Kanada'nın Toronto Üniversitesi'ne bağlı Citizen Lab dijital haklar birimi araştırmacıları, Avrupa Parlamentosu'nun PEGA komitesi üyesi Stelios Kouloglou'nun telefonunun 2022 ve 2023 yıllarında Pegasus casus yazılımıyla hacklendiğini doğruladı. PEGA komitesi, Avrupa ülkeleri tarafından gerçekleştirilen telefon casus yazılımı saldırılarını araştırmakla görevli. Bu tespit, bir PEGA komitesi üyesinin kamuoyu önünde casus yazılım mağduru olarak tanımlanması açısından bir ilk niteliği taşıyor. Olay, hükümetlerin muhaliflerini izlemek için casus yazılımları kötüye kullandığı yönündeki tartışmaları yeniden alevlendirdi.
Yunan gazeteci ve eski siyasetçi Stelios Kouloglou, TechCrunch'a yaptığı açıklamada telefonunun kasten ele geçirilmesini 'pervasızca' olarak nitelendirdi. Bir Avrupa Parlamentosu üyesi ise bu hackleme olayını 'hukukun üstünlüğüne doğrudan bir saldırı' olarak tanımladı ve Avrupa Komisyonu'nu, 27 üyeli blokta casus yazılım kullanımına sıkı sınırlamalar getirerek somut adımlar atmaya çağırdı. Casus yazılım saldırıları nadiren milletvekillerini hedef alsa da, bir komite araştırmacısının tam da soruşturduğu casus yazılım tarafından hedef alınması, komitenin iç işleyişine yönelik yoğun bir ilgi olduğunu düşündürüyor.
Citizen Lab araştırmacıları telefon hacklemesini belirli bir ülkeye atfetmedi ancak hükümet müşterisinin, daha önce Avrupa genelinde gazetecilerin telefonlarını hacklemek için kullanılan aynı Pegasus yüklü e-posta adresini kullandığını belirtti. Müşterinin kimliği bilinmiyor ancak aynı saldırı e-posta adresinin yeniden kullanılması, müşterinin NSO Group'tan Avrupa'da birden fazla ülkede telefonları gözetlemek için Pegasus casus yazılımını kullanma yetkisi aldığı anlamına geliyor. Avrupa Komisyonu sözcüsü ve NSO Group, TechCrunch'ın yorum talebine yanıt vermedi.
Citizen Lab'in Cuma günü yayımladığı rapora göre Kouloglou, Ekim 2022'de ve Mart 2023'te en az iki kez, Apple'ın iPhone yazılımındaki bir güvenlik açığını kullanan bir istismarla hacklendi. Bu güvenlik açığı daha önce yamalanmıştı ancak düzeltme Kouloglou'nun telefonuna henüz yüklenmemişti. İstismar, 'sıfır tıklama' (zero-click) hatasıydı; yani casus yazılım, onun herhangi bir etkileşimine gerek kalmadan telefona sızdı ve verilerini çaldı. Hata, iPhone'larda kullanılan Apple'ın akıllı ev yazılımındaki daha önce keşfedilmiş bir kusurdan yararlanıyordu.
Ekim 2022'deki hacklemenin zamanlaması, Kıbrıs, Yunanistan, Macaristan, Polonya ve İspanya'ya odaklanan casus yazılım istismarlarını açıklayan ilk taslağın tesliminden önce, Ekim ve Kasım 2022 boyunca e-posta ve kısa mesajlarla yapılan yoğun görüşmelerle çakışıyor. Ayrıca hackleme, Kouloglou'nun planlı bir ameliyat için hastanede olduğu zamana denk geldi; bu da casus yazılım operatörlerinin sağlık hizmetleriyle ilgili görüşmeleri veya o sırada ziyaretçileriyle yaptığı diğer konuşmaları dinlemesine olanak tanımış olabilir. Aylar sonra, 6-7 Mart tarihlerinde Kouloglou'nun telefonu, Atina'dan Brüksel'e seyahat ederken aynı Pegasus operatörü tarafından tekrar hacklendi.
Nasıl Önlem Alınmalı?
Kouloglou, TechCrunch'a neden hedef alındığını bilmediğini ancak bunun Avrupa Parlamentosu'nun Pegasus istismarlarını araştıran komitesindeki çalışmasından kaynaklandığına inandığını söyledi. Telefonunun hacklendiğini öğrendiğinde öfkelendiğini belirten Kouloglou, 'Tüm kişisel verilerinizin alındığını fark ediyorsunuz - sadece profesyonel yazışmalar veya bakanlarla mesajlar değil, aynı zamanda mutlu anlar ve hüzünlü anlar gibi çok özel şeyler de,' dedi. Kouloglou, İsrail merkezli casus yazılım üreticisi NSO Group'a dava açmayı planladığını açıkladı. NSO, Biden döneminde insan haklarını ihlal edebilecek casus yazılımların hükümet tarafından kullanımını yasaklayan bir başkanlık kararnamesinin ardından ABD'de büyük ölçüde yasaklanmış durumda. Geçen yıl casus yazılım üreticisi, ismi açıklanmayan bir Amerikan yatırım grubunun şirkete on milyonlarca dolar aktardığını doğruladı; bu muhtemelen NSO'nun insan hakları ihlallerine olanak sağlamakla ilişkilendirilen zor durumdaki markasını rehabilite etme çabasının bir parçası.
Kaynak: techcrunch.com
