„Prvním krokem NSO Group by mělo být okamžité ukončení klientských systémů, u kterých existují zjevné důkazy o zneužití. Takových důkazů Projekt Pegasus poskytuje velké množství,“ tvrdí Agnès Callamard.

Sledování rodiny Chášukdžího

Navzdory opakovanému popírání ze strany NSO Group vyšlo v průběhu vyšetřování najevo, že pomocí softwaru Pegasus byla sledována i rodina Džamála Chášukdžího, a to v době před i po jeho vraždě spáchané saúdskými agenty, ta se odehrála 2. října 2018.

Security Lab, bezpečnostní laboratoř Amnesty International, zjistila, že spyware Pegasus byl do mobilu Chášukdžího snoubenky Hatice Cengiz úspěšně instalován čtyři dny potom, co došlo k jeho vraždě. Spyware opakovaně cílil také na jeho manželku Hanan Elatr v období mezi zářím 2017 a dubnem 2018 i na syna Abdullaha, který byl zaměřen jako cíl spolu s dalšími členy rodiny v Saúdské Arábii i Spojených arabských emirátech.

Ve vyjádření, kterým NSO reagovala na obvinění Projektu Pegasus stálo, že její „technologie s ohavnou vraždou Džamála Chášukdžího nijak nesouvisely“. Firma řekla, že „toto tvrzení, které je opět uvedené bez důkazu, prošetřila bezprostředně po tom, co k vraždě došlo“.

Forbidden Stories

Útok na novináře

Na základě vyšetřování bylo prozatím identifikováno více než 180 novinářů z 20 zemí, kteří byli vybráni jako cíle sledování spywarem od NSO v období od roku 2016 do června 2021. Jednalo se o země jako Ázerbájdžán, Maďarsko, Indii, Maroko – tedy země, kde v posledních letech sílí nátlak na nezávislá média.

Odhalení ukazují reálné případy nezákonného sledování s negativní dohrou:

• V Mexiku byl zvolen jako cíl sledování skrze jeho mobilní telefon novinář Cecilio Pineda a to pouhé týdny předtím, než byl roku 2017 zabit. Projektu Pegasus se podařilo identifikovat nejméně 25 mexických novinářů, kteří byli vybráni jako cíl sledování v rozmezí dvou let. NSO tvrdí, že i kdyby byl jeho mobil zaměřen, údaje z něho získané by Pinedově smrti nijak nepřispěly.

• Pegasus je používaný v Ázerbájdžánu, v zemi, kde je dnes už nezávislých médií jen pár. Jako potenciální cíl bylo podle šetření zvoleno více než 40 místních novinářů. Security Lab, bezpečnostní laboratoř Amnesty International, došla k závěru, že telefon novináře na volné noze jménem Sevinc Vagifgizi pracujícího pro Meydan TV byl spywarem infikován po dobu dvou let – až do května 2021.

• Mezi lety 2017 a 2021 byl software namířen také na 40 novinářů z téměř každé významné mediální společnosti v Indii. Forenzní testy prokázaly sledování mobilů Siddharthy Varadarajana a MK Venu, spoluzakladatelů nezávislého on-line zpravodajství The Wire. Spyware Pegasus mobily infikoval ve velmi nedávné době, konkrétně v červnu 2021.

• Vyšetřování také odhalilo, že spywarem bylo infikováno také mobilní zařízení novinářů významných mezinárodních médií včetně Associated Press, CNN, The New York Times a Reuters. Jednou z nejvýznamnějších novinářek a novinářek, kterých se to týká, je Roula Khalaf, editorka Financial Times, mezinárodního deníku, jenž klade důraz na zpravodajství o světové ekonomice.

Odhalení infrastruktury Pegasu

Amnesty 18. července 2021 vydala veškeré technické detaily (v angličtině) získané při forenzním vyšetřování v rámci Projektu Pegasus. Metodologické zprávy bezpečnostní laboratoře Security Lab dokumentují vývoj útoků spywaru Pegasus od roku 2018 a uvádějí také detaily o jeho infrastruktuře, včetně více než 700 přidružených domén.

„NSO tvrdí, že je jejich spyware nezjistitelný a že je možné jej použít pouze v rámci legitimního trestního vyšetřování. My však nyní přicházíme s nevyvratitelnými důkazy, že je toto tvrzení směšné a klamné,“ řekl Etienne Maynier, jeden z technologů Security Lab.

„Rozsáhlé porušování práv, které spyware Pegasus umožňuje, musí přestat. Doufáme, že usvědčující důkazy, které budou v průběhu tohoto týdne uveřejněny, přimějí vlády změnit přístup k technologickému odvětví sledování a dohledu, které v současné době rozhodně není pod kontrolou.“

Etienne Maynier, technolog Security Lab

Zároveň ale není nic, co by naznačovalo, že zákazníci NSO Group tento spyware nepoužili i za účelem vyšetřování zločinu a terorismu. Konsorcium Forbidden Stories navíc našlo mezi čísly i údaje patřící lidem podezřelým z trestné činnosti.

Mediální organizace podílející se na Projektu Pegasus požádaly NSO Group o vyjádření. V odpovědi NSO „rozhodně popírá“ daná obvinění a uvedla, že „mnoho z nich jsou nepodložené teorie, které je vedou k pochybnostem o spolehlivosti zdrojů informací i k pochybnostem o tom, na čem tento příběh stojí.“ NSO nepotvrdila ani nevyvracela informace o tom, které země jsou jejími zákazníky, nicméně řekla, že v tomto směru Projekt Pegasus došel k „nesprávným závěrům“. Navzdory všemu popírání skupina NSO Group uvedla, že „bude i nadále vyšetřovat veškerá opodstatněná tvrzení o zneužití a na základě výsledků pak přijme příslušná opatření“.