Sau Pegasus, liệu sẽ có vụ bê bối Cellebrite hay NoviSpy không? Vào thứ Hai ngày 16 tháng 12, Tổ chức Ân xá Quốc tế đã công bố một báo cáo trong đó tổ chức phi chính phủ này mô tả các trường hợp phần mềm gián điệp được cảnh sát Serbia cài đặt một cách kín đáo trong quá trình thẩm vấn hoặc thăm đồn cảnh sát của các nhà báo hoặc nhà hoạt động, bên ngoài bất kỳ thủ tục tư pháp nào.
“Chính quyền Serbia đã triển khai các công nghệ giám sát và chiến thuật đàn áp kỹ thuật số (…)”, dẫn đến “một cuộc đàn áp xã hội dân sự”, Dinushika Dissanayake, Phó giám đốc khu vực châu Âu của Tổ chức Ân xá Quốc tế tuyên bố, được trích dẫn trong thông cáo báo chí của tổ chức phi chính phủ này.
Nhà báo người Serbia Slaviša Milanov đã đích thân gánh chịu hậu quả của "cuộc đàn áp" này, theo báo cáo của hiệp hội. Vào tháng 2, một điều tra viên độc lập đã bị cảnh sát giao thông chặn lại ở đông nam Serbia, dường như chỉ để xét nghiệm ma túy và rượu. Bị buộc phải đến đồn cảnh sát, anh phải để lại điện thoại trong phòng... một thiết bị mà anh chỉ lấy lại được sau hai tiếng rưỡi, sau khi có kết quả xét nghiệm âm tính. Trong thời gian này, theo Tổ chức Ân xá Quốc tế, nơi anh đã giao phó thiết bị của mình sau khi cảm thấy tò mò về những thay đổi trong cài đặt, điện thoại của anh đã được chuyển cho các chuyên gia của cảnh sát địa phương. Thiết bị này đã bị mở khóa cưỡng bức bằng các công cụ của Cellebrite, một công ty Israel bán sản phẩm của mình trên toàn thế giới.
Sau khi mở khóa, NoviSpy, một hệ thống gián điệp Android tùy chỉnh, sẽ được cài đặt. Công cụ này cho phép bạn kích hoạt micrô hoặc camera của điện thoại từ xa, một cách để thu thập dữ liệu nhạy cảm và tăng cường giám sát nhà báo, những người có bài viết vạch trần việc sử dụng tiền công quỹ bất hợp pháp của chính quyền địa phương, báo cáo của Washington Đăng vào thứ Hai. Câu chuyện tương tự cũng xảy ra với nhà hoạt động môi trường người Serbia, Nikola Ristić, chiếc điện thoại thông minh của ông cũng đã được Tổ chức Ân xá Quốc tế phân tích sau khi ông đến đồn cảnh sát. Cellebrite và sau đó là NoviSpy đã được tìm thấy ở đó.
Điều này đủ để báo động cho tổ chức phi chính phủ này, tổ chức tin rằng các sản phẩm do Cellebrite sản xuất, được cảnh sát và các cơ quan tình báo trên toàn thế giới sử dụng rộng rãi, "có thể gây ra rủi ro rất lớn cho những người bảo vệ nhân quyền, môi trường và quyền tự do ngôn luận". Đặc biệt "khi chúng được sử dụng ngoài phạm vi kiểm soát và giám sát chặt chẽ của pháp luật", tổ chức này viết trong thông cáo báo chí của mình.
Trước khi công bố báo cáo, Tổ chức Ân xá Quốc tế giải thích rằng họ đã liên hệ với các nhà nghiên cứu bảo mật của Android và Google để yêu cầu họ xóa phần mềm gián điệp khỏi các thiết bị Android có liên quan. Google cũng đã gửi một loạt cảnh báo tới những người được xác định là mục tiêu tiềm năng.
Về phần mình, Cellebrite nói với Tổ chức Ân xá Quốc tế và Washington Post rằng họ đang điều tra xem Serbia có tuân thủ thỏa thuận cấp phép của mình hay không. Theo hợp đồng, phần mềm của công ty phải được sử dụng trong "khuôn khổ pháp lý nghiêm ngặt, yêu cầu phải có lệnh (của thẩm phán, Ghi chú của biên tập viên) hoặc sự đồng ý (của chủ sở hữu điện thoại thông minh, Ghi chú của biên tập viên) để giúp các cơ quan thực thi pháp luật tiến hành điều tra sau khi tội phạm đã xảy ra." Công ty Israel cho biết thêm rằng nếu xảy ra vi phạm, họ có thể khiến các công cụ của mình không hoạt động được tại quốc gia đó, như họ đã từng làm với Trung Quốc và Nga.Đối với John Scott-Railton của Citizen Lab, các công ty phát triển loại phần mềm này cho đến nay vẫn được hưởng "một mức độ miễn trừ nhất định, một phần vì họ có liên quan đến các hoạt động giám sát được pháp luật cho phép." Nhưng sau vụ việc Pegasus và những vụ việc mới về việc sử dụng trái phép của lực lượng thực thi pháp luật ở châu Âu, "các công ty sản xuất công nghệ này không còn có thể hành động như thể họ không biết về những vụ lạm dụng nữa", ông tin như vậy trong các chuyên mục của Washington Post.
Ở bên kia Đại Tây Dương, cảnh sát có thể sử dụng phần mềm này để trích xuất thông tin từ điện thoại thông minh dựa trên lệnh của thẩm phán, dựa trên lệnh của thẩm phán. Nhưng phoặc các tổ chức phi chính phủ, những công cụ này "có thể trở thành công cụ chính của sự đàn áp kỹ thuật số, có khả năng được tái tạo ở các quốc gia và bối cảnh khác, điều này có lẽ đã xảy ra".
Cần lưu ý rằng Tổ chức Ân xá Quốc tế cũng đã cập nhật các lỗ hổng bảo mật chưa từng được biết đến trước đây trong trình điều khiển Android dành cho điện thoại chạy trên chip Qualcomm. Đây chính là điều cho phép Cellebrite truy cập vào phần lớn dữ liệu nội bộ của điện thoại thông minh mục tiêu. Trong bài đăng trên blog vào Chủ Nhật, ngày 15 tháng 12, nhóm bảo mật Project Zero tại Google, nhà sản xuất Android, đã xác nhận những phát hiện này. Họ cho biết họ đã thông báo cho Qualcomm cách đây hơn ba tháng. Tuy nhiên, theo thông tin sau, vẫn chưa có tất cả các lỗi bảo mật được khắc phục.
“Chính quyền Serbia đã triển khai các công nghệ giám sát và chiến thuật đàn áp kỹ thuật số (…)”, dẫn đến “một cuộc đàn áp xã hội dân sự”, Dinushika Dissanayake, Phó giám đốc khu vực châu Âu của Tổ chức Ân xá Quốc tế tuyên bố, được trích dẫn trong thông cáo báo chí của tổ chức phi chính phủ này.
Một cài đặt hai giai đoạn trong một chuyến thăm đồn cảnh sát cảnh sát
Nhà báo người Serbia Slaviša Milanov đã đích thân gánh chịu hậu quả của "cuộc đàn áp" này, theo báo cáo của hiệp hội. Vào tháng 2, một điều tra viên độc lập đã bị cảnh sát giao thông chặn lại ở đông nam Serbia, dường như chỉ để xét nghiệm ma túy và rượu. Bị buộc phải đến đồn cảnh sát, anh phải để lại điện thoại trong phòng... một thiết bị mà anh chỉ lấy lại được sau hai tiếng rưỡi, sau khi có kết quả xét nghiệm âm tính. Trong thời gian này, theo Tổ chức Ân xá Quốc tế, nơi anh đã giao phó thiết bị của mình sau khi cảm thấy tò mò về những thay đổi trong cài đặt, điện thoại của anh đã được chuyển cho các chuyên gia của cảnh sát địa phương. Thiết bị này đã bị mở khóa cưỡng bức bằng các công cụ của Cellebrite, một công ty Israel bán sản phẩm của mình trên toàn thế giới.
Sau khi mở khóa, NoviSpy, một hệ thống gián điệp Android tùy chỉnh, sẽ được cài đặt. Công cụ này cho phép bạn kích hoạt micrô hoặc camera của điện thoại từ xa, một cách để thu thập dữ liệu nhạy cảm và tăng cường giám sát nhà báo, những người có bài viết vạch trần việc sử dụng tiền công quỹ bất hợp pháp của chính quyền địa phương, báo cáo của Washington Đăng vào thứ Hai. Câu chuyện tương tự cũng xảy ra với nhà hoạt động môi trường người Serbia, Nikola Ristić, chiếc điện thoại thông minh của ông cũng đã được Tổ chức Ân xá Quốc tế phân tích sau khi ông đến đồn cảnh sát. Cellebrite và sau đó là NoviSpy đã được tìm thấy ở đó.
Đối với Cellebrite, phần mềm của họ phải được triển khai cho mục đích sử dụng "hợp pháp" độc quyền
Điều này đủ để báo động cho tổ chức phi chính phủ này, tổ chức tin rằng các sản phẩm do Cellebrite sản xuất, được cảnh sát và các cơ quan tình báo trên toàn thế giới sử dụng rộng rãi, "có thể gây ra rủi ro rất lớn cho những người bảo vệ nhân quyền, môi trường và quyền tự do ngôn luận". Đặc biệt "khi chúng được sử dụng ngoài phạm vi kiểm soát và giám sát chặt chẽ của pháp luật", tổ chức này viết trong thông cáo báo chí của mình.
Trước khi công bố báo cáo, Tổ chức Ân xá Quốc tế giải thích rằng họ đã liên hệ với các nhà nghiên cứu bảo mật của Android và Google để yêu cầu họ xóa phần mềm gián điệp khỏi các thiết bị Android có liên quan. Google cũng đã gửi một loạt cảnh báo tới những người được xác định là mục tiêu tiềm năng.
Về phần mình, Cellebrite nói với Tổ chức Ân xá Quốc tế và Washington Post rằng họ đang điều tra xem Serbia có tuân thủ thỏa thuận cấp phép của mình hay không. Theo hợp đồng, phần mềm của công ty phải được sử dụng trong "khuôn khổ pháp lý nghiêm ngặt, yêu cầu phải có lệnh (của thẩm phán, Ghi chú của biên tập viên) hoặc sự đồng ý (của chủ sở hữu điện thoại thông minh, Ghi chú của biên tập viên) để giúp các cơ quan thực thi pháp luật tiến hành điều tra sau khi tội phạm đã xảy ra." Công ty Israel cho biết thêm rằng nếu xảy ra vi phạm, họ có thể khiến các công cụ của mình không hoạt động được tại quốc gia đó, như họ đã từng làm với Trung Quốc và Nga.Đối với John Scott-Railton của Citizen Lab, các công ty phát triển loại phần mềm này cho đến nay vẫn được hưởng "một mức độ miễn trừ nhất định, một phần vì họ có liên quan đến các hoạt động giám sát được pháp luật cho phép." Nhưng sau vụ việc Pegasus và những vụ việc mới về việc sử dụng trái phép của lực lượng thực thi pháp luật ở châu Âu, "các công ty sản xuất công nghệ này không còn có thể hành động như thể họ không biết về những vụ lạm dụng nữa", ông tin như vậy trong các chuyên mục của Washington Post.
Tổ chức Ân xá Quốc tế cũng phát hiện ra các lỗ hổng bảo mật
Ở bên kia Đại Tây Dương, cảnh sát có thể sử dụng phần mềm này để trích xuất thông tin từ điện thoại thông minh dựa trên lệnh của thẩm phán, dựa trên lệnh của thẩm phán. Nhưng phoặc các tổ chức phi chính phủ, những công cụ này "có thể trở thành công cụ chính của sự đàn áp kỹ thuật số, có khả năng được tái tạo ở các quốc gia và bối cảnh khác, điều này có lẽ đã xảy ra".
Cần lưu ý rằng Tổ chức Ân xá Quốc tế cũng đã cập nhật các lỗ hổng bảo mật chưa từng được biết đến trước đây trong trình điều khiển Android dành cho điện thoại chạy trên chip Qualcomm. Đây chính là điều cho phép Cellebrite truy cập vào phần lớn dữ liệu nội bộ của điện thoại thông minh mục tiêu. Trong bài đăng trên blog vào Chủ Nhật, ngày 15 tháng 12, nhóm bảo mật Project Zero tại Google, nhà sản xuất Android, đã xác nhận những phát hiện này. Họ cho biết họ đã thông báo cho Qualcomm cách đây hơn ba tháng. Tuy nhiên, theo thông tin sau, vẫn chưa có tất cả các lỗi bảo mật được khắc phục.
