Pegasus i Hermes w natarciu. Nie daj się podsłuchać, czyli jak utrudnić życie służbom

Wiemy, jak działa Pegasus oraz jakie są cechy Hermesa. Ten pierwszy to typowe narzędzie szpiegowskie, podczas gdy ten drugi jest typem oprogramowania wywiadowczego — umożliwia pozyskiwanie i przetwarzanie informacji z szeregu dostępnych źródeł. Nie wiemy, w czyim kierunku wyceluje je władza. Czy i w jakim stopniu możemy się przed nimi zabezpieczyć?

Jak sprawdzić, czy telefon był na celowniku służb?

W przypadku Hermesa nie ma takiego sposobu — bo on nas nie szpieguje i bazuje na tym, co sami udostępniliśmy w Internecie. Ale jeśli podejrzewacie, że mogliście być podsłuchiwani przez służby za pomocą Pegasusa, to jest sposób, aby to sprawdzić. Możecie wykorzystać narzędzie o nazwie Mobile Verification Toolkit (MVT). To zestaw narzędzi do analizy kryminalistycznej urządzeń z systemem iOS i Android.

Smartfon należy podłączyć do komputera (Windows, Mac lub Linux), gdzie wykonywana jest kopia zapasowa, którą następnie skanuje MVT. W ten sposób zbierane są cyfrowe ślady pomagające w identyfikacji potencjalnego włamania na urządzenia.

Mobile Verification Toolkit (MVT) został opracowany i udostępniony przez Amnesty International Security Lab w lipcu 2021 roku w związku z projektem Pegasus. Inicjatywa ta ujawniła nadużycia oprogramowania szpiegowskiego o nazwie Pegasus, opracowanego przez izraelską firmę NSO Group. Potwierdzono, że Pegasus został użyty do inwigilacji co najmniej 180 dziennikarzy w ponad 50 krajach, a także do szpiegowania i atakowania obrońców praw człowieka, naukowców, biznesmenów, prawników, lekarzy, liderów związkowych, dyplomatów i polityków.

Jak infekowane są urządzenia?

Do zainfekowania urządzenia oprogramowaniem szpiegującym (albo innymi rodzajami złośliwego oprogramowania) może wystarczyć zaledwie jedno kliknięcie. Tak dzieje się w atakach typu one-click. Wykorzystywane są wtedy linki lub załączniki w wiadomościach e-mail, wiadomościach SMS lub mediach społecznościowych.

Po kliknięciu linku lub otwarciu załącznika złośliwe oprogramowanie jest automatycznie pobierane i instalowane na komputerze użytkownika. Oczywiście użytkownik może nie być świadomy infekcji, dopóki nie pojawią się problemy z komputerem lub kradzież danych.

Ale są też ataki typu zero-click, o których użytkownik nie ma nawet pojęcia. Są jeszcze bardziej niebezpieczne, gdyż nie wymagają żadnej interakcji z jego strony. Wykorzystują bowiem luki w zabezpieczeniach oprogramowania lub systemów operacyjnych do zainfekowania komputerów bez wiedzy użytkownika. Atakujący mogą wykorzystać te luki do zdalnego przejęcia kontroli nad komputerem użytkownika lub kradzieży danych.

Jak utrudnić życie służbom?

Co zrobić, aby utrudnić życie osobom, które chciałyby nas szpiegować? Nasz ekspert radzi, aby:

• często restartować telefon — przynajmniej raz dziennie
• w komunikacji używać wyłącznie szyfrowanych komunikatorów, takich jak Signal;
• korzystać z poczty Proton i usługi Proton VPN;
• raczej dzwonić niż pisać, a jeśli pisać, to za pomocą znikających wiadomości;
• dbać o natychmiastowe instalowanie aktualizacji — luki i błędy w oprogramowaniu mogą być furtką dla szkodliwych i szpiegujących aplikacji.

Nie można też zapominać o podstawach — czyli nie klikać w linki i nie otwierać plików otrzymywanych od niezaufanych nadawców. Jeśli już chcecie to zrobić, to lepiej na komputerze, a nie w telefonie.

Nie wszystkie porady mają sens

Co się nie sprawdzi? Na przykład używanie starych telefonów lub starych smartfonów — ich oprogramowanie ma najprawdopodobniej sporo błędów, przez które można zhakować telefon, nie wspominając o braku modułów szyfrujących. Bezsensownym pomysłem jest też korzystanie z kilku telefonów lub częsta ich zmiana.

W przypadku oprogramowania typu OSINT, stosowanego w tzw. białym wywiadzie, nie do końca mamy jak się zabezpieczyć. Nie mamy wpływu na nasze dane umieszczane w publicznych bazach danych, ale powinniśmy zadbać o cyfrową higienę.

W przypadku mediów społecznościowych chodzi przede wszystkim o selekcję umieszczanych w mediach społecznościowych treści i zdjęć oraz weryfikowanie grup, do których chcemy się przyłączyć i osób, które włączamy do grona znajomych. Zasadą powinno być udostępnianie jak najmniej treści na swój temat — i dobieranie ich w taki sposób, aby kreować pożądany wizerunek. Pamiętajcie, że Internet jest jak studnia. Co raz tam wpadnie — zostaje na zawsze.

Źródło: własne, Wyborcza, RP, TVN24, CyberDefence24, gov.pl. Zdjęcie otwierające: Towfiqu barbhuiya / Unsplash.

Część odnośników to linki afiliacyjne lub linki do ofert naszych partnerów. Po kliknięciu możesz zapoznać się z ceną i dostępnością wybranego przez nas produktu – nie ponosisz żadnych kosztów, a jednocześnie wspierasz niezależność zespołu redakcyjnego.