«Пегас»

Глава 8 Ограниченное время и ресурсы

Первая ключевая дата, которую мы назначили, как только проект Pegasus был запущен, — начало марта 2021 года; по плану команды Forbidden Stories и Security Lab должны были лично встретиться в Париже с небольшой группой репортеров и редакторов от каждого из наших четырех партнеров. До этого момента все работали независимо друг от друга. Клаудио и Донча разработали систему протоколов безопасности, которая позволяла всем участникам проекта получить безопасный доступ к платформе, созданной этими двумя техническими экспертами для сортировки и упорядочивания десятков тысяч телефонных номеров в списке. Платформа классифицировала данные по странам-клиентам НСО, а затем упорядочивала их по дате отбора для таргетинга. База данных обновлялась ежедневно, потому что каждый день новый набор телефонных номеров сопоставлялся с реальными владельцами мобильных телефонов. Сопоставление с реальными именами.

К началу февраля эти совпадения происходили с поразительной скоростью, потому что Клаудио и Донча запускали из Лаборатории безопасности свою собственную операцию по автоматическому определению номера. Они начали этот процесс с приложений, которые представляли собой международные цифровые телефонные справочники. Самым лучшим и всеобъемлющим было приложение Truecaller, у которого было более двухсот миллионов пользователей по всему миру. Именно эта огромная клиентская база делала Truecaller лучшим и самым полным телефонным справочником, потому что каждый раз, когда пользователь мобильного телефона загружал приложение, Truecaller автоматически считывал все содержимое файла контактов нового пользователя и добавлял его в базу данных. Если у каждого из этих пользователей было пятьдесят, или сотни, или, может быть, даже тысячи контактов, что ж… цифры растут очень быстро.

Но это также означало, что Клаудио и Доннча должны были принять меры предосторожности, чтобы их контакты не попали в публичную базу данных. Они создали учетную запись на анонимном телефоне, успешно загрузили код Truecaller из приложения для Android, затем извлекли его, чтобы увидеть, как именно коммуникационный портал приложения взаимодействует с сервером Truecaller. Затем они переработали код и использовали полученные знания для написания собственного скрипта на Python, который мог бы просматривать базу данных Truecaller с сохранением конфиденциальности через Tor или виртуальную частную сеть. Доннче потребовалось несколько долгих дней, чтобы довести новый инструмент до совершенства и убедиться, что утечки данных и конфиденциальности не будет. Но даже этом случае он был ограничен в скорости поиска, так что вначале краулер мог делать только около шестидесяти совпадений в день.

Это было хорошо, когда проект ограничивался "Запретными историями", и в ранних поисках обнаружилось много интересных людей, например, несколько членов правительства Макрона во Франции. И сын турецкого президента Эрдогана. Доннча вспоминает, что этот процесс мог вызвать привыкание. Он каждый день приходил сюда и думал, какой новый мрачный сюрприз обнаружился в ходе круглосуточной охоты за цифровыми сокровищами.

К тому моменту, когда в феврале 2021 года четыре других наших партнера по репортажам приступили к серьезной работе, и внезапно появились новые рты, Клаудио и Донча разработали еще более эффективную систему. Они выделили для этого предприятия двадцать различных анонимных телефонов и зарегистрировали для каждого новый аккаунт Truecaller — это означало, что за день они могли обнаружить двенадцать сотен новых совпадений. Они называли множество имен, личностей и лиц.

Партнерам предстояло сделать следующий шаг: попытаться получить информацию из нескольких источников, чтобы проверить имена и номера, которые уже совпали, или провести предварительное исследование тех людей, которые теперь определены как возможные цели шпионской программы Pegasus, или поискать закономерности в данных.

В нашем офисе Forbidden Stories Сандрин распределила работу по странам-клиентам и раздала задания. Палома сосредоточилась на Мексике. Пока ей удалось проработать лишь четверть из более чем пятнадцати тысяч мексиканских номеров, но она уже выделила в списке целый ряд людей из окружения нынешнего президента. В списке уже значилось более двадцати журналистов из всех крупных новостных изданий Мексики, и Палома прилагала все усилия, чтобы найти номера всех журналистов, убитых в стране за последние несколько лет. Особенно она старалась найти номер Сесилио Пинеды, репортера, убийство которого мы расследовали с 2017 года, когда основали "Запретные истории".

Старый бумажный блокнот Финеаса Рюккерта тем временем заполнялся именами журналистов, на которых нацелился клиент или клиенты НСО в Индии. Он проверил номера репортеров из Hindustan Times, Hindu и журнала расследований Tehelka. Только из "Уир" их было четверо, включая двух из четырех основателей сайта. Финеас также заинтересовался списком номеров, выбранных конечными пользователями в Венгрии. Венгрия не входила в число стран, уже упоминавшихся в СМИ как клиент NSO, но сотни номеров, фигурировавших в данных, вели в Будапешт. Финеас уже смог определить по собственным контактным файлам мобильный телефон репортера-расследователя в Венгрии, который занимался критикой правого, антииммигрантского премьер-министра Виктора Орбана.

Одри занималась Саудовской Аравией и другими странами Персидского залива; это привлекло ее и в Турцию. Мы уже заметили несколько интересных аномалий в данных примерно в то время, когда в консульстве Саудовской Аравии в Стамбуле был убит Джамаль Хашогги. Клаудио увидел доказательства того, что турецкое правительство блокирует URL-адреса, связанные со шпионским ПО Pegasus. Они заблокировали все домены Pegasus, которые Amnesty International опубликовала в предыдущих отчетах. Что еще более интересно, в турецком списке блокировки появились новые домены Pegasus, которые еще не были опубликованы, что говорит о том, что турецкие эксперты по кибербезопасности сами выявляли новые случаи заражения Pegasus.

У Сесиль были две самые интригующие страны, включая еще одного недавно выявленного клиента Pegasus — Азербайджан. Хадиджа Исмайлова была одним из первых людей в данных, которые мы идентифицировали, но Сесиль каталогизировала многочисленные случаи, когда люди, связанные с Хадиджей, были выбраны для таргетинга, включая ее личного адвоката. Сесиль также изучала цели, выбранные клиентом из Марокко, который, как оказалось, был самым плодовитым пользователем Pegasus после Мексики.

Команда Le Monde очень заинтересовалась набором данных, связанных с Марокко, поскольку оказалось, что кто-то в Марокко выбрал президента Эммануэля Макрона, а также почти всех ключевых министров в администрации Макрона. Цифровой репортер Le Monde выстроил хронологию и обнаружил скопления выборов, сделанных практически в одно и то же время. Возможно, это связано с попытками марокканского правительства подавить движение за независимость Западной Сахары или с ростом общественных протестов, угрожающих алжирскому президенту. Но эти закономерности, как и многие другие, только начинали проявляться в данных; они подсказывали, с чего следует начать отчетность. Места, куда нужно было отправиться, чтобы подтвердить нацеленность выбранных телефонов с помощью инструмента киберслежения Security Lab. Места, где можно пошарить, чтобы получить реальный и пригодный для публикации материал, а также понять его контекст.

Именно там мы находились в начале марта 2021 года, когда партнеры по проекту впервые собрались в одном зале, на открытии трехдневного симпозиума в новом, но прохладном амфитеатре Le Monde. Две дюжины мужчин и женщин, приглашенных на встречу, были в масках и позаботились о том, чтобы расположиться на безопасном расстоянии от сидений стадиона, поднимающихся от помоста. В это время в Париже действовал комендантский час до 18:00 из-за растущего числа случаев заболевания Ковидом, поэтому большая часть утренних разговоров была посвящена тому, где и как люди могут получить еду на ужин вечером. Комендантский час также означал, что каждый день нам придется рано прерываться, так что эти занятия должны были быть бодрыми и эффективными.

Прежде чем начать официальную встречу, сотрудники Forbidden Stories прошли по проходам, собрали все мобильные телефоны и ноутбуки, не предназначенные для проекта, сложили их в большой пластиковый ящик и убрали в другую комнату. Все там были репортерами или редакторами, за исключением Клаудио и Дончи, которые приехали из Берлина. Они приехали, в частности, для того, чтобы повторить и обновить протоколы безопасности, которых должны были придерживаться все партнеры при доступе к данным и общении друг с другом. Я знал, что мы можем рассчитывать на то, что Клаудио и Доннча будут откровенны с нами и со всеми остальными, кто получит привилегию доступа к утечке данных: любая ошибка может привести к гибели проекта. Один короткий путь ради удобства может поставить под угрозу все предприятие, не говоря уже о безопасности источника.

Я открыл совещание, определив журналистские императивы этого расследования о компании NSO Group и ее шпионском ПО Pegasus. Данные — это не наша история, — напомнил я всем. Утечка не была нашим заголовком. Да, нам передали замечательный кладезь информации, но он ничего не значил, пока мы не сделали свою работу. Следующие три дня мы должны были вместе решить, чего именно нам нужно добиться, прежде чем мы сможем опубликовать материал; обсудить истории, которые начали всплывать из базы данных, и обсудить, какая из них может быть самой мощной и самой доступной. Мы должны были определить лучшее время для приглашения более широкого круга медиапартнеров, а также решить, как распределить задачи по подготовке репортажей, чтобы в итоге не получилось так, что десять разных исследователей занимаются одним направлением, а другие направления остаются невостребованными. Возможно, сложнее всего было договориться о графике.

"Вы видели записи", — сказала Сандрин, взяв микрофон и изложив предпочтительные сроки. "Вы видели данные. Мы можем копаться в этих записях восемь лет. Или десять. Но мы должны сделать жесткий выбор из соображений безопасности". Она повторила то, о чем говорила каждому из наших партнеров по отдельности: мы хотим опубликовать расследование в июне.

Я чувствовал, что в комнате царит скептицизм по поводу столь быстрого перемещения. Я и сам был настроен скептически. Но Сандрин не стала затягивать паузу, чтобы никто не высказал сомнений. "Мы не можем рисковать и слишком затягивать проект", — сказала она. Чем больше мы ждем, тем больше устаревают данные". Те данные, которые у нас есть, относятся к декабрю 2020 года. И не забывайте, что над NSO уже работают другие журналисты…. Если мы разработаем план и начнем работать сразу после встречи, это вполне осуществимо".

Сандрин немного рассказала о том, как получить доступ к данным и прочитать их, а также как обновлять их для просмотра всей группой. Финеас отметил, что важно использовать единую терминологию. Когда мы говорим, что номер телефона "проверен", — пояснил он, — это означает, что мы не только определили его владельца с помощью службы определителя номера, но и перепроверили этот факт как минимум еще с одним источником. И это было только начало. Решающим шагом стал сбор криминалистических доказательств с помощью аналитического инструмента Security Lab, которые свидетельствовали о том, что телефон был либо атакован, либо заражен Pegasus. Когда это было сделано, мы могли отметить номер как "подтвержденный". Только после этого у нас появлялась возможная тема для статьи, которую мы могли бы опубликовать.

На тот момент расчеты были не в нашу пользу. Мы сверили около тридцати телефонных номеров в данных с жертвами Pegasus, пострадавшими от эксплойта WhatsApp, раскрытого в рамках судебного процесса в США в 2019 году, а также с одиннадцатью другими жертвами, которые Citizen Lab выявила в предыдущих отчетах. С точки зрения нашей собственной экспертизы, считая Хорхе и всех жертв, которых Клаудио и Доннча нашли в предыдущих анализах Security Lab, мы подтвердили фактическое нацеливание или заражение Pegasus ровно на трех из пятидесяти тысяч номеров в данных.

У всех был шанс представить то, над чем они уже работали. Наша команда выступила первой. Финеас рассказал о том, чему он научился в Индии и Венгрии. Палома рассказала группе о последних новостях из Мексики. Несколькими днями ранее она убедилась, что один из номеров в данных принадлежит Сесилио Пинеде, тридцатидевятилетнему журналисту, убийство которого в 2017 году в Герреро так и осталось нераскрытым. Его номер телефона впервые появился в данных за два месяца до убийства и еще раз — всего за две недели до смерти. Палома уже позвонила своему другу-репортеру в Мексику и получила контактную информацию жены Сесилио, которая была лучшей надеждой на проведение необходимой экспертизы. "Это будет трудно, — сказала Палома группе, — но есть небольшой шанс, что телефон у нее".

Бастиан Обермайер и его партнер из Süddeutsche Zeitung Фредерик Обермайер хотели начать работу над возможными сюжетами в Венгрии и Азербайджане; Дана Прист из Washington Post хотела узнать больше об ужасных историях преследования и заключения журналистов в Марокко, а также полагала, что у нее могут быть контакты в Турции, которые могли бы помочь с саудовской частью истории. Эта история представляла особый интерес для ее газеты. Джамаль Хашогги, убитый и расчлененный в саудовском посольстве в Стамбуле, был одним из авторов раздела "Мнения о мире" газеты Post. У Le Monde были свои дела с Марокко и Францией. И все хотели обсудить, как мы можем заставить бывшего сотрудника NSO рассказать о том, что произошло внутри компании.

Сандрин упомянула, что мы проводили аудит Glassdoor, где люди могли писать отзывы о компаниях, в которых они работали или продолжают работать. "Негативных отзывов о NSO не так уж много", — отметила Сесиль. "Многие отзывы анонимны. Один человек просто перечислил свои функции. И я не знаю, есть ли способ их идентифицировать. Но наверняка есть бывшие сотрудники, и я знаю, что "Гаарец" поддерживает связь с бывшими сотрудниками".

Все навострили уши при упоминании "Гаарец" — леворадикальной израильской газеты, но одной из самых уважаемых и читаемых в стране, а также самой старой из тех, что до сих пор выходят в свет. Репортеры Haaretz уже успели проделать большую работу по НСО в частности и кибер-индустрии в целом. Мы все согласились, что к израильской газете следует обратиться как к возможному партнеру на втором этапе проекта "Пегас". Но делать это нужно осторожно.

Кай Бирманн из Die Zeit сделал одну из самых интригующих презентаций симпозиума. Кай — один из немногих журналистов, который провел интервью с генеральным директором группы NSO. "Я думаю, что Шалев Хулио согласился встретиться с нами, потому что в тот момент на них обрушился большой огонь, и он надеялся получить положительный отчет", — рассказал Кай о своем интервью в мае 2020 года. Затем он рассказал, как его пригласили в Тель-Авив на встречу с Шалевом в комнату в PR-бюро компании. В просьбе Кая осмотреть офисы NSO ему было быстро отказано, но Шалев показался ему расслабленным и удивительно открытым. В тот день основатель NSO рассказал Каю, что компания не только провела должную проверку (как того требует Министерство обороны Израиля), прежде чем выдать лицензию на Pegasus любому клиенту, но и имела возможность выяснить, на кого именно нацелились ее клиенты. Кай уже тогда понимал, что для главы NSO это необычное и новаторское признание.

У Шалева было много возможностей отказаться от этого заявления, как в тот день в Тель-Авиве, так и позже. Основные правила интервью были такими, которые Кай назвал "немецким способом". Перед публикацией статьи, объяснил Кай, Die Zeit отправил материалы интервью, которые они решили опубликовать, Шалеву и NSO, чтобы они могли подписать их точность. "Мы отправили все цитаты за три недели до публикации и спросили, можно ли их использовать. Они сказали: "Мы свяжемся с вами". И не перезвонили.

"За три дня до публикации мы снова спросили: "Можем ли мы их использовать?" "Мы вам перезвоним". Ответа мы так и не получили, поэтому опубликовали". Из-за технической ошибки английская версия не была опубликована одновременно с немецкой. Но когда английская версия наконец вышла, они запаниковали. [NSO] звонили каждый день двадцать четыре/семь, в течение трех дней. Они постоянно говорили: "Вы нас обижаете".

"Все сводилось к одному утверждению: они могут видеть цели".

Кай точно знал, что сказал Шалев. У него были все записи интервью. Но Die Zeit все же согласилась опубликовать дополнение к статье, которое Кай передал всем членам нашей группы для ознакомления: "Компания NSO попросила уточнить, что она может видеть цель операции по слежке только в том случае, если начато внутреннее расследование этой операции. В противном случае невозможно увидеть, на кого нацелена слежка со стороны государственных заказчиков программы Pegasus".

Последнее, что Кай вынес из опыта общения с Шалевом Хулио, было по-настоящему проницательным. "Шалев — уверенный в себе парень, — сказал он нам. "Ему легко понравиться, но его трудно понять". Кай отметил одну из вещей, которые Шалев рассказал ему о гениальности NSO: "Не называя стран, могу сказать, что все бы нас обняли. Мы, наверное, одна из лучших компаний в мире, потому что за последние десять лет сотни тысяч людей были спасены благодаря технологии NSO".

Шалев, по мнению Кая, производил впечатление человека, верящего в то, что он говорит и делает. Было ли это притворством или искренностью, Кай не был уверен. В конце концов, сказал он, нужно быть осторожным. При всем своем обаянии и уверенности Шалев Хулио был очень скользкой фигурой. "Я пытался проверить факты, которые он говорил, — заключил Кай, — и ни в одном вопросе он не был абсолютно прав".

К концу трех дней галактика сверкала возможными историями, но ни одну из них мы не были готовы опубликовать. Пока у нас не было веских доказательств того, что телефон из нашего списка был атакован Pegasus или действительно заражен, у нас ничего не было. Все зависело от получения этих доказательств. "Идея состоит в том, чтобы начать проводить экспертизу", — сказала Сандрин группе. "Посмотрим, что можно сделать в ближайшие три недели. За три недели мы должны сделать как можно больше, ничем не рискуя". Она объяснила, что наша команда из Forbidden Stories уже связалась с доверенными лицами в Индии и Мексике, чтобы другие журналисты согласились провести экспертизу их телефонов. Но в Индии дело пока шло медленно, а в Мексике возникли сложности, потому что многие объекты использовали телефоны на базе Android. Инструмент Security Lab пока не мог обнаружить следы заражения Pegasus на "Андроидах", поскольку их резервные копии не сохраняют столько данных, сколько iPhone.

Мы также надеялись сразу же провести экспертизу телефона Хадиджи Исмаиловой. Но мы должны были признать, что наша недавняя попытка провести экспертизу мобильного телефона другого азербайджанского журналиста, который находился в этих данных, вызывала беспокойство и заставляла проявлять повышенную осторожность. Телефон журналиста, а также компьютер его брата таинственно исчезли из отеля за несколько часов до того, как с ними должен был встретиться сотрудник Forbidden Stories.

Бастиан и Фредерик заявили, что все еще готовы поехать в Будапешт, чтобы попросить нескольких венгерских репортеров предоставить свои телефоны для анализа. Другие члены группы предложили обратиться к журналистам, отобранным марокканцами. Саудовская Аравия была трудной, как мы все согласились, но крайне важной. Безопасно попасть в Саудовскую Аравию невозможно, но диаспора саудовских диссидентов и журналистов, проживающих сейчас в Лондоне, Торонто и Стамбуле, может дать нам возможность провести экспертизу.

Клаудио Гуарньери, как всегда, оставался с покерным лицом на протяжении всех этих обсуждений. По его признанию, во время встречи бывали моменты, когда он был по-настоящему оптимистичен. Я подозревал, что Клаудио больше, чем кто-либо другой, сидящий в этом парижском амфитеатре, хотел, чтобы этот проект был успешным; он охотился за поставщиками вредоносных программ cybersurveil lance гораздо дольше, чем остальные из нас. Но бывало и так, что обсуждение закручивалось в неожиданных направлениях, и я чувствовал, что наш ведущий специалист по криминалистике настроен не совсем оптимистично. Ему не нужно было больше ничего нагружать свою и без того полную тарелку.

Данные, список, проект и сам криминалистический инструмент были строжайшим секретом даже внутри его организации. В лаборатории безопасности Amnesty International было всего три человека, которые были посвящены в проект "Пегас": Клаудио, Доннча и Данна Инглтон. Только двое из них были способны провести экспертизу или понимали, что для этого требуется. Клаудио и Доннча знали, что проведение и написание всестороннего анализа по одному делу может отнять много человеко-часов. За десять лет серьезных исследований шпионских программ Клаудио успешно проводил экспертизу двух, трех, может быть, четырех мобильных телефонов в год, сказал он мне позже. Пять, "если год был урожайным". Там, в парижском амфитеатре, ему, должно быть, показалось, что мы просим Лабораторию безопасности делать по пять дел каждые несколько дней, несколько дней подряд.

В один из моментов встречи, когда группа отбирала новых кандидатов для судебной экспертизы, Клаудио попросил микрофон. "Я не хочу быть назойливым комментатором, — сказал он, — но я хотел бы напомнить вам, что у нас ограниченное время и ресурсы".

Другую свою настоящую заботу — самую большую — Клаудио держит при себе. Он не лишен уверенности в себе, но по своей сути он эмпирик. На тот момент, в начале марта 2021 года, он просто еще не видел достаточно, чтобы убедить себя в том, что инструмент даст то, что нам нужно. Клаудио Гуарньери и Доннча О Сеарбхайль понимали, что им предстоит пройти еще долгий путь, который они вдвоем проделывали очень долгое время.