadawców. Jeśli już chcecie to zrobić, to lepiej na komputerze, a nie w telefonie.
![Zbiór klasycznych telefonów komórkowych Nokia w różnych kolorach ułożonych obok siebie.](https://static.android.com.pl/uploads/2023/04/nokia.jpg)
Nie wszystkie porady mają sens
Co się nie sprawdzi? Na przykład używanie starych telefonów lub starych smartfonów — ich oprogramowanie ma najprawdopodobniej sporo błędów, przez które można zhakować telefon, nie wspominając o braku modułów szyfrujących. Bezsensownym pomysłem jest też korzystanie z kilku telefonów lub częsta ich zmiana.
To mało praktyczne, gdyż służby są w stanie szybko ustalić posiadane przez ofiarę telefony, czy to poprzez źródła osobowe, czy dzięki fałszywym stacjom bazowym.
Mateusz Kopacz, ekspert ds. cyberbezpieczeństwa dla Android.com.pl
W przypadku oprogramowania typu OSINT, stosowanego w tzw. białym wywiadzie, nie do końca mamy jak się zabezpieczyć. Nie mamy wpływu na nasze dane umieszczane w publicznych bazach danych, ale powinniśmy zadbać o cyfrową higienę.
W przypadku mediów społecznościowych chodzi przede wszystkim o selekcję umieszczanych w mediach społecznościowych treści i zdjęć oraz weryfikowanie grup, do których chcemy się przyłączyć i osób, które włączamy do grona znajomych. Zasadą powinno być udostępnianie jak najmniej treści na swój temat — i dobieranie ich w taki sposób, aby kreować pożądany wizerunek. Pamiętajcie, że Internet jest jak studnia. Co raz tam wpadnie — zostaje na zawsze.
Źródło: własne, Wyborcza, RP, TVN24, CyberDefence24, gov.pl. Zdjęcie otwierające: Towfiqu barbhuiya / Unsplash.
Część odnośników to linki afiliacyjne lub linki do ofert naszych partnerów. Po kliknięciu możesz zapoznać się z ceną i dostępnością wybranego przez nas produktu – nie ponosisz żadnych kosztów, a jednocześnie wspierasz niezależność zespołu redakcyjnego.