Познакомьтесь с командой, которая расследует случаи взлома журналистов и активистов с помощью правительственного шпионского ПО.

Уже более десяти лет десятки журналистов и правозащитников были нацелены и взломаны правительствами по всему миру. Полицейские и шпионы в Эфиопия, Греция, Венгрия, Индия, Мексика, Польша, Саудовская Аравияи Объединенные Арабские Эмиратысреди прочего, использовали сложное шпионское ПО для компрометации телефонов этих жертв, которые иногда также столкнулся с насилием в реальном мире быть запуганным, преследуемым и в крайние случаидаже убит.

За последние несколько лет в борьбе за защиту этих сообществ повышенного риска ключевую роль сыграла команда из дюжины экспертов по цифровой безопасности, в основном базирующихся в Коста-Рике, Маниле и Тунисе, а также в других местах. Они работают в некоммерческой организации Access Now со штаб-квартирой в Нью-Йорке, в частности в ее Горячая линия цифровой безопасности.

Их миссия — быть командой людей, к которым журналисты, правозащитники и диссиденты могут обратиться, если заподозрят, что их взломали, например, с помощью наемнического шпионского ПО, созданного такими компаниями, как Группа НСО, Интеллексаили Совершенство.

«Идея состоит в том, чтобы предоставить эту круглосуточную услугу гражданскому обществу и журналистам, чтобы они могли обращаться к ним в случае… инцидента кибербезопасности», — рассказал > Хассен Селми, возглавляющий группу реагирования на инциденты на линии помощи.

По словам Билла Марчакастаршего научного сотрудника Гражданской лаборатории Университета Торонто, который уже почти 15 лет занимается исследованием шпионского ПО, «Горячая линия» Access Now — это «передовой ресурс» для журналистов и других лиц, которые могли стать жертвой или взломаны с помощью шпионского ПО.

Телефон доверия стал важной воронкой для жертв. Настолько, что когда Apple отправляет своим пользователям так называемое «уведомление об угрозе», предупреждающее их о том, что они подверглись атаке наемнических шпионских программ, технологический гигант уже давно направляет жертв к следователям Access Now.

В разговоре с > Селми описала сценарий, в котором кто-то получает одно из этих уведомлений об угрозахи где Access Now может помочь жертвам.

«Наличие кого-то, кто мог бы объяснить им это, сказать, что им следует делать, чего не следует делать, что это значит… Для них это большое облегчение», — сказал Селми.

По мнению нескольких экспертов по цифровым правам, которые расследовали случаи шпионского ПО и ранее говорили с >, Apple в целом придерживается правильного подхода, даже если оптика выглядит как технологический гигант с оборотом в триллион долларов, перекладывающий свою ответственность на небольшую команду сотрудников некоммерческой организации.

По словам Селми, упоминание Apple в уведомлениях стало «одной из важнейших вех» для службы поддержки.

Селми и его коллеги в настоящее время ежегодно расследуют около 1000 случаев предполагаемых правительственных шпионских атак. По словам Мохаммеда Аль-Маскати, директора службы помощи, около половины этих случаев перерастают в настоящие расследования, и только около 5% из них, около 25, приводят к подтвержденному случаю заражения шпионским ПО.

Когда Селми начал заниматься этой работой в 2014 году, Access Now расследовала всего около 20 случаев предполагаемых атак шпионского ПО в месяц.

В то время в каждом часовом поясе Коста-Рики, Манилы и Туниса работало по три-четыре человека, и это позволяло им иметь кого-то онлайн в течение всего дня. Сейчас команда ненамного больше: на линии помощи работает менее 15 человек. По словам Селми, у этой линии помощи больше людей в Европе, на Ближнем Востоке, в Северной Африке и в регионах к югу от Сахары, учитывая, что это горячие точки для случаев шпионского ПО.

Увеличение числа случаев, пояснил Селми, связано с несколькими обстоятельствами. Во-первых, линия помощи теперь более известна, поэтому она привлекает больше людей. Затем, когда правительственное шпионское ПО становится глобальным и становится все более доступным, появляются потенциально больше случаев злоупотреблений. Наконец, команда линии доверия провела большую работу с потенциально целевыми группами населения, выявляя случаи жестокого обращения, которые они, возможно, не обнаружили бы в противном случае.

Когда кто-то звонит на горячую линию, рассказал Селми >, следователи сначала подтверждают получение, а затем проводят первую проверку, чтобы убедиться, что человек, который связался с ними, входит в мандат организации, то есть является ли он частью гражданского общества, а не, например, руководителем бизнеса или законодателем. Затем следователи рассматривают дело на сортировке. Если дело является приоритетным, следователи задают вопросы, например, почему человек считает, что он стал объектом нападения (если не было уведомления) и какое устройство у него есть, что помогает установить, какую информацию следователям может потребоваться собрать с устройства жертвы.

После первоначальной ограниченной проверки устройства, выполняемой удаленно через Интернет, сотрудники службы поддержки и следователи могут попросить жертву прислать дополнительные данные, например, полную резервную копию своего устройства, чтобы провести более тщательный анализ на предмет признаков вторжения.

«Для каждого известного типа эксплойта, который использовался за последние пять лет, у нас есть процесс проверки этого эксплойта», — сказал Селми, имея в виду известные методы взлома.

«Мы более или менее знаем, что нормально, а что нет», — сказал Селми.

Операторы Access Now, которые управляют общением и часто говорят на языке жертвы, также дадут жертве советы о том, что делать, например, приобретать ли другое устройство или принимать другие меры предосторожности.

Каждый случай, который рассматривает некоммерческая организация, уникален. «Это отличается от человека к человеку, от культуры к культуре», — сказал Селми >. «Я думаю, нам следует провести больше исследований, привлечь к участию больше людей – не только технических специалистов – чтобы знать, как обращаться с такого рода жертвами».

Селми сказал, что линия помощи также поддерживает аналогичные следственные группы в некоторых регионах мира, обмениваясь документацией, знаниями и инструментами в рамках коалиции под названием СивиСЕРТглобальная сеть организаций, которые могут помочь членам гражданского общества, которые подозревают, что они подверглись шпионскому ПО.

Селми сказал, что эта сеть также помогла журналистам и другим людям попасть в те места, куда иначе они не могли бы попасть.

«Где бы они ни находились, [victims] «У нас есть люди, с которыми можно было бы общаться и отчитываться», — рассказал Селми >. «То, что эти люди говорят на их языке и знают их контекст, очень помогло».