“Zaufana Trzecia Strona”: doniesienia o masowej inwigilacji pracowników NIK to “raczej spory błąd analityczny”

Sześć (lub siedem) tysięcy ataków, ponad 500 urządzeń zainfekowanych, niezwykła skala inwigilacji, skandal na skalę międzynarodową. Czy jednak naprawdę? (…)  ujawniane kolejne szczegóły techniczne pokazują raczej spory błąd analityczny niż masową inwigilację – pisze portal “Zaufana Trzecia Strona” komentując doniesienia o inwigilacji pracowników NIK-u z wykorzystaniem systemu Pegasus.

Jak informowaliśmy, radio RMF FM dowiedziało się nieoficjalnie, że około 500 mobilnych urządzeń łączności należących do pracowników NIK było zainfekowanych oprogramowaniem szpiegującym Pegasus. Liczba ataków miała wynieść ponad 6 tysięcy. Rzecznik ministra koordynatora służb specjalnych Stanisław Żaryn nazwał doniesienia o inwigilacji oprogramowaniem Pegasus urządzeń mobilnych pracowników NIK „groteskowymi”.

Wedle doniesień medialnych wśród 500 zainfekowanych urządzeń miały znaleźć się także laptopy i serwery.

“Wiadomość na tym etapie wzbudziła nasze podejrzenia. Nic nie wiemy o tym, by Pegasus infekował serwery i laptopy, skala infekcji wydawała się absurdalna, a opis metodyki wskazywał na to, że była ona daleka od metod przyjętych w świecie bezpieczeństwa” – czytamy na portalu “Zaufana Trzecia Strona”.

Później portal “Onet” opublikował informację, wedle której kontrolerzy między innymi zidentyfikowali domenę maghrebfoot.com, powiązaną z adresem IP 213.186.33.5, z którego obserwowano liczne połączenia do urządzeń NIK. Okazuje się, że pod tym adresem IP znajduje się tysiące różnych domen powiązanych z nimi stron WWW, w tym także strony np. phishingowe.

Według doniesień serwisu TVN24, zespół NIK-u analizował dane dot. “podejrzanych incydentów” uzyskane od operatora sieci komórkowej. Te dane zostały porównane z danymi dotyczącymi domen, które mogą być jakoś powiązane z systemem Pegasus (taką listę opublikowało Amnesty International). “Z tej analizy wyszło, że 40 takich domen, które były używane do atakowania telefonów pracowników NIK-u, to są domeny, które prawdopodobnie są związane właśnie z Pegasusem” – czytamy na stronie TVN24. Według członków zespołu w przypadku każdej z tej domen prawdopodobieństwo użycia Pegasusa to 70%.

“W tekście artykułu znajdziemy jeszcze informację, że chodzi o 47 adresów IP. Już samo mieszanie domen i adresów IP wskazuje wyraźnie na to, skąd bierze się główny problem tego badania” – czytamy w eksperckim komentarzu portalu “Zaufana Trzecia Strona”.

Eksperci od cyberbezpieczeństwa wskazali kilka głównych problemów z metodą badawczą zespołu NIK-u.

Po pierwsze, domena nie jest tożsama z adresem IP. Adres IP bardzo często wskazuje na wiele różnych domen i na odwrót – jedna domena może wskazywać wiele adresów IP. Jeden z ujawnionych adresów IP wskazuje obecnie setki (lub tysiące) różnych domen, z którymi każde połączenie może być “powiązane z Pegasusem”. Dlatego też porównanie “domen z raportu Amnesty International z adresami IP z Cyber Guarda (bazą danych jednego z operatorów sieci komórkowej – red.) skazane jest na mnóstwo fałszywych wyników pozytywnych”.

Po drugie, “domeny z raportu Amnesty International nie wskazują na ich daty użycia w atakach”. Oznacza to, że domena mogła kiedyś zostać użyta przez Pegasusa, ale później np. zmieniła właściciela, który wykorzystuje ją do czegoś innego. Tak więc nawet analizując połączenia do konkretnych domen nie można być pewnym infekcji Pegasusem.

Po trzecie, “nawet połączenie z domeną Pegasusa w czasie, gdy była ona źródłem infekcji, nie oznacza, że celem połączenia była infekcja lub że do niej doszło”. “Prawdopodobieństwo 70%” eksperci podsumowali jako “liczbę wyssaną z palca”.

“Czy mogło dojść do infekcji ponad 500 urządzeń Pegasusem? To bardzo mało prawdopodobne. Czy to znaczy, że urządzenia NIK nie były zainfekowane Pegasusem? Nie można wykluczyć, że do jakiejś infekcji doszło, ale jesteśmy pewni, że nie są to setki urządzeń” – podsumowano analizę portalu “Zaufana Trzecia Strona”.

Jak informowaliśmy, według Citizen Lab Pegasusem inwigilowano w Polsce  telefony Romana Giertycha, prokurator Ewy Wrzosek i senatora PO Krzysztofa Brejzy. Ten ostatni miał być inwigilowany w czasie kampanii wyborczej w 2019 roku. Cyberataki trwały od 26 kwietnia 2019 r. do 23 października 2019 r. Brejza był w tym czasie szefem sztabu PO przed wyborami do Sejmu i Senatu. Wykorzystanie systemu Pegasus przeciw Krzysztofowi Brejzie potwierdziła też Amnesty International.

Senat powołał Komisję Nadzwyczajną do spraw wyjaśnienia przypadków nielegalnej inwigilacji oraz reformy służb specjalnych. Politycy PO sugerowali, że domniemanej inwigilacji dokonywały polskie służby specjalne.

Inwigilowany Pegasusem miał być również lider AgroUnii Michał Kołodziejczak. Poseł PiS, były minister rolnictwa Jan Krzysztof Ardanowski, który popadł w swoim obozie politycznym w niełaskę w związku ze sprzeciwem wobec projektu „Piątka dla zwierząt”, nie wykluczył, że był podsłuchiwany.

Wicepremier, prezes PiS Jarosław Kaczyński nazwał doniesienia o inwigilowaniu Brejzy „całkowitymi bzdurami” i „aferą z niczego”.

Kresy.pl / zaufanatrzeciastrona.pl