V nejnovějším souboru dokumentů SpyFiles 4 zveřejnil server Wikileaks.org detaily týkající se německé společnosti Gamma International a jejich „ve zbraně proměněných škodlivých programů“ označované jako FinFisher. Zákazníci, například policie nebo vlády, mohou tyto programy využít ke sledování velkého množství jednotlivců, a to na platformách Windows, OS X, Linux i všech významných mobilních operačních systémech.
Výzkumníci z Univerzity v Torontu v knize Jen pro jejich oči publikovali výsledky v roce 2013. Stopy po některém komerčně dostupném odposlouchávacím nástroji (FinFisher a další) našli na serverech ve 25 zemích světa. Kromě USA, Velké Británie, Kanady a Austrálie je to třeba i Česká republika.
Země, kde CitizenLab.org zaznamenali působení serverů špionážních programů FinFisher německé společnosti Gamma International. Fakt, že je země uvedena na seznamu, neznamená, že program používá vláda či policie dané země, pouze to, že na serverech v dané zemi byly nalezeny projevy operačních center spojených s některými špionážními aktivitami programů FinFisher.
„(Firma Gamma International) nadále bezostyšně prodává nástroje na sledování některým z nejvíce autoritářských režimů na světě. Proč jej německá vláda nadále brání, jestliže deklaruje, že jim záleží na soukromí?“ ptá se Julian Assange, šéf organizace WikiLeaks. „Zveřejňujeme kompletní data, abychom technické komunitě pomohli vytvořit obranu proti sledování produkty firmy FinFisher.“ Zveřejněný balík informací zahrnuje i nástroje pro sledování nebo ceník jednotlivých programů.
Slovensko prý nakoupilo špehovací software za miliony. Ale možná je to Česko
Například zákazník, který je v balíku informací označen jako Slovensko (nejde o ověřenou informaci, je možné, že jde o ČR), zakoupil licence na sledovací software minimálně za více než milion eur (konkrétně 1,17 milionu eur, tedy přibližně za 32 milionů korun). Celkově mají mezi zakoupenými (a již neaktivními) licencemi produkty za téměř pětinásobek této částky.
Proč není jisté, zda jde o Slovensko? Předně jsou screenshoty, které Wikileaks zveřejnilo v rámci poskytnuté technické podpory. Jeden ze snímků ukazuje, že uživatel má českou instalaci Windows i českou klávesnici, a na internet přistupuje z Prahy.
Zákazník si stěžuje, že pokud je zapnuté sledování, nefunguje test rychlosti internetu. Mapa na screenshotu přitom ukazuje, že se nachází v Praze (poloha nemusí být přesná, pozn. red.), a na obrazovce lze vidět, že má zřejmě českou instalaci systému Windows, včetně české klávesnice.
„Identitu některých zákazníků jsme odhalili podle jejich požadavků na technickou podporu,“ píše WikiLeaks. To vede ke spekulacím, že se ve skutečnosti nejedná o Slovensko, ale o Českou republiku (pro cizince jsou oba jazyky velmi blízké a mohlo tedy dojít k falešnému rozpoznání).
Uniklý screenshot programu FinSpy (z žádosti slovenského zákazníka o podporu).
Ukázka z výsledků sledování modulu Keylog, který sleduje stisknutí kláves na napadeném počítači.
Zveřejněna byla i komunikace zákazníka s technickou podporou FinFisher. Vidíme tak, že si „Rostislav Psota“ údajně stěžoval na neschopnost dodaného keyloggeru zachytávat klávesy Fn nebo nefunkčnost trojského koně (program, který slouží k získání informací nebo kontroly nad počítačem oběti útoku).
Ať už byl zákazník číslo 15 z Česka nebo Slovenska, zaplatil za licence něco mezi jedním a až pěti miliony eur (až 147 milionů Kč). Podle databáze Wikileaks dvojitá základní licence (100 cílů a čtyři agenti) vypršela k 31. prosinci 2013. Není tedy v databázi veden jako aktivní uživatel.
I pokud by byl klient skutečně z Česka, nevyplývá z odtajněných materiálů, kdo tímto klientem je - zda Policie, tajná služba či soukromý subjekt. Desítky milionů za sledování stovky lidí by kromě policie mohla zaplatit i soukromá firma.
Dokumenty SpyFiles obsahují i legální aktivity
To, že někdo používá produkty FinFisher, FinsSpy a další samozřejmě neznamená, že nutně jedná nelegálně. Zákony jednotlivých zemí dávají policii i tajným službám různé prostředky pro monitorování hrozeb a vyšetřování trestné činnosti, včetně odposlechů. V demokratických zemích je však k odposlechu potřeba příkaz k prohlídce či podobné povolení. Podstatou skandálu s odposloucháváním NSA bylo právě to, že americká tajná služba provádí masové sledování bez dostatečného dohledu.
Wikileaks v roce 2011 vydal první ze zatím čtyř „dávek“ Spy Files, monitorujících aktivity zaměřené na masové sledování obyvatel. Zmíněny byly i dvě české firmy.
Firmy, které byly zahrnuty do Spy Files serveru WikiLeaks, se logicky brání tím, že pouze poskytují technologii, a nejsou zodpovědné za její využití: „Z bezpečnostního hlediska není rozhodující, že technologie existují, ale kde a jak jsou nasazeny,“ vysvětluje česká firma Phonexia, která je ve Spy Files rovněž zmíněna. „Podstatné je, kde a jak se pořizují audiozáznamy, a zda s nimi manipulují pouze oprávněné osoby v souladu se zákonem. My naším zákazníkům dodáváme software, který jim umožní v informacích, které mají, rychle najít to, co potřebují. Naše firma tedy nikoho nesleduje, žádné citlivé informace nesbírá a nemá k ním přístup. Je povinností každého zákazníka, aby se držel platného právního rámce.“
Podobně reagovala na dotaz Technet.cz i druhá česká firma: „Společnost INVEA-TECH vyrábí a prodává nástroje pro monitorování a bezpečnost počítačových sítí. Cílem těchto řešení je zjednodušit správu sítě a zvýšit její bezpečnost, a čelit tak stále rostoucímu počtu kybernetických hrozeb a útoků.“ Mluvčí společnosti zdůraznil, že jde o ryze českého výrobce řešení a že firma „nespolupracuje ani v minulosti nespolupracovala s agenturou NSA“. Prezentace obou firem, které byly součástí dat uveřejněných na WikiLeaks v roce 2011, neobsahovaly tajné materiály.
I legální využití odposlouchávacího softwaru je problematické
Pod číslem 49 je v seznamu klientů, kteří si koupili sledovací programy FinFisher uvedena australská policie, která za licence utratila podobně jako Slováci. Ze zpětné vazby tohoto klienta na technickou podporu, lze vyčíst, že australská policie si byla vědoma toho, že tento systém pro sledování má své nedostatky. Paradoxně právě v tom, jak všudypřítomný a účinný je.
„Kvůli zákonným omezením bychom potřebovali kategorizaci některých informací. Například když program zaznamená komunikaci probíhající mezi právníkem a zločincem, taková komunikace musí být označena a nesmí být dále nijak použita, neboť je považována za soukromou,“ píše neznámý zástupce policie v Novém Jižním Walesu.
To se nelíbí například australskému politikovi Davidovi Shoebridgeovi, který je členem bezpečnostního výboru. „Zdá se, že policie sbírá informace, na které se příkaz k prohlídce (v originále warrant) nevztahuje. Zdá se, že policie nemá systém, jak tyto informace odfiltrovat, a to je velmi znepokojivé.“ Protože policie pak takové důkazy může použít, byť nepřímo, může dojít k narušení spravedlivého a vyrovnaného soudního procesu. Obžaloba by totiž měla přístup k informacím, které by nemohla jako důkazy zveřejnit a tedy dát obhajobě. Jako hlavní obecnou nevýhodu pak Shoebridge uvádí nedostatek dozoru nad monitorováním a odposlechy.
Aktualizace 11:17: Doplnili jsme vysvětlení v posledním odstavci a zdůraznili rozdíl mezi jménem firmy a jejích produktů.
Aktualizace 12:28: Doplnili jsme spekulace poukazující na to, že klient označený na WikiLeaks.org jako Slovensko může být ve skutečnosti z ČR.
Aktualizace 13:10: Doplnili jsme informace o cenách a expiraci licencí.
